Ransomware-Backup-Strategie: unveränderlich, getestet, wiederherstellbar

Diese Seite behandelt die Backup- und Wiederherstellungsstrategie für Ransomware. Die operative Reaktion im Ernstfall inklusive Forensik und Behördenmeldung steht auf Incident Response innerhalb 72 Stunden. Der Rahmen für Rollen und Meldeketten liegt auf Incident-Response-Plan erstellen. Die technische Prävention und Recovery auf Endpoint-Ebene beschreibt Halcyon Anti-Ransomware. Versicherungs-Warranties und Schaden-Logik liegen auf SOC und Cyberversicherung. Das Betriebsbild im Pillar SOC as a Service Schweiz.

Die häufigsten Ursachen für gescheiterte Wiederherstellungen sind nicht technische Defekte, sondern Angriffsvektoren auf die Backup-Ebene selbst. Ransomware-Gruppen suchen gezielt Backup-Konsolen, Domain-verbundene Backup-Server und Snapshot-Speicher, um sie vor der eigentlichen Verschlüsselung zu löschen oder mitzuverschlüsseln. Ein Backup, das mit denselben Domänen-Zugängen wie die Produktion erreichbar ist, ist im Ransomware-Fall kein Backup.

• Backup-Konten sind Teil derselben Active-Directory-Domäne wie die Produktion. Angreifer mit Domain-Admin-Rechten löschen zuerst die Backups.
• Snapshots und Replikate liegen auf demselben Storage-System wie die produktiven Volumes und werden mitverschlüsselt.
• Restore-Tests laufen nur für Einzeldateien, nie für ganze Systeme oder Anwendungs-Stacks. Der Ernstfall ist der erste echte Restore.
• Immutability-Zeitfenster ist kürzer als die typische Verweildauer der Angreifer (aktuell 5 bis 21 Tage). Angreifer warten das Fenster ab.
• Wiederherstellungsreihenfolge ist nicht dokumentiert. Datenbank vor Applikation, Identität vor Datenbank, Netzwerk vor Identität, alles improvisiert.

Das etablierte Muster für ransomware-resistente Backups ist 3-2-1-1-0. Es verlangt mindestens drei Kopien der Daten auf zwei unterschiedlichen Medien, davon eine ausser Haus und eine unveränderlich (immutable) oder air-gapped, sowie null Fehler beim Restore-Test. Die letzten beiden Ziffern sind der Kern gegen Ransomware und werden auf Antragsformularen der Versicherer explizit abgefragt.

• Object Lock in Compliance-Mode (nicht Governance-Mode). Governance-Mode ist administrativ aufhebbar und damit angreifbar, sobald Backup-Admin-Rechte kompromittiert sind.
• Aufbewahrungsfenster mindestens 30 Tage, besser 60 bis 90, wegen der Verweildauer moderner Ransomware-Kampagnen.
• Getrenntes Identity-System für die Backup-Konsole (separates Tenant, separate MFA, keine gemeinsame Rechteableitung mit der Produktion).
• Monitoring auf Konfigurationsänderungen an Immutability-Policies. Jede Verkürzung des Fensters ist ein Alarm-Signal für das SOC.
• Air-Gap-Option (Tape, offline Volumes) für die kritischsten Datensätze, wo Compliance dies verlangt (FINMA, kritische Infrastruktur).

• Mindestens quartalsweise Restore-Tests, dokumentiert mit Datum, Systemauswahl, Dauer, Ergebnis, Signatur.
• Rotationsprinzip: über zwölf Monate hinweg werden alle geschäftskritischen Systeme mindestens einmal in einem Restore-Test abgedeckt.
• Ein grosser Wiederherstellungslauf pro Jahr (Full-Stack, mehrere Systeme, isolierte Restore-Zone), integriert in die Tabletop-Übung.
• Restore-Zone: isoliertes Netzwerksegment, in dem wiederhergestellte Systeme geprüft werden, bevor sie in die Produktion zurückkommen. Angreifer-Artefakte werden hier erkannt.
• Dokumentation der Wiederherstellungs-Reihenfolge: Identität und DNS zuerst, dann Datenbanken, dann Applikationen, dann Frontends. Die Reihenfolge wird geübt, nicht improvisiert.

Eine reine Backup-Strategie beantwortet die Frage 'Können wir die Daten wieder herstellen?'. Sie beantwortet nicht die Frage 'Wie lange stehen wir still?'. Die Wiederherstellung ganzer Umgebungen dauert typisch mehrere Tage bis Wochen, je nach Volumen, Reihenfolge und Restore-Zone. Genau hier setzt eine ergänzende Recovery-Schicht auf Endpoint-Ebene an: Halcyon Anti-Ransomware erkennt den Verschlüsselungsversuch selbst, bricht ihn ab und stellt in vielen Fällen einzelne Endpoints wieder her. Die Wiederherstellung aus dem Backup muss dann nur noch für die tatsächlich verlorenen Systeme laufen. Halcyon ersetzt Backups nicht, sondern verkürzt das Wiederherstellungsfenster und schützt genau die Kopie, die im Ernstfall zuerst gebraucht wird: die produktive.

• Immutability-Konfiguration am Vorfallstag (Screenshots, Konfigurationsstand, Aufbewahrungsfenster).
• Restore-Test-Historie der letzten zwölf Monate mit Datum, System, Ergebnis und Signatur.
• Netzwerktrennung der Backup-Umgebung von der Produktions-Domain (Identity, Netzwerk, Rechteableitung).
• MFA und Zugriffsprotokoll für die Backup-Konsole in den 30 Tagen vor dem Vorfall.
• Dokumentierte Wiederherstellungs-Reihenfolge und deren Übung in den letzten zwölf Monaten.

Fehlt einer dieser Nachweise, ist eine Kürzung oder Verweigerung der Deckung wahrscheinlich, unabhängig davon, ob die Kontrolle in der Realität existierte. Siehe SOC und Cyberversicherung für die Warranty-Logik.