Backups und Wiederherstellung

Es ist eine einfache Regel, um den Verlust jedes einzelnen Elements zu überstehen: drei Kopien Ihrer Daten, auf zwei verschiedenen Speicherarten, eine davon außer Haus. Das Original plus zwei Backups, etwa eines auf einer lokalen Backup-Appliance und eines in einer separaten Cloud oder an einem anderen Standort, sorgt dafür, dass ein Brand, ein ausgefallenes Speichersystem oder ein gestohlener Server nicht alles mitnimmt. Weil Ransomware-Angreifer heute gezielt nach Backups suchen und sie zu löschen versuchen, erweitern viele Leitfäden die Regel auf 3-2-1-1-0: eine Kopie offline oder unveränderbar, sodass sie selbst mit Administratorrechten weder geändert noch gelöscht werden kann, und null Fehler bei Prüfung und Testwiederherstellung. Für eine kleine Firma heißt das praktisch: ein lokales Backup für schnelle Wiederherstellung, eine unveränderbare Cloud-Kopie mit separaten Zugangsdaten und ein regelmäßiger, dokumentierter Wiederherstellungstest.

Ein unveränderbares Backup ist eine Kopie, die bis zum Ablauf einer festgelegten Aufbewahrungsfrist weder geändert noch gelöscht werden kann, auch nicht von einem Administratorkonto. Meist geschieht das über Write-once-Speicher: Objektspeicher mit Aufbewahrungssperre im Compliance-Modus, ein gehärtetes Backup-Repository, das Löschungen verweigert, oder ein physisch entnommenes Band. Es geht um Ransomware: Angreifer mit Adminrechten versuchen routinemäßig, Backups zu löschen oder zu verschlüsseln, bevor sie die Produktivsysteme verschlüsseln, damit dem Opfer nur noch das Zahlen bleibt. Bei einer unveränderbaren Kopie scheitert dieser Schritt. Prüfen Sie drei Dinge, wenn ein Anbieter von Unveränderbarkeit spricht: ob die Sperre über dieselbe Konsole verkürzt oder aufgehoben werden kann, die ein Angreifer erreichen könnte, wie lange die Aufbewahrung dauert und ob der Support des Speicheranbieters sie umgehen kann. Unveränderbarkeit schützt vor dem Löschen, nicht vor dem Sichern bereits infizierter Daten, halten Sie also mehrere Wiederherstellungspunkte vor.

Es ist eine Backup-Kopie ohne dauerhafte Netzwerkverbindung zu Ihren Systemen, sodass ein Angreifer im Netzwerk sie nicht erreichen kann. Klassische Beispiele sind Bänder oder Wechselfestplatten, die beschrieben, getrennt und an einem anderen Ort gelagert werden, sowie spezielle Backup-Tresore, die nur in einem kurzen, kontrollierten Zeitfenster eine Verbindung öffnen. Manche Cloud-Dienste nennen eine unveränderbare, separat verwaltete Kopie einen logischen Air Gap: Sie ist nicht physisch getrennt, liegt aber außerhalb der Reichweite Ihrer normalen Adminkonten. Offline-Kopien lassen sich langsamer wiederherstellen und verlangen Disziplin, denn jemand muss die Medien tatsächlich wechseln, prüfen, ob der Job lief, und festhalten, was wo liegt. Für die meisten kleinen Firmen ist das realistische Ziel eine Kopie, die entweder physisch offline oder mit separaten Zugangsdaten unveränderbar ist und regelmäßig per Wiederherstellung getestet wird. Eine Kopie, die dauerhaft auf einer Freigabe liegt, die das ganze Netz erreicht, ist nicht offline, wie auch immer sie heißt.

Mindestens einmal pro Quartal für eine Auswahl von Systemen, nach jeder größeren Änderung an der Backup-Umgebung und mindestens einmal im Jahr als vollständige Übung, bei der ein kritisches System von Grund auf wiederhergestellt wird. Ein Backup, aus dem nie wiederhergestellt wurde, ist eine Annahme, kein Backup: Jobs, die Erfolg melden, können trotzdem Dateien erzeugen, die unvollständig sind, mit einem verlorenen Schlüssel verschlüsselt wurden oder eine laufende Datenbank nicht enthalten. Ein guter Test wählt echte Systeme, stellt sie in einer isolierten Umgebung wieder her, prüft, ob die Anwendung tatsächlich startet und die Daten aktuell sind, und hält fest, wie lange es gedauert hat. Diese Dauer ist Ihre realistische Wiederherstellungszeit, oft deutlich länger als erwartet. Notieren Sie, was schiefging, und beheben Sie es vor dem nächsten Test. Wechseln Sie die getesteten Systeme, sodass im Lauf eines Jahres jedes kritische mindestens einmal wiederhergestellt wurde.

Sehr oft, ja. Bevor sie mit der Verschlüsselung beginnen, suchen Angreifer den Backup-Server, die Konsole der Backup-Software und vorhandene Snapshots oder Schattenkopien, um sie zu löschen, zu verschlüsseln oder zu beschädigen, damit das Opfer sich nicht ohne Zahlung erholen kann. MITRE ATT&CK führt das als Inhibit System Recovery (T1490), und das Löschen von Schattenkopien taucht in vielen Ransomware-Warnungen der CISA auf. Backup-Administratorkonten und Backup-Server, die in derselben Domäne wie alles andere hängen, sind häufige Schwachstellen. Abwehr: mindestens eine unveränderbare oder Offline-Kopie vorhalten, das Backup-System mit separaten Zugangsdaten und Multi-Faktor-Authentifizierung betreiben, es möglichst aus der Hauptdomäne heraushalten und beschränken, welche Rechner sich verbinden dürfen. Im Netzwerk sind Verbindungen zum Backup-Server von Rechnern, die sonst nie mit ihm sprechen, ein Warnzeichen. Die Netzwerkkarte von NetSenX zeigt, welche Hosts jeden Server erreichen, und ungewöhnliche interne Verbindungen werden als mögliche laterale Bewegung gemeldet.

Weil Ransomware jedes Laufwerk verschlüsselt, das sie erreicht, und ein eingebundenes Laufwerk für sie wie jeder andere Ordner aussieht. Ist ein Backup-Ziel dauerhaft auf einem Server oder Arbeitsplatz eingebunden oder über eine Freigabe mit denselben Zugangsdaten erreichbar, verschlüsselt die Ransomware auf diesem Rechner die Backup-Dateien zusammen mit allem anderen, und die Backups sind genau dann weg, wenn Sie sie brauchen. Dasselbe gilt für eine externe USB-Festplatte, die ständig angeschlossen bleibt, und für Synchronisationswerkzeuge, die jede Änderung, auch die Verschlüsselung, auf das Backup-Ziel spiegeln. Besser: Die Backup-Software schreibt mit einem eigenen Dienstkonto auf ihr Ziel, das normale Nutzer und Server nicht haben, das Ziel taucht nicht in der Liste der durchsuchbaren Freigaben auf, und es gibt zusätzlich eine unveränderbare oder Offline-Kopie. Eine schnelle Prüfung für heute: Welche Rechner haben einen Laufwerksbuchstaben oder eine Freigabe auf den Backup-Speicher? Entfernen Sie alle, die es nicht brauchen.

So wenige wie möglich: der Backup-Server selbst, die Systeme, die er sichert, während ihres Sicherungsfensters, und der Verwaltungsarbeitsplatz der Administratoren. Gewöhnliche Arbeitsplätze haben keinen Grund, auf dem Backup-Server Dateifreigaben, Remote Desktop oder Verwaltungsports zu öffnen. Halten Sie das als kurzes Regelwerk fest und setzen Sie es mit Firewall-Regeln oder Netzwerksegmentierung durch, idealerweise mit einem eigenen Netzsegment für das Backup-System. Prüfen Sie dann, ob die Realität passt. Netzwerkflussdaten zeigen, welche Hosts tatsächlich mit dem Backup-Server sprechen, auf welchen Ports und wann; in NetSenX zeigt die Netzwerkkarte das in jedem Tarif, sodass ein Vertriebs-Laptop, der sich plötzlich mit dem Backup-Server verbindet, auffällt. Eine solche Verbindung ist nicht immer ein Angriff, verdient aber immer eine Erklärung, denn das Erreichen der Backups ist ein typischer Schritt kurz vor der Verschlüsselung durch Ransomware.

Ja, auf zwei verschiedene Arten. Die Backup-Dateien selbst können verschlüsselt oder gelöscht werden, wenn die Ransomware oder der Angreifer den Backup-Speicher erreicht, deshalb zählen unveränderbare und Offline-Kopien. Weniger offensichtlich: Backups können die Anwesenheit des Angreifers getreu mitsichern. Angreifer sind oft Tage oder Wochen im Netzwerk, bevor sie verschlüsseln, sodass jüngere Backups ihre Hintertüren, geplanten Aufgaben, neuen Adminkonten oder schädlichen Dateien enthalten können, bereit, nach einer Wiederherstellung wieder aufzuleben. Deshalb halten Sie mehrere Wiederherstellungspunkte über einen längeren Zeitraum vor, stellen zuerst in einer isolierten Umgebung wieder her, scannen die wiederhergestellten Systeme und prüfen auf Konten und Fernzugriffswerkzeuge, die dort nicht sein sollten. Zu wissen, wann das Eindringen tatsächlich begann, aus Protokollen und Netzwerkverlauf, zeigt Ihnen, welcher Wiederherstellungspunkt wahrscheinlich sauber ist.

Beginnen Sie nicht mit der Wiederherstellung, bevor Sie wissen, wie die Angreifer hereinkamen, und diesen Weg geschlossen haben, sonst stellen Sie in ein Netzwerk wieder her, das sie noch kontrollieren. Dann der Reihe nach: zuerst einen sauberen Backup-Server und eine saubere Wiederherstellungskonsole aufbauen oder prüfen, mit neuen Zugangsdaten; alle Passwörter von Administrator- und Dienstkonten ändern, auch die der Backup-Software; Systeme in ein isoliertes Netzsegment wiederherstellen, nicht direkt in die Produktion; einen Wiederherstellungspunkt von vor Beginn des Eindringens wählen, nicht nur von vor der Verschlüsselung; die wiederhergestellten Systeme scannen und auf unerwartete Konten, geplante Aufgaben und Fernzugriffswerkzeuge prüfen; und sie schrittweise wieder anschließen und dabei ihr Netzwerkverhalten beobachten. Lassen Sie die verschlüsselten Originale unangetastet, bis Sie sicher sind, als Beweis und falls ein Entschlüssler erscheint. Mit NetSenX tauchen wiederhergestellte Hosts, die regelmäßige ausgehende Verbindungen oder ungewöhnliche interne Verbindungen beginnen, in den Alarmen auf.

Zuerst die Grundlagen, dann das, was das Geschäft am dringendsten braucht, dann der Rest. Eine typische Reihenfolge: die Netzwerk- und Sicherheitsbasis wie Firewall, Switches, DNS, DHCP und die Überwachung, auf die Sie sich verlassen werden; die Identität, also Domänencontroller oder Cloud-Identität, neu aufgebaut oder als sauber geprüft, da jedes andere System davon abhängt; die Backup-Infrastruktur selbst; dann die geschäftskritischen Anwendungen in der vorab festgelegten Priorität, etwa Auftragsabwicklung, Produktionssteuerung oder Lohnabrechnung; und zuletzt gewöhnliche Dateifreigaben, Arbeitsplätze und weniger wichtige Dienste. Jeder Schritt sollte eine Prüfung enthalten, bevor der nächste beginnt. Die Reihenfolge gehört in Ihren Wiederherstellungsplan, vor jedem Vorfall mit der Geschäftsleitung abgestimmt, zusammen mit der Wiederherstellungszeit, die jedes System dauern darf. Ohne diese Abstimmung werden die ersten Tage nach einem Angriff zum Streit darüber, wessen System am wichtigsten ist, während die Uhr läuft.

Es sind die beiden Zahlen, die aus einem Backup-Plan eine Geschäftsentscheidung machen. Das Recovery Point Objective (RPO) gibt an, wie viele Daten Sie verlieren dürfen, gemessen in Zeit: Bei nächtlichen Backups beträgt Ihr RPO bis zu 24 Stunden, ein Arbeitstag könnte also verloren sein. Das Recovery Time Objective (RTO) gibt an, wie lange ein System ausfallen darf, bevor der Schaden untragbar wird, gemessen vom Vorfall bis zum erneuten Betrieb. Legen Sie beide pro System mit den Verantwortlichen des Geschäftsprozesses fest, nicht nur mit der IT: Die Buchhaltung verträgt vielleicht zwei Tage Ausfall, aber keinen Datenverlust, beim Onlineshop ist es womöglich umgekehrt. Prüfen Sie dann, ob Ihre Backups und Wiederherstellungstests diese Werte tatsächlich erreichen. Eine Wiederherstellung, die im Test drei Tage dauert, kann kein RTO von vier Stunden erfüllen, wie gut die Backup-Software auch sein mag.

Für sich genommen nicht. Synchronisationswerkzeuge sollen alle Kopien identisch halten: Werden Dateien auf einem Gerät gelöscht, überschrieben oder von Ransomware verschlüsselt, wird die Änderung binnen Minuten in die Cloud und auf alle anderen Geräte übertragen. Die meisten Dienste führen einen Versionsverlauf und einen Papierkorb, und manche können eine ganze Bibliothek auf einen früheren Zeitpunkt zurücksetzen, was nach einem Vorfall retten kann. Dieser Verlauf hat aber eine begrenzte Aufbewahrung, wird über dasselbe Konto gesteuert, das der Angreifer vielleicht übernommen hat, und niemand testet ihn wie ein Backup. Betrachten Sie Synchronisation als Komfort und Zusammenarbeit. Für wichtige Daten brauchen Sie ein echtes Backup: eine separate Kopie, mit separaten Zugangsdaten, mit einer Aufbewahrung, die Sie festlegen, und mit getesteter Wiederherstellung. Das gilt ebenso für Dateiserver, die in die Cloud synchronisieren.

In der Regel ja. SaaS-Anbieter arbeiten nach einem Modell der geteilten Verantwortung: Sie halten den Dienst verfügbar und schützen ihn gegen eigene Hardwareausfälle, aber Ihre Daten vor Löschung, einem böswilligen Insider, einem kompromittierten Konto oder einer abgelaufenen Aufbewahrungsfrist zu schützen, ist weitgehend Ihre Aufgabe. Der Microsoft-Servicevertrag selbst empfiehlt Kunden, ihre Inhalte regelmäßig zu sichern. Die eingebauten Sicherheitsnetze wie Ordner für gelöschte Elemente, Papierkörbe und Versionsverlauf haben eine begrenzte Aufbewahrung und können von jemandem mit passenden Rechten geleert werden. Ein Backup von Postfächern, SharePoint und OneDrive mit einem Drittanbieterwerkzeug, oder das Gegenstück für Google Workspace, CRM und Buchhaltungssysteme, gibt Ihnen eine unabhängige Kopie mit Aufbewahrung unter Ihrer Kontrolle. Prüfen Sie auch den Wiederherstellungsablauf: Ein einzelnes Postfach wiederherzustellen und einen ganzen Tenant nach einem Angriff sind sehr verschiedene Aufgaben.

Ja. Kann dasselbe Domänenadministratorkonto, mit dem alles andere läuft, auch Backups löschen, dann kontrolliert ein Angreifer, der dieses eine Konto stiehlt, sowohl Ihre Systeme als auch Ihren Weg zurück. Geben Sie dem Backup-System eigene Administratorkonten, die nicht Mitglied der Hauptdomäne oder des Verzeichnisdienstes sind, schützen Sie sie mit Multi-Faktor-Authentifizierung, möglichst phishingresistent, und nutzen Sie sie nur von einem eigenen Verwaltungsarbeitsplatz aus. Dienstkonten, mit denen die Backup-Software Daten von Servern liest, sollten nur die nötigen Rechte haben, und ihre Passwörter sollten lang, einzigartig und sicher verwahrt sein. Wo das Backup-Produkt es unterstützt, verlangen Sie für das Löschen von Backups oder das Verkürzen der Aufbewahrung die Freigabe einer zweiten Person, das Vier-Augen-Prinzip. Prüfen Sie mindestens zweimal im Jahr und bei jedem Austritt, wer Backup-Adminrechte hat. Diese Schritte kosten wenig und schließen eine der Lücken, die Ransomware-Angreifer am häufigsten ausnutzen.

Lange genug, um zu einem Zeitpunkt vor Beginn eines Eindringens zurückzukehren und rechtliche und geschäftliche Anforderungen zu erfüllen, aber bei personenbezogenen Daten nicht länger als nötig. Angreifer sitzen oft wochenlang im Netzwerk, bevor sie handeln, und beschädigte oder gelöschte Dateien fallen manchmal erst nach Monaten auf, daher reichen wenige Tage Aufbewahrung selten. Ein übliches Schema: tägliche Backups für einige Wochen, wöchentliche für einige Monate und monatliche oder quartalsweise für ein Jahr oder länger, wobei mindestens der jüngste Teil unveränderbar ist. Gesetzliche Aufbewahrungsfristen, etwa für Buchhaltungsunterlagen, setzen für manche Daten ein Minimum, während der Grundsatz der Speicherbegrenzung der DSGVO bedeutet, dass personenbezogene Daten nicht ewig liegen dürfen, nur weil sie in einem Backup stecken; dokumentieren Sie, wie Löschanfragen für Backup-Kopien behandelt werden. Schreiben Sie den Aufbewahrungsplan auf und prüfen Sie, ob das Backup-System ihn tatsächlich durchsetzt.

Ja, besonders Kopien, die das Firmengelände verlassen oder bei einem Cloud-Anbieter liegen. Ein gestohlenes Backup-Band, eine Festplatte oder ein Cloud-Speicher ist sonst eine vollständige Kopie der Firmendaten, und die Verschlüsselung macht daraus für den Dieb nutzlose Bytes; nach der DSGVO ist Verschlüsselung eine der in Artikel 32 genannten Sicherheitsmaßnahmen und kann beeinflussen, ob die Betroffenen über eine verlorene Kopie benachrichtigt werden müssen. Schwierig ist der Schlüssel. Liegt der Schlüssel nur auf dem Backup-Server und wird dieser zerstört oder von Ransomware verschlüsselt, sind Ihre Backups auch für Sie unlesbar. Bewahren Sie den Schlüssel oder Wiederherstellungsschlüssel an einem separaten, dokumentierten Ort auf, der nicht von den gesicherten Systemen abhängt, etwa in einem Passwortmanager mit Offline-Zugriff oder als versiegelte Kopie im Tresor, und nehmen Sie seine Beschaffung in Ihre Wiederherstellungstests auf. Verschlüsselte Backups schützen die Vertraulichkeit, ersetzen aber nicht die Unveränderbarkeit.

Behandeln Sie sie als Ihre wertvollsten Systeme, denn nach einem Angriff sind sie das. Setzen Sie das Backup-System in ein eigenes Netzsegment und erlauben Sie nur die nötigen Verbindungen: Backup-Verkehr von den geschützten Systemen und Verwaltungszugriff von wenigen Admin-Arbeitsplätzen. Schließen Sie Remote Desktop und Dateifreigaben auf dem Backup-Server, sofern sie nicht zwingend nötig sind, und nutzen Sie ihn nie zum Surfen oder für E-Mail. Patchen Sie Betriebssystem und Backup-Software zügig; Backup-Produkte selbst hatten schon schwere Schwachstellen, die von Ransomware-Akteuren ausgenutzt wurden. Nutzen Sie separate Adminkonten mit MFA, halten Sie den Server möglichst aus der Hauptdomäne heraus und behalten Sie mindestens eine unveränderbare oder Offline-Kopie. Und beobachten Sie ihn: neue Hosts, die sich verbinden, Verbindungen zu ungewöhnlichen Zeiten und große Lesezugriffe auf den Backup-Speicher durch andere Rechner als den Backup-Server sind Anzeichen, denen man nachgehen sollte, und alle sind im Netzwerkverkehr sichtbar.

Ein Backup-Plan beantwortet, was gesichert wird, wie oft, wo es liegt und wie lange. Ein Notfallwiederherstellungsplan beantwortet, wie das Geschäft wieder läuft, wenn etwas Großes ausfällt: wer entscheidet, welche Systeme zuerst zurückkommen, wo sie laufen, wenn der ursprüngliche Standort oder die Hardware weg ist, wie lange jeder Schritt dauern darf, wie Mitarbeitende und Kunden informiert werden und woran man erkennt, dass man fertig ist. Backups sind eine Zutat der Wiederherstellung, nicht das ganze Rezept. Firmen mit hervorragenden Backups verlieren nach einem Ransomware-Angriff trotzdem Wochen, weil niemand die Wiederherstellungsreihenfolge kannte, die Backup-Konsole eine Domäne brauchte, die es nicht mehr gab, oder der Einzige mit den Passwörtern im Urlaub war. Schreiben Sie den Wiederherstellungsplan auf, bewahren Sie eine Kopie außerhalb Ihrer eigenen Systeme auf, auch auf Papier, und testen Sie ihn mindestens einmal im Jahr mit einer realistischen Übung, so wie Sie Wiederherstellungen testen.

Sichern Sie die virtuellen Maschinen mit einem Werkzeug, das den Hypervisor versteht, damit Sie eine ganze Maschine schnell wiederherstellen können, und schützen Sie auch die Hypervisor-Ebene selbst. Viele aktuelle Ransomware-Familien haben Versionen, die gezielt VMware-ESXi-Hosts verschlüsseln und damit alle virtuellen Maschinen darauf auf einmal lahmlegen. Praktisch heißt das: Verwaltungsoberflächen der Hypervisoren aus dem allgemeinen Netz heraushalten und nur von Admin-Arbeitsplätzen erreichbar machen; separate, MFA-geschützte Konten für Hypervisor- und Backup-Verwaltung nutzen; nicht benötigte Dienste wie SSH auf den Hosts außerhalb von Wartungsfenstern abschalten; Hypervisoren zügig patchen; und sicherstellen, dass mindestens eine Backup-Kopie außerhalb der virtuellen Umgebung liegt, die sie schützt, unveränderbar oder offline. Hypervisor-Snapshots sind nützlich für schnelle Rücksprünge, aber keine Backups: Sie liegen auf demselben Speicher und verschwinden mit ihm. Testen Sie die Wiederherstellung einer kompletten virtuellen Maschine auf anderer Hardware, denn nach einem Angriff ist der ursprüngliche Host womöglich nicht verfügbar.

Gemeint ist, Systeme zuerst in eine separate, isolierte Umgebung wiederherzustellen, getrennt vom Produktionsnetz und vom Internet, wo sie geprüft werden können, bevor man ihnen wieder vertraut. Nach einem Ransomware-Angriff weiß man anfangs selten, ob die Backups Werkzeuge oder Konten des Angreifers enthalten oder ob der Angreifer noch Zugang zum Netzwerk hat. Im Clean Room wird ein kleiner Satz bekannt sauberer Infrastruktur neu aufgebaut, oft mit frischen Identitätsdiensten; wiederhergestellte Systeme werden gescannt, ihre Konten und geplanten Aufgaben geprüft und ihr Verhalten beobachtet, und erst dann wandern sie in die Produktion. Größere Firmen bereiten eine solche Umgebung vorab vor, manchmal mit Hilfe des Backup-Anbieters; kleinere können einen Ersatzserver oder ein dafür vorgehaltenes Cloud-Konto einplanen. Es geht nicht um Perfektion, sondern darum, den häufigsten Fehler bei der Wiederherstellung zu vermeiden: direkt zurück in ein kompromittiertes Netz wiederherzustellen und ein zweites Mal verschlüsselt zu werden.

Sicher sein können Sie nicht, aber Sie können das Risiko deutlich senken. Beginnen Sie mit der Zeitleiste: Ermitteln Sie aus Protokollen, Endpunktdaten und Netzwerkverlauf, wann das Eindringen tatsächlich begann, nicht wann verschlüsselt wurde, und wählen Sie für kritische Systeme möglichst einen Wiederherstellungspunkt von davor. Stellen Sie in einer isolierten Umgebung wieder her und scannen Sie das Ergebnis mit aktuellen Sicherheitswerkzeugen, auch auf die Kompromittierungsindikatoren aus Ihrer Untersuchung oder aus der passenden CISA-Warnung. Suchen Sie nach Dingen, die nicht dorthin gehören: neue lokale oder Domänenkonten, geplante Aufgaben, Dienste und Autostart-Einträge, Fernzugriffswerkzeuge und Web Shells auf Webservern. Vergleichen Sie die wiederhergestellte Konfiguration mit der Dokumentation oder einer bekannt sauberen Kopie. Beobachten Sie dann das Netzwerkverhalten des wiederhergestellten Systems, bevor Sie ihm vertrauen. NetSenX hilft dabei: Ein wiederhergestellter Host, der regelmäßige ausgehende Verbindungen beginnt oder andere Rechner scannt, erscheint in den Alarmen, während mehrere ruhige Tage ein nützliches, wenn auch kein absolutes Zeichen sind.

Fast niemand, und niemand allein. Backups zu löschen oder ihre Aufbewahrung zu verkürzen ist die Handlung, die Angreifer vor der Verschlüsselung am liebsten ausführen, deshalb sollte sie schwieriger sein als jede normale Admin-Aufgabe. Praktische Regeln: Nur wenige namentlich benannte Backup-Administratoren haben dieses Recht, mit Konten getrennt von der Hauptdomäne und geschützt durch phishingresistente MFA; Löschungen oder Änderungen der Aufbewahrung brauchen, wo das Produkt es unterstützt, die Freigabe einer zweiten Person; unveränderbare Kopien kann bis zum Ablauf der Sperre niemand löschen; und jede Löschung wird an einem Ort protokolliert, den die Backup-Administratoren nicht bearbeiten können. Normales IT-Personal kann Backups ausführen, überwachen und Dateien wiederherstellen, ohne sie entfernen zu können. Prüfen Sie die Liste der Berechtigten regelmäßig und entfernen Sie Ausgeschiedene sofort. Ist eine Löschung wirklich nötig, etwa durch einen Gerichtsbeschluss oder einen Löschantrag nach DSGVO, dokumentieren Sie Entscheidung und Freigabe.

Nein. NetSenX ist ein Dienst für Network Detection and Response: Es beobachtet, wie Geräte in Ihrem Netzwerk kommunizieren, und warnt vor Anzeichen eines Eindringens wie Beaconing, Scans, lateraler Bewegung und ungewöhnlichen ausgehenden Datenmengen. Es kopiert weder Ihre Dateien noch Datenbanken, Postfächer oder Server und kann sie nach einem Vorfall nicht wiederherstellen. NetSenX speichert eigene Daten über Ihr Netzwerk: das Geräteinventar, Verbindungsmetadaten und den Alarmverlauf, mit der Aufbewahrungsdauer Ihres Tarifs. Dieser Verlauf ist bei einer Wiederherstellung nützlich, weil er hilft herauszufinden, wann ein Eindringen begann und welche Hosts betroffen waren, und damit, welcher Wiederherstellungspunkt wahrscheinlich sauber ist. Für die Backups selbst brauchen Sie eine eigene Backup-Lösung, idealerweise mit einer unveränderbaren oder Offline-Kopie. NetSenX ergänzt sie, indem es ungewöhnliche Zugriffe auf den Backup-Server und verdächtiges Verhalten wiederhergestellter Systeme zeigt.

Ja, und das wird oft vergessen. Netzwerkgeräte enthalten Konfigurationen, die über Jahre gewachsen sind: Firewall-Regeln, VPN-Einstellungen, VLANs, Routing und Zugriffslisten. Fällt eine Firewall aus, wird sie von einem Angreifer gelöscht oder muss sie nach einer Kompromittierung ersetzt werden, dauert der Neuaufbau aus dem Gedächtnis Tage und bringt meist Fehler mit sich. Exportieren Sie die Konfiguration automatisch nach jeder Änderung und mindestens wöchentlich, speichern Sie die Kopien außerhalb der Geräte, idealerweise in einer Versionsverwaltung, damit Sie sehen, was sich wann geändert hat, und halten Sie mindestens eine Kopie offline. Schützen Sie die Exporte, denn sie enthalten sensible Details und manchmal Zugangsdaten oder Schlüssel. Ein Konfigurationsverlauf hat auch einen Sicherheitsnutzen: Eine unerwartete neue Regel, ein neues Konto oder eine Portweiterleitung ist ein klassisches Zeichen dafür, dass jemand an einem Edge-Gerät manipuliert hat. Nehmen Sie die Wiederherstellung einer Gerätekonfiguration in Ihre Wiederherstellungstests auf, am besten auf ein Ersatzgerät.

Für sich genommen nicht. Ein Snapshot auf einem Speichersystem, einer virtuellen Maschine oder einem Dateisystem hält den Zustand der Daten zu einem Zeitpunkt fest, meist indem er geänderte Blöcke verfolgt statt eine vollständige Kopie anzulegen. Er ist schnell und sehr nützlich, um ein fehlgeschlagenes Update zurückzunehmen oder eine gelöschte Datei zurückzuholen. Er liegt aber normalerweise auf demselben Speichersystem wie die Originaldaten, wird über dieselbe Konsole mit denselben Zugangsdaten verwaltet und verschwindet, wenn dieser Speicher ausfällt oder ein Angreifer ihn löscht, was Ransomware-Betreiber routinemäßig versuchen. Ein Snapshot wird Teil einer echten Backup-Strategie, wenn er auf separaten Speicher repliziert, gegen Löschen geschützt und per Wiederherstellung getestet wird. Nutzen Sie Snapshots für die schnelle Behebung alltäglicher Fehler und halten Sie unabhängige, unveränderbare oder Offline-Backups für den Tag bereit, an dem der Speicher selbst das Problem ist.