Backup & Disaster Recovery — Ransomware-Resilienz & Insider-Wissen

Grundlagen — 3-2-1 Regel, Backup-Typen und Recovery-Ziele

Das Fundament jeder professionellen Datensicherung bildet die 3-2-1-Regel, die bereits in den 2000er-Jahren vom US-amerikanischen Fotografen Peter Krogh formuliert wurde und seither als universeller Standard gilt: Es sollten stets mindestens drei Kopien aller wichtigen Daten existieren, auf mindestens zwei unterschiedlichen Medientypen gespeichert, wovon mindestens eine Kopie an einem externen Standort (Offsite) aufbewahrt wird. Moderne Erweiterungen wie die 3-2-1-1-0-Regel ergänzen eine Offline- oder Air-Gapped-Kopie sowie null Fehler bei der automatisierten Backup-Verifizierung. Diese erweiterte Regel trägt der wachsenden Bedrohung durch Ransomware Rechnung, die gezielt Backup-Systeme verschlüsselt.

Bei den Backup-Typen unterscheidet man drei grundlegende Verfahren: Ein Vollbackup (Full Backup) sichert sämtliche Daten vollständig und bietet die schnellste Wiederherstellungszeit, benötigt jedoch den meisten Speicherplatz und die längste Sicherungsdauer. Ein Inkrementelles Backup sichert nur die seit dem letzten Backup (gleich welchen Typs) veränderten Daten — es ist die speichereffizienteste Methode, erfordert bei der Wiederherstellung jedoch das Vollbackup plus alle nachfolgenden Inkremente in korrekter Reihenfolge. Ein Differentielles Backup sichert alle seit dem letzten Vollbackup veränderten Daten und stellt einen Kompromiss zwischen Speicherplatz und Wiederherstellungsgeschwindigkeit dar: Zur Restauration werden nur das Vollbackup und das letzte Differentielle benötigt.

Zwei zentrale Kennzahlen definieren die Anforderungen an jede Backup-Strategie: Die Recovery Point Objective (RPO) bestimmt den maximal tolerierbaren Datenverlust, gemessen in Zeiteinheiten. Eine RPO von 4 Stunden bedeutet, dass im schlimmsten Fall die Arbeit der letzten 4 Stunden verloren gehen darf. Die Recovery Time Objective (RTO) definiert die maximal akzeptable Ausfallzeit vom Schadenseintritt bis zur vollständigen Wiederherstellung des Geschäftsbetriebs. RPO und RTO werden nicht technisch, sondern geschäftlich bestimmt — durch eine Business Impact Analysis (BIA), die den finanziellen Schaden pro Stunde Ausfallzeit für jeden Geschäftsprozess beziffert. Je niedriger RPO und RTO, desto höher die Kosten für die notwendige Infrastruktur.

Backup-Strategien — GFS, Immutability und Cloud-Backup

Die Wahl der richtigen Backup-Strategie hängt von den definierten RPO/RTO-Zielen, dem verfügbaren Budget und der Komplexität der zu sichernden Infrastruktur ab. In der Praxis haben sich mehrere bewährte Ansätze etabliert, die häufig kombiniert eingesetzt werden, um ein optimales Verhältnis aus Kosten, Sicherheit und Wiederherstellungsgeschwindigkeit zu erreichen.

Das Grandfather-Father-Son (GFS)-Schema ist die am weitesten verbreitete Rotation für Backup-Medien und -Generationen. „Son“-Backups werden täglich erstellt (typischerweise inkrementell), „Father“-Backups wöchentlich (Vollbackup am Wochenende) und „Grandfather“-Backups monatlich oder quartalsweise für die Langzeitarchivierung. Durch dieses Rotationsprinzip wird ein ausgewogenes Verhältnis zwischen Speicherverbrauch und Wiederherstellungstiefe erreicht — tägliche Granularität für die letzten Wochen und monatliche Punkte für bis zu mehrere Jahre.

• Immutable Backups: Unveränderbare Backups können nach dem Schreiben für einen definierten Zeitraum weder modifiziert noch gelöscht werden — selbst nicht von Administratoren. Diese Eigenschaft ist der wirksamste Schutz gegen Ransomware, die gezielt Backup-Repositories verschlüsselt. Veeam implementiert Immutability über Hardened Linux Repositories, Proxmox Backup Server nutzt Datastore-Locking, und Cloud-Anbieter bieten Object Lock (AWS S3) oder Immutable Blob Storage (Azure) als Plattformfeature.
• Air-Gapped Storage: Physisch oder logisch vom Netzwerk getrennte Backup-Medien bieten den höchsten Schutz gegen netzwerkbasierte Angriffe. Klassische Ansätze umfassen LTO-Bandlaufwerke (Linear Tape-Open), die nach dem Beschreiben aus der Library entnommen werden, oder RDX-Wechselmedien. Moderne Varianten nutzen dedizierte Netzwerksegmente mit strikten Firewall-Regeln, die Verbindungen ausschließlich vom Backup-Server zum Storage erlauben und jede eingehende Verbindung blockieren.
• Cloud-Backup: Die Auslagerung von Backups in die Cloud erfüllt automatisch das Offsite-Kriterium der 3-2-1-Regel. Anbieter wie Azure Blob Storage, AWS S3 Glacier oder Wasabi bieten kosteneffiziente Speicherklassen für Langzeitarchivierung. Kritisch ist die Ende-zu-Ende-Verschlüsselung (Client-Side Encryption) vor dem Upload sowie die Berücksichtigung von Egress-Kosten, die beim Download im Restore-Fall anfallen und je nach Anbieter und Speicherklasse erheblich variieren können.
• Deduplizierung: Moderne Backup-Lösungen erkennen identische Datenblöcke und speichern diese nur einmal. Source-Side Deduplication reduziert bereits die übertragene Datenmenge, während Target-Side Deduplication den Speicherverbrauch im Repository minimiert. Typische Deduplizierungsraten liegen bei 10:1 bis 50:1 für VM-Backups mit ähnlichen Betriebssystemen. Veeam kombiniert Deduplizierung mit WAN-Beschleunigung für effiziente Replikation zwischen Standorten.
• Kompression: Ergänzend zur Deduplizierung reduziert Datenkompression den Speicherbedarf weiter. Algorithmen wie LZ4 bieten hohe Geschwindigkeit bei moderater Kompressionsrate, während Zstandard (zstd) ein exzellentes Verhältnis aus Kompressionsrate und Performance liefert. Für Langzeitarchive kommt häufig LZMA zum Einsatz, das die beste Kompression bietet, aber deutlich mehr CPU-Ressourcen beansprucht.
• Automatisierte Verifizierung: Backups ohne regelmäßige Tests sind wertlos. Veeam SureBackup startet Backup-VMs automatisch in einer isolierten Sandbox-Umgebung und führt Integritätstests durch (Heartbeat, Ping, Anwendungsprüfung). Proxmox Backup Server validiert Backups über kryptografische Prüfsummen auf Chunk-Ebene. Unternehmen sollten zusätzlich mindestens quartalsweise manuelle Restore-Drills durchführen, bei denen komplette Systeme aus Backups wiederhergestellt werden.

Ransomware vs. Backup — wie Angreifer Ihre letzte Verteidigungslinie zerstören

Moderne Ransomware-Gruppen (LockBit, BlackCat/ALPHV, Cl0p, Akira) haben spezialisierte Playbooks für die Zerstörung von Backup-Infrastrukturen. Der typische Ablauf: Der Angreifer kompromittiert das Netzwerk, bewegt sich lateral zum Backup-Server, löscht oder verschlüsselt alle Backups, und erst dann wird die Ransomware auf den Produktionssystemen ausgeführt. Wenn das Opfer feststellt, dass die Systeme verschlüsselt sind, sind die Backups bereits zerstört — und die Lösegeldforderung ist die einzige Option. Die durchschnittliche Verweildauer (Dwell Time) beträgt 5–10 Tage — genug Zeit, um jede Backup-Infrastruktur zu kartieren und zu zerstören.

• Veeam als Angriffsziel — CVE-2023-27532: Veeam Backup & Replication ist die weltweit am häufigsten eingesetzte Backup-Lösung — und damit ein Primärziel. CVE-2023-27532 (CVSS 7.5) erlaubte das Auslesen von verschlüsselten Credentials aus der Veeam-Datenbank ohne Authentifizierung. Ransomware-Gruppen nutzten dies, um Veeam-Service-Account-Passwörter zu extrahieren und damit Backup-Repositories zu löschen. CVE-2024-40711 (CVSS 9.8) ermöglichte unauthentifizierte RCE auf dem Veeam-Server. Insider-Tipp: Der Veeam-Server sollte in einem eigenen, isolierten VLAN stehen, nicht domänengebunden sein (lokale Accounts statt AD-Integration), und nur über eine dedizierte Management-Schnittstelle erreichbar sein.
• Backup-Credential-Diebstahl: Angreifer extrahieren Credentials der Backup-Software: Veeam speichert Credentials in einer SQL-Server-Datenbank (dbo.Credentials), verschlüsselt mit DPAPI. Mit SYSTEM-Rechten auf dem Veeam-Server: sqlcmd -S localhost\VEEAMSQL -d VeeamBackup -Q "SELECT [password] FROM [dbo].[Credentials]" + DPAPI-Entschlüsselung. Commvault, Veritas, Arcserve haben ähnliche Angriffspfade. Fix: Backup-Server nicht in die Domäne aufnehmen, Credential Guard aktivieren, Backup-Admin-Accounts mit langen, einzigartigen Passwörtern schützen.
• Volume Shadow Copy Deletion — der erste Angriff: Fast jede Ransomware führt als erstes aus: vssadmin delete shadows /all /quiet und wmic shadowcopy delete. Damit werden alle lokalen Windows-Schattenkopien gelöscht — die einfachste Form der Wiederherstellung ist weg. Fortgeschrittene Varianten: bcdedit /set {default} recoveryenabled No (Windows Recovery deaktivieren), wbadmin delete catalog -quiet (Windows-Backup-Katalog löschen). Verteidigung: Überwachen Sie diese Befehle mit Sysmon Event 1 (Process Create) + Sigma-Regel — die Löschung von Schattenkopien ist ein 100 %-iger Ransomware-Indikator.
• Die Immutability-Hierarchie (schwach → stark): Software-Immutability (Veeam Hardened Repository auf Linux, chattr +i) — schützt gegen normale Benutzer, aber ein Angreifer mit Root-Zugriff kann chattr -i ausführen. Object Lock (S3/Azure Blob) — stärker: Selbst der Bucket-Owner kann Objekte nicht löschen. Aber: Der Account-Owner kann den Bucket löschen (Compliance-Mode vs. Governance-Mode beachten!). Air-Gapped Tape/RDX — physisch getrennt, kein Netzwerkzugriff möglich. Stärkste Stufe: Air-Gapped + Immutable + verschlüsselt + getestet.
• Backup-Infrastruktur-Härtung Checkliste: ☐ Backup-Server NICHT in der Domäne (lokale Accounts) ☐ Eigenes VLAN mit strikten Firewall-Regeln (nur Backup-Traffic) ☐ Immutable Backups aktivieren (Veeam Hardened Linux Repo / S3 Object Lock) ☐ Offline-Kopie (Tape, RDX, oder abgetrennter USB-Storage) ☐ MFA für Backup-Admin-Zugang ☐ Encryption at Rest mit Passphrase (nicht im AD gespeichert!) ☐ Automatisierte Restore-Tests (Veeam SureBackup monatlich) ☐ Monitoring: Alert bei gelöschten/geänderten Backup-Jobs ☐ Separate Credentials: Backup-Admin ≠ Domain-Admin ≠ Storage-Admin.

Disaster Recovery — Planung, Failover und Testverfahren

Disaster Recovery (DR) geht weit über das reine Backup hinaus und umfasst die strategische Planung, technische Umsetzung und regelmäßige Überprüfung aller Maßnahmen, die nach einem schwerwiegenden Ausfall — sei es durch Hardwareversagen, Cyberangriff, Brand oder Naturkatastrophe — die Wiederaufnahme des Geschäftsbetriebs ermöglichen. Der Disaster Recovery Plan (DRP) ist ein dokumentiertes, getestetes Verfahren, das Verantwortlichkeiten, Eskalationswege, technische Wiederherstellungsschritte und Kommunikationspläne definiert. Die internationale Norm ISO 22301 (Business Continuity Management) und der ergänzende Standard ISO 27031 (ICT Readiness for Business Continuity) bieten einen anerkannten Rahmen für die Entwicklung und Aufrechterhaltung von DR-Fähigkeiten.

Die Business Impact Analysis (BIA) bildet den Ausgangspunkt jeder DR-Planung. Sie identifiziert geschäftskritische Prozesse, bewertet den finanziellen Schaden pro Ausfallstunde und leitet daraus die erforderlichen RTO- und RPO-Werte ab. Auf Basis der BIA werden Systeme in RTO-Klassen eingeteilt: Tier 1 (RTO < 1 Stunde, z. B. ERP, E-Mail) erfordert Hochverfügbarkeit mit automatischem Failover, Tier 2 (RTO 4–8 Stunden, z. B. Fileserver, Intranet) kann über vorbereitete Standby-Systeme wiederhergestellt werden, und Tier 3 (RTO 24–72 Stunden, z. B. Archiv, Entwicklung) genügt eine Wiederherstellung aus Backups. Die Zuordnung zu RTO-Klassen bestimmt unmittelbar die notwendige Infrastruktur und damit die Kosten.

• Failover und Failback: Failover bezeichnet den automatischen oder manuellen Wechsel von einem ausgefallenen Primärsystem auf ein Standby-System am DR-Standort. Veeam Replication hält VM-Replikate mit konfigurierbarem Intervall (ab 15 Minuten) synchron und ermöglicht Failover per Mausklick. Nach Behebung des Ausfalls werden die Änderungen im umgekehrten Prozess (Failback) auf das Primärsystem zurückgeführt. Wichtig: Failback ist oft komplexer als Failover und muss ebenso gründlich getestet werden.
• DR-Standorte und Georedundanz: Für Tier-1-Systeme wird ein Hot Site betrieben — ein vollständig ausgerüsteter, betriebsbereiter Sekundärstandort, der innerhalb von Minuten übernehmen kann. Warm Sites verfügen über die Hardware, benötigen aber Zeit für die Datenaktivierung (Stunden). Cold Sites stellen lediglich Raum, Strom und Konnektivität bereit und erfordern die längste Wiederherstellungszeit (Tage). Die räumliche Entfernung zwischen Primär- und DR-Standort sollte mindestens 100–200 km betragen, um regionale Katastrophen wie Überschwemmungen oder großflächige Stromausfälle abzudecken.
• Ransomware-Recovery: Ransomware-Angriffe erfordern spezielle DR-Prozeduren, da nicht nur die Wiederherstellung, sondern auch die forensische Analyse und die Eindämmung des Angriffs Priorität haben. Immutable Backups und Air-Gapped Storage sind die letzte Verteidigungslinie. Vor der Wiederherstellung muss sichergestellt werden, dass die Schadsoftware vollständig entfernt ist — andernfalls droht eine erneute Verschlüsselung. Clean-Room-Recovery in einer isolierten Umgebung ist best Practice.
• Testverfahren — Tabletop, Walkthrough und Full-Scale: Ein ungetesteter DR-Plan ist kaum mehr als ein Dokument. Tabletop-Übungen simulieren Ausfallszenarien auf Papier und prüfen die Kommunikationswege. Walkthrough-Tests führen einzelne Schritte des DRP manuell durch, ohne den Produktionsbetrieb zu beeinträchtigen. Full-Scale-Tests simulieren einen vollständigen Standortausfall einschließlich Failover und Failback. Tests sollten mindestens halbjährlich durchgeführt und die Ergebnisse dokumentiert werden.
• Dokumentation und Runbooks: Der DRP muss für jedes geschäftskritische System ein detailliertes Runbook enthalten — eine Schritt-für-Schritt-Anleitung, die auch ein Administrator ohne Vorkenntnisse des spezifischen Systems ausführen kann. Runbooks umfassen Zugangsdaten (sicher hinterlegt, z. B. in einem Offline-Tresor), Netzwerk-Konfigurationen, Wiederherstellungsreihenfolge (Abhängigkeiten beachten) und Validierungsschritte. Dokumentation, die nur auf den ausgefallenen Systemen gespeichert ist, ist im Katastrophenfall wertlos — eine Offsite-Kopie ist zwingend erforderlich.