Ransomware-sichere Backups: 10 Kontrollen vor einem Vorfall

Ransomware-sichere Backups sind kein Produktversprechen, sondern überprüfbare Kontrollen für Identitäten, Isolation, Aufbewahrung, Überwachung, Wiederherstellung und Notfallentscheidungen. Diese zehn Prüfungen machen Schwachstellen sichtbar, bevor ein Angreifer oder Fehler sie ausnutzt.

1. Backup-Identitäten von der Produktion trennen

Prüfung: Produktionsadministratoren, normale Benutzer und Dienstkonten können nicht sämtliche Backups verändern. Privilegierte Backup-Zugänge sind dediziert, stark authentifiziert und nicht von alltäglichen Arbeitsplätzen nutzbar.

• Nachweis: Rollenexport, Kontenliste, MFA-Konfiguration und Test mit einem Produktionsadministrator.
• Rhythmus: vierteljährlich sowie bei Änderungen an Personal, Dienstleistern oder Identitätsplattform.

2. Eine echte Offline- oder isolierte Kopie erhalten

Prüfung: Mindestens eine aktuelle Kopie besitzt keinen aktiven Schreibpfad aus der Produktion. Bei Wechselmedien werden Auswurf und kontrollierte Lagerung bestätigt; bei logischer Isolation Netzwerk, Identitäten, APIs und Managementebene getestet.

• Nachweis: Medienregister oder fehlgeschlagener Schreib- und Löschtest aus der Produktion.
• Rhythmus: nach jeder Rotation und mit technischem Tiefentest pro Quartal.

3. Fehlgeschlagene, unvollständige und ungewöhnliche Jobs erkennen

Prüfung: Warnungen erfassen Fehler, auffällige Laufzeit, reduziertes Volumen, fehlende Systeme, unerwartete Löschung und ausgebliebene Jobs. Meldungen erreichen einen überwachten Kanal mit Eskalationsverantwortung.

• Nachweis: Testalarm, Zustellung, Reaktionszeit und Korrekturticket.
• Rhythmus: tägliche Betriebsprüfung und monatlicher Test des Alarmwegs.

4. Genügend Wiederherstellungsverlauf aufbewahren

Prüfung: Die Wiederherstellungspunkte reichen weit genug zurück, falls ein Angriff spät erkannt wird. Kapazitätsdruck darf die Aufbewahrung nicht unbemerkt verkürzen oder die letzte saubere Kopie überschreiben.

• Nachweis: Richtlinie im Vergleich zu tatsächlich verfügbaren Datenständen repräsentativer Systeme.
• Rhythmus: monatlich und nach Wachstum, Migration oder Kapazitätsänderung.

5. Protokolle und Nachvollziehbarkeit schützen

Prüfung: Das Team kann rekonstruieren, wer einen Job geändert, Aufbewahrung verkürzt, eine Kopie gelöscht oder ein Medium verwendet hat. Audit-Nachweise dürfen nicht zusammen mit der Produktion verschwinden.

• Nachweis: exportierte Protokollstichprobe, Aufbewahrungsdauer und erfolgreiche Suche nach einem bekannten Ereignis.
• Rhythmus: vierteljährlich und nach größeren Administrationsänderungen.

6. Repräsentative Daten wiederherstellen

Prüfung: Der Test endet nicht bei der Meldung „Job erfolgreich“. Eine repräsentative Datei, Datenbank, Konfiguration oder virtuelle Maschine wird kontrolliert wiederhergestellt, geöffnet und fachlich bestätigt.

• Nachweis: Testprotokoll mit Quelle, Sicherungsdatum, gemessener Dauer, Integrität und fachlicher Abnahme.
• Rhythmus: mindestens vierteljährlich für kritische Daten, angepasst an Risiko und Ziele.

7. Eine kontrollierte externe Kopie vorhalten

Prüfung: Brand, Diebstahl, Wasser oder Gebäudeschaden machen nicht alle Kopien unzugänglich. Transport, Übergabe, Verschlüsselung und Beschaffungszeit gehören zur Kontrolle.

• Nachweis: externes Inventar, Übergabekette, Ortsbestätigung und letztes Rotationsdatum.
• Rhythmus: bei jedem Transfer plus monatlicher Abgleich.

8. Unveränderbarkeit und Löschpfade testen

Prüfung: Testen Sie, welche Identitäten Aufbewahrung verkürzen, Repository oder Mandant zurücksetzen oder Wiederherstellungspunkte vor Ablauf löschen können. Berücksichtigen Sie Dienstleister- und Notfallzugänge.

• Nachweis: Berechtigungstest, Aufbewahrungsregel, verwendete Identität und Ergebnis.
• Rhythmus: vierteljährlich und nach Konfigurations-, Vertrags- oder Plattformänderung.

9. Von der Produktion unabhängige Notfallzugänge vorbereiten

Prüfung: Anleitungen, Kontakte, Schlüssel, Lizenzen und Notfallzugänge bleiben verfügbar, wenn Verzeichnis, Passwortmanager, Netzwerk oder Admin-Arbeitsplätze ausfallen.

• Nachweis: geschützte Offline-Anweisung und Test ohne die übliche Benutzersitzung.
• Rhythmus: halbjährlich sowie nach Änderungen an Werkzeugen, Personal oder Dienstleistern.

10. Notfallentscheidungen üben

Prüfung: Rollen für Isolation, Dienstleisterkontakt, Auswahl des Wiederherstellungspunkts, Freigabe sauberer Infrastruktur und Rückkehr in die Produktion sind klar. Das Runbook verhindert eine übereilte Wiederherstellung in eine noch kompromittierte Umgebung.

• Nachweis: Übungszeitlinie, bestätigte Kontakte, Entscheidungen, Erkenntnisse und zugewiesene Maßnahmen.
• Rhythmus: mindestens jährlich und nach wesentlichen Organisationsänderungen.

Monatlicher Nachweis-Tracker

Kontrolle	Letzter Nachweis	Ergebnis	Maßnahme / verantwortlich
Getrennte Identitäten	Ergänzen	Konform / Abweichung	Name und Termin
Offline- oder isolierte Kopie	Ergänzen	Konform / Abweichung	Name und Termin
Warnungen und Protokolle	Ergänzen	Konform / Abweichung	Name und Termin
Wiederherstellung getestet	Ergänzen	Konform / Abweichung	Name und Termin
Externe Kopie	Ergänzen	Konform / Abweichung	Name und Termin

Die Checkliste zum Betriebsrhythmus machen

Beginnen Sie mit Systemen mit höchster Auswirkung. Sammeln Sie Nachweise, testen Sie ein realistisches Szenario und überführen Sie jede messbare Lücke in nachverfolgte Arbeit. Verknüpfen Sie die Ergebnisse mit dem Programm für Wiederherstellungstests.