Schutz vor Ransomware durch Backups: So stellen Sie sicher, dass Ihre Daten jederzeit bereit für die Recovery sind
Ransomware-Betreiber nehmen mittlerweile die Backup-Infrastruktur ins Visier, bevor sie Produktionsdaten verschlüsseln. Erfahren Sie, wie „air-gapped“ und unveränderliche Cloud-Backups dazu beitragen, Ihren Recovery-Prozess zu schützen – und was das 3-2-1-1-0-Konzept für Ihr Unternehmen bedeutet.
Backup-Angriffe
Ransomware-Betreiber verfolgen eine klare Strategie: Sie machen Recovery-Möglichkeiten unbrauchbar, bevor sie Produktionsdaten verschlüsseln. Sind Ihre Backups intakt, können Sie die Zahlung des Lösegelds verweigern und den Betrieb wiederherstellen. Die Angreifer wissen das, weshalb die Backup-Infrastruktur zu einem Hauptziel geworden ist.
Moderne Ransomware-Varianten nutzen verschiedene Taktiken, um Backup-Systeme zu untergraben:
- Das Löschen von Schattenkopien gehört zu den häufigsten Angriffen – Malware führt Befehle aus, um Volume-Schattenkopien zu entfernen, sobald sie sich im System eingenistet hat.
- Die Verschlüsselung des Backup-Repositorys geht noch einen Schritt weiter und zielt direkt auf Backup-Server und Speicherpools ab.
- Doppelte Erpressung fügt eine weitere Ebene hinzu: Die Angreifer entwenden sensible Daten vor der Verschlüsselung und drohen, diese zu veröffentlichen, selbst wenn Sie die Daten aus Backups wiederherstellen.
Laut demCISA-Warnung zur „Medusa“-Ransomware(Stand: August 2026) – Die „Ransomware-as-a-Service“-Operation „Medusa“ hat bis April 2026 mehr als 500 Opfer in kritischen Infrastruktursektoren betroffen, darunter das Gesundheitswesen, das Bildungswesen, die Rechtsbranche, die Versicherungsbranche, die Technologiebranche und das verarbeitende Gewerbe. Die Hintermänner von „Medusa“ verfolgen ein Modell der doppelten Erpressung, bei dem sie Verschlüsselung mit Datendiebstahl kombinieren, um die Opfer zur Zahlung zu zwingen.
„Sowohl die Entwickler von Medusa als auch deren Partner wenden ein Modell der doppelten Erpressung an, bei dem sie die Daten der Opfer verschlüsseln und damit drohen, die entwendeten Daten öffentlich zu veröffentlichen, falls kein Lösegeld gezahlt wird.“
– FBI, CISA und HHS, Warnmeldung zur „Medusa“-Ransomware (AA25-071A), 2026
CISA-Warnmeldung zu „Medusa“ (aktualisiert im August 2026): Bis April 2026 waren über 500 Opfer in kritischen Infrastrukturen betroffen
Arten von Luftspalten
Eine „Air-Gapped“-Sicherung sorgt für eine Trennung zwischen Ihrer Produktionsumgebung und Ihren Sicherungsdaten und erschwert es Ransomware somit, an die Recovery-Kopien zu gelangen. Es gibt drei Hauptansätze, die jeweils unterschiedliche Vor- und Nachteile mit sich bringen.
Physikalische Luftspalten
Dazu gehört die Speicherung von Backups auf nicht vernetzten Medien – Band, Wechseldatenträgern oder Offline-Speicherarrays. Die Backup-Medien sind physisch vom Netzwerk getrennt, wenn sie nicht aktiv genutzt werden. Dieser Ansatz bietet eine hohe Isolation, führt jedoch zu einer erhöhten betrieblichen Komplexität: manuelle Handhabung, Transportlogistik und längere Recovery-Zeiten.
Logische Luftspalten
Durch den Einsatz von Netzwerksegmentierung, Firewalls und strengen Zugriffskontrollen lassen sich Backup-Repositorys innerhalb derselben Infrastruktur isolieren. Die Backup-Daten bleiben online, sind jedoch nur über streng kontrollierte Zugangswege erreichbar. Dies ist schneller als ein physisches Air Gap, hängt jedoch von der Integrität der Netzwerkkontrollen ab – eine Fehlkonfiguration oder die Kompromittierung von Anmeldedaten kann diese Barriere überwinden.
Cloud-Luftspalten
Die Sicherungsdaten werden in einer vom Anbieter verwalteten, isolierten Umgebung gespeichert, die vom primären Cloud-Konto des Kunden getrennt ist. Der Sicherungsdienst steuert die Speicherebene und trägt so dazu bei, Unveränderlichkeit und Zugriffsbeschränkungen auf Plattformebene durchzusetzen.
Der „StopRansomware“-Leitfaden der CISAempfiehlt die Erstellung von Offline-Backups, die von den Produktionsnetzwerken getrennt sind, um das Risiko einer lateralen Ausbreitung während eines Angriffs zu verringern. Bei herkömmlichen Ansätzen zum Schutz vor Ransomware im Rahmen von Cloud-Backups müssen Unternehmen häufig eigene isolierte Konten einrichten und verwalten, was zusätzlichen Infrastrukturaufwand und eine höhere operative Belastung mit sich bringt. Moderne cloudnative Lösungen bieten diese Isolierung als integrierte Funktion und tragen so dazu bei, die Komplexität zu reduzieren und gleichzeitig eine strenge Trennung zu gewährleisten.
„Erstellen Sie verschlüsselte Offline-Sicherungen Ihrer Daten und testen Sie diese regelmäßig.“
– CISA, Leitfaden „StopRansomware“, 2025
CISA-Leitfaden „StopRansomware“ (2025): Unternehmen sollten Offline-Backups erstellen, die von den Produktionsnetzwerken getrennt sind.
Unveränderliche Sicherungsregel
Ein unveränderliches Backup ist ein Backup, das während eines festgelegten Aufbewahrungszeitraums weder geändert, überschrieben noch gelöscht werden kann. Dies wird in der Regel mithilfe von WORM-Speicherrichtlinien (Write Once, Read Many) umgesetzt. Das System ist so konzipiert, dass nach dem Schreiben der Backup-Daten weder Benutzer noch Administratoren noch automatisierte Prozesse diese ändern können, bis die Aufbewahrungssperre abläuft.
Unveränderlichkeit und Air-Gapping verfolgen komplementäre Ziele. Air-Gapping regelt, wo Sicherungsdaten gespeichert werden und wer darauf zugreifen darf. Unveränderlichkeit regelt, was mit den Daten geschehen darf, sobald sie dort angekommen sind. Die wirksamsten Strategien zum Schutz von Sicherungsdaten vor Ransomware nutzen beides: Die Daten werden in einer isolierten Umgebung gespeichert und sind vor Änderungen geschützt.
Die 3-2-1-Sicherungsregel gilt seit Jahrzehnten als Standard für den Datenschutz: Es sollten drei Kopien der Daten auf zwei verschiedenen Medientypen aufbewahrt werden, wobei sich eine Kopie außerhalb des Standorts befinden muss. Das moderne 3-2-1-1-0-Konzept erweitert dies im Hinblick auf die Widerstandsfähigkeit gegen Ransomware: 3 Kopien Ihrer Daten, 2 verschiedene Speichermedien oder -plattformen, 1 Kopie außerhalb des Standorts, 1 Kopie, die luftisoliert oder unveränderlich ist (oder beides), 0 Fehler nach der automatisierten Backup-Überprüfung. Die 3-2-1-1-0-Regel ist nicht nur eine Richtlinie – sie ist ein praktisches Rahmenkonzept zum Aufbau von Recovery-Fähigkeiten bei Ransomware-Angriffen, die auch unter realen Angriffsbedingungen Bestand haben.
Bewährte Verfahren zum Schutz
Ein wirksamer Schutz vor Ransomware im Bereich der Datensicherung erfordert mehr als nur die richtige Speicherarchitektur. Er erfordert disziplinierte Betriebsabläufe in den Bereichen Verschlüsselung, Zugriffskontrolle, Tests und Compliance.
- Verschlüsseln Sie Backups sowohl während der Übertragung als auch im Ruhezustand. Backup-Daten sollten sowohl während der Übertragung als auch während der Speicherung verschlüsselt werden. Die Unterstützung der „Bring Your Own Key“ (BYOK)-Verschlüsselung ermöglicht Ihnen die Kontrolle über die Schlüsselverwaltung, ohne dass Sie sich ausschließlich auf den Backup-Anbieter verlassen müssen.
- Setzen Sie die Multi-Faktor-Authentifizierung (MFA) und die rollenbasierte Zugriffskontrolle (RBAC) durch. Schränken Sie den Zugriff auf Konsolen zur Verwaltung des Backups und zur Recovery ein. Die MFA bietet einen zusätzlichen Schutz vor Angriffen, die auf Anmeldedaten abzielen, und die RBAC beschränkt die Berechtigungen jedes Benutzers auf das erforderliche Minimum.
- Führen Sie regelmäßig Wiederherstelltests durch. Backups, die noch nie getestet wurden, sind nicht vertrauenswürdig. Führen Sie regelmäßig Wiederherstellungsübungen durch – einschließlich granularer Wiederherstellungen, kontoübergreifender Wiederherstellungen und Rollbacks zu einem bestimmten Zeitpunkt –, um sicherzustellen, dass Ihre Recovery-Zeitziele realistisch sind.
- Sorgen Sie für die Einhaltung von Compliance-Zertifizierungen. In regulierten Branchen sollte Ihre Backup-Lösung über aktuelle Zertifizierungen wie ISO 27001, SOC 2 Typ II und HIPAA verfügen.
Verschlüsselung trägt zum Schutz der Vertraulichkeit von Daten bei; Zugriffskontrollen helfen dabei, den Schadensumfang bei kompromittierten Zugangsdaten zu begrenzen, Tests dienen der Überprüfung der Recovery-Readiness, und Compliance-Rahmenwerke bieten einen strukturierten Ansatz zur Aufrechterhaltung all dieser Maßnahmen.
Clumio-Backup-Schutz
Clumio bietet einen cloud-nativen Ransomware-Backup-Schutz, der speziell für AWS-Workloads entwickelt wurde, darunterAmazon S3,DynamoDBundEC2/EBS. So hilft Clumio dabei, die in diesem Artikel behandelten zentralen Herausforderungen zu bewältigen:
- Air-Gapped-Cloud-Backups außerhalb Ihres AWS-Kontos.Clumio speichert alle Sicherungsdaten in einer isolierten, vom Anbieter verwalteten Umgebung, die so konzipiert ist, dass sie vollständig von Ihrem primären Cloud-Konto getrennt ist. Angreifer, die Ihre Produktionsumgebung kompromittieren, sehen sich erheblichen Hindernissen gegenüber, wenn sie versuchen, an Ihre Sicherungsdaten zu gelangen.
- Von Grund auf unveränderlich. Die in Clumio gespeicherten Sicherungsdaten sind unveränderlich und unauslöschbar und so konzipiert, dass sie weder über eine Benutzeroberfläche noch über eine API verändert oder überschrieben werden können. Die Unveränderlichkeit wird auf Plattformebene durchgesetzt und ist keine optionale Konfiguration.
- Granulare Recovery auf jeder Ebene. Clumio unterstützt die Recovery-Prozesse auf Objekt-, Präfix-, Bucket-, Tabellen- und Instanzebene. Die Lösung ist darauf ausgelegt, Ihnen dabei zu helfen, genau das wiederherzustellen, was Sie benötigen – ein einzelnes S3-Objekt, eine DynamoDB-Tabelle oder eine gesamte EC2-Instanz –, ohne dass Sie ganze Umgebungen neu aufbauen müssen.
- Serverloses SaaS ohne jeglichen Infrastruktur-Aufwand bei der Bereitstellung. Clumio wird als vollständig verwalteter Dienst betrieben. Es müssen keine Backup-Server, Speicherpools oder Agenten gewartet werden. Der Schutz ist so konzipiert, dass er sich automatisch an das Wachstum Ihrer Daten anpasst.
- Verschlüsselt während der Übertragung und im Ruhezustand mit BYOK-Unterstützung. Alle Daten werden während der Übertragung und im Ruhezustand verschlüsselt, wobei vom Kunden verwaltete Verschlüsselungsschlüssel unterstützt werden.
Clumio vereint Air-Gap-Isolation, Unveränderlichkeit, granulare Recovery und ein serverloses Betriebsmodell – und bietet Cloud-nativen Teams so den benötigten Schutz vor Ransomware bei Backups, ohne die Komplexität einer veralteten Infrastruktur.
Häufig gestellte Fragen
Inwiefern tragen Backups zum Schutz vor Ransomware bei?
Backups helfenSchutz vor Ransomwareindem saubere Kopien der Daten bereitgestellt werden, die nach einem Angriff wiederhergestellt werden können. Wenn Backups luftisoliert und unveränderlich sind, sind auch die Daten unveränderlich und unauslöschbar, was Ihnen einen zuverlässigen Weg zur Recovery bietet, ohne dass Sie ein Lösegeld zahlen müssen.
Was ist die 3-2-1-1-0-Regel?
Das3-2-1-1-0-RegelVerlangt drei Kopien der Daten auf zwei verschiedenen Datenträgertypen, von denen sich eine außerhalb des Standorts befindet, eine luftisoliert oder unveränderlich ist, sowie null Fehler nach der Überprüfung. Dies ist der moderne Standard für einen gegen Ransomware widerstandsfähigen Datenschutz.
Was ist ein „Air-Gapped“-Backup?
EinAir-Gapped-Backupist eine Kopie der Daten, die in einer Umgebung gespeichert sind, die physisch oder logisch von Ihrem Produktionsnetzwerk isoliert ist. Diese Trennung trägt dazu bei, zu verhindern, dass Ransomware während eines Angriffs auf die Sicherungsdaten zugreifen kann.
Was ist ein unveränderliches Backup?
Einunveränderliches Backupist eine Kopie von Daten, die nach ihrer Erstellung weder geändert noch gelöscht werden kann. Dies trägt dazu bei, Informationen intakt zu halten und sowohl vor böswilligen Akteuren als auch vor unbeabsichtigten administrativen Änderungen zu schützen. Unveränderliche Backups tragen zwar dazu bei, Daten vor Naturkatastrophen und menschlichen Fehlern zu schützen, doch ihr größter Wert liegt darin, dass sie die Gewissheit geben, dass kritische Daten auch dann sicher, zuverlässig und wiederherstellbar bleiben, wenn Systeme kompromittiert werden.
Kann Ransomware Cloud-Backups verschlüsseln?
Ja, Ransomware kann Cloud-Backups verschlüsseln, wenn sich diese im selben Konto oder in derselben Umgebung wie die Produktionsdaten befinden. Der Schutz vor Ransomware bei Cloud-Backups erfordert die Speicherung der Backups in einer isolierten, luftisolierten Umgebung mit Kontrollen zur Gewährleistung der Unveränderlichkeit.
Wie lange dauert die Recovery nach einem Ransomware-Angriff?
Die Recovery-Geschwindigkeit hängt vom Ausmaß des Angriffs und Ihrer Backup-Architektur ab. Lösungen mit granularer, parallelisierter Recovery können dazu beitragen, einzelne Objekte oder Tabellen innerhalb weniger Minuten wiederherzustellen, während die Recovery der gesamten Umgebung bei Altsystemen Tage dauern kann.
WEITERE RESSOURCEN