Backup-Strategie für Unternehmen: So überstehen Ihre Daten auch einen Ransomware-Angriff

Fast jedes Unternehmen sichert seine Daten. Im Ernstfall zeigt sich aber oft, dass die Sicherungen fehlen, verschlüsselt sind oder sich nicht schnell genug zurückspielen lassen. Eine durchdachte Backup-Strategie legt fest, wie Ihre Daten einen Ausfall oder einen Ransomware-Angriff überstehen. Dieser Beitrag zeigt die bewährten Regeln und Methoden und erklärt, was wir aus forensischen Untersuchungen über gescheiterte Wiederherstellungen wissen.

Was ist eine Backup-Strategie?

Eine Backup-Strategie ist der verbindliche Plan Ihres Unternehmens für die Datensicherung. Sie legt fest, welche Daten und Systeme Sie sichern und wie oft das geschieht. Außerdem regelt sie Speichermedien und Aufbewahrungsdauer. Und sie bestimmt, wie schnell Sie im Notfall wiederherstellen müssen. Schriftlich halten Sie die Strategie im Datensicherungskonzept fest.

Eine Backup-Software allein ist noch keine Strategie. Das Werkzeug kopiert Daten, entscheidet aber nicht, welche Daten geschäftskritisch sind. Ob eine nächtliche Sicherung ausreicht oder ein Verlust von einem Arbeitstag schon zu viel ist, beantwortet ebenfalls kein Tool. Diese Fragen klären IT-Leitung und Fachbereiche gemeinsam.

Das BSI beschreibt im IT-Grundschutz-Baustein CON.3, was ein Datensicherungskonzept enthalten muss. Für die meisten Unternehmen ist das ein guter Rahmen, auch ohne formale Zertifizierung. Ihre Backup-Strategie wird damit überprüfbar: für die Revision, für den Cyberversicherer und für Ihr eigenes Team.

Welche Fragen muss eine Backup-Strategie beantworten?

Jedes Backup-Konzept beruht auf wenigen Grundentscheidungen. Treffen Sie diese bewusst, statt sie den Voreinstellungen einer Software zu überlassen.

Was sichern Sie?

Beginnen Sie mit einer Liste aller Daten und Systeme, die Ihr Betrieb braucht. Dazu gehören Dateiserver und Datenbanken, aber auch virtuelle Maschinen, Konfigurationen von Firewalls und Switches sowie der Verzeichnisdienst. Cloud-Dienste wie Microsoft 365 gehören ebenfalls auf die Liste. Prüfen Sie im Vertrag, ob und wie lange der Anbieter gelöschte oder veränderte Daten wiederherstellt.

Ordnen Sie jedem System eine Kritikalität zu. Das ERP-System verlangt andere Regeln als ein Archiv mit Projektdaten aus dem Vorjahr.

RPO und RTO: Wie viel Datenverlust und Ausfallzeit sind tragbar?

Zwei Kennzahlen machen Ihre Anforderungen messbar. Das Recovery Point Objective (RPO) beschreibt, wie viel Datenverlust Sie maximal hinnehmen. Bei einem RPO von 24 Stunden genügt eine tägliche Sicherung. Das Recovery Time Objective (RTO) legt fest, wie lange ein System höchstens ausfallen darf, bis es wieder läuft.

Kurze Werte kosten Geld: häufigere Sicherungen, schnellere Speicher, mehr Personal für den Wiederanlauf. Legen Sie RPO und RTO deshalb je System fest und nicht pauschal für das ganze Unternehmen.

Bild: Zeitstrahl RPO/RTO – Alt-Text: „RPO und RTO auf einer Zeitachse rund um einen IT-Ausfall“

Wie lange bewahren Sie Sicherungen auf?

Die Aufbewahrungsdauer bestimmt, wie weit Sie zurückgehen können. Das ist wichtiger, als es klingt. Angreifer bleiben oft unentdeckt im Netz. Mandiant ermittelte für 2025 eine mittlere Verweildauer von 14 Tagen. Reichen Ihre Sicherungen nur drei Tage zurück, enthalten womöglich alle Kopien bereits die Schadsoftware.

Gleichzeitig enthalten Backups personenbezogene Daten. Die Aufbewahrung braucht deshalb eine Begründung und ein festes Löschkonzept. Halten Sie zudem fest, wer für Sicherung, Kontrolle und Wiederherstellung verantwortlich ist.

Bewährte Regeln: 3-2-1 und Großvater-Vater-Sohn

Die 3-2-1-Regel ist der verbreitetste Grundsatz für eine Backup-Strategie. Sie verlangt drei Kopien Ihrer Daten auf zwei unterschiedlichen Speichermedien. Eine Kopie liegt an einem anderen Standort. So übersteht mindestens eine Kopie einen Hardwaredefekt, einen Brand oder einen Diebstahl. Auch das BSI verlangt, Sicherungsmedien räumlich getrennt von den Systemen aufzubewahren.

Gegen Ransomware reicht das nicht immer. Liegen alle drei Kopien im selben Netz und hinter denselben Administratorkonten, kann ein Angreifer sie alle erreichen. Die erweiterte 3-2-1-1-0-Regel ergänzt deshalb zwei Punkte. Eine Kopie ist offline oder unveränderlich gespeichert. Und die Prüfung der Sicherungen ergibt null Fehler.

Das Großvater-Vater-Sohn-Prinzip regelt, wie lange Sie welche Generation aufbewahren. Tägliche Sicherungen bilden die Söhne und rotieren nach etwa einer Woche. Die letzte Sicherung der Woche bleibt als Vater mehrere Wochen erhalten. Die Monatssicherung bewahren Sie als Großvater über Monate oder Jahre auf. So kombinieren Sie aktuelle Stände mit einem langen Rückblick, ohne jede Tagessicherung dauerhaft zu speichern.

Vollbackup, inkrementell oder differenziell: Backup-Arten im Vergleich

Die Backup-Arten unterscheiden sich darin, welche Daten eine Sicherung jeweils kopiert. Daraus ergeben sich Speicherbedarf, Dauer und Aufwand bei der Wiederherstellung.

In der Praxis kombinieren Unternehmen die Arten. Ein typisches Muster ist ein wöchentliches Vollbackup mit täglichen inkrementellen Sicherungen. Moderne Software fasst Inkremente oft zu synthetischen Vollbackups zusammen und verkürzt so die Wiederherstellung.

Snapshots sind ein Sonderfall. Ein Snapshot hält den Zustand eines Systems zu einem Zeitpunkt fest, liegt aber meist auf demselben Speicher wie die Originaldaten. Fällt dieser Speicher aus oder verschlüsselt ein Angreifer ihn, sind auch die Snapshots verloren. Snapshots ergänzen eine Backup-Strategie, sie ersetzen sie nicht.

Warum Angreifer zuerst die Backups ausschalten

Ransomware-Gruppen kennen den Wert Ihrer Sicherungen. Funktionierende Backups machen ein Lösegeld überflüssig. Deshalb suchen Angreifer die Backup-Infrastruktur gezielt, bevor sie verschlüsseln. In der Sophos-Studie „State of Ransomware 2024“ berichteten 94 Prozent der betroffenen Organisationen von Angriffen auf ihre Backups. In 57 Prozent dieser Fälle hatten die Angreifer Erfolg.

In unseren forensischen Untersuchungen sehen wir ein wiederkehrendes Muster. Die Angreifer verschaffen sich Administratorrechte im Active Directory. Danach melden sie sich an der Backup-Konsole an und löschen Sicherungsjobs und Wiederherstellungspunkte. Zusätzlich entfernen sie die Windows-Schattenkopien. Erst dann starten sie die Verschlüsselung. Hängt der Backup-Server an der Domäne, nutzt er dieselben Konten wie der Rest der IT. Dann kostet dieser Schritt die Angreifer wenig Mühe.

Wie das in der Praxis aussieht, zeigt unser Fall zu Ransomware im Backup eines Krankenhauses. Dort griffen die Täter die Sicherungen in mehreren Stufen an.

Eine zweite Grenze betrifft den Datenabfluss. Viele Gruppen kopieren vor der Verschlüsselung Daten und drohen mit deren Veröffentlichung. Gegen diese Double Extortion hilft auch ein gut geschütztes Backup nicht. Es stellt Ihre Systeme wieder her, verhindert aber keinen Datenleak.

Immutable Backup, Air Gap und Offline-Kopie: Backups gegen Ransomware schützen

Eine ransomwarefeste Backup-Strategie sorgt dafür, dass mindestens eine Kopie für Angreifer unerreichbar oder unveränderbar bleibt. Dafür gibt es drei Bausteine, die sich gut ergänzen.

Was ist ein Immutable Backup?

Ein Immutable Backup ist eine unveränderliche Sicherung. Für eine festgelegte Aufbewahrungsfrist lässt sie sich weder ändern noch löschen oder verschlüsseln. Diese Sperre gilt auch für Konten mit Administratorrechten. Erst nach Ablauf der Frist gibt das System den Speicher wieder frei.

Technisch beruht das auf dem WORM-Prinzip: Write Once, Read Many. WORM-Speicher gibt es als Festplattensystem, als Band oder als Objektspeicher mit Objektsperre in der Cloud. Achten Sie auf den Modus der Sperre. Manche Systeme erlauben privilegierten Konten, die Sperre vorzeitig aufzuheben. Nur ein strikter Modus ohne diese Hintertür schützt auch dann, wenn ein Angreifer die Verwaltungskonsole übernimmt.

Air Gap und Offline-Kopie

Ein Air Gap trennt eine Sicherungskopie physisch oder logisch vom Netzwerk. Klassisch ist die Bandsicherung. Ein Tape Backup lagert nach dem Schreiben im Tresor oder bei einem Dienstleister. Für Angreifer aus dem Netz ist es dann unerreichbar. Wechselfestplatten erfüllen denselben Zweck, verlangen aber einen disziplinierten Wechselrhythmus.

Ein Offsite Backup liegt an einem anderen Standort, etwa in einem zweiten Rechenzentrum oder in der Cloud. Es schützt vor Brand und Wasser. Gegen Ransomware hilft es nur, wenn es zusätzlich unveränderlich oder vom Netz getrennt ist.

Die Backup-Infrastruktur selbst absichern

Auch ein unveränderlicher Speicher nützt wenig, wenn Angreifer die Backup-Software steuern. Nehmen Sie Backup-Server aus der Windows-Domäne oder betreiben Sie sie in einer eigenen Verwaltungsumgebung. Richten Sie dafür getrennte Konten mit Mehr-Faktor-Authentifizierung ein. Spielen Sie Sicherheitsupdates der Backup-Software zeitnah ein. Verschlüsseln Sie die Sicherungen, damit gestohlene Medien keine Daten preisgeben. Protokollieren Sie außerdem jede Löschung und jede Änderung an Aufbewahrungsfristen.

Wiederherstellung testen und überwachen

Ein Backup hat erst dann einen Wert, wenn die Wiederherstellung nachweislich funktioniert. Im Ernstfall erleben Unternehmen sonst Überraschungen. Sicherungen sind unvollständig, Passwörter für die Verschlüsselung fehlen, oder der Restore dauert Tage statt Stunden.

Drei Maßnahmen machen Ihre Backup-Strategie belastbar:

• Backup-Monitoring: Prüfen Sie täglich, ob alle Sicherungsjobs gelaufen sind. Warnungen bei Fehlern oder auffällig kleinen Sicherungen gehören an eine verantwortliche Person, nicht in ein ungelesenes Postfach.
• Regelmäßige Restore-Tests: Stellen Sie einzelne Dateien und vollständige Systeme testweise wieder her. Messen Sie dabei die Dauer und vergleichen Sie sie mit dem RTO. Das BSI verlangt in CON.3 ausdrücklich regelmäßige Tests, ob sich Daten in angemessener Zeit zurückspielen lassen.
• Disaster-Recovery-Plan: Legen Sie fest, in welcher Reihenfolge Systeme wieder anlaufen. Ohne Verzeichnisdienst, Netzwerk und Zeitserver startet kein Fachsystem. Der Plan beschreibt auch, wo die Zugangsdaten und Schlüssel für die Wiederherstellung liegen, wenn die IT ausgefallen ist.

Nach einem Angriff kommt ein Schritt hinzu, den viele Pläne übersehen. Bevor Sie ein Backup zurückspielen, klären Sie, seit wann der Angreifer im Netz war. Sonst stellen Sie womöglich die Hintertür gleich mit wieder her. Die forensische Analyse bestimmt den letzten sauberen Sicherungsstand.

FAQs – Häufige Fragen zur Backup-Strategie

Wie oft sollten Unternehmen Backups erstellen?

Die Häufigkeit ergibt sich aus dem RPO jedes Systems. Für viele Dateiserver genügt eine tägliche Sicherung. Datenbanken mit laufenden Transaktionen brauchen oft stündliche Sicherungen oder eine fortlaufende Protokollsicherung.

Was ist die 3-2-1-1-0-Regel?

Sie erweitert die 3-2-1-Regel um zwei Punkte. Mindestens eine Kopie ist offline oder unveränderlich gespeichert. Und regelmäßige Prüfungen bestätigen, dass die Sicherungen ohne Fehler wiederherstellbar sind.

Reicht ein Cloud-Backup als Backup-Strategie?

Ein Cloud-Backup erfüllt die Forderung nach einer externen Kopie. Eine vollständige Strategie braucht zusätzlich festgelegte Wiederherstellungsziele, eine unveränderliche Kopie und regelmäßige Restore-Tests. Prüfen Sie außerdem, wie lange die Wiederherstellung großer Datenmengen über Ihre Internetleitung dauert.

Schützt ein Backup vor Ransomware?

Ein geschütztes Backup sichert Ihre Handlungsfähigkeit nach einer Verschlüsselung. Den Angriff selbst verhindert es nicht, ebenso wenig den Abfluss von Daten. Was im Ernstfall zu tun ist, beschreiben unsere Sofortmaßnahmen bei einem Ransomware-Angriff.

Was ist der Unterschied zwischen Backup und Archivierung?

Ein Backup dient der Wiederherstellung nach Datenverlust und überschreibt alte Stände nach festen Regeln. Ein Archiv bewahrt Dokumente langfristig und unveränderbar auf, etwa wegen gesetzlicher Aufbewahrungspflichten. Das BSI behandelt die Archivierung deshalb in einem eigenen Baustein.

Autorin Joanna Lang-Recht

Joanna Lang-Recht, M.Eng., M.A., arbeitet als Director IT-Forensics bei der intersoft consulting services AG. Als Vorfall-Expertin des Bundesamt für Sicherheit in der Informationstechnik (BSI) sowie zertifizierte Cyber Security Expert (CSE) ist sie auf die Analyse und Aufklärung komplexer Cyberangriffe spezialisiert.