Channel Fokus: Backup & Disaster Recovery Kein Backup – kein Mitleid

Anbieter zum Thema

Keepit Germany GmbH c/o Bird&Bird LLP

Datto, A Kaseya Company

Rubrik Europe

arcserve

Veeam Software

mehr weniger

Commvault Systems GmbH

Impossible Cloud GmbH

XOPERO SOFTWARE S.A.

weniger

Die Ransomware-Problematik beschert der Branche rund um Backup und Disaster Recovery Jahr für Jahr sehr gute Umsätze. Denn wer einen Stillstand des Geschäftsbetriebes monetär einpreist, hat freiwillig und schnell ein passables Budget für derlei Lösungen auf dem Tableau.

Ein jiddisches Sprichwort lautet: „Der Mensch denkt, Gott lacht.“ Es erinnert daran, dass menschliche Pläne leicht durch Unvorhergesehenes durchkreuzt werden können. Es ist keine Absage an Planung, sondern mehr ein Hinweis auf Demut gegenüber Unsicherheit. Zu den großen Unsicherheitsfaktoren, die Unternehmen „an einem ganz normalen Donnerstag“ aus dem Spiel nehmen können, zählt Ransomware – und es ist fast schon eine Binse, dass es jede Firma treffen kann, egal, wie gut sie sich schützt. Umso wichtiger ist es, darauf vorbereitet zu sein, sich von dem Schlag ins Kontor wieder zu erholen. Doch wie sieht gute Vorbereitung auf den Tag X aus?

Testen ist Pflicht

Wenn es in diesem Zusammenhang eine zentrale Botschaft gibt, dann lautet diese für Michael Hon-Mong, Country Manager DACH bei Kaseya, folgendermaßen: „Ein Backup ist erst dann getestet, wenn es erfolgreich wiederhergestellt wurde.“ Er bezieht sich auf aktuelle Studien aus seinem Unternehmen. Danach glauben zwar mehr als 60 Prozent der Unternehmen, dass sie innerhalb eines Tages alles wiederherstellen können – tatsächlich schaffen das aber nur 35 Prozent. Regelmäßige, automatisierte Disaster-­Recovery-Tests sind der effektivste Weg, diese Lücke zwischen Erwartung und Realität zu schließen. Hon-Mong nennt ein Beispiel aus der Praxis: Ein Unternehmen aus der Fertigungsindustrie führt seit einiger Zeit regelmäßige, automatisierte Disaster-Recovery-Tests über die Kaseya-Umgebung durch. Bei einem dieser Tests wurde festgestellt, dass ein Schritt im Wiederherstellungsablauf nicht wie vorgesehen funktionierte. Im Ernstfall hätte dies einen langen Stillstand zur Folge haben können. Das IT-Team konnte den Fehler auf dieser Grundlage beheben und den Prozess anpassen. Einige Monate später brach „Tag X“ über das Unternehmen ein – es wurde tatsächlich Ziel eines Ransomware-Angriffs. „Das Team konnte die Umgebung innerhalb weniger Stunden wieder hochfahren, ohne auf Lösegeld­forderungen einzugehen“, so der Manager. Der Vorfall mache deutlich, wie wichtig Vorbereitung und Überprüfungen der Wiederherstellungsprozesse sind, insbesondere in einer Produktionsumgebung.

Auch Erpresser sind Profis

Auch Ransomware-Erpresser agieren professionell. Sie werden ihren Opfern mit gut klingenden Gründen daherkommen, warum es nun zu verhandeln gilt. „Ein situativer Handlungsbedarf entsteht daraus, dass die IT im Schnitt 24 Tage benötigt, um den Betrieb nach einer Attacke wiederherzustellen“, sagt Christian Kubik, Manager Field Advisory Services Team EMEAI bei Commvault. Für kleine und mittelgroße Firmen kann dies die Insolvenz bedeuten, für große Firmen Millionenschäden. Ein Lösegeld kann da verlockend niedrig erscheinen. Doch Kubik rät davon ab, zu verhandeln, denn jedem Entscheider sollten die Folgen klar sein: „Niemand garantiert den wiederhergestellten Datenzugriff. Die Verschlüsselungstrojaner sind darauf getrimmt, so schnell wie möglich Daten zu kapern – und nicht darauf, Daten fehlerfrei zurückzuspielen.“ Wer bezahlt, bewirbt sich zudem für den Folgeangriff durch die einmal erprobte Hintertür, bringt es der Manager auf den Punkt. Zudem könne kein Lösegeld rückgängig machen, dass Daten nicht eh schon kopiert und monetarisiert wurden.

Gefahr der Unterstützung terroristischer Vereinigungen

Hinzu kommen rechtliche Implikationen. Eine Zahlung könnte als Unterstützung terroristischer Vereinigungen gewertet werden. Auch wenn die juristischen Umstände komplex sind, eine professionelle Rechtsberatung deshalb erfolgen muss und nicht immer eine Straftat vorliegt: Wer Lösegelder zahlt, hat in diesen Streitfragen nicht automatisch Recht.

Double-Extortion-Attacke

Frank Schwaak, Field CTO bei Rubrik, bringt einen weiteren Aspekt in die Abwägung und kommt in der Verhandlungsfrage zum Schluss: „Das kommt auf die Situation an. Bei klassischen Angriffen, die auf Datenverschlüsselung abzielen, sollte kein Lösegeld gezahlt werden – vorausgesetzt, es gibt funktionierende Backups.

Anders sieht es bei modernen Double-Extortion-Attacken aus, bei denen Angreifer drohen, gestohlene Daten zusätzlich zu veröffentlichen.“ Denn gegen das Risiko der Datenpublikation helfen selbst perfekte Backups nicht. In solchen Fällen könne eine Verhandlung durch Spezialisten manchmal der pragmatische Weg sein – besonders, wenn sensible Daten betroffen sind. Entscheidend sind laut Schwaak letztlich Investitionen in Prävention mit Datenverschlüsselung, Exfiltrationserkennung und einer durchdachten Incident-­Response-Strategie, um gar nicht erst in diese Zwangslage zu geraten.

Das Backup ist das Angriffsziel

Auf eines darf man gefasst sein: Die Angreifer zielen zuallererst auf das Backup. Sebastian Lacour, Senior Manager Channels Germany bei Veeam Software, erklärt die Logik dahinter: „Was bringen Ihnen als Angreifer die verschlüsselten Daten, wenn der Angegriffene seine Daten innerhalb weniger Augenblicke wieder zur Verfügung hat?“ Daher müssen die Angreifer zuerst dafür sorgen, dass die Opfer vollkommen handlungsunfähig werden, um dann in die Erpressung zu gehen. „Air Gap oder Immutable Backups sollten zum Standard gehören. Denn oftmals ist es gar nicht mal der Angreifer von außen, sondern der menschliche Fehler im Inneren, der zu Datenverlust führt“, so Lacour. Ein solides Backup nach dem 3-2-1-1-0-Prinzip (siehe Kasten) bietet alles, um ein Ass im Ärmel zu haben, wenn etwas passiert ist.

Air Gaps sind das Mittel der Wahl

Air Gaps (siehe Kasten) gibt es in verschiedenen Ausführungen. Steve Butterfield, Vice President Sales Engineering EMEA bei Arcserve, erläutert, wie das Thema in seinem Hause angegangen wird: „Wir unterstützen physische Air-Gaps seit vielen Jahren durch Technologien wie Tape, aber der Trade-off bei den RTOs ist erheblich.“ Hintergrund: Die Kennzahl „Recovery Time Objective“, kurz RTO, zeigt auf, wie viel Zeit ab dem Ausfall der Systeme bis zu ihrer Wiederinbetriebnahme vergeht. Die Bandbreite reicht hier von (mehr oder weniger fiktiven) null Minuten, bei denen der Geschäftsbetrieb – egal, was kommt – nicht abbrechen darf, bis hin zu mehreren Wochen. Bei sehr niedrigen RTO-Werten geht es nicht um die Wiederherstellung, sondern darum, unterbrechungsfreie Geschäftsabläufe als Maßstab anzusetzen. In diesem Fall ist dann eher von „Business Continuity Management“, kurz BCM, die Rede – alles eine Kostenfrage. „Viele Organisationen sagen mir offen, dass sie die Ausfallzeiten für eine vollständige Tape-Wiederherstellung nicht überleben würden“, verrät Butterfield. Daher ist der verlässlichste Weg ein sicherer, logischer Air-Gap in Kombination mit Unveränderlichkeit – die Isolation der Daten von Angreifern, ohne die Wiederherstellungsgeschwindigkeit zu opfern. Dieser Ansatz biete echte Resilienz: starken Schutz mit RTOs, die das Unternehmen realistisch tolerieren kann.

Das Prinzip der Unveränderlichkeit

Wie man die von den Umständen und der Natur von Ransomware-Angriffen geforderte Unveränderlichkeit der Backup-Daten implementieren und sie auch verifizieren kann, erläutert Michael Heuer, Area VP DACH bei Keepit. Das Prinzip der Unveränderlichkeit („Immutability“) erfordert demnach einen mehrschichtigen Sicherheitsansatz. „Sobald Daten in die Keepit-Cloud übertragen werden, werden sie verschlüsselt, versioniert und in einer objektbasierten Speicherarchitektur abgelegt, die standardmäßig keine nachträglichen Änderungen oder Löschungen zulässt“, so Heuer. Weder Anwender noch Administratoren oder Angreifer können Daten nach dem Schreiben manipulieren. Dadurch entstehe ein sogenannter „logical air gap“ – die Backups liegen hierbei vollständig getrennt von der Produktionsumgebung und sind über keine offenen Schnittstellen (APIs) zugänglich. Zusätzlich schützt eine Löschsperre („Delete Lock“) von 30 Tagen davor, dass kompromittierte Accounts Datensätze sofort entfernen können. Alle Daten werden hierbei redundant in zwei geografisch getrennten Rechenzentren gespeichert.

Die Vorzüge des Merkle-Trees

Ein zentrales technisches Element dieser Architektur ist der Einsatz eines Merkle-Trees (auch als Hash-Baum bekannt). Dabei wird jeder Datenblock mit einem kryptografischen Hash-Wert versehen. „Diese Hashes werden in einer hierarchischen Struktur zusammengefasst: Mehrere Datenblöcke ergeben einen ‚Zweig‘-Hash, mehrere Zweige wiederum einen ‚Wurzel‘-Hash, auch ‚Root Hash‘“, führt der Manager aus. Dieser Root Hash repräsentiere den gesamten Datenzustand eindeutig – das heißt, schon eine minimale Änderung an einem einzelnen Block würde den Hash-Wert des gesamten Baums verändern und damit sofort auffallen. So lässt sich die Datenintegrität herstellen, jederzeit nachprüfen und beweisen – und man schlägt mehrere Fliegen mit einer Klappe: Ransomware-Angriffe sowie interne Manipulation durch den viel zitierten „böswilligen Mitarbeiter“ gehen ins Leere. Und man wird bei archivierungspflichtigen Daten auch den Compliance-Anforderungen im Hinblick auf die Datenschutz-Grundverordnung gerecht.

Die omnipräsente Gefahr

Ransomware kann jeden treffen – die Frage ist nur, wann. Daher dürfen Kunden von IT-Dienstleistern, die den Sinn hinter Strategien zur Wiederherstellung der Produktivsysteme nicht einsehen, ruhig an den Spruch erinnert werden: „Kein Backup – kein Mitleid!“

(ID:50620591)