Schützt kontinuierliches Backup vor Ransomware?

Was ist kontinuierliches Backup, und wie unterscheidet es sich von einem nächtlichen Backup?

Kontinuierliches Backup, oft Continuous Data Protection (CDP) genannt, zeichnet jede Änderung kurz nach dem Schreiben auf, statt zu einem festen Zeitpunkt eine einzelne Kopie zu erstellen. Ein nächtliches Backup liefert Ihnen einen Wiederherstellungspunkt pro Tag, ein kontinuierliches Backup viele.

Der Unterschied zeigt sich beim Recovery Point Objective. Das NIST definiert das Recovery Point Objective als „den Zeitpunkt, auf den Daten nach einem Ausfall wiederhergestellt werden müssen“. Einfach gesagt: Das RPO gibt an, wie viel Arbeit Sie sich zu verlieren leisten können. Bei einem nächtlichen Backup um 22:00 Uhr kann ein Ransomware-Angriff am nächsten Tag um 15:00 Uhr 17 Stunden Rechnungen, Zeichnungen und E-Mails auslöschen.

Die Häufigkeit ist eine Ebene des Backup-Konzepts, nicht das ganze Konzept. Auf unserer Seite Backup as a Service erklären wir die weiteren Ebenen, die darüber entscheiden, ob eine Wiederherstellung nach einem Angriff funktioniert.

Warum ist die Backup-Häufigkeit bei einem Ransomware-Angriff wichtig?

Weil Angreifer ihren Zeitpunkt selbst wählen. Je länger Ihre letzte gute Kopie zurückliegt, desto mehr Arbeit verlieren Sie. Ransomware-Gruppen schlagen tendenziell dann zu, wenn Sie am wenigsten auf eine Reaktion vorbereitet sind.

FBI und CISA warnten in einer gemeinsamen Sicherheitswarnung zu Ransomware an Feiertagen und Wochenenden, Angreifer hielten diese Zeiten für attraktiv, weil „Netzwerkverteidiger und IT-Support der betroffenen Organisationen über einen längeren Zeitraum nur eingeschränkt verfügbar sind“. Die Warnung nennt Angriffe am Muttertag, am Memorial Day und am 4. Juli 2021, darunter den Kaseya-Angriff, der mehrere Managed Service Provider traf.

Der Zeitpunkt ist nicht die einzige Taktik. In der Sophos-Umfrage 2024 unter Organisationen, die von Ransomware getroffen wurden, gaben 94 % an, die Täter hätten versucht, ihre Backups zu kompromittieren. 57 % dieser Versuche waren erfolgreich. Organisationen mit kompromittierten Backups nannten mediane Wiederherstellungskosten von 3 Millionen US-Dollar, gegenüber 375.000 US-Dollar bei Organisationen, deren Backups unbeschädigt blieben.

Ransomware bleibt die größte Bedrohung in Europa. Die ENISA Threat Landscape 2025 nennt sie „die folgenreichste Bedrohung in der EU“. Die Frage ist also nicht nur, wie oft Sie sichern, sondern ob diese Kopien einen Angriff überstehen.

Kann kontinuierliches Backup die Wiederherstellung nach Ransomware erschweren?

Ja, wenn es als Replikation ohne geschützte Historie eingerichtet ist. Ein System, das jede Änderung innerhalb von Minuten kopiert, kopiert auch verschlüsselte Dateien innerhalb von Minuten.

Die Dokumentation von Microsoft zu Azure Site Recovery ist ein anschauliches Beispiel für kontinuierliche Replikation. Schreibvorgänge auf Datenträgern werden „sofort übertragen“, absturzkonsistente Wiederherstellungspunkte entstehen alle fünf Minuten, und die Standardaufbewahrung der Wiederherstellungspunkte beträgt einen Tag. Dieses Design ist für Disaster Recovery nach einem Ausfall gedacht. War ein Angreifer länger aktiv als Ihr Aufbewahrungszeitraum, kann schon jeder Wiederherstellungspunkt seine Manipulationen enthalten.

Das Problem der Verweildauer

Angreifer verschlüsseln selten am ersten Tag. Der M-Trends-2026-Report von Mandiant beziffert die globale mediane Verweildauer, also die Zeit, die ein Eindringling im Netzwerk verbringt, bis er entdeckt wird, auf 14 Tage. Mandiant beschreibt außerdem, wie Angreifer Speicherorte kartieren, „bevor sie systematisch Backup-Objekte aus dem Cloud-Speicher und von lokalen Systemen löschen“.

MITRE ATT&CK erfasst dieses Verhalten als T1490 Inhibit System Recovery: Schattenkopien und Backup-Kataloge löschen, Snapshots virtueller Maschinen verschlüsseln und die Versionierung deaktivieren. Ein kontinuierliches Backup mit zwei Tagen Historie hilft nicht, wenn der letzte saubere Stand drei Wochen zurückliegt.

• Bewahren Sie die Historie länger auf als die wahrscheinliche Verweildauer: Wochen an Wiederherstellungspunkten, nicht Stunden.
• Schützen Sie diese Historie: Ein Angreifer mit Administratorrechten darf die Aufbewahrung weder verkürzen noch Wiederherstellungspunkte löschen können.
• Wissen Sie, welcher Punkt sauber ist: Malware-Scans und Wiederherstellungstests zeigen, auf welchen Stand Sie zurückgehen. Unser Artikel zur Anomalieerkennung in Backups beschreibt, wie MSPs den Moment erkennen, in dem die Verschlüsselung begann.

Was braucht ein Backup, das Ransomware standhält, außer einer hohen Frequenz?

Unveränderlichkeit, Isolation, getrennten Zugriff und den Nachweis, dass Wiederherstellungen funktionieren. Die Frequenz bestimmt, wie viel Sie verlieren. Diese vier entscheiden, ob Sie überhaupt wiederherstellen können.

Die Grundsätze des britischen National Cyber Security Centre für ransomware-resistente Cloud-Backups beschreiben, wie das aussieht. Backups sollten sich nicht löschen und nicht bearbeiten lassen, Kunden sollten aus Versionen vor der Beschädigung wiederherstellen können, und es sollten Warnungen ausgelöst werden, wenn „wesentliche Änderungen vorgenommen oder privilegierte Aktionen versucht werden“.

1. Unveränderliche Kopien. Speicher, der nur einmal beschrieben werden kann, etwa Object Lock, verhindert, dass Backups für einen festgelegten Zeitraum gelöscht oder überschrieben werden. Im Compliance-Modus von AWS kann nicht einmal der Root-Benutzer die Aufbewahrungsdauer verkürzen.
2. Eine Air-Gap-Kopie. Eine Kopie liegt ohne Verbindung zu Ihrem Netzwerk außerhalb der Reichweite Ihrer Produktivzugänge. Das ist die zusätzliche „1“ in der 3-2-1-1-0-Regel.
3. Getrennter Administratorzugriff mit MFA. Die Kompromittierung Ihres Domänenadministrators darf niemandem die Kontrolle über die Backups geben.
4. Geprüfte Wiederherstellungen. Die „0“ in 3-2-1-1-0 steht für null Fehler nach einer geprüften Wiederherstellung.

So bauen wir unseren Dienst auf. Backups liegen ausschließlich in unseren eigenen Tier-III-Rechenzentren in Deutschland und den Niederlanden. Sie sind mit Object Lock unveränderlich, dazu kommt eine Air-Gap-Kopie. Jeder Backup-Job wird automatisch geprüft, Backups werden auf Malware gescannt, administrative Aktionen erfordern MFA, und die Plattform wird rund um die Uhr überwacht. Müssen Systeme schnell wieder laufen, stellen wir kritische Workloads mit einer SLA von 4 Stunden wieder her. Instant VM Boot startet Server in einer isolierten Wiederherstellungsumgebung in einem separaten, sauberen Netzwerk.

Wie oft sollten Sie jedes System sichern?

So oft, wie die Kosten verlorener Arbeit es rechtfertigen, System für System. Ein Netzlaufwerk voller täglicher Entwurfsarbeit braucht ein kürzeres RPO als ein Archiv, das sich einmal im Monat ändert.

1. Listen Sie Ihre Systeme auf und die Mitarbeitenden, die darin arbeiten: Postfächer, Dateifreigaben, Datenbanken, Fachanwendungen, Laptops.
2. Schätzen Sie pro System, was eine Stunde verlorene Arbeit kostet: Arbeitszeit für die Wiederholung, verpasste Aufträge, Vertragsstrafen. Unsere Anleitung zu den Kosten von Ausfallzeiten führt Sie durch die Berechnung.
3. Legen Sie für jedes System ein RPO und ein RTO fest (Recovery Time Objective, also wie schnell Sie das System zurückbrauchen). Unsere Erklärung zu RTO und RPO hilft Ihnen, realistische Ziele zu setzen.
4. Wählen Sie die Methode passend zum Ziel. Stark genutzte Fileserver und Datenbanken rechtfertigen unter Umständen mehrere Jobs am Tag oder kontinuierlichen Schutz. Stabile Systeme können bei einem täglichen Plan bleiben.
5. Legen Sie die Aufbewahrung länger fest als die wahrscheinliche Verweildauer, damit Sie Wochen zurückgehen können, nicht nur Stunden.
6. Testen Sie gegen das Ziel. Stellen Sie eine echte Datei und einen echten Server wieder her und messen Sie die Zeit. Siehe Woran Sie erkennen, ob Ihr Backup wirklich funktioniert.

Ihre nächsten Schritte

Kontinuierliches Backup verringert, wie viel Arbeit Sie ein Ransomware-Angriff kosten kann. Für sich allein ist es aber kein Ransomware-Schutz. Kombinieren Sie die passende Häufigkeit für jedes System mit unveränderlichen, isolierten Kopien, einer Historie, die länger ist als die Verweildauer eines Angreifers, und regelmäßigen Wiederherstellungstests.

Fällt Ihre Organisation unter NIS2, ist das neben guter Praxis auch eine rechtliche Anforderung. Art. 21 Abs. 2 lit. c der NIS2-Richtlinie (EU) 2022/2555 nennt unter den Maßnahmen, die Sie ergreifen müssen, die Aufrechterhaltung des Betriebs, etwa Backup-Management und Wiederherstellung nach einem Notfall, sowie das Krisenmanagement. Wie die Ebenen zusammenpassen, sehen Sie auf unserer Seite Backup as a Service.

Möchten Sie sehen, wie schnell ein sauberer Wiederherstellungspunkt aus einem EU-Rechenzentrum zurückkommt? Vereinbaren Sie eine kostenlose 15-minütige Demo und sprechen Sie mit einem Menschen auf Deutsch, Niederländisch oder Englisch.

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung.