„Wir haben doch ein Backup.“ Diesen Satz hören IT-Dienstleister häufig, wenn es um Ransomware geht, also um Schadsoftware, die Daten verschlüsselt und anschließend Lösegeld fordert. Ein Backup ist tatsächlich die wichtigste Vorsorge gegen einen solchen Angriff. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bezeichnet es ausdrücklich als die wichtigste vorbeugende Maßnahme, um nach einem Vorfall wieder an die eigenen Daten zu kommen.
Doch ein Backup zu haben und im Ernstfall tatsächlich weiterarbeiten zu können, sind zwei verschiedene Dinge. In diesem Ratgeber erklären wir, warum viele Sicherungen im Angriffsfall nicht helfen und worauf Sie achten sollten, damit Ihr Unternehmen einen Ransomware-Angriff übersteht.
Warum Ransomware gezielt Ihre Backups angreift
Ransomware ist seit Jahren eine der größten Gefahren für Unternehmen. Im Lagebericht 2023 bezeichnete das BSI die Bedrohung als so hoch wie nie zuvor und stellte fest, dass Angreifer zunehmend auch kleine und mittlere Organisationen ins Visier nehmen, weil diese oft leichter anzugreifen sind.
Die Täter wissen genau, dass ein funktionierendes Backup ihr Geschäftsmodell zerstört. Der BSI-Maßnahmenkatalog zu Ransomware weist deshalb darauf hin, dass Angreifer mit Administratorrechten gezielt nach Sicherungen suchen. Ist das Backup-Laufwerk dauerhaft mit dem Netzwerk verbunden oder mit denselben Zugangsdaten erreichbar wie der Server, wird es oft gleich mit verschlüsselt oder gelöscht. Dann ist das Backup genau in dem Moment wertlos, in dem Sie es brauchen.
Was ein angriffssicheres Backup ausmacht
Mindestens eine Kopie getrennt vom Netzwerk
Die zentrale Empfehlung des BSI lautet: Mindestens eine Sicherung muss nach dem Sicherungsvorgang vom übrigen Netzwerk getrennt sein, damit eine Verschlüsselung sie nicht erreicht. Das kann zum Beispiel ein Speichermedium sein, das nach der Sicherung abgezogen und sicher aufbewahrt wird. Der Maßnahmenkatalog empfiehlt außerdem mehrere Kopien auf unterschiedlichen Backup-Lösungen und an getrennten Standorten.
Die Trennung regelmäßig prüfen
Ob die Trennung wirklich besteht, sollte nicht nur auf dem Papier stehen. Das BSI schlägt vor, sie regelmäßig zu testen, etwa indem man versucht, mit einem Administratorkonto des Firmennetzwerks auf die Sicherung zuzugreifen. Dieser Versuch sollte scheitern. Gelingt er, kann ein Angreifer mit denselben Rechten das ebenfalls.
Zugriffsrechte begrenzen
Auch im laufenden Betrieb lässt sich der Schaden begrenzen. Das BSI empfiehlt, Daten zentral abzulegen, etwa auf Netzlaufwerken, und Zugriffsrechte nach dem Prinzip „so viel wie nötig“ zu vergeben. Ein Beispiel: Entziehen Sie die Schreibrechte auf abgeschlossene Projekte oder archivierte Unterlagen. Die Daten bleiben lesbar, können aber mit den Rechten eines normalen Benutzerkontos nicht mehr verschlüsselt werden.
Der eigentliche Prüfstein: die Wiederherstellung
Ein Backup ist nur so gut wie die Wiederherstellung, die daraus gelingt. Viele Unternehmen stellen erst im Ernstfall fest, dass Sicherungen unvollständig sind, dass niemand mehr weiß, wie die Rücksicherung funktioniert, oder dass das Zurückspielen aller Daten Tage statt Stunden dauert.
Das BSI zählt deshalb ausdrücklich die Planung und Vorbereitung der Wiederherstellung zum Backup-Konzept. Die Pläne sollen praktisch getestet werden, damit Schwierigkeiten auffallen, bevor es darauf ankommt. Dabei geht es nicht nur um einzelne Dateien, sondern um die Frage, wie Ihre Geschäftsprozesse wieder in Gang kommen.
Stellen Sie sich und Ihrem IT-Dienstleister daher konkrete Fragen:
- Welche Systeme brauchen wir zuerst, um wieder arbeiten zu können, zum Beispiel Warenwirtschaft, Praxissoftware oder E-Mail?
- Wie lange dauert es, diese Systeme aus der Sicherung vollständig wiederherzustellen?
- Wie viele Arbeitsstunden an Daten dürfen höchstens verloren gehen, und passt der Sicherungsrhythmus dazu?
- Wann wurde die Wiederherstellung zuletzt tatsächlich ausprobiert, und mit welchem Ergebnis?
Der BSI-Maßnahmenkatalog geht noch einen Schritt weiter: Auch der vollständige Neustart der IT, wenn zunächst gar nichts mehr läuft, sollte geplant und geübt werden. Zudem sollten Backups vor dem Zurückspielen auf Schadsoftware geprüft werden, damit Sie sich die Angreifer nicht gleich wieder ins System holen.
Ein Notfallplan, der auch ohne IT funktioniert
Wenn Ransomware zugeschlagen hat, sind oft auch digitale Dokumente, Kontaktlisten und Passwortsafes verschlüsselt. Das BSI empfiehlt daher einen geübten Notfallplan, in dem kritische Systeme vorab festgelegt sind und wichtige Kontaktdaten offline in Papierform vorliegen. Dazu gehören zum Beispiel die Telefonnummern Ihres IT-Dienstleisters, Ihrer Bank, Ihrer Versicherung und der Polizei.
Der Maßnahmenkatalog rät außerdem, schon im Vorfeld festzulegen, wie Sie mit einer Lösegeldforderung umgehen wollen. Diese Entscheidung unter Zeitdruck und Stress zu treffen, ist deutlich schwieriger.
Wenn es passiert ist: die ersten Schritte
Die bayerische Justiz hat für betroffene Unternehmen eine Broschüre herausgegeben. Daraus ergeben sich für die ersten Stunden folgende Empfehlungen:
- Trennen Sie laufende Systeme vom Netzwerk und schalten Sie ausgeschaltete Rechner nicht ein.
- Isolieren Sie Ihre Backups, damit sie nicht nachträglich betroffen werden.
- Löschen Sie nichts. Spuren und Beweise werden für die Ermittlungen benötigt; dokumentieren Sie alle Maßnahmen.
- Informieren Sie möglichst schnell die Polizei, in Bayern zum Beispiel die Zentrale Ansprechstelle Cybercrime (ZAC). Nutzen Sie dafür nicht die betroffenen Systeme.
- Zahlen Sie kein Lösegeld, ohne vorher mit den Ermittlungsbehörden gesprochen zu haben.
- Setzen Sie die Systeme anschließend vollständig neu auf und spielen Sie saubere Sicherungen zurück.
Prüfen Sie außerdem, ob gesetzliche Meldepflichten greifen, etwa gegenüber der Datenschutzaufsicht, wenn personenbezogene Daten betroffen sein könnten.
Fazit
Ein Backup ist die Grundlage, aber erst die getestete Wiederherstellung macht daraus eine echte Absicherung. Wenn mindestens eine Sicherung vom Netzwerk getrennt ist, die Rücksicherung regelmäßig geübt wird und ein Notfallplan griffbereit liegt, ist Ihr Unternehmen im Ernstfall handlungsfähig.
Wie Secundo IT unterstützt
Secundo IT prüft Ihr bestehendes Backup-Konzept, richtet bei Bedarf eine vom Netzwerk getrennte Sicherung ein und übt mit Ihnen die Wiederherstellung, bevor der Ernstfall eintritt. Gemeinsam erstellen wir einen Notfallplan, der zu Ihrem Betrieb passt und auch auf Papier griffbereit ist.
Sie möchten wissen, ob Ihre Datensicherung einem Angriff standhalten würde? Vereinbaren Sie einen Termin. Zur Kontaktseite