Von der Erkennung bis zur Recovery: Was erfordert eine moderne Architektur für Cyber-Resilienz?
Moderne Cyber-Resilienz ermöglicht es Unternehmen, nach einer Kompromittierung den vertrauenswürdigen Betrieb mithilfe validierter Recovery-Maßnahmen, isolierter Umgebungen und koordinierter Reaktionen über die gesamte hybride Infrastruktur hinweg wiederherzustellen.
Die wichtigsten Erkenntnisse
Moderne Cyber-Resilienz konzentriert sich auf eine vertrauenswürdige Recovery durch Datenvalidierung, Isolierung der Recovery, Koordinierung der Reaktion und die Ermöglichung einer flexiblen Recovery in hybriden Umgebungen.
- Moderne Cyber-Resilienz beruht auf einer evidenzbasierten Recovery, bei der vor der Recovery die Datenintegrität überprüft wird – und nicht nur die Verfügbarkeit der Backups.
- Traditionelle Disaster-Recovery-Modelle versagen im Falle von Ransomware, da Angreifer Backups ins Visier nehmen, die Verweildauer verlängern und Wiederherstellungspunkte kompromittieren.
- Ein Resilience-Operations-Modell (ResOps) bündelt die Kräfte von Sicherheits-, IT- und Datenteams im Hinblick auf kontinuierliche Validierung, saubere Recovery-Abläufe und messbare Readiness.
- Cyber Recovery muss in das umfassendere Sicherheitsökosystem integriert werden und Erkennungs-, Reaktions- und Recovery-Systeme miteinander verbinden, um koordinierte Maßnahmen und gemeinsame Transparenz während Vorfällen zu ermöglichen.
- Cleanroom Recovery®, Synthetic Recovery™, Air-Gapped-Backups und KI-gestützte Erkennung arbeiten zusammen, um eine vertrauenswürdige, isolierte Wiederherstellung zu ermöglichen.
- Die Portabilität von Workloads und eine „Minimum Viable Recovery“ helfen Unternehmen dabei, kritische Geschäftsfunktionen zuerst wiederherzustellen und die Recovery über hybride Umgebungen hinweg ohne plattformspezifische Einschränkungen durchzuführen.
Die meisten Unternehmen können Cyberangriffe erkennen. Weitaus weniger sind jedoch in der Lage, eine saubere, zuverlässige und skalierbare Recovery-Prozesse über ihre gesamte Datenlandschaft hinweg durchzuführen. Commvault schließt diese Lücke durch evidenzbasierte Recovery – durch die Kombination von Anomalieerkennung, Cleanroom Recovery, Synthetic Recovery und dem ResOps-Betriebsmodell, um Unternehmen dabei zu unterstützen, vertrauenswürdige Abläufe auch unter aktiven Angriffsbedingungen zu validieren, zu isolieren und wiederherzustellen.
Warum versagen herkömmliche Recovery-Modelle angesichts moderner Cyberangriffe?
241 Tage. So lange dauert laut einer Studie der durchschnittliche Lebenszyklus einer SicherheitsverletzungIBM-Bericht „Kosten einer Datenpanne 2025“. Der Bericht zeigte zudem, dass 76 % der Unternehmen nach wie vor mehr als 100 Tage benötigten, um sich vollständig von einem Sicherheitsvorfall zu erholen, was Angreifern reichlich Zeit ließ, Backup-Systeme und Wiederherstellungspunkte zu kompromittieren.
Herkömmliche Strategien zur Notfallwiederherstellung wurden für Betriebsunterbrechungen und Hardwareausfälle konzipiert, nicht für böswillige Angriffe. Dabei wurde davon ausgegangen, dass Backups standardmäßig vertrauenswürdig sind – eine Annahme, die heute nicht mehr zutrifft.
Cyberangriffe sind längst keine vereinzelten Sicherheitsvorfälle mehr. Es handelt sich um unternehmensweite Störungen, die zeigen, wie gut Teams angesichts fragmentierter Tools, Signale und Entscheidungsprozesse reagieren und sich wieder erholen können.
Angreifer gehen geduldig und bedächtig vor. Bis es zur Verschlüsselung oder Vernichtung kommt, sind möglicherweise bereits mehrere Wiederherstellungspunkte nicht mehr sicher.
Heutige Ransomware- und Cyberangriffe folgen einem Schema, das etwa wie folgt aussehen kann:
- Längere Verweildauer: Angreifer können sich wochen- oder monatelang in der Umgebung aufhalten und in dieser Zeit Dateien verändern, schlummernde Malware einschleusen, Zugangsdaten stehlen und Backup-Repositorys manipulieren.
- Sicherungsziele: Angreifer können nun aktiv Snapshots löschen, Sicherungsaufträge deaktivieren, Recovery-Schlüssel entwenden und gespeicherte Daten verändern.
Bis die Verschlüsselung erfolgt, könnten bereits mehrere Wiederherstellungspunkte kompromittiert worden sein.
DasIDC MarketScape: Weltweite Cyber-Recovery 2025 – Anbieterbewertungbetont, dass moderne Recovery-Maßnahmen sowohl den Erhalt als auch die Integrität der Daten gewährleisten müssen, insbesondere wenn Angreifer direkt auf die Schutzebenen abzielen.
Diese Umstände decken systemische Lücken auf. Sicherheits- und Recovery-Teams arbeiten oft unabhängig voneinander, was zu Verzögerungen bei der Entscheidungsfindung führt. Bei Backup-Systemen fehlt eine integrierte Validierung, sodass die Teams unsicher sind, welche Daten sicher wiederhergestellt werden können. Recovery-Umgebungen sind möglicherweise nicht isoliert, was das Risiko einer erneuten Infektion erhöht.
Die Schließung dieser Lücken ist für eine moderne Cyber-Resilienz von grundlegender Bedeutung. Entscheidend ist dabei ein ganzheitlicher Ansatz, der die Erkennung von Anomalien und Bedrohungen, den Datenschutz, KI-gestützte Erkenntnisse und die Überprüfung der Recovery miteinander verbindet.
Warum ist eine evidenzbasierte Cyber-Recovery der Weg in die Zukunft?
The evidence-based recovery replaces the assumption-based recovery with continuous monitoring of data health. Instead of treating backups as fundamentally safe, organizations evaluate signals across the entire data lifecycle to determine which recovery points are trustworthy.
„Können wir die Systeme wiederherstellen?“ ist nicht die richtige Frage.
Unternehmen müssen sich fragen: „Können wir unter widrigen Bedingungen saubere, validierte Systeme wiederherstellen?“
Moderne Resilienzplattformen wieCloudführen Überprüfungen in mehreren Phasen durch. Vor der Sicherung helfen Verhaltensanalysen und Bedrohungsinformationen dabei, verdächtige Aktivitäten in Produktions-Workloads zu identifizieren.
Später, während der Backup-Vorgänge, analysiertdie AnomalieerkennungEntropieveränderungen, ungewöhnliche Dateiänderungen und bekannte Bedrohungsindikatoren, um potenzielle Kontaminationen zu identifizieren. Nach der Speicherung der Daten helfen kontinuierliche Scans dabei, schlummernde oder verzögerte Bedrohungen aufzudecken, die andernfalls unbemerkt bleiben könnten.
KI-gestützte Analysen sind in dieser Größenordnung unverzichtbar. Sie helfen dabei, Signale über einen längeren Zeitraum hinweg zu korrelieren, Risiken mit hoher Wahrscheinlichkeit aufzudecken und den Aufwand für manuelle Untersuchungen zu reduzieren. Wichtig ist, dass diese Funktionen vor der Sicherung, während der Sicherung und schließlich während der Recovery zum Einsatz kommen.
Dieser mehrschichtige Ansatz schafft eine Beweiskette, die dazu beiträgt, Recovery-Entscheidungen mit weitaus größerer Präzision zu treffen.
Was versteht man unter ResOps für die Cyber-Recovery?
Da die Cyber-Recovery immer komplexer und sicherheitskritischer wird, reicht es nicht mehr aus, sich lediglich mit Tools auszustatten. Unternehmen benötigen eine wiederholbare Betriebsdisziplin, die Sicherheits-, IT- und Datenschutzteams auf ein gemeinsames Ziel ausrichtet.
Dies ist die Grundlage vonResilienzmaßnahmen (ResOps). ResOps betrachtet Recovery als eine kontinuierliche, messbare operative Fähigkeit und nicht als einmaliges Ereignis. Im Mittelpunkt stehen gemeinsame Erkenntnisse, validierte Recovery-Pfade und bewährte Readiness. Zu den wichtigsten Funktionen gehören unter anderem:
- Kontinuierliche Transparenz durch Anomalieerkennung über den gesamten Datenlebenszyklus hinweg.
- KI-gestützte Bedrohungserkennung, Bedrohungsinformationen und auf Täuschungsmaßnahmen basierende Frühwarnung.
- Wiederherstellung sauberer Daten.
- On-Demand-Umgebungen mit Air-Gap zur Validierung von Recovery-Pfaden.
- Wiederholbare Tests und Verbesserungen.
Ein entscheidendes Element von ResOps ist die Integration in das umfassendere Sicherheitsökosystem. Moderne Architekturen sind mit Plattformen für Sicherheitsinformations- und Ereignismanagement (SIEM), Sicherheitsorchestrierung, -automatisierung und -reaktion (SOAR), erweiterte Erkennung und Reaktion (XDR), Endpunkt- sowie Identitätsmanagement verbunden, um eine koordinierte Reaktion zu ermöglichen.
Eine SOAR-gesteuerte Orchestrierung ist besonders während aktiver Vorfälle wichtig. Automatisierte Playbooks tragen zu einer konsistenten Ausführung bei, reduzieren manuelle Fehler und beschleunigen die Entscheidungsfindung teamübergreifend.
Die Einführung des ResOps-Modells unterstreicht einen entscheidenden Wandel in der Cyber-Resilienzund verwandelt einen traditionell isolierten Prozess in eine in hohem Maße wiederholbare technische Kompetenz.
Wie ermöglicht eine saubere Validierung eine sichere Recovery?
Das Wiederherstellen von Backups ist nicht so einfach, wie es klingt. Eine übereilte Wiederherstellung kann dazu führen, dass Malware erneut in Produktionsumgebungen eingeschleust wird. Jeder Wiederherstellungspunkt muss als potenziell verdächtig behandelt werden, bis das Gegenteil bewiesen ist.
Die Notwendigkeit, dass wiederhergestellte Daten „sauber“ sind, hat zur Einführung von Validierungsschritten wieCleanroom RecoveryundCommvault integriert diese Funktionen zur Erkennung von Bedrohungen in seine zum Patent angemeldete.
„Cleanroom Recovery“ bietet eine schnelle, bedarfsgerechte, cloud Wiederherstellungsumgebung für Tests, Cyber-Forensik und Recovery Staging. Dies kann mithilfe automatisierter Runbooks und vorkonfigurierter Systeme erfolgen, um Workloads sicher zu validieren, bevor sie wieder in die Produktionsumgebung zurückgeführt werden.
Ergänzend dazu sorgtAir Gap Protectfür unveränderliche Backups, die getrennt von der Produktionsumgebung gespeichert werden, wodurch verhindert wird, dass Angreifer kritische Recovery-Daten verändern oder löschen können.
Die KI-gestützte „Synthetic Recovery“ erweitert diese Validierung. Sie nutzt Malware- und Verschlüsselungserkennung, um einen kuratierten, zusammengesetzten Recovery-Punkt zu erstellen, der die aktuellste saubere Version von Dateien aus allen Backups zu einem einzigen Recovery-Punkt kombiniert. Dies trägt dazu bei, den Umfang der Datenrücksetzung oder das Verwerfen intakter Daten bei der Durchführung eines Recovery zu reduzieren.
Zusammen tragen diese Mechanismen dazu bei, Recovery von einem „Best-Effort“-Prozess in eine nachweisbare Lösung zu verwandeln.
Warum ist die Portabilität von Workloads für Cyber-Resilienz-Frameworks von entscheidender Bedeutung?
Unternehmensumgebungen umfassen mittlerweile lokale Infrastrukturen, mehrere öffentliche Clouds, Container-Plattformen und SaaS-Ökosysteme. Architekturen zur Cyber-Recovery müssen dieser Realität Rechnung tragen. Starre Recovery-Modelle können Reibungsverluste und Verzögerungen verursachen und so eine reibungslose Recovery sowie die Sicherheit der Sicherungsdaten beeinträchtigen.
Übertragbarkeit von einem Ort zum anderen ist für die Cyber-Resilienz von entscheidender Bedeutung.â¯
„Any-to-any“-Recovery im Unternehmensmaßstab bedeutet, dass Unternehmen die Flexibilität haben,
- Workloads über heterogene Infrastrukturen hinweg wiederherzustellen.
- bei Bedarf zwischen Cloud-Anbietern zu migrieren.
- Szenarien für einen kompletten Neuaufbau zu unterstützen, wenn Umgebungen vollständig kompromittiert sind.
- verschiedene Hypervisor-Migrationen und Speicherplattformen zu unterstützen.
Dank dieser Portabilität können Recovery-Entscheidungen eher von geschäftlichen Prioritäten als von Plattformbeschränkungen geleitet werden. Außerdem trägt sie dazu bei, die Bindung an eine bestimmte Infrastruktur bei groß angelegten Vorfällen zu verringern.
Inwiefern dient das Konzept der „Minimum Viable Recovery“ als Leitfaden für die Geschäftskontinuität?
Wenn sich ein schwerwiegender Cybervorfall ereignet, führt der Versuch, alles auf einmal wiederherzustellen, oft zu unnötigen Verzögerungen und Komplikationen. In solchen Situationen sollte man zunächst mit denMinimal funktionsfähige SystemeUnd die Bemühungen um eine vollständige Recovery des Geschäftsbetriebs können eine wirkungsvolle Strategie sein.
Bei diesem Ansatz werden die Systeme und Daten priorisiert, die für die Wiederherstellung der Kerngeschäftsprozesse als Erstes erforderlich sind. Die Reihenfolge der Recovery-Prozesse richtet sich nach den geschäftlichen Auswirkungen und nicht nach der Topologie der Infrastruktur. Zu den Schlüsselelementen dieses Ansatzes gehören ein hohes Bewusstsein für Abhängigkeiten, abgestufte Wiederherstellungsziele, automatisierte Runbooks sowie kontinuierliche Tests und Optimierungen.
Minimal realisierbare Recoverybietet eine Vielzahl von Vorteilen:
- Zuverlässige und vertrauenswürdige Recovery der wichtigsten Geschäftsbereiche.
- Deutlich schnellere Rückkehr zum normalen Geschäftsbetrieb.
- Schnelle Recovery von Identitätssystemen, kritischen Kommunikationsanwendungen und wichtigen Daten.
Eine „Minimum Viable Recovery“ trägt dazu bei, die Wiederherstellung der Geschäftskontinuität zu beschleunigen. Sie ermöglicht es Unternehmen, ihre Betriebsfähigkeit schnell wiederherzustellen, auch wenn die vollständige Wiederherstellung länger dauert. Dieser Prozess steht zudem in direktem Einklang mit der ResOps-Philosophie der messbaren Readiness.
Fazit: Alle Aspekte der Cyber-Resilienz unter einem Dach vereinen
Cyber-Resilienz wird heutzutage nicht durch die Fähigkeit einer Organisation definiert, Backups zu erstellen. Sie wird vielmehr dadurch bestimmt, wie sicher eine Organisation unter echtem Angriffsdruck den vertrauenswürdigen Betrieb wiederherstellen kann. Dies erfordert eine Architektur, die eine kontinuierliche Verknüpfung von Erkennung, Validierung, Isolierung und Orchestrierung ermöglicht.
In einer ausgereiften Architektur verstärken sich diese Funktionen in Echtzeit gegenseitig. Erkennungssignale tragen dazu bei,Cleanpoint⢠Vertrauen. Validierungsworkflows prüfen kontinuierlich die Wiederherstellbarkeit. Reinraumumgebungen bieten ein kontrolliertes Testumfeld vor der Umstellung auf den Produktionsbetrieb. Koordinierte Runbooks tragen dazu bei, die technische Wiederherstellung auf die geschäftlichen Prioritäten abzustimmen. Wenn diese Elemente im Rahmen eines ResOps-Modells zusammenwirken, vermitteln sie Unternehmen messbares Vertrauen in ihre Wiederherstellungsfähigkeit.
Da sich Cyberbedrohungen ständig weiterentwickeln, wird der entscheidende Vorteil nicht darin bestehen, wie schnell Systeme wiederhergestellt werden können, sondern darin, wie zuverlässig ein einwandfreier und vertrauenswürdiger Betrieb in großem Maßstab wiederhergestellt werden kann.
Häufig gestellte Fragen
Warum reichen herkömmliche Backup-Strategien für die Cyber-Resilienz nicht mehr aus?
Herkömmliche Disaster-Recovery-Lösungen wurden für Ausfälle und Hardwarefehler konzipiert, nicht für böswillige Angriffe. Moderne Ransomware zielt auf Backup-Repositorys ab, manipuliert Wiederherstellungspunkte und setzt Schutzsysteme außer Kraft. Commvault begegnet diesem Problem durch die Kombination von „Air Gap Protect“, Anomalieerkennung und „Cleanroom Recovery“, um Wiederherstellungspunkte zu überprüfen und zu isolieren, bevor die Daten wieder in die Produktion zurückgeführt werden.
Was ist evidenzbasierte Recovery und warum ist sie wichtig?
Die evidenzbasierte Recovery nutzt Anomalieerkennung, Bedrohungsinformationen und Validierungsworkflows, um vor der Bereitstellung sicherzustellen, dass die Wiederherstellungspunkte fehlerfrei sind. Commvault Cloud setzt dies durch kontinuierliche Überprüfungen vor, während und nach der Sicherung um – so können Unregelmäßigkeiten frühzeitig erkannt und eine schnellere, zuverlässigere Recovery unter widrigen Bedingungen ermöglicht werden.
Was ist „ResOps“ und wie verbessert es die Cyber-Recovery?
ResOps ist ein Betriebsmodell, bei dem Recovery nicht als einmaliges Ereignis, sondern als kontinuierlicher, messbarer Prozess betrachtet wird. Commvault unterstützt ResOps, indem es die Erkennung von Anomalien, validierte Wiederherstellungspfade und Cleanroom-basierte Tests zu einem gemeinsamen Workflow verbindet, der Sicherheits-, IT- und Datenschutzteams auf eine messbare Readiness ausrichtet.
Wie tragen „Cleanroom Recovery“ und „Synthetic Recovery“ zu einer sicheren Wiederherstellung bei?
â„Cleanroom Recovery“â bietet eine isolierte Umgebung, in der Workloads getestet und validiert werden können, bevor sie wieder in die Produktion zurückgeführt werden. â„Synthetic Recovery“â nutzt KI-gestützte Erkennung, um die aktuellsten fehlerfreien Versionen von Dateien zu einem verifizierten Wiederherstellungspunkt zusammenzustellen. Gemeinsam tragen sie dazu bei, ein erneutes Eindringen von Malware während der Wiederherstellung zu verhindern.
Warum ist die Portabilität von Workloads bei einem Cybervorfall wichtig?
In Hybrid- und Multi-Cloud-Umgebungen benötigen Unternehmen die Flexibilität, Workloads plattformübergreifend wiederherzustellen. Die „Any-to-Any“-Portabilitätsfunktion von Commvault ermöglicht die Wiederherstellung in heterogenen Infrastrukturen, die Cloud-Migration zwischen Anbietern sowie Szenarien, in denen eine Neuinstallation von Grund auf erforderlich ist – – so wird sichergestellt, dass Recovery-Entscheidungen von geschäftlichen Prioritäten und nicht von plattformspezifischen Einschränkungen bestimmt werden.
Was ist „Minimum Viable Recovery“ und wie trägt sie zur Geschäftskontinuität bei?
Bei der „Minimum Viable Recovery“ steht die Wiederherstellung der wichtigsten Systeme im Vordergrund, die für die Wiederaufnahme des Kerngeschäftsbetriebs erforderlich sind. Commvault unterstützt dies durch eine abgestufte Recovery-Reihenfolge, die sich an den geschäftlichen Auswirkungen orientiert – mithilfe automatisierter Runbooks und kontinuierlicher Tests, die Unternehmen dabei helfen, Identitätssysteme, kritische Anwendungen und wesentliche Daten wiederherzustellen, bevor eine vollständige Neuinstallation durchgeführt wird.
Minimale lebensfähige Erholung: Die Verwertungslücke schließen
Cleanroom Recovery
