Kein Backup – kein Mitleid Ransomware: KI hilft gleichermaßen den Guten wie den Bösen

Anbieter zum Thema

Commvault Systems GmbH

WatchGuard Technologies GmbH

Impossible Cloud GmbH

XOPERO SOFTWARE S.A.

Es sind bewegte Zeiten, in der die Künstliche Intelligenz erwacht. Auch in Sachen Backup und Disaster Recovery ist die Dynamik groß. Doch nicht nur die Angreifer nutzen neue Möglichkeiten der KI, sondern auch die Verteidiger der IT-Systeme.

Eines steht fest: Nach einem Angriff oder Ausfall ist es essenziell, saubere Datensätze wiederherstellen zu können. Anderenfalls riskieren Unternehmen, ihre Umgebungen erneut mit kompromittierten Daten und Malware zu infizieren. „Nichts ist schlimmer als kurz vor Abschluss der gesamten Cyber-Recovery, aus Versehen ein infiziertes System wiederherzustellen, welches die komplette neue Produktion erneut befällt“, sagt Christian Kubik, Manager Field Advisory Services Team EMEAI bei Commvault. Wichtig sei es daher, Daten sauber, vollständig und automatisiert wiederherstellen zu können – auch und gerade im Ernstfall. So viel zu den Kernaufgaben von Backup- und Disaster-Recovery-Systemen – unabhängig von aktuellen technischen Einflüssen.

KI ist ein Gamechanger

Künstliche Intelligenz gibt den Hackern und Erpressern neue Möglichkeiten an die Hand, beispielsweise beim „Vishing“. Die Zeiten ändern sich schnell, wie eigentlich immer in der IT, aber durch KI kam nochmal ein neues Maß an Dynamik in die Branche.

Verdächtige Dateien identifizieren

Doch Künstliche Intelligenz hilft auch den „Guten“, um verdächtige Dateien zu identifizieren, zu analysieren und unter Quarantäne zu stellen, weiß Kubik und spricht von „intellektueller Nachhilfe auch für das Backup“. Das System kann dabei erkennen, welche Dateien erst vor kurzem verschlüsselt wurden und sucht nach neuen oder spezifischen Indikatoren für eine Kompromittierung (Indicators of Compromise – IoC). Die KI erkennt dann schadhafte Verschlüsselungen von Dateien im Zeitverlauf und sieht die Erpresser schon im Vorfeld kommen, beziehungsweise hilft dabei derlei Szenarien zu verhindern.

Der Backup-Spagat

Ebenso wichtig sei der gelungene Spagat einerseits zwischen der Sicherheit, möglicherweise auf Wochen alte Backups zurückzugreifen und andererseits der Gefahr aktuelle, aber kompromittierte Sicherungen wiederherzustellen. „KI hilft hier Bedrohungen automatisch zu erkennen und sie während der Wiederherstellung gezielt zu entfernen, während die eigentlichen Daten erhalten bleiben: Bestmöglich vollständig, bestmöglich sauber, bestmöglich schnell“, so der Manager.

Übung macht den Meister

Ebenso wichtig sei es, schon in stillen Zeiten regelmäßig die Wiederherstellung zu üben. „Cyberresilienz ist Trainingssache und Training findet im Vorfeld statt“, so Kubik. Gerade ein Ansatz wie die Minimum Viable Company baue darauf auf, sich im Vorfeld Gedanken zu machen, wo man in der IT mit der Recovery im Ernstfall anfangen will und muss.

Ransomware-Problematik beschleunigt sich

Leider habe sich die Ransomware-Problematik im negativen Sinne beschleunigt, so der Security-Profi. Erpresserische Angriffe seien nicht nur mehr geworden – die KI habe sie auch intelligenter gemacht. Das BSI habe zudem in seinem Lagebericht 2025 die geopolitischen Entwicklungen als einen der antreibenden Faktoren benannt.

Aufgeschlaute Angreifer

Außerdem werden die Angriffe immer ausgefeilter: „Technisch kompetente Akteure avisieren die Verwaltung von digitalen Identitäten, denn das Eskalieren von Rechten ist das Handwerkszeug für weiterreichende komplexe Angriffe“, so der Commvault-Manager. Im Visier seien vor allem die Backups: „Laut Sophos wollen 94 Prozent der Ransomware-Angreifer die Backups kompromittieren“, so Kubik. Mit dieser Dynamik wachse die Bedeutung der Aufgabe, Daten, Anwendungen und Systeme zu sichern, zu schützen und im Ernstfall schnell, zuverlässig und sauber wiederherzustellen.

Die Verhandlungsfrage

Sollte man mit Ransomware-Erpressern verhandeln? Kubik findet, dass sich die IT-Verantwortlichen besser mit anderen Dingen beschäftigen sollten und fragt: „Denn warum geraten Unternehmen und Behörden unter Druck, dass sie sich diese Fragen überhaupt stellen müssen?“ Ein situativer Handlungsbedarf entstehe seiner Ansicht nach daraus, dass die IT im Schnitt 24 Tage benötigt, um den Betrieb nach einer Attacke wiederherzustellen. „Für kleine und mittelgroße Firmen kann dies die Insolvenz bedeuten, für große Firmen Millionenschäden“, sagt der Manager. Derart in die Enge getrieben, erscheine es vielen Unternehmen sehr verlockend zu sein, den Erpressern nachzugeben. Vor allem dann, wenn ein Lösegeld in der Situation verlockend niedrig erscheint.

Es gibt keine echte Gaunerehre

„Aber jedem Entscheider sollten die Folgen klar sein. Niemand garantiert den wiederhergestellten Datenzugriff. Die Verschlüsselungstrojaner sind darauf getrimmt, so schnell wie möglich Daten zu kapern – und nicht darauf, Daten fehlerfrei zurückzuspielen“, so Kubik. Wer bezahlt, bewirbt sich zudem für den Folgeangriff durch die einmal erprobte Hintertür, bringt es der Sicherheitsexperte auf den Punkt. Außerdem könne kein Lösegeld rückgängig machen, „dass Daten nicht eh schon kopiert und monetarisiert wurden“.

Gefahr der Unterstützung terroristischer Vereinigungen

Hinzu kommen rechtliche Implikationen. So könnte eine Zahlung laut Kubik gar als Unterstützung terroristischer Vereinigungen gewertet werden: „Auch wenn die juristischen Umstände komplex sind, eine professionelle Rechtsberatung deshalb erfolgen muss und nicht immer eine Straftat vorliegt: Wer Lösegelder zahlt, hat nicht immer Recht.“

Recovery unter hohem Druck

Besser sei es, Risiken zu vermeiden und sich für den Ernstfall einer Recovery unter hohem Druck vorzubereiten, findet der Manager Field Advisory Services. Jede Erpressung laufe ins Leere, wenn Geschäftsabläufe und Daten wieder verfügbar gemacht werden können. „Bei komplexer IT gilt es aber, sich dabei zu fokussieren“, so der Manager und empfiehlt Unternehmen, dem Konzept der Minimum Viability Company (MVC) zu folgen. Bei diesem Ansatz wird die Wiederherstellung der für das Kerngeschäft nötigen Assets priorisiert, bis die vollständige Wiederherstellung erreicht ist. Hier definieren alle Beteiligten im Unternehmen die wichtigsten Systeme, Assets, Prozesse und Mitarbeiter, die es braucht, um essenzielle Dienste, während eines Cyberangriffs weiter betreiben zu können.

Air-Gap-Szenarien für den Ernstfall

Commvault unterstützt zusammen mit den strategischen Cloud-Partnern AWS, Google und Microsoft sowie den Hardware-Partnern des Unternehmens zahlreiche Szenarien beim Air Gap, erläutert Kubik. Der Kunde könne so jene Optionen umsetzen, die er für seine Umgebung für geeignet hält. „Natürlich werden reine Datentransfers aus der Cloud immer langsamer sein als die Transfers aus einer lokalen Infrastruktur“, sagt Kubik und wird konkret: „Die WAN-Leitung ist in den meisten Fällen schlicht viel langsamer als das lokale Netz. Aber das spiegelt sich dann in den unterschiedlichen RTOs wider: eine gängige Praxis seit Jahren.“

Die Technik dahinter

Dabei werden nicht nur rein logische Air Gaps (also beispielsweise Firewall-Regeln zwischen der gesicherten und der regulären Umgebung unterstützt. Die Lösung dahinter nennt sich „Commvault HyperScale X“. Damit kann auch ein echter Air Gap durch automatische Abschaltung der Netzwerkinterfaces realisiert werden. Die Server sind außerhalb des eigentlichen Replikationsfensters dabei gar nicht im Netzwerk vorhanden.

Ein Attribut namens „Unveränderlichkeit“

Commvault unterstützt im Bereich Object Lock und WORM Write Once, Read Many), also dem unveränderbaren Backup-Speicher, bei dem es darum geht, einmal zu schreiben und beliebig oft zu lesen, sagt Kubik. Außerdem sei sowohl die Nutzung von S3 Object Locking auf S3-kompatiblen Speichern als auch alternativ die Filesystem-basierende Unveränderlichkeit (wie NetApp Snaplock und andere) möglich. Zudem sei die Commvault-eigene Hyperscale-Lösung unveränderlich und unlöschbar und bietet auch ohne zusätzliche Hardwareunterstützung einen sicheren Speicherort.

Ein sicherer Ort für Daten

Zusätzlich zu hardware- bzw. storageseitiger Sicherung der Daten gegen unerwünschte Veränderung oder Löschung bietet die Software laut Kubik viele zusätzliche Schutzbarrieren in der Kombination an: „Compliance Lock“ verhindert, dass ein Administrator die Aufbewahrungszeiten von Backups reduziert oder diese löscht. Multifaktor-Authentifizierung und ein Vier-Augen-Prinzip bei potenziell gefährlichen Aktionen ziehen ein weiteres Sicherheitslevel ein.

Keine Grundsatzdebatten mehr

Ein jahrzehntealtes Missverständnis besagt, dass Festplattenspiegelung als Backup ausreicht. „Wir haben doch ein RAID-Set“: Dieser Irrtum, dem so mancher IT-Leiter in den frühen 2000er-Jahre folgte, hatte ein erstaunlich langes Leben, blickt Kubik zurück und ergänzt: „Zum Glück haben mittlerweile alle Unternehmen den Sinn von Backups erkannt. Doch viele verfolgen dabei nur die Strategien einer Operational oder Disaster Recovery, nicht aber einer Cyber Recovery.“

Der Unterschied:

• Operational Recovery bezieht sich auf bestimmte Komponenten des Systems, Dateien, Applikationen oder virtuelle Maschinen nach einem kleineren Zwischenfall oder Ausfall. Sie umfasst das Wiederherstellen versehentlich gelöschter Dateien, die Recovery nach Abstürzen oder Fehlern von Applikationen und das Reparieren beschädigter Daten.

• Disaster Recovery umfasst hingegen ganze Systeme und Infrastrukturen nach einem Großereignis wie einer Naturkatastrophe, größeren Hardwareausfällen, wie zum Beispiel nach einem Brand im Serverraum, oder längerfristigen Stromausfällen.

• Cyber Recovery zielt hingegen auf die Wiederverfügbarkeit speziell nach Cyberangriffen ab. Die Recovery kann dabei eine Teilmenge der Daten oder die gesamte Infrastruktur betreffen.

Die Fähigkeit zur Cyber Recovery

„Die heutige Bedrohungslage erzwingt die Fähigkeit zur Cyber Recovery als Reaktion auf einen unvermeidlichen Angriff“, bringt es der Manager auf den Punkt. Es gehe nicht nur um die schnelle Erholung, sondern um die saubere und nachhaltige Recovery. „Denn angesichts einer Dwell Time zwischen 120 oder fünf KI-getriebenen Tagen haben die Hacker genug Zeit, die Hintertüren für die nächste Erpressung schnell einzubauen“, sagt Kubik. Dwell Time (deutsch etwa: Verweilzeit) bezeichnet in der IT-Sicherheit die Zeitspanne, die ein Angreifer nach der ersten Kompromittierung unentdeckt in einer Umgebung bleibt – bis zur Entdeckung und idealerweise Eindämmung beziehungsweise Entfernung. Je kürzer die Dwell Time, desto geringer sind typischerweise Schaden, Ausbreitung und Datenabfluss.

Schadcode spiegeln ist keine gute Idee

„Und wer als IT-Administrator dann seine Daten einfach spiegelt, kopiert im Ernstfall die Hintertür und das Angriffsartefakt gleich mit“, warnt der Manager. Daher brauche es einen „digitalen Reinraum“, ein Erkennen kompromittierter Dateien und die Identifikation von Angriffen auf Sicherungen sind daher das unerlässliche zweite Standbein einer Cyberresilienz neben dem Backup. Diese Kombination ermögliche es, IT-Teams, die Daten zu validieren und so einen sauberen Zustand zu erfassen, mit dem der Betrieb wiederhergestellt werden kann. Nur so bleibe man im Zeitalter der KI-Bedrohung resilient.

Das Backup als zentraler Angriffspunkt

Der These „Angreifer zielen zuerst auf Backups“ stimmt der Commvault-Experte zu und rekurriert dabei auf eine Studie aus dem Hause Sophos. Demzufolge wollen 94 Prozent der Ransomware-Angreifer die Backups kompromittieren. Das sei nachvollziehbar, denn Backups mit der Sammlung der monetarisierbaren, konzentriert gelagerten Kronjuwelen wirken wie ein Honeypot. „Angriffe auf die Sicherung tun doppelt weh, denn sie treffen die Verantwortlichen direkt in ihrer Fähigkeit, die Assets sauber, sicher und vollständig wiederherzustellen“, kommentiert Kubik.

Das Shared-Responsibility-Prinzip

Das Modell „Shared Responsibility“ habe sich inzwischen herumgesprochen. Die Verantwortlichen in den Unternehmen haben laut Kubik endlich erkannt, dass die Shared Responsibility ihnen den Ball zuspielt, die eigenen Daten, Systeme und Anwendungen in der Cloud zu sichern. Bei Commvault beobachte man jedoch jedoch den Trend, „dass sie [die Unternehmen] nun im Kurzpassspiel den Weg eines vermeintlich geringen Widerstands gehen wollen: Dabei nutzen sie native Werkzeuge, mit denen sie die Daten recht simpel sichern können. Dezentrale isolierte Tools folgen aber inkonsistenten Schutzrichtlinien und verursachen hohe Intransparenz.“

Multi-Cloud ist der Standard

„Rund 86 Prozent der Unternehmen leben mittlerweile mit Multi-Cloud-Umgebungen – und fast die Hälfte der Cloud-Ausgaben ist dann nicht mehr nachvollziehbar. Der Bedarf an einem einheitlichen Ansatz ist dringender denn je“, findet der Manager. Transparenz fängt in diesem Zusammenhang schon dabei an, einen Überblick zu haben, welche Workloads überhaupt geschützt sind und welche nicht.

Active Directory als Angriffsziel

Auch der Active Directory (AD) sei eines der häufigsten Ziele von Cyberkriminellen. „Neun von zehn Attacken nehmen den Verzeichnisdienst ins Visier, da er den Zugriff auf Daten, Systeme und Anwendungen steuert – ohne das AD kommt der Geschäftsbetrieb zum Erliegen“, sagt der Commvault-Mitarbeiter. Solche Angriffe würden zunächst oft unbemerkt bleiben, da sie mit gestohlenen Anmeldeinformationen und erweiterten User-Privilegien hantieren, um auf sensible interne Daten und Systeme zuzugreifen.

Rückgängig per Rollback

Backup, Recovery und Resilience seien nicht nur die Routine, Daten zu sichern. Das Aufgabenfeld erweitere sich sukzessive. „Identity-Resilience-Funktionen erfassen etwa kontinuierlich Benutzer-, Gruppen- und Richtlinienänderungen im Active Directory mithilfe integrierter Anomalieerkennung – nicht nur beim Backup“, sagt der Manager. Mit einer Identitätsresilienz erhalten IT- und Sicherheitsteams zudem in Echtzeit einen Überblick darüber, wer welche Änderungen wann und von wo aus vorgenommen hat. Wird eine verdächtige Änderung erkannt, können Teams diese detailliert prüfen und sofort per Rollback rückgängig machen. Die Auswahl eines Wiederherstellungspunkts sei dann nicht erforderlich – Benutzer stellen einfach das geänderte Objekt oder Attribut wieder her. „Dank dieser schnellen Rollback-Funktion können Unternehmen unautorisierte oder versehentliche Änderungen umgehend korrigieren und die Verfügbarkeit ihrer kritischen Identitätsdienste gewährleisten“, beschreibt Kubik die empfohlene Vorgehensweise.

(ID:50630134)