Die wichtigsten Erkenntnisse
- Ransomware ähnelt dem Lebenszyklus eines Hurrikans: Frühwarnungen werden oft ignoriert, die Auswirkungen sind lähmend und eine koordinierte Wiederherstellung ist unerlässlich.
- Identitätssysteme (Active Directory und Entra ID) sind häufig die ersten Opfer; ohne sie kommen die Datenwiederherstellung und der Datenzugriff zum Erliegen.
- Die Kosten für mangelnde Vorbereitung sind hoch – wochenlange Ausfallzeiten und Verluste in siebenstelliger Höhe –, weshalb identitätsbasierte Resilienz für Unternehmen unverzichtbar ist.
- Die Vorbereitung sollte saubere, unveränderliche und isolierte Backups von AD/Entra ID sowie regelmäßige vollständige Wiederherstellungsübungen für die gesamte Domänenstruktur umfassen.
- Ein praktischer Plan – bewerten, schützen, isolieren, wiederherstellen, weiterentwickeln – ermöglicht eine schnellere und sauberere Wiederherstellung von Daten, Identität und Vertrauen.
Ransomware ist zum digitalen Äquivalent eines Hurrikans geworden – mächtig, unvorhersehbar und in der Lage, jahrelange Fortschritte mit einem einzigen Schlag zunichte zu machen. Wie Naturkatastrophen sind auch Cyberkatastrophen nicht mehr eine Frage des „Ob“, sondern des „Wann“. Die Frage, die jedes Unternehmen beantworten muss, lautet nicht: „Können wir den Sturm verhindern?“, sondern: „Werden wir ihn überstehen und uns wieder erholen, wenn er zuschlägt?“
Dieses Whitepaper untersucht die Parallelen zwischen Ransomware und Hurrikanen, mit besonderem Fokus auf die Widerstandsfähigkeit von Identitäten – einschließlich Active Directory (AD) und Microsoft Entra ID. Diese Identitätssysteme sind oft die ersten Opfer eines Ransomware-Angriffs. Wenn die Identität kompromittiert wird, kommt die Recovery zum Stillstand – genauso wie man nach einem Hurrikan, bei dem man seine Adresse und Schlüssel verloren hat, aus dem eigenen Haus ausgesperrt ist.
1. Die Parallele zwischen Stürmen und Cyberangriffen
Lebenszyklus eines Hurrikans |
Lebenszyklus von Ransomware |
Gemeinsame Erkenntnis |
| Entstehung: Warmes Wasser und instabiler Luftdruck bilden die perfekten Voraussetzungen für einen Sturm. | Exposition: Nicht gepatchte Systeme, schwache Anmeldedaten und flache Netzwerke schaffen ideale Bedingungen für Angriffe. | Schwache Fundamente laden zu Katastrophen ein. |
| Warnung: Meteorologen geben Warnungen mehrere Tage im Voraus heraus. | Warnmeldungen: Sicherheitsinformationen und Ereignismanagement, Endpunkt-Erkennung und -Reaktion sowie Bedrohungsinformationen zeigen Frühwarnzeichen auf, die oft ignoriert werden. | Erkennen ohne Handeln ist Verleugnung. |
| Landfall: Der Hurrikan trifft auf Land – Stromleitungen fallen aus, Überschwemmungen setzen ein und die Kommunikation bricht zusammen. | Detonation: Malware verschlüsselt Systeme, deaktiviert Sicherheitstools und fährt Active Directory herunter. | Beides führt zu einer vollständigen Lähmung des Betriebs. |
| Antwort: Ersthelfer sortieren die Verletzten, leiten die Stromversorgung um und retten Überlebende. | Antwort: Incident-Response-Teams isolieren betroffene Systeme, prüfen Backups und leiten Wiederherstellungsmaßnahmen ein. | Geschwindigkeit, Koordination und Klarheit entscheiden über den Erfolg. |
| Wiederaufbau: Häuser werden wieder aufgebaut, die Infrastruktur wiederhergestellt und neue Schutzmaßnahmen eingeführt. | Wiederherstellung: Saubere Daten und Identitäten werden wiederhergestellt, wodurch die Geschäftskontinuität gewährleistet wird. | Die Wiederherstellung muss die Identität umfassen – nicht nur die Daten. |
2. Die versteckten Kosten des Identitätsverlusts
Wenn ein Hurrikan Ihr Haus zerstört, können Sie nicht einfach nur die Wände wieder aufbauen – Sie benötigen neue Schlüssel, Versicherungen und Dokumente, um Ihr Eigentumsrecht geltend zu machen. Bei einem Ransomware-Angriff gilt dasselbe: Ohne AD oder Entra ID können Sie nicht wieder in Ihr eigenes Netzwerk gelangen.
- Mehr als 78 % der von Menschen durchgeführten Ransomware-Angriffe zielen auf Domänencontroller ab.
- Angreifer zielen auf Domänencontroller, Speicherorte für Anmeldedaten und Vertrauensbeziehungen ab, um eine maximale Sperrwirkung zu erzielen.
- Ohne eine Wiederherstellung auf Forest-Ebene bleiben selbst einwandfreie Backups unzugänglich.
Die Identität ist die „Adresse“ Ihres digitalen Zuhauses – verlieren Sie sie, stehen Sie vor Ihrer eigenen Infrastruktur.
3. Die Kosten der Unvorbereitetheit
Wenn Hurrikane zuschlagen, stehen unvorbereitete Gemeinden vor katastrophalen Verlusten. Wenn Ransomware ungeschützte Umgebungen befällt, sind die Folgen ebenso verheerend:
- Durchschnittliche Ausfallzeit durch Ransomware: 22 Tage.
- Durchschnittliche Wiederherstellungskosten: 1,5 Millionen Dollar pro Vorfall.
- Hauptziel: AD und Cloud.
Unvorbereitete Unternehmen haben nicht nur Schwierigkeiten, Daten wiederherzustellen, sondern auch, die Vertrauenskette zwischen Systemen, Domänen und Benutzern wiederherzustellen – was oft einen kompletten Neuaufbau der Gesamtstruktur erfordert, der Wochen oder Monate in Anspruch nimmt.
4. Lehren aus dem Sturm: Aufbau von Cyber- und Identitätsresilienz
A. Vorbereitung ist Prävention
- Exportieren und validieren Sie regelmäßig Backups des AD-Systemstatus und der Entra ID-Konfigurationen.
- Implementieren Sie rollenbasierten Zugriff und privilegiertes Identitätsmanagement, um das Ausmaß des Schadens zu begrenzen.
- Speichern Sie saubere, unveränderliche Kopien sowohl der lokalen AD- als auch der Entra ID-Schemas in einem sicheren, luftisolierten Tresor.
- Führen Sie Wiederherstellungsübungen durch, die vollständige AD-Wiederherstellungen simulieren.
B. Der Belastung standhalten
- Segmentieren Sie die Identitätsinfrastruktur und beschränken Sie Replikationspfade.
- Verwenden Sie Richtlinien für bedingten Zugriff und Authentifizierungsstärke in Entra ID, um einen adaptiven Schutz durchzusetzen.
- Wenden Sie Zero-Trust-Prinzipien an, um laterale Bewegungen und die Ausweitung von Berechtigungen einzudämmen.
C. Zuverlässige Wiederherstellung
- Die vollständige Waldwiederherstellung von Commvault unterstützt die Automatisierung der durchgängigen Wiederherstellung von AD-Wäldern – durch die Wiederherstellung von DCs, Trusts und Konfigurationen aus sauberen, unveränderlichen Backups.
- Entra ID Protection lässt sich in Wiederherstellungsworkflows integrieren, sodass Cloud-, Multi-Faktor-Authentifizierungsrichtlinien und Einstellungen für den bedingten Zugriff synchron wiederhergestellt werden.
- Die automatisierte Validierung trägt dazu bei, sicherzustellen, dass es zu keiner erneuten Infektion und keiner Kreuzkontamination von Anmeldedaten kommt.
5. Der Resilienz-Entwurf: Von der Katastrophe zur Kontinuität
- Bewerten: Identifizieren Sie Ihre „digitale Küstenlinie“ – die Systeme und Identitäten, die die Geschäftskontinuität definieren.
- Schützen: Stärken Sie Ihre Identität und Ihren Datenperimeter durch Zero Trust und kontinuierliche Validierung.
- Isolieren: Bewahren Sie unveränderliche, luftisolierte Kopien von AD, Entra ID und kritischen Daten auf.
- Wiederherstellung: Nutzen Sie koordinierte Tools wie die vollständige Forest-Wiederherstellung von Commvault, um Identitäten und Zugriffsrechte schnell wiederherzustellen.
- Weiterentwickeln: Aktualisieren und überprüfen Sie Ihren Plan bei jedem neuen Patch, jeder neuen Richtlinie oder jeder neuen Plattform.
6. Die Commvault-Perspektive: Schnellere Wiederherstellung. Saubere Wiederherstellung. Wiederherstellung von Identitäten.
Mit der vollständigen Forest-Wiederherstellung für AD und dem integrierten Entra ID-Schutz unterstützt Commvault Unternehmen dabei, nach einem Ransomware-Vorfall On-Premise- und Cloud-Umgebungen sowie Identitäten integer, schnell und zuverlässig wiederherzustellen. Ein Hurrikan stellt die Stärke Ihrer Mauern auf die Probe. Ransomware stellt die Stärke Ihrer Widerstandsfähigkeit auf die Probe. Sie können nicht jeden Sturm aufhalten – weder einen natürlichen noch einen digitalen –, aber Sie können entscheiden, ob er Sie zerstört oder prägt.
FAQs
F: Warum ist der Verlust von Identitäten bei der Wiederherstellung nach einem Ransomware-Angriff so problematisch? A: Wenn AD oder Entra ID kompromittiert sind, können Unternehmen keine Authentifizierung, Autorisierung oder Wiederherstellung von Vertrauensbeziehungen zwischen Systemen durchführen – sie schließen sich damit praktisch selbst aus ihrer eigenen Umgebung aus. Angreifer nehmen häufig Domänencontroller und Vertrauensbeziehungen ins Visier, sodass die Wiederherstellung mit einer sauberen Wiederherstellung der Identitäten beginnen muss, bevor umfassendere Dienste wieder online gehen können.
F: Wie hoch sind die Ausfallzeiten und das Kostenrisiko? A: Der Artikel nennt typische Ausfallzeiten durch Ransomware, die sich auf mehrere Wochen belaufen, sowie Gesamtkosten im siebenstelligen Bereich, wobei Identitätssysteme zu den Hauptzielen gehören. Diese Auswirkungen verstärken sich noch, wenn Teams nicht über Wiederherstellungsfunktionen auf Forest-Ebene oder saubere, unveränderliche Backups von Identitätskonfigurationen verfügen.
F: Welche Vorbereitungsmaßnahmen reduzieren die Auswirkungen am effektivsten? A: Exportieren und validieren Sie regelmäßig den AD-Systemstatus und die Entra ID-Konfigurationen; wenden Sie rollenbasierten Zugriff und privilegiertes Identitätsmanagement an; bewahren Sie unveränderliche, isolierte Kopien von Identitätsschemata auf; und führen Sie vollständige Wiederherstellungsübungen auf Forest-Ebene durch, um Geschwindigkeit und Koordination unter Druck zu überprüfen.
F: Wie sollte die Wiederherstellung nach einem Angriff organisiert werden? A: Beginnen Sie damit, die betroffenen Systeme zu isolieren, und konzentrieren Sie sich dann sofort auf die Wiederherstellung der Identitäten aus sauberen, unveränderlichen Backups. Stellen Sie anschließend die Domänencontroller, Vertrauensbeziehungen und Richtlinien synchron mit der Cloud wieder her. Eine automatisierte Validierung hilft dabei, einen sauberen Zustand zu bestätigen, und verhindert eine gegenseitige Kontamination von Anmeldedaten während des Hochfahrens.
F: Wie sieht ein Resilienzkonzept in der Praxis aus? A: Befolgen Sie fünf Schritte: Bewerten Sie kritische „digitale Küstenlinien“, schützen Sie diese mit Zero Trust und kontinuierlicher Validierung, isolieren Sie sie mit unveränderlichen Air-Gapped-Kopien, stellen Sie sie mit orchestrierten Full-Forest-Workflows wieder her und entwickeln Sie sie weiter, indem Sie nach jeder Änderung an Patches, Richtlinien oder der Plattform Tests durchführen. Jerry Carlson ist Field CTO bei Commvault.
