Mobile-Menu

Kein Backup – kein Mitleid Air Gaps und Unveränderlichkeit halten die Ransomware-Monster fern

Von Dr. Stefan Riedl 11 min Lesedauer

Anbieter zum Thema

Keepit Germany GmbH c/o Bird&Bird LLP
Impossible Cloud GmbH
Zadara Ltd.
XOPERO SOFTWARE S.A.

Damit das Ransomware-Biest nicht im Rechenzentrum wüten kann, müssen bestimmte Prinzipien technisch umgesetzt werden. Sie drehen sich hauptsächlich darum, die innerste Datenschatzkammer des Unternehmens, das Backup, zu schützen.

Das Backup muss für Ransomware unerreichbar sein.(Bild: Midjourney / KI-generiert)
Das Backup muss für Ransomware unerreichbar sein.
(Bild: Midjourney / KI-generiert)

Bewährte Konzepte werden zu akzeptierten Standards. In diesem Sinne trifft das in der Backup- und Disaster-Recovery-Branche auf verschiedene technologische Entwicklungen zu. Michael Heuer, Area VP Central Europe bei Keepit, führt aus, dass unveränderliche („immutable“) Backups, die nachträgliche Manipulationen verhindern und so einen wirksamen Schutz gegen Ransomware bieten, nicht mehr wegzudenken sind. Ergänzend setzen viele Unternehmen auf Air-Gapped- oder Cloud-isolierte Sicherungen, bei denen die Backup-Systeme logisch vom Produktionsnetz getrennt sind. Einen weiteren Fortschritt stellt die automatisierte Recovery-Orchestrierung dar. Damit lassen sich Wiederherstellungsprozesse weitgehend selbstständig steuern, wodurch sich Ausfallzeiten deutlich verkürzen.

Hintergrund

Was ist ein Air Gap?

Ein Air Gap ist die Trennung zwischen Sicherungen und dem Produktionsnetz, sodass Backups nicht dauerhaft erreichbar sind. Dadurch bleiben sie auch bei Malware-Befall, kompromittierten Konten oder Fehlbedienung vor Manipulation und Löschung geschützt.

Physisches Air Gap: Die Backups sind tatsächlich offline und vom Netz getrennt; es gibt keine permanente Verbindung. Typische Beispiele sind Bandmedien, abgesteckte oder ausgeschaltete Wechselfestplatten und Offsite-Lagerung. Zugriff erfolgt nur gezielt während kurzer Sicherungs- oder Wiederherstellungsfenster.

Logisches Air Gap: Die Backups bleiben technisch erreichbar, sind aber durch strikte logische Barrieren geschützt. Dazu gehören getrennte Identitäten und Netzsegmente, isolierte Backup-Vaults sowie unveränderlicher Speicher, die Änderungen zeitlich oder grundsätzlich verhindern.

Sicherung in einer hauseigenen Cloud

Keepit betreibt eine eigene „SaaS-Anbieter-unabhängige Cloud ohne jegliche Sub-Prozessoren“, sagt der Manager. Somit bestünden außer für die generelle Anbindung für Backup und Recovery keine Verbindungen zu Azure, AWS oder anderen Hyperscalern. „Die Sicherung der Produktionsdaten findet ausschließlich in der Keepit-eigenen Cloud statt. Keepit hat aufgrund der absoluten Segmentierung somit ein logisches Air-Gap zu den Clouds der verschiedenen Anbieter (M365, Salesforce, Google Workspace)“, sagt der Security-Spezialist. Aufgrund der direkten Peering-Anbindung an beispielsweise Microsoft (Dark Fibre mit 100 Gbit/s) gebe es keine Nachteile in Bezug auf RTOs. Die SaaS-Anbieter limitieren den Zugriff via API gleichermaßen für alle Cloud-Anbieter, also In-House sowie 3rd-Party-Anbieter.

Skalierbarkeit und Compliance

Michael Heuer, Area VP Central Europe / DACH, Keepit(Bild: Keepit)
Michael Heuer, Area VP Central Europe / DACH, Keepit
(Bild: Keepit)

Auf Sicherheitsseite etabliert sich demnach sukzessive die Zero-Trust-Architektur, bei der jeder Zugriff streng überprüft und protokolliert wird. „Parallel verlagern viele Organisationen ihre Strategien in Cloud-basierte Modelle, um Skalierbarkeit und Compliance zu verbessern“, sagt Heuer. In der praktischen Umsetzung bedeutet das: Unternehmen kombinieren heute unveränderliche Cloud-Backups, automatisierte Wiederherstellungstests und Überwachung mit klar getrennten Zugriffsrechten und regelmäßigen Recovery-Übungen. Insgesamt entwickelt sich demnach die Branche weg von passiver Datensicherung hin zu intelligenten, resilienten Schutzsystemen, die eine schnelle und sichere Wiederherstellung geschäftskritischer Daten ermöglichen.

Das Attribut „Unveränderlichkeit“

Die Keepit Plattform stellt laut Heuer ein unveränderliches, vom SaaS-Anbieter unabhängiges, auditierbares Backup bereit. Außerdem können automatische Wiederherstellungstests ausgeführt werden, um die Backup-Lösung und die BCM- und DR-Pläne (Business Continuity Management- und Disaster Recovery) zu verifizieren.

Hintergrund

Object Lock, WORM und S3-Speicher

S3‑Speicher steht für Amazon S3 (Simple Storage Service), einen Objektspeicher in der Cloud. Daten werden als „Objekte“ in „Buckets“ abgelegt, sind hochskalierbar und über Programmierschnittstellen abrufbar. Für Backups wichtig: optionale Versionierung, verschiedene Speicherklassen und Funktionen für Replikation und Lebenszyklusregeln.

Object Lock ist eine S3‑Funktion, die Objekte für eine festgelegte Aufbewahrungsfrist unveränderbar macht. Voraussetzung ist die Versionierung. Es gibt zwei Modi: Governance Mode (mit streng geregelten Admin-Ausnahmen) und Compliance Mode (absolut unveränderbar bis zum Fristende). Zusätzlich möglich: Legal Hold als Sperre ohne Frist. Ziel ist der Schutz vor Löschen oder Überschreiben – auch durch Fehler oder Angriffe.

WORM (Write Once, Read Many) beschreibt das Prinzip „einmal schreiben, beliebig oft lesen“: Daten sind nach dem Schreiben nicht mehr veränderbar oder löschbar. Das erhöht die Beweissicherheit und schützt Backups vor Manipulation, etwa durch Ransomware. In S3 lässt sich WORM‑Schutz praktisch über Object Lock plus Versionierung umsetzen.

Kurz gesagt: S3‑Speicher ist die Plattform, Object Lock liefert die Unveränderbarkeit, und WORM ist das dahinterstehende Schutzprinzip für manipulationssichere Backups.

Manipulation verunmöglicht

Das Unternehmen setzt nach der Beschreibung des Managers das Prinzip der Unveränderlichkeit („Immutability“) von Backups mit einem mehrschichtigen Sicherheitsansatz um: „Sobald Daten in die Keepit-Cloud übertragen werden, werden sie verschlüsselt, versioniert und in einer objektbasierten Speicherarchitektur abgelegt, die standardmäßig keine nachträglichen Änderungen oder Löschungen zulässt.“ Weder Anwender noch Administratoren oder Angreifer können dann gesicherte Daten nach dem Schreiben manipulieren. Dadurch entstehe ein „Logical Air Gap“ – die Backups liegen dabei vollständig getrennt von der Produktionsumgebung und sind über keine offenen Schnittstellen (APIs) angreifbar. Zusätzlich schützt eine Löschsperre („Delete Lock“) von 30 Tagen davor, dass kompromittierte Accounts Datensätze sofort entfernen können. Alle Daten werden dabei redundant in zwei geografisch getrennten Rechenzentren derselben Region gespeichert, um sowohl Integrität als auch Verfügbarkeit zu gewährleisten.

Hintergrund

Die 3-2-1-, die 6-4-2- und die 3-2-1-1-0-Backup-Strategie

Die 3-2-1-Backup-Regel schützt davor, wenn man statt dem sprichwörtlichen „Glück im Unglück“ einmal „Pech im Unglück“ haben sollte: Drei Daten­kopien auf zwei Medien und ein externes Backup: Das ist der Kern des 3-2-1-Prinzips.

Insbesondere Cloud-Speicher hilft hier, indem ein weiteres Speichermedium sowie der externe Charakter eine Kopie gewährleistet werden können.

Angenommen, die Ausfallwahrscheinlichkeit für ­eine Sicherungskopie beträgt 1/ 100, sinkt die Wahrscheinlichkeit bei zwei eingesetzten Systemen ­bereits auf: 1/ 100 * 1/ 100 = 1/ 10.000. Kommt ein weiteres Backup auf einem dritten System hinzu, bedeutet dies, dass die Wahrscheinlichkeit eines gleichzeitigen Ausfalls aller drei Geräte auf 1/ 1.000.000 abnimmt.

Geprägt wurde das Konzept, das mitunter als „goldene Regel der Datensicherung“ ­bezeichnet wird, vom Fotografen Peter Krogh. Die Zahl der zu erstellenden Kopien, verwendeten Speichermedien und Offsite-Standorte, an denen Backups aufbewahrt werden, lässt sich nach oben variieren. So kann aus 3-2-1 auch beispielsweise 6-4-2 werden, das das Datenverlustrisiko enorm reduziert.

Die „3-2-1-1-0-Backup-Strategie“ erweitert den Klassiker „3-2-1-Regel“ und zwar folgendermaßen: drei Kopien der Daten auf zwei verschiedenen Medien gespeichert und eine Kopie extern gelagert. Außerdem soll eine Kopie schreibgeschützt oder unveränderlich gespeichert werden, und zu guter Letzt: Null Fehler bei der Wiederherstellung sollen durch regelmäßige Tests garantiert werden können, um Daten im Ernstfall tatsächlich planmäßig wiederherstellen zu können.

Unveränderlichkeit beweisen

Ein zentrales technisches Element dieser Architektur ist der Einsatz eines Merkle-Trees (auch als Hash-Baum bekannt). Dabei wird jeder Datenblock mit einem kryptografischen Hashwert versehen. Diese Hashes werden in einer hierarchischen Struktur zusammengefasst: Mehrere Datenblöcke ergeben einen „Zweig“-Hash, mehrere Zweige wiederum einen „Wurzel“-Hash („root hash“). Dieser Root Hash repräsentiert eindeutig den gesamten Datenzustand. Schon eine minimale Änderung an einem einzelnen Block würde den Hashwert des gesamten Baums verändern und damit sofort auffallen. So kann Keepit jederzeit mathematisch nachweisen, dass ein Backup-Objekt unverändert und authentisch ist und somit Integrität der Daten besteht. Das System erkennt Manipulationsversuche automatisch und verhindert deren Übernahme in den Backup-Bestand.

Datenintegrität und Compliance

Durch eine Kombination aus verschlüsselter, logisch getrennter Speicherung, Löschsperren und Merkle-Tree-Validierung erreicht Keepit laut Heuer eine echte Unveränderlichkeit der Backups, die sowohl gegen Ransomware-Angriffe als auch gegen interne Manipulationen schützt – und gleichzeitig die Anforderungen an Datenintegrität und Compliance (beispielsweise nach DSGVO Art. 17/32) erfüllt, betont der Manager.

Hintergrund

Das Shared-Responsibility-Modell

Das Shared-Responsibility-Modell besagt: Der Cloud-Anbieter schützt die Cloud (Infrastruktur, Betrieb), der Kunde schützt, was er in der Cloud nutzt (Identitäten, Daten, Konfigurationen). Je nach Servicemodell verschiebt sich die Grenze; bei SaaS bleibt der Schutz der Daten beim Kunden. Beispiel Microsoft 365: Microsoft betreibt und sichert die Dienste (Exchange, SharePoint, Teams), der Kunde verantwortet Tenant-Einstellungen, Zugriffe, Datenklassifizierung, Aufbewahrung und Wiederherstellbarkeit. M365 bietet Basisfunktionen (Versionierung, Retention), ersetzt aber kein frei steuerbares Backup – dafür ist der Kunde zuständig.

Ransomware-Dynamik verschärft sich

In den vergangenen Monaten habe sich die Ransomware-Dynamik deutlich verschärft, berichtet der Keepit-Manager. „Die Zahl der Angriffe ist weiter gestiegen – laut aktuellen Analysen nahm die Aktivität im Jahresvergleich um über 30 Prozent zu, teils sogar um 146 Prozent bei blockierten Versuchen.“ Gleichzeitig seien die durchschnittlichen Schadenssummen pro Vorfall um rund 17 Prozent gestiegen. „Neben der reinen Verschlüsselung von Daten setzen Angreifer zunehmend auf ‚Double Extortion‘“, berichtet Heuer. Das ist die zusätzliche Veröffentlichung gestohlener Informationen zur Erhöhung des Drucks. Auffällig sei zudem der Einsatz von KI-gestützten Phishing- und Social-Engineering-Taktiken, die gezielter und glaubwürdiger wirken. Besonders häufig betroffen sind demnach kritische Infrastrukturen und Branchen wie Fertigung, Gesundheitswesen und Technologie. Insgesamt zeige sich ein klarer Trend: „Ransomware-Angriffe werden häufiger, professioneller und finanziell folgenreicher, wobei sich das kriminelle Ökosystem zunehmend spezialisiert und arbeitsteilig organisiert.“

Wissen, was läuft

Täglich die wichtigsten Infos aus dem ITK-Markt

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung
In den vergangenen Monaten hat sich die Ransomware-Dynamik deutlich verschärft.

Michael Heuer, Area VP Central Europe / DACH, Keepit

Der Umgang mit Erpressern

Sollte man mit Ransomware-Erpressern verhandeln? Heuer beantwortet diese Frage differenziert: Grundsätzlich gelte, dass von der Bezahlung einer Ransom (Lösegeldforderung) abgeraten wird, da selbst nach der Zahlung ein Veröffentlichen oder ein Beibehalten der Verschlüsselung nicht auszuschließen ist. Außerdem stehen Zahlungen in sanktionierte Länder auch für das betroffene Unternehmen unter Strafe. Es könne aber von Vorteil sein, sich mit den Erpressern auszutauschen, um Informationen über beispielsweise verschlüsselte Systeme und Angriffsvektoren zu erhalten. „Ein solcher Austausch sollte ausschließlich über geschützte und sichere Kommunikationswege stattfinden und nur unter ständiger Auditierung und Forensik durch zuständiges Fachpersonal und externe Spezialisten“, so der Security-Profi. Gemeint sind hier:

  • Rechtsabteilung,
  • Informationssicherheit
  • Incident-Response-Spezialisten
  • Spezialisten der Cyberversicherung

Hintergrund RPO, RTO, CDP, BCM

Viel Wirbel um die Abkürzungen einer Branche

Eine wichtige Kenngröße, die beim Disaster Recovery bemüht wird, ist der „Recovery Point Objective“ (RPO), der die Frage widerspiegelt, wie viel Datenverlust in Kauf genommen werden kann. Es liegt in der Natur der Backup-Technologie, dass RPO letztlich der Zeitraum ist, der zwischen zwei Datensicherungen liegen darf, da diese Zeit bestimmt, wie viele Daten oder Transaktionen verloren gehen, wenn der vielzitierte Komet in das Datacenter einschlägt.

Wenn für den Betrieb kein Datenverlust hinnehmbar ist, beträgt die RPO null Sekunden, wie beispielsweise beim elektronischen Geldverkehr. Hier ist von so genannter „Continuous Data Protection“ (CDP) die Rede, beziehungsweise in anderem Kontext von „Realtime Backup“.

Die Kennzahl „Recovery Time Objective“ (RTO) ist artverwandt und beschäftigt sich mit der Frage, wie viel Zeit ab dem katastrophenbedingten Ausfall der Systeme bis zu ihrer Wiederinbetriebnahme vergehen darf. Die Bandbreite reicht hier von (mehr oder weniger fiktiven) null Minuten, bei denen der Geschäftsbetrieb, egal was kommt, nicht abbrechen darf, bis bin zu mehreren Wochen. Bei sehr niedrigen RTO-Werten geht nicht um die Wiederherstellung, sondern darum, unterbrechungsfreie Geschäftsabläufe als Maßstab anzusetzen. In diesem Fall ist dann eher von „Business Continuity Management“ (BCM) die Rede.

Die Maximalforderung an IT-Verantwortliche sind folgerichtig Vorstellungen wie „RPO 0“, „RTO 0“, also „Continuous Data Protection“ und vollumfängliche „Business Continuity“. Vor diesem Hintergrund gilt der alte Spruch „Ein Kompromiss ist dann vollkommen, wenn alle unzufrieden sind.“

Spiegelung ist kein Backup

Ein jahrzehntealtes Missverständnis besagt, dass Festplattenspiegelung als Backup ausreicht. Diesen Irrglauben kommentiert Heuer: „Selbst in Bezug auf traditionelle On-Premise Backups würde eine reine Festplattenspiegelung nicht der 3-2-1 Regel entsprechen, da logische Fehler automatisch auf beiden verfügbaren Festplatten repliziert werden würden.“ Darunter fallen:

  • versehentliche Löschung,
  • Malware und
  • Ransomware.

Festplattenspiegelung ist demnach ausschließlich für Hochverfügbarkeit und Redundanz innerhalb der Produktion gedacht und ersetzt kein Backup.

Cloud-to-Cloud-Backup

„Keepit spezialisiert sich auf die Sicherung von SaaS-Daten als Cloud-to-Cloud-Backup-Anbieter“, betont der Security-Profi. Bei der Sicherung von Cloud-Daten reiche eine reine Kopie der Daten in On-Premise Systemen nicht aus. Vielmehr müssen hier hochfrequente und granulare Sicherungen und Rücksicherungen möglich sein, welche unmittelbar wieder in dem Cloud-Produktiv-System nutzbar gemacht werden. „Daten- und Geo-Redundanz in hocherreichbaren Infrastrukturen ist über eine reine Spiegelung nicht möglich“, so Heuer. Keepit betreibt vor diesem Hintergrund in einer Rechenzentrumsregion zwei physisch-getrennte Rechenzentren, welche jeden Datensatz doppelt sichern. „Somit sind über zwei geographische Instanzen insgesamt vier hoch-verfügbare Backup-Kopien zur sofortigen Wiederherstellung bereit“, sagt der Backup-Fachmann. Eine reine Festplatten-Spiegelung würde der Komplexität von SaaS-Lösungen nicht gerecht werden und ein Business-Continuity- und Disaster-Recovery-Plan wäre nicht umsetzbar.

Hintergrund

Phishing, Vishing, Smishing, Spoofing

Phishing bezeichnet Betrugsversuche über E‑Mails oder gefälschte Websites, mit dem Ziel, vertrauliche Informationen wie Passwörter oder Zahlungsdaten zu erbeuten.

Vishing ist Phishing per Telefon oder Internettelefonie: Anrufer geben sich als Support, Bank oder Behörde aus, um sensible Angaben oder einen Fernzugriff zu erhalten.

Smishing ist Phishing per Kurznachricht (SMS, Short Message Service) oder Messenger. Links oder Aufforderungen in der Nachricht sollen zu unbedachten Handlungen verleiten.

Spoofing bedeutet das Vortäuschen einer falschen Identität, etwa durch gefälschte Absenderadressen oder manipulierte, scheinbar vertrauenswürdige Rufnummern.

Angreifer zielen zuerst auf Backups

Backups sind als letzte Bastion der Cybersecurity natürlich im Fokus von Angreifern, weiß der Manager. Aufgrund dessen habe sich Keepit von Anfang an dazu entschieden auf proprietäre Systeme und eigens gehostete Cloud-Infrastrukturen zu setzen. Die Isolation des Backups von den Produktionssystemen und die unveränderliche Sicherung der Daten hat zur Folge, dass selbst wenn ein Angreifer Zugriff auf eine Backup-Instanz eines Kunden hätte, hier kein Schaden im Sinne einer Löschung oder Veränderung der Daten entstehen könnte.

Schwachstelle „Identity-Access-Management Systeme“

Ein größerer Zuwachs auf Angriffe sei jedoch im Bereich der Identity-Access-Management Systeme zu verzeichnen. „Das Infiltrieren oder Kompromittieren solcher Systeme hat oftmals einen Totalausfall der IT des Unternehmens zur Folge“, weiß der IT-Profi. Hier könne man auch noch die größte Lücke in der Backup-Infrastruktur sehen. Es sei davon auszugehen, dass lediglich einstellige Prozentwerte der Summe der Unternehmen eine Sicherung von solchen Systemen in der Cloud vornimmt.

Kommentar

Theorie und Praxis zusammenführen

Es soll schon vorgekommen sein, dass IT-Verantwortliche erst einmal schlagartig arbeitsunfähig wurden, als der Tag X kam und alle guten Pläne versagten. Denn auf dem Reißbrett lässt sich Backup & Disaster Recovery leicht planen. Aber wenn Ransomware zuschlägt, zählen saubere Datenwiederherstellung, die richtige Boot-Reihenfolge der Produktivsysteme, klare Zuständigkeiten und belastbare Runbooks. In der Hitze des Moments kommt oft etwas anderes heraus, als in der Dokumentation steht – das ist der Unterschied zwischen Theorie und Praxis. Deshalb: regelmäßig proben, unter Realbedingungen testen und die Abläufe scharfziehen. Nur wer übt, kann im Ernstfall schnell wieder produktiv werden.

(ID:50630130)

Weiterführende Inhalte

Jobs