Ransomware-Angriffe richten sich häufig gezielt gegen Sicherungen. Angreifer verschaffen sich zunächst weitreichende Rechte, löschen oder verschlüsseln die Backups und verschlüsseln erst danach die produktiven Systeme. Ohne intakte Sicherung bleibt dann kaum ein Weg zurück. Unveränderliche Sicherungen, englisch Immutable Backups, setzen genau hier an.
Wie funktioniert ein Immutable Backup?
Beim Schreiben einer Sicherung wird eine Aufbewahrungsfrist gesetzt, zum Beispiel einige Wochen. Bis zum Ablauf verweigert das Speichersystem Änderungen und Löschungen, in der strengsten Form unabhängig davon, wer den Befehl gibt. Technisch gibt es dafür mehrere Wege:
- Objektspeicher mit Objektsperre: Viele S3-kompatible Speicher, lokal oder in der Cloud, unterstützen eine Sperre nach dem WORM-Prinzip (Write Once, Read Many).
- Gehärtete Backup-Speicher: Systeme mit minimalen Zugängen, auf denen Sicherungsdateien per Betriebssystemfunktion als unveränderlich markiert werden.
- Spezialisierte Backup-Appliances mit eigener, vom übrigen Netz getrennter Verwaltung.
Wichtig ist der Unterschied zwischen einem strengen Modus, in dem niemand die Frist verkürzen kann, und einem Verwaltungsmodus, in dem besonders berechtigte Konten die Sperre aufheben dürfen. Nur der strenge Modus schützt auch dann, wenn Administratorzugänge kompromittiert sind. Verwandt ist die physische Trennung durch Offline-Medien wie ausgelagerte Bänder, oft als Air Gap bezeichnet.
Typische Beispiele
- Server werden täglich in einen eigenständig verwalteten Objektspeicher mit mehreren Wochen Sperrfrist gesichert. Selbst ein Angreifer mit Domänen-Administratorrechten kann diese Sicherungen nicht löschen.
- Ein versehentlich gelöschter Sicherungsauftrag nimmt die bereits gesperrten Sicherungsstände nicht mit.
- Die 3-2-1-Backup-Regel wird um eine unveränderliche oder getrennte Kopie ergänzt. Die Variante 3-2-1-1-0 verlangt zusätzlich eine fehlerfrei geprüfte Wiederherstellbarkeit.
Worauf Unternehmen achten sollten
- Die Verwaltung des Backup-Systems vom übrigen Netz und vom normalen Verzeichnisdienst trennen und mit Multi-Faktor-Authentifizierung absichern.
- Die Sperrfrist so wählen, dass auch ein spät entdeckter Angriff noch abgedeckt ist.
- Bei lokalen Systemen die Zeitquelle absichern, weil Sperrfristen anhand der Systemzeit berechnet werden.
- Zusätzlichen Speicherbedarf einplanen, da gesperrte Daten erst nach Fristablauf freigegeben werden.
- Auch Sicherungen von Cloud-Diensten wie Postfächern und Dateiablagen einbeziehen, nicht nur lokale Server.
- Die Wiederherstellung regelmäßig testen: Unveränderlichkeit garantiert nicht, dass die gesicherten Daten selbst frei von Schadsoftware sind.