Ransomware hat sich verändert. Wer heute noch glaubt, ein sauberes Backup allein genüge als Versicherung gegen einen Erpressungsangriff, unterschätzt die aktuelle Taktik der meisten aktiven Gruppen: die doppelte Erpressung.
Klassische Ransomware verschlüsselte Daten und forderte Lösegeld für den Schlüssel. Wer ein aktuelles Backup hatte, konnte den Vorfall vergleichsweise gelassen aussitzen. Moderne Gruppen gehen einen Schritt weiter: Bevor verschlüsselt wird, werden Daten zuerst kopiert und abgeführt. Die Drohung lautet dann nicht mehr nur 'Sie kommen nicht mehr an Ihre Daten', sondern zusätzlich 'wir veröffentlichen sie'. Ein Backup schützt gegen die erste Drohung, gegen die zweite hilft es nicht.
Hinzu kommt ein zweiter Effekt: Angreifer, die sich bereits im Netzwerk bewegen, suchen gezielt nach Backup-Systemen und versuchen, diese vor der eigentlichen Verschlüsselung zu löschen oder unbrauchbar zu machen. Ein Backup, das im selben Netzwerk mit denselben Zugangsdaten erreichbar ist wie die Produktivsysteme, bietet dagegen kaum Schutz. Entscheidend ist die Trennung: räumlich, technisch und bei den Zugriffsrechten.
Erstens: Offsite- oder unveränderliche Backups, die getrennt von den Zugangsdaten des Tagesgeschäfts liegen, damit ein kompromittiertes Administratorkonto nicht automatisch auch die Sicherung gefährdet. Zweitens: eine tatsächlich getestete Wiederherstellung, nicht nur ein Backup-Job, der grün angezeigt wird, sondern eine Übung, bei der reale Systeme aus der Sicherung neu aufgesetzt werden. Drittens: ein aktueller, eingeübter Notfallplan, der festlegt, wer im Ernstfall informiert wird, welche Systeme zuerst wiederhergestellt werden, und wie mit einer möglichen Erpressung umgegangen wird, bevor der Ernstfall eintritt, nicht währenddessen.
Die entscheidende Frage lautet nicht, ob ein Backup existiert, sondern wie lange die tatsächliche Wiederherstellung dauert und wie viel Datenverlust dabei akzeptiert werden müsste. Diese beiden Werte, Wiederanlaufzeit und Datenverlust-Toleranz, lassen sich nur durch eine echte Übung ehrlich beantworten, nicht durch die Dokumentation allein. Unser IT-Check prüft genau diese Kette, von der Erkennung eines Angriffs über die Isolation bis zur getesteten Wiederherstellung, und zeigt konkret, wo die grössten Lücken liegen.
Nein. Moderne Gruppen drohen zusätzlich mit der Veröffentlichung gestohlener Daten, dagegen hilft ein Backup allein nicht.
Die Kombination aus Datenverschlüsselung und vorheriger Datenexfiltration mit der Drohung, die Daten zu veröffentlichen.
Mindestens einmal jährlich mit einer echten Übung, nicht nur durch Prüfung der Backup-Protokolle.
