Ransomware-sichere Backups: Unveränderlich und getrennt

Wer Administrationsrechte im Netz erlangt hat, findet dort auch die Sicherungslösungen. Eine Kopie muss deshalb nach dem Sicherungslauf von den übrigen Systemen getrennt sein (BSI-Maßnahmenkatalog Ransomware, Version 1.0 vom 23. Februar 2022, Kapitel 2). Diese Trennung lässt sich auf drei Arten ziehen: über den Ort der Kopie, über eine Sperre auf ihr oder über die Konten, die sie erreichen. Jede Art hat ihren eigenen Rückweg, und dieser Rückweg entscheidet darüber, ob die Sicherung im Ernstfall rechtzeitig hilft.

Warum die Sicherung selbst zum Ziel wird

Der BSI-Baustein OPS.1.1.4 Schutz vor Schadprogrammen führt Ransomware als eigenes Gefährdungsszenario: Verschlüsselt werden die Daten des befallenen Systems und häufig auch Daten, die über Netzfreigaben erreichbar sind (IT-Grundschutz-Kompendium, Stand Februar 2023). Besteht kein wirksamer Schutz gegen Schadprogramme und fehlen ergänzende Vorkehrungen wie Datensicherungen, kann die Verfügbarkeit erheblich eingeschränkt werden. Der Baustein verweist für den Schutz der Kopien auf CON.3 Datensicherungskonzept desselben Kompendiums.

Dort steht die Kehrseite: Sind die Speichermedien für die Datensicherung nicht hinreichend abgesichert, können sie selbst von einem Ransomware-Angriff betroffen sein und die auf ihnen gespeicherten Sicherungen verschlüsselt werden (CON.3, Gefährdung 2.10). Der IT-Grundschutz ist ein Standard des Bundesamts für Sicherheit in der Informationstechnik und kein Gesetz; verpflichtend werden seine Anforderungen über Ihre eigene Regelung oder einen Vertrag.

Der Leitfaden #StopRansomware Guide der US-amerikanischen CISA (Version 3.0, Oktober 2023) beschreibt dasselbe Muster aus Angreifersicht: Die Angreifenden sammeln Zugangsdaten aus der Umgebung, versuchen damit auf Sicherungslösungen zuzugreifen, nutzen bekannte Schwachstellen nicht aktualisierter Sicherungssysteme und löschen oder verschlüsseln erreichbare Sicherungen. Ein automatisch mitlaufendes Cloud-Backup genügt nach dieser Quelle nicht: Verschlüsselt der Angreifer lokale Dateien, werden sie in die Cloud gespiegelt und können dort unbeschädigte Stände überschreiben.

Abstand, Sperre, Konten

Der Grundschutz steckt dafür einen Rahmen ab. Erstens die Trennung: Besonders schützenswerte Speichermedien für die Datensicherung sollen nur während der Datensicherung und der Wiederherstellung mit dem Netz oder dem Ursprungssystem verbunden werden (CON.3.A2). Zweitens der Schreibschutz: Sicherungen sind vor unbefugtem Zugriff und davor zu schützen, absichtlich oder versehentlich überschrieben zu werden; schreibenden Zugriff soll nur eine autorisierte Datensicherung oder eine autorisierte Administrationstätigkeit haben (CON.3.A14). Räumlich getrennte Aufbewahrung, möglichst in einem anderen Brandabschnitt, verlangt CON.3.A12; CON.3.A4 verlangt, dass der Sicherungsplan festhält, wie die Sicherungen geschützt und wie lange sie aufbewahrt werden.

Aus diesen Anforderungen ergeben sich drei Schranken — Abstand, Sperre und getrennte Konten. Die Tabelle vergleicht je Schranke, wie schnell Sie damit an einen brauchbaren Stand zurückkommen und was sie laufend kostet.

Schranke	Wie sie wirkt	Wiederherstellungszeit (Beispielannahme 400 GB)	Laufender Aufwand	Wo sie klemmt
Offline-Medium: Wechseldatenträger oder Band, getrennt aufbewahrt	Das Medium ist im Normalbetrieb nicht angeschlossen, Schreibzugriff entsteht nur für Sicherung und Wiederherstellung (CON.3.A2, CON.3.A14); Aufbewahrung getrennt, möglichst in einem anderen Brandabschnitt (CON.3.A12)	Transportweg plus Kopierzeit: Beispielannahme 4 Stunden Hol- und Bringweg, 44 Minuten für 400 GB bei 150 MB/s, zusammen rund 4 Stunden 45 Minuten	Anschließen, Kopieren, Trennen und Kontrollieren je Lauf, dazu Transport und Nachweis	Der letzte Schritt, das Trennen, wird vergessen; nach dem BACS kann Ransomware eine verbundene Sicherung mitverschlüsseln. Bänder brauchen ein passendes Lesegerät, Datenträger können durch ungünstige Lagerung unbrauchbar werden
Unveränderliche Kopie im Objektspeicher mit Aufbewahrungssperre	Die Sperre gilt je Objektversion: für die Dauer der Frist kein Überschreiben und kein Löschen. NIST SP 800-209 nennt das Immutability und führt unveränderlichen Speicher als Isolationsmaßnahme (IS-SS-R10); die CISA nennt ihn einen Schutz ohne getrennte Umgebung	Kein Transportweg, dafür Übertragung über die Leitung: Beispielannahme 8 Stunden 53 Minuten für 400 GB bei nutzbaren 100 Mbit/s	Frist und Modus einmal setzen, Rechte klein halten, Konfiguration, Kosten und Ablaufdatum der Kopie überwachen	Die Sperre schützt die Version, nicht den Namen: Neue Versionen und Löschmarken über derselben Kopie bleiben möglich, und das Sperren setzt Versionierung voraus (Dokumentation der S3-Schnittstelle). Ein eigenes Recht kann die Sperre im Modus mit Umgehungsmöglichkeit aufheben; die CISA warnt bei unveränderlichem Speicher vor Regelungs- und Kostenrisiken
Kopie in einem getrennten Konto mit eigenen Zugangsdaten	In öffentlichen Clouds heißt getrennte Speicherumgebung getrenntes Konto (NIST IS-SS-R1); verwaltet wird sie aus einer getrennten Umgebung, nicht mit den normalen Zugangsdaten (IS-SS-R2), mit eigenen Kennungen, Konten und Zugangsdaten (IS-SS-R3). Privilegierte Konten nur für Administration, mit Mehrfaktor-Authentisierung (BSI Top 10, Maßnahme 6)	Die Kontotrennung ändert den Transport nicht, sie entscheidet, wer die Wiederherstellung auslösen darf: Beispielannahme 30 Minuten, bis die berechtigte Person mit zweitem Faktor die Kopie erreicht, dazu die Übertragungszeit des Ablageorts (8 Stunden 53 Minuten in der Cloud)	Konten, Kennungen und zweite Faktoren pflegen, erneuern, prüfen; Zugriffe protokollieren	Liegen die Zugangsdaten im selben Verzeichnisdienst oder Passwortspeicher wie die tägliche Administration, ist die Trennung nur auf dem Papier vorhanden. Liegen alle Konten beim selben Anbieter, empfiehlt die CISA für die zweite Kopie einen zweiten Anbieter

Die drei Schranken schließen sich nicht aus, aber sie bedingen einander nicht: Ein Medium, das nur während des Sicherungslaufs angeschlossen wird und nur über ein getrenntes Konto mit eigenen Zugangsdaten erreichbar ist, verbindet Abstand und Zugriffsschutz in einer Kopie. Eine Aufbewahrungssperre folgt daraus nicht: Beide Mittel beantworten, wer an die Kopie kommt und wann sie verbunden ist, nicht aber, wie lange ein einmal geschriebener Stand erhalten bleiben muss. NIST SP 800-209 nennt unveränderlichen Speicher deshalb in seinem Abschnitt zur Isolation als eigene Maßnahme (IS-SS-R10), getrennt von der Trennung der Speichersysteme und Konten (IS-SS-R1 bis IS-SS-R3). Welche Stufe Sie brauchen, entscheiden die Ausfallzeit, die Ihr Betrieb trägt, und der Prüfaufwand, den Sie leisten können; die Bemessung steht im Sicherungsplan fürs ERP.

Der Rückweg: eine Beispielrechnung

Für die Dauer einer Wiederherstellung ist der Ablageort der Kopie entscheidend, nicht ihre Sperre. Die Rechnung nimmt 400 GB Datenmenge an und rechnet mit 1 GB gleich 1 000 MB; Übertragungsverluste, Protokollanteile, Aufbau und Prüfung sind nicht enthalten.

Posten	Beispielannahme	Rechnung	Ergebnis
Datenmenge	400 GB	400 × 1 000	400 000 MB
Übertragung über die Leitung	nutzbar 100 Mbit/s, das sind 12,5 MB/s	400 000 ÷ 12,5	32 000 Sekunden, also 8 Stunden 53 Minuten
Lesen vom externen Medium	150 MB/s	400 000 ÷ 150	rund 2 667 Sekunden, also 44 Minuten
Rückweg zum getrennten Aufbewahrungsort	4 Stunden für Holen und Bringen	4 Stunden + 44 Minuten	rund 4 Stunden 45 Minuten

Vergleichen Sie das Ergebnis mit der Ausfallzeit, die Ihr Betrieb trägt. Dauert der Rückweg länger als erlaubt, hilft keine strengere Sperre: Sie müssen die Datenmenge verkleinern, die Bandbreite erhöhen, das Medium näher lagern oder mehrere Wege parallel vorhalten. Wie Sie die zulässige Ausfallzeit und den zulässigen Datenverlust bestimmen, steht unter RPO und RTO.

Typische Fehler

1. Das Sicherungsmedium bleibt angeschlossen: Das BACS weist darauf hin, dass Ransomware in diesem Fall auch die gesicherten Daten verschlüsselt; das österreichische IKT-Sicherheitsportal nennt verbundene USB- und Netzwerklaufwerke ausdrücklich als betroffen.
2. Die Trennung wird nie geprüft: Der BSI-Maßnahmenkatalog verlangt, dass die Trennung regelmäßig überprüft wird, und nennt als Beispiel, dass ein Administrierender testweise auf die getrennten Kopien zuzugreifen versucht und dabei scheitern soll. NIST SP 800-209 empfiehlt diese Prüfung mindestens einmal jährlich (IS-SS-R9); für sensible und hochwertige Speichersysteme nennt die Empfehlung dort mindestens ein Vierteljahr und nach jeder größeren Änderung, je nachdem, was zuerst eintritt.
3. Das Sperr- oder Umgehungsrecht liegt beim Alltagskonto: Dann hebt die tägliche Administration die Sperre selbst auf. NIST verlangt, dass die Kopie nicht mit den normalen Zugangsdaten erreichbar ist (IS-SS-R2); der BSI-Maßnahmenkatalog nennt getrennte Konten je Aufgabe ohne Domänen-Administrationskonten.
4. Beim Zurückspielen wird die falsche Fassung gewählt: Über der geschützten Version können neue Versionen und Löschmarken liegen (Dokumentation der S3-Schnittstelle). Wählen Sie die gesperrte Version aus, nicht den zuletzt geschriebenen Stand.
5. Aus der Sicherung direkt ins Produktivsystem: Der BSI-Maßnahmenkatalog empfiehlt, mit Kopien der Sicherungen oder einem Schreibschutz zu arbeiten, weil Angreifende sich Wochen im Netz bewegen und bereits in der Sicherung liegen können; nach dem Zurückspielen ist die Infektionsfreiheit zu prüfen.

So gehen Sie vor

1. Legen Sie je Kopie schriftlich fest, wodurch sie getrennt ist — Medium getrennt und nur während des Laufs verbunden, Aufbewahrungssperre, getrennte Konten — und nehmen Sie das in den Sicherungsplan auf (CON.3.A4).
2. Bestimmen Sie je Kopie, wer sie erreichen darf, und trennen Sie diese Zugangsdaten von den täglichen Administrationskonten (NIST IS-SS-R2 und IS-SS-R3; BSI Top 10, Maßnahme 6).
3. Setzen Sie die Aufbewahrungsfrist so, dass sie bis vor den ältesten Fehler zurückreicht, den Sie im Betrieb noch bemerken (redaktionelle Annahme), und prüfen Sie die Frist gegen Ihre Löschregeln.
4. Prüfen Sie die Trennung technisch: ein Administratorkonto versucht auf die getrennte Kopie zuzugreifen, der Zugriff muss scheitern. NIST SP 800-209 empfiehlt die Prüfung mindestens einmal jährlich, für sensible und hochwertige Speichersysteme mindestens ein Vierteljahr und nach jeder größeren Änderung, je nachdem, was zuerst eintritt (IS-SS-R9). Wiederholen Sie sie zusätzlich nach jedem Wechsel bei Speicherort oder Zugangsdaten.
5. Spielen Sie aus jeder Kopie mindestens einmal vollständig zurück, messen Sie die Dauer und vergleichen Sie Datenstand und Lesbarkeit mit dem Produktivsystem (CON.3.A15, Restore-Test fürs ERP).
6. Halten Sie für den Notfall die Reihenfolge fest: erst in eine isolierte Umgebung zurückspielen, mit einer Kopie der Sicherung oder Schreibschutz arbeiten, Infektionsfreiheit prüfen, dann das Produktivsystem wiederherstellen. Für verschlüsselte Kopien gehört der Schlüssel in eine getrennte Datensicherung (CON.3.A13).