Ransomware-Resilienz: Backup nach 3-2-1-1-0 und eine Wiederherstellung, die getestet ist

Ein Backup, das im Ernstfall nicht zurückkommt, ist keines. Bei Ransomware ist dieser Ernstfall kein Zufall, sondern Teil des Angriffs. Laut dem #StopRansomware Guide der US-Behörde CISA versuchen Ransomware-Akteure, erreichbare Datensicherungen zu finden und zu löschen oder zu verschlüsseln, damit eine Wiederherstellung ohne Lösegeld unmöglich wird. Sie suchen gezielt nach Zugangsdaten für Backup-Lösungen und nutzen öffentlich bekannte Lücken in ungepatchter Backup-Software.

Resilienz heißt deshalb zweierlei: Daten so sichern, dass ein Angreifer mit Administratorrechten sie nicht erreicht. Und regelmäßig belegen, dass sie vollständig und rechtzeitig zurückkommen.

Die Regel 3-2-1-1-0

Die 3-2-1-Backup-Regel empfehlen das deutsche BSI, die EU-Agentur ENISA und die CISA. Die Erweiterung zu 3-2-1-1-0 ist keine Norm, sondern ein von Herstellern geprägter Begriff. Ihre beiden Zusätze decken sich aber mit Empfehlungen von BSI und CISA:

• 3 Kopien wichtiger Daten: das Original und zwei Sicherungen.
• 2 unterschiedliche Speichermedien, damit ein Fehler oder Angriff nicht alle Kopien zugleich trifft.
• 1 Kopie an einem anderen Ort, räumlich getrennt, möglichst in einem anderen Brandabschnitt (BSI CON.3.A12).
• 1 Kopie offline: nach der Sicherung von den übrigen Systemen getrennt, sodass sie aus dem Netz heraus weder gelöscht noch verschlüsselt werden kann.
• 0 Fehler bei der Wiederherstellung: Die Rücksicherung ist getestet, die Daten kommen einwandfrei und in angemessener Zeit zurück (BSI CON.3.A15).

Zwei Missverständnisse räumen BSI und CISA aus: Eine Spiegelung per RAID ist keine Datensicherung (BSI CON.3). Und eine automatische Synchronisation in die Cloud reicht allein nicht, denn verschlüsselte Dateien werden mit synchronisiert und können unversehrte Fassungen überschreiben (CISA).

Die Backup-Umgebung selbst schützen

Weil Angreifer die Sicherung gezielt suchen, gehört sie zu den am besten geschützten Systemen im Unternehmen:

• Getrennte Konten: Backup-Server und Speicher nicht mit denselben Domänen-Administratorkonten verwalten wie den Rest der IT. Der BSI-Maßnahmenkatalog Ransomware empfiehlt eine Probe: Ein Domänen-Administrator versucht testweise, auf die getrennten Kopien zuzugreifen. Das darf nicht gelingen.
• Zusätzliche Bestätigung: Microsoft empfiehlt, das Ändern oder Löschen von Online-Sicherungen an einen zusätzlichen Schritt wie Multi-Faktor-Authentifizierung oder eine Sicherheits-PIN zu binden.
• Unveränderbarer Speicher: Speicher nach dem WORM-Prinzip verhindert das Löschen und Ändern innerhalb einer festgelegten Frist (Immutable Backup). Die CISA rät dabei zur Sorgfalt: Nicht jede Lösung erfüllt alle regulatorischen Vorgaben, und Fehlkonfigurationen können hohe Kosten verursachen.
• Aktuelle Software: Backup-Software ist ein bekanntes Angriffsziel und gehört im Patch-Management ganz nach oben.
• Verschlüsselung: Sicherungen verschlüsselt ablegen und die Schlüssel getrennt aufbewahren, damit auch sie im Ernstfall verfügbar sind (BSI CON.3.A13).
• Warnzeichen überwachen: Schattenkopien und Sicherungskataloge zu löschen, etwa mit vssadmin oder wbadmin, ist laut CISA eine gängige Ransomware-Technik; MITRE ATT&CK führt sie als T1490, Inhibit System Recovery. Solche Aufrufe gehören ins Monitoring.

Die Wiederherstellung planen

Im Ernstfall wird aus der Backup-Liste die Wiederherstellungsliste. Legen Sie die Reihenfolge vorher fest, abgeleitet aus Ihren Geschäftsprozessen. Microsoft nennt aus seiner Erfahrung diese Rangfolge: zuerst Identitätssysteme wie Active Directory und Microsoft Entra Connect, ohne die sich niemand anmelden kann, dann Systeme, an denen Leib und Leben hängen, Finanzsysteme, die Systeme für Ihre Produkte und Dienstleistungen und ein Mindestmaß an Sicherheitssystemen.

Für jedes System gehören zwei Werte in den Plan (RPO und RTO):

• RPO (Recovery Point Objective): wie viel Datenverlust höchstens tragbar ist. Daraus folgt, wie oft gesichert wird.
• RTO (Recovery Time Objective): wie lange das System höchstens ausfallen darf. Daraus folgt, wie schnell die Wiederherstellung technisch gehen muss.

Halten Sie Wiederherstellungsanleitungen, Netzpläne und Kontaktlisten auch außerhalb der IT bereit, etwa auf Papier. Das BSI nennt Ransomware ausdrücklich als Grund dafür, und Microsoft empfiehlt, Übungen unter der Annahme durchzuspielen, dass E-Mail und Chat ausgefallen sind. Wie Sie den Vorfall selbst bewältigen, beschreibt Incident Response.

Testen: Erst die geprüfte Wiederherstellung zählt

Die Null in 3-2-1-1-0 ist der entscheidende Teil. Ein erfolgreicher Sicherungslauf belegt nur, dass etwas geschrieben wurde, nicht, dass es zurückkommt.

• Regelmäßig testen: BSI CON.3.A15 verlangt regelmäßige Tests, ob gesicherte Daten einwandfrei und in angemessener Zeit zurückgespielt werden können. Die CISA nennt in ihren Cybersecurity Performance Goals mindestens einen Test pro Jahr; das NIST Cybersecurity Framework 2.0 verlangt, dass Backups erstellt, geschützt, gepflegt und getestet werden (PR.DS-11).
• Ganze Systeme üben, nicht nur Dateien: Der BSI-Maßnahmenkatalog Ransomware verlangt, die Wiederherstellung von Daten und Systemen regelmäßig zu üben. Microsoft empfiehlt zusätzlich, den Wiederaufbau aus dem Nichts zu testen, wenn alle Systeme ausgefallen sind.
• Sauberkeit prüfen: Vor dem Zurückspielen prüfen Sie, ob die Sicherung unversehrt und frei von Schadsoftware ist (NIST CSF 2.0, RC.RP-03; BSI-Maßnahmenkatalog Ransomware). Angreifer bewegen sich laut BSI nach der ersten Infektion teilweise mehrere Wochen im Netz und können so schon in den Sicherungen stecken.
• Dauer messen und dokumentieren: Jeder Test liefert Datum, Umfang, Dauer und Ergebnis. Erst wenn die gemessene Dauer zum RTO passt, ist das Ziel erreicht. Fehler werden behoben und erneut getestet.

Für wesentliche und wichtige Einrichtungen nach dem NISG 2026 sind Backup-Management und Wiederherstellung nach einem Notfall ausdrücklich Teil der Risikomanagementmaßnahmen (§ 32 Abs. 4 lit. c). Welche Pflichten sonst gelten, zeigt der Beitrag NIS2 in Österreich.

Checkliste

• Für jedes System sind RPO, RTO und die Reihenfolge der Wiederherstellung festgelegt.
• Es gibt drei Kopien auf zwei Medien, eine davon an einem anderen Ort.
• Mindestens eine Kopie ist offline, und die Probe mit einem Domänen-Administratorkonto scheitert nachweislich.
• Backup-Konten sind getrennt und mit Multi-Faktor-Authentifizierung geschützt, die Backup-Software ist aktuell.
• Sicherungen sind verschlüsselt, die Schlüssel getrennt verwahrt.
• Wiederherstellungspläne und Kontaktlisten liegen auch offline vor.
• Wiederherstellungstests laufen regelmäßig, mindestens einmal im Jahr, mit dokumentierter Dauer.

Die ausführliche Checkliste mit allen Fundstellen gibt es als kostenloses PDF: Backup-Checkliste 3-2-1-1-0.

Wer Backup und Wiederherstellung nicht selbst betreiben möchte: Mit GRID.vault richtet TOMORIS Sicherungsumfang, Aufbewahrung und Wiederherstellungsziele an Ihren Geschäftsprozessen aus, überwacht die Sicherungsläufe und testet Wiederherstellungen nach Vereinbarung.

Häufige Fragen

Sind Daten in Microsoft 365 nicht ohnehin gesichert?

Microsoft 365 bringt für OneDrive und SharePoint Versionierung und Papierkorb mit; Dateien lassen sich damit auf einen früheren Stand zurücksetzen. Das hilft bei einzelnen verschlüsselten oder gelöschten Dateien. Eine getrennte Kopie im Sinne von 3-2-1-1-0 ist es nicht. Die CISA empfiehlt für Cloud-Sicherungen, auch den Fall zu bedenken, dass alle Konten beim selben Anbieter betroffen sind.

Wie oft sollten wir die Wiederherstellung testen?

Regelmäßig und nach jeder größeren Änderung an Systemen oder Sicherungen. Als Untergrenze nennt die CISA einen Test pro Jahr. Für Systeme mit kurzer RTO ist häufiger sinnvoll, weil nur ein Test zeigt, ob die Zeit wirklich reicht.

Was ist im Ernstfall der erste Schritt?

Betroffene Systeme isolieren und den Notfallplan starten, nicht sofort zurückspielen. Erst wenn die Ursache gefunden und beseitigt ist, wird aus geprüften, sauberen Sicherungen wiederhergestellt, in der festgelegten Reihenfolge. Prüfen Sie parallel Meldepflichten, etwa nach NISG 2026 oder Art. 33 DSGVO.

Quellen

• BSI IT-Grundschutz-Kompendium, Baustein CON.3 Datensicherungskonzept, Edition 2023: Beschreibung sowie A6, A12, A13 und A15
• BSI: Maßnahmenkatalog Ransomware
• CISA: #StopRansomware Guide, Fassung Oktober 2023
• CISA: Cross-Sector Cybersecurity Performance Goals 2.0, Ziel 3.O
• NIST Cybersecurity Framework 2.0 (NIST CSWP 29): PR.DS-11 und RC.RP-03
• Microsoft Learn: Backup- und Wiederherstellungsplan zum Schutz vor Ransomware
• MITRE ATT&CK: T1490 Inhibit System Recovery
• ENISA: Threat Landscape for Ransomware Attacks, Juli 2022, Kapitel 6.1
• NISG 2026, BGBl. I Nr. 94/2025: § 32 Abs. 4 lit. c
• Veeam: Die 3-2-1-Backup-Regel, Herkunft des Begriffs 3-2-1-1-0