Mobile-Menu

Kein Backup – kein Mitleid Indirect Prompt Injection bringt KI-Agenten auf Abwege

Von Dr. Stefan Riedl 11 min Lesedauer

Anbieter zum Thema

Cohesity GmbH
WatchGuard Technologies GmbH
Impossible Cloud GmbH
XOPERO SOFTWARE S.A.

Bei Cohesity hat man die Entwicklungen in Sachen Backup & Disaster Recovery genau im Blick. Gegenwärtig spielen neue Herangehensweisen der Ransomware-Erpresser eine Rolle – seien es neue KI-basierte Methoden oder das Credo „Exfiltration statt Verschlüsselung“.

Mittels Indirect Prompt Injection bringen Hacker KI-Agenten unter ihre Kontrolle.(Bild: Midjourney / KI-generiert)
Mittels Indirect Prompt Injection bringen Hacker KI-Agenten unter ihre Kontrolle.
(Bild: Midjourney / KI-generiert)

Hacker suchen Angriffspunkte – auch Ransomware-Erpresser. Beginnend mit der KI-Ära ergeben sich neue Möglichkeiten für die Bösewichte, die so gerne in einem Kapuzenpulli verbildlicht werden. Christoph Linden, Field Technical Director bei Cohesity, weiß, dass Cybercrime dieser Tage noch gefährlicher wird, „weil KI-basierte Angriffe und neue Lieferketten Angreifern zusätzliche Werkzeuge an die Hand geben“. Besonders kritisch seien Angriffe wie „Indirect Prompt Injection“, bei denen KI-Agenten durch manipulierte Inhalte dazu gebracht werden, Aktionen im Auftrag eines Angreifers auszuführen.

Hintergrund

Was ist „Indirect Prompt Injection“?

Bei „Indirect Prompt Injection“ schleusen Angreifer versteckte Anweisungen in scheinbar harmlose externe Inhalte ein – etwa Webseiten, PDFs oder Datenbanken –, die ein KI-Agent zur Aufgabenerfüllung abruft. Weil der Agent geladene Inhalte oft als vertrauenswürdig behandelt und seine Instruktionsfolgelogik auf Text basiert, können diese eingebetteten „Prompts” seine ursprünglichen Vorgaben überschreiben. So führt der Agent ungewollte Aktionen aus, etwa das Preisgeben sensibler Daten oder das Ansteuern schädlicher Dienste, und handelt damit im Sinne der Angreifer. Das Problem entsteht durch die Vermischung von Daten und Steueranweisungen sowie durch zu weitreichende Berechtigungen der Tools, auf die der Agent zugreifen darf.

Den Beobachtungen von Linden zufolge wird die Infrastruktur rund um KI oft viel zu schnell erstellt, weshalb sie tendenziell unsicher sein kann. Das zeige auch der Fall Filevine, bei dem über 100.000 vertrauliche Dokumente öffentlich wurden. Es ist häufig so, dass bei neuen Technologien grundlegende Aspekte, die Basics, fehlen, die dann später mühsam ergänzt werden müssen. Der „Filevine‑Hack“ war letztlich eine API‑Fehlkonfiguration: Ein öffentlich erreichbarer Endpunkt gab ohne Authentifizierung ein Admin‑Token für die Dokumentenablage (Box) aus, wodurch potenziell vertrauliche Rechtsdokumente zugänglich waren.

Hintergrund

Phishing, Vishing, Smishing, Spoofing

Phishing bezeichnet Betrugsversuche über E‑Mails oder gefälschte Websites, mit dem Ziel, vertrauliche Informationen wie Passwörter oder Zahlungsdaten zu erbeuten.

Vishing ist Phishing per Telefon oder Internettelefonie: Anrufer geben sich als Support, Bank oder Behörde aus, um sensible Angaben oder einen Fernzugriff zu erhalten.

Smishing ist Phishing per Kurznachricht (SMS, Short Message Service) oder Messenger. Links oder Aufforderungen in der Nachricht sollen zu unbedachten Handlungen verleiten.

Spoofing bedeutet das Vortäuschen einer falschen Identität, etwa durch gefälschte Absenderadressen oder manipulierte, scheinbar vertrauenswürdige Rufnummern.

Auch IoT- und Edge-Geräte im Fokus

Christoph Linden, Field Technical Director, Cohesity(Bild: Cohesity)
Christoph Linden, Field Technical Director, Cohesity
(Bild: Cohesity)

Allgemein gesprochen wurden Ransomware-Angriffe in den vergangenen Monaten immer professioneller. „Dabei werden zunehmend IoT- und Edge-Geräte systematisch angegriffen, weil sie oft schlecht abgesichert sind“, weiß Linden. Staatlich unterstützte Gruppen setzen seiner Einschätzung nach verstärkt auf Zero-Day-Exploits und bleiben lange unentdeckt. Hinzu komme die Cybercrime-Supply-Chain: „Angriffe lassen sich heute wie ein kompletter Service einkaufen.“ Darüber hinaus sei die Geschwindigkeit extrem gestiegen. Malware breitet sich demnach inzwischen in Sekunden aus, während die durchschnittliche Wiederherstellungszeit nach einem Datenvorfall über 100 Tage beträgt. Besonders problematisch ist laut dem Field Technical Director dabei, dass gezielt Backup-Infrastrukturen mit fortschrittlichen Techniken attackiert werden, die sich nur schwer erkennen lassen. Insgesamt – so sein Fazit – stünden Unternehmen Bedrohungen gegenüber, die immer schneller und raffinierter werden.

Besonders kritisch sind Angriffe wie ‚Indirect Prompt Injection‘, bei denen KI-Agenten durch manipulierte Inhalte dazu gebracht werden, Aktionen im Auftrag eines Angreifers auszuführen.

Christoph Linden, Field Technical Director, Cohesity

Backup als Angriffsziel

Ohne Backups kein Restore – das führt zur These „Angreifer zielen zuerst auf Backups“. Linden stimmt diesem Credo zu: „Ja, das tun sie – und das sehr konsequent.“ Der Cohesity-Mitarbeiter erläutert: „Viele Angreifer zielen heute auf die Backup-Infrastruktur, weil sie wissen, dass Unternehmen ohne funktionierendes Backup kaum handlungsfähig sind.“ Dabei nutzen sie seiner Einschätzung nach oft gestohlene Zugangsdaten aus dem normalen Betrieb, nicht nur Admin-Accounts. Parallel beobachtet man bei Cohesity immer mehr Angriffe, bei denen Daten gar nicht mehr verschlüsselt, sondern direkt exfiltriert werden, dann hilft selbst das beste Backup nicht weiter.

Hintergrund

Das Shared-Responsibility-Modell

Das Shared-Responsibility-Modell besagt: Der Cloud-Anbieter schützt die Cloud (Infrastruktur, Betrieb), der Kunde schützt, was er in der Cloud nutzt (Identitäten, Daten, Konfigurationen). Je nach Servicemodell verschiebt sich die Grenze; bei SaaS bleibt der Schutz der Daten beim Kunden. Beispiel Microsoft 365: Microsoft betreibt und sichert die Dienste (Exchange, SharePoint, Teams), der Kunde verantwortet Tenant-Einstellungen, Zugriffe, Datenklassifizierung, Aufbewahrung und Wiederherstellbarkeit. M365 bietet Basisfunktionen (Versionierung, Retention), ersetzt aber kein frei steuerbares Backup – dafür ist der Kunde zuständig.

Ransomware-Trend: Sofortiges Exfiltrieren statt Verschlüsselung

Bei einem Ransomware-Angriff, bei dem Daten sofort exfiltriert und nicht verschlüsselt werden, zielen die Angreifer darauf ab, sensible Informationen zu stehlen, anstatt sie zu sperren. Dies ermöglicht ihnen, die gestohlenen Daten zu verkaufen oder mit deren Veröffentlichung zu drohen, um Druck auf das Opfer auszuüben. Diese Taktik erhöht das Risiko von Datenmissbrauch und erfordert von Unternehmen umfassende Sicherheitsmaßnahmen gegen beide Bedrohungen.

Die Grenzen der Immutability

Hinzu komme, dass selbst starke Schutzmechanismen wie Immutability (Unveränderlichkeit) Schwachstellen im zugrundeliegenden System nicht vollständig schließen können, so der Security-Profi: „Viele klassische Backup-Lösungen machen es Angreifern außerdem leicht, weil sie eng mit Windows- oder AD-Strukturen verbunden sind. Deshalb führt heute kein Weg an einem isolierten Cyber-Tresor vorbei, der Angreifern strukturell keinen Zugriff erlaubt.“

Hintergrund

Object Lock, WORM und S3-Speicher

S3‑Speicher steht für Amazon S3 (Simple Storage Service), einen Objektspeicher in der Cloud. Daten werden als „Objekte“ in „Buckets“ abgelegt, sind hochskalierbar und über Programmierschnittstellen abrufbar. Für Backups wichtig: optionale Versionierung, verschiedene Speicherklassen und Funktionen für Replikation und Lebenszyklusregeln.

Object Lock ist eine S3‑Funktion, die Objekte für eine festgelegte Aufbewahrungsfrist unveränderbar macht. Voraussetzung ist die Versionierung. Es gibt zwei Modi: Governance Mode (mit streng geregelten Admin-Ausnahmen) und Compliance Mode (absolut unveränderbar bis zum Fristende). Zusätzlich möglich: Legal Hold als Sperre ohne Frist. Ziel ist der Schutz vor Löschen oder Überschreiben – auch durch Fehler oder Angriffe.

WORM (Write Once, Read Many) beschreibt das Prinzip „einmal schreiben, beliebig oft lesen“: Daten sind nach dem Schreiben nicht mehr veränderbar oder löschbar. Das erhöht die Beweissicherheit und schützt Backups vor Manipulation, etwa durch Ransomware. In S3 lässt sich WORM‑Schutz praktisch über Object Lock plus Versionierung umsetzen.

Kurz gesagt: S3‑Speicher ist die Plattform, Object Lock liefert die Unveränderbarkeit, und WORM ist das dahinterstehende Schutzprinzip für manipulationssichere Backups.

Unveränderlichkeit verifizieren

Bei Cohesity setzt man in Sachen Unveränderlichkeit auf ein gehärtetes, mehrschichtiges Sicherheitskonzept, erläutert Linden, „denn ein unveränderlicher Speicher allein stoppt Ransomware nicht zu 100 Prozent – aber er erschwert Angreifern das Leben erheblich“. Die Grundlage ist demnach „ein wirklich unveränderliches Dateisystem, in dem keine Datenblöcke überschrieben werden können, sodass Originaldaten stets erhalten bleiben“. Zusätzlich setzt man darauf, alle Metadaten mit einem Datalock zu versehen, sodass weder Administratoren noch unser eigener Support etwas löschen können, und damit auch kein Angreifer. Kritische Aktionen werden darüber hinaus durch MFA und ein Vier-Augen-Quorum abgesichert, damit etwa Aufbewahrungsfristen nicht manipuliert werden können. „Unser gesamtes System ist so aufgebaut, dass es keinerlei administrative Betriebssystem-User gibt; der verbleibende Zugriff erfolgt ausschließlich über eine stark eingeschränkte Shell und Einmalpasswörter“, so der Manager. Am Ende können Nutzer demnach jederzeit selbst überprüfen, dass Daten tatsächlich nicht löschbar sind. Ganz einfach: „Wenn das System es verweigert, dann ist es auch wirklich unveränderlich.“

Wissen, was läuft

Täglich die wichtigsten Infos aus dem ITK-Markt

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Mit Erpressern verhandeln?

Ob man mit Ransomware-Erpressern verhandeln sollte, wenn es konkret wird, lässt sich aus der Sicht von Linden nicht pauschal beantworten. Der Manager wägt ab: „Abgesehen davon, dass es rechtliche Fragen gibt zu denen wir keine Antwort geben dürfen, muss zunächst klar sein, ob eine Daten-Wiederherstellung nach Bezahlung des Lösegelds überhaupt möglich ist und weitere Angriffe verhindert.“ Bei neuartigen Angriffen, bei denen ausschließlich Daten exfiltriert wurden und so Lösegeld erpresst werden soll, hilft ein Restore nicht, da die Daten bereits außer Haus sind. In solchen Situationen entstehe oft großer Handlungsdruck. Grundsätzlich gilt aber seiner Ansicht nach: Die Entscheidung hängt stark vom Szenario ab und ist alles andere als trivial.

Hintergrund RPO, RTO, CDP, BCM

Viel Wirbel um die Abkürzungen einer Branche

Eine wichtige Kenngröße, die beim Disaster Recovery bemüht wird, ist der „Recovery Point Objective“ (RPO), der die Frage widerspiegelt, wie viel Datenverlust in Kauf genommen werden kann. Es liegt in der Natur der Backup-Technologie, dass RPO letztlich der Zeitraum ist, der zwischen zwei Datensicherungen liegen darf, da diese Zeit bestimmt, wie viele Daten oder Transaktionen verloren gehen, wenn der vielzitierte Komet in das Datacenter einschlägt.

Wenn für den Betrieb kein Datenverlust hinnehmbar ist, beträgt die RPO null Sekunden, wie beispielsweise beim elektronischen Geldverkehr. Hier ist von so genannter „Continuous Data Protection“ (CDP) die Rede, beziehungsweise in anderem Kontext von „Realtime Backup“.

Die Kennzahl „Recovery Time Objective“ (RTO) ist artverwandt und beschäftigt sich mit der Frage, wie viel Zeit ab dem katastrophenbedingten Ausfall der Systeme bis zu ihrer Wiederinbetriebnahme vergehen darf. Die Bandbreite reicht hier von (mehr oder weniger fiktiven) null Minuten, bei denen der Geschäftsbetrieb, egal was kommt, nicht abbrechen darf, bis bin zu mehreren Wochen. Bei sehr niedrigen RTO-Werten geht nicht um die Wiederherstellung, sondern darum, unterbrechungsfreie Geschäftsabläufe als Maßstab anzusetzen. In diesem Fall ist dann eher von „Business Continuity Management“ (BCM) die Rede.

Die Maximalforderung an IT-Verantwortliche sind folgerichtig Vorstellungen wie „RPO 0“, „RTO 0“, also „Continuous Data Protection“ und vollumfängliche „Business Continuity“. Vor diesem Hintergrund gilt der alte Spruch „Ein Kompromiss ist dann vollkommen, wenn alle unzufrieden sind.“

Der Weg zum Cyber-Tresor

Bei Cohesity beobachtet man grundsätzlich folgende Trends für Backup und Disaster Recovery, führt der Manager aus: „Backup-Infrastrukturen müssen heute so gebaut sein, dass ein Angreifer strukturell keinen Zugriff auf die Plattform beziehungsweise Daten bekommen kann.“ Ein einfacher, unveränderlicher Speicher reiche nicht mehr, denn er schütze nicht gegen Angriffe auf Kernel- oder Systemebene. Ein echter Cyber-Tresor sei daher essenziell. „Gleichzeitig beschleunigen direkt im Tresor integrierte Analysefunktionen, wie wir sie mit FortKnox oder DataHawk bereitstellen, die gesamte Ransomware-Response enorm“, so der Field Technical Director. Auch polymorphe Ransomware stelle die Branche vor neue Herausforderungen. „Deshalb integrieren wir beispielsweise Sophos-Technologien, um auch bei ständig wechselnden Schadcode-Varianten zuverlässig scannen und suchen zu können“, sagt Linden.

Hintergrund

Was ist ein Air Gap?

Ein Air Gap ist die Trennung zwischen Sicherungen und dem Produktionsnetz, sodass Backups nicht dauerhaft erreichbar sind. Dadurch bleiben sie auch bei Malware-Befall, kompromittierten Konten oder Fehlbedienung vor Manipulation und Löschung geschützt.

Physisches Air Gap: Die Backups sind tatsächlich offline und vom Netz getrennt; es gibt keine permanente Verbindung. Typische Beispiele sind Bandmedien, abgesteckte oder ausgeschaltete Wechselfestplatten und Offsite-Lagerung. Zugriff erfolgt nur gezielt während kurzer Sicherungs- oder Wiederherstellungsfenster.

Logisches Air Gap: Die Backups bleiben technisch erreichbar, sind aber durch strikte logische Barrieren geschützt. Dazu gehören getrennte Identitäten und Netzsegmente, isolierte Backup-Vaults sowie unveränderlicher Speicher, die Änderungen zeitlich oder grundsätzlich verhindern.

Air Gaps halten Ransomware-Monster fern

„Cohesity unterstützt logische Air Gaps als SaaS-Angebot oder OnPrem-Lösung“, so der Manager. Die Daten sind seinen Ausführungen nach dabei vollständig vom Kundensystem getrennt, sowohl im Netzwerk als auch in der Administration. Der Kunde selbst habe keinen Zugriff. Es existiere kein einziger offener Port ins Air Gap hinein. „Damit ist auch für Angreifer der Zugriff praktisch ausgeschlossen“, so Linden. Physische Air Gaps über Tape seien weiterhin möglich, würden aber deutlich längere Wiederherstellungszeiten bedeuten und die Analyse erschweren, weil Daten erst wiederhergestellt werden müssen, bevor man sie prüfen kann.

Hintergrund

Die 3-2-1-, die 6-4-2- und die 3-2-1-1-0-Backup-Strategie

Die 3-2-1-Backup-Regel schützt davor, wenn man statt dem sprichwörtlichen „Glück im Unglück“ einmal „Pech im Unglück“ haben sollte: Drei Daten­kopien auf zwei Medien und ein externes Backup: Das ist der Kern des 3-2-1-Prinzips.

Insbesondere Cloud-Speicher hilft hier, indem ein weiteres Speichermedium sowie der externe Charakter eine Kopie gewährleistet werden können.

Angenommen, die Ausfallwahrscheinlichkeit für ­eine Sicherungskopie beträgt 1/ 100, sinkt die Wahrscheinlichkeit bei zwei eingesetzten Systemen ­bereits auf: 1/ 100 * 1/ 100 = 1/ 10.000. Kommt ein weiteres Backup auf einem dritten System hinzu, bedeutet dies, dass die Wahrscheinlichkeit eines gleichzeitigen Ausfalls aller drei Geräte auf 1/ 1.000.000 abnimmt.

Geprägt wurde das Konzept, das mitunter als „goldene Regel der Datensicherung“ ­bezeichnet wird, vom Fotografen Peter Krogh. Die Zahl der zu erstellenden Kopien, verwendeten Speichermedien und Offsite-Standorte, an denen Backups aufbewahrt werden, lässt sich nach oben variieren. So kann aus 3-2-1 auch beispielsweise 6-4-2 werden, das das Datenverlustrisiko enorm reduziert.

Die „3-2-1-1-0-Backup-Strategie“ erweitert den Klassiker „3-2-1-Regel“ und zwar folgendermaßen: drei Kopien der Daten auf zwei verschiedenen Medien gespeichert und eine Kopie extern gelagert. Außerdem soll eine Kopie schreibgeschützt oder unveränderlich gespeichert werden, und zu guter Letzt: Null Fehler bei der Wiederherstellung sollen durch regelmäßige Tests garantiert werden können, um Daten im Ernstfall tatsächlich planmäßig wiederherstellen zu können.

Budgets steigen nicht

Die Budgets für klassische Backup-Lösungen steigen derzeit nicht, sagt Linden – „im Gegenteil“: Backup sei inzwischen Commodity, und die Ausgaben dafür würden eher nach unten tendieren. „Was wir beobachten, ist, dass sich Investitionen nur dann rechtfertigen lassen, wenn sie über reines Backup hinausgehen und ein belastbares Konzept für Cyberresilienz bieten“, so der Security-Experte. Erst Themen wie NIS2 und die persönliche Haftung der Geschäftsführung rücken ihm zufolge die Frage „Wie überlebt mein Unternehmen einen Cyberangriff?‘“ wieder in den Fokus. Ein tragfähiges Konzept für Cyberresilienz schaffe dann auch echten Business-Mehrwert.

Kommentar

Theorie und Praxis zusammenführen

Es soll schon vorgekommen sein, dass IT-Verantwortliche erst einmal schlagartig arbeitsunfähig wurden, als der Tag X kam und alle guten Pläne versagten. Denn auf dem Reißbrett lässt sich Backup & Disaster Recovery leicht planen. Aber wenn Ransomware zuschlägt, zählen saubere Datenwiederherstellung, die richtige Boot-Reihenfolge der Produktivsysteme, klare Zuständigkeiten und belastbare Runbooks. In der Hitze des Moments kommt oft etwas anderes heraus, als in der Dokumentation steht – das ist der Unterschied zwischen Theorie und Praxis. Deshalb: regelmäßig proben, unter Realbedingungen testen und die Abläufe scharfziehen. Nur wer übt, kann im Ernstfall schnell wieder produktiv werden.

(ID:50659020)

Weiterführende Inhalte

Jobs