Backup und Notfallplan: Was im Ernstfall wirklich zählt

Warum Backups so oft versagen

In fast jedem schweren Ransomware-Fall existierten Backups. Sie waren nur nicht nutzbar: erreichbar aus derselben Domäne, mit denselben Administratorkonten verwaltet, in derselben Umgebung gespeichert – und deshalb mitverschlüsselt. Moderne Angreifer suchen die Backup-Konsole gezielt zuerst, weil sie den Verhandlungsspielraum bestimmt.

Die Regel 3-2-1-1

• 3 Kopien der Daten
• auf 2 unterschiedlichen Medientypen
• 1 Kopie außer Haus
• 1 Kopie offline oder unveränderlich (immutable, WORM)

Der letzte Punkt ist der entscheidende Zusatz der letzten Jahre. Unveränderlichkeit bedeutet: Innerhalb der Aufbewahrungsfrist kann niemand die Sicherung löschen oder überschreiben – auch kein Administrator, auch nicht der Angreifer mit gestohlenen Anmeldedaten.

Betriebliche Anforderungen

• Getrennte Berechtigungen. Backup-Konten gehören nicht in die produktive Domäne. Eigene Anmeldung, eigene MFA.
• Wiederherstellung testen, nicht Sicherung. Ein grüner Sicherungsbericht sagt nichts über die Wiederherstellbarkeit. Mindestens quartalsweise eine vollständige Wiederherstellung eines kritischen Systems durchspielen und die benötigte Zeit messen.
• Realistische Zielwerte. Wie viel Datenverlust ist tolerierbar (RPO), wie lange darf die Wiederherstellung dauern (RTO)? Diese Werte müssen die Fachbereiche festlegen, nicht die IT.
• Reihenfolge festlegen. Welche zehn Systeme kommen zuerst zurück? Ohne priorisierte Liste verliert man im Ernstfall Tage.

Der Notfallplan

Ein Plan, der nur im verschlüsselten Fileserver liegt, existiert nicht. Er gehört ausgedruckt und auf einem getrennten Datenträger vor Ort, mit:

• Erreichbarkeiten rund um die Uhr: Krisenstab, IT-Dienstleister, Incident Response, Rechtsberatung, Cyberversicherung, Behörden
• Meldefristen als Checkliste: 24 Stunden NIS2-Frühwarnung, 72 Stunden DSGVO, in der Schweiz EDÖB und BACS
• Vorbereitete Textbausteine für Mitarbeitende, Kunden, Lieferanten und Presse
• Ersatzkommunikation: getrennte Mailadressen und Telefonliste, weil die eigene Infrastruktur ausfällt
• Entscheidungswege: Wer darf abschalten, wer darf verhandeln, wer spricht mit der Presse

Einmal im Jahr: Trockenübung

Eine zweistündige Tabletop-Übung mit Geschäftsführung, IT und Kommunikation deckt mehr Lücken auf als jedes Audit. Typisches Ergebnis: Niemand weiß, wer die Cyberversicherung meldet, und die Kontaktliste ist zwei Jahre alt.

Nächster Schritt

Backups helfen nach dem Angriff. Risikomonitor arbeitet davor: Wir melden, wenn Zugangsdaten, Ihre Marke oder Ihre Lieferanten in Darknet-Quellen auftauchen.

[Kostenlose Erstanalyse anfordern](/kontakt) · [Lieferantenmonitoring ansehen](/lieferantenmonitoring)