Ratgeber · Sicherheit
Backups auf Viren prüfen: sauber zurück statt neu infiziert
Kurz gesagt: Schadsoftware wird oft erst Wochen nach dem Befall erkannt – und steckt dann längst in den Sicherungen. Wer Sicherungen regelmäßig mit aktuellen Signaturen prüft, erfährt, seit wann ein Fund in den Sicherungen steckt und welche Sicherung die letzte saubere ist. So wird im Ernstfall nicht die Schadsoftware gleich mit zurückgespielt.
Warum der Virenscanner auf dem Server nicht reicht
Der Virenschutz auf Servern und Arbeitsplätzen prüft mit den Signaturen von heute. Was bei der Sicherung vor drei Wochen noch unbekannt war, kann heute erkannt werden – in der Sicherung bleibt es aber unbemerkt liegen. Spätestens bei einer Wiederherstellung nach einem Angriff wird das zum Problem: Wird ein befallener Stand zurückgespielt, ist der Angreifer gleich wieder im Netz.
Die Prüfung der Sicherungen ersetzt den Virenschutz auf den Systemen nicht. Sie ergänzt ihn um den Blick zurück.
Wo und wie geprüft werden sollte
- Nicht auf dem Produktivsystem. Eine Prüfung großer Datenmengen kostet Rechenzeit und Plattenzugriffe. Sie gehört auf den Backup-Server, der die Sicherung ohnehin vorliegen hat.
- Nur lesend. Die Sicherung darf durch die Prüfung nicht verändert werden – auch nicht durch „Säubern“ oder Verschieben in eine Quarantäne. Eine Sicherung ist ein Beweisstück.
- Mit aktuellen Signaturen. Auch ein Backup-Server ohne Internetzugang braucht frische Signaturen, sonst prüft er mit dem Wissen von gestern.
- Regelmäßig und nicht nur einmal. Neu geprüft lohnt sich vor allem, wenn neue Signaturen da sind. Unveränderte Dateien müssen dabei nicht jedes Mal erneut gelesen werden, ab und zu aber schon.
Was ein Fund bedeutet
| Frage | Warum sie zählt |
|---|---|
| Welche Datei, welche Signatur? | Zeigt, ob es um ein einzelnes verdächtiges Dokument oder um Schadsoftware im System geht |
| Seit welcher Sicherung steckt der Fund darin? | Grenzt den Zeitpunkt des Befalls ein – wichtig für die Aufarbeitung und für Meldepflichten |
| Welche Sicherung ist die letzte ohne den Fund? | Das ist der Stand, aus dem im Ernstfall wiederhergestellt wird |
| Ist es ein Fehlalarm? | Fehlalarme kommen vor. Einmal geprüft und markiert, sollten sie nicht bei jeder Prüfung wieder auftauchen |
Ein Fund in der Sicherung heißt fast immer: Der Fund liegt auch noch auf dem gesicherten System. Dort wird er mit dem regulären Virenschutz untersucht und entfernt; die Sicherung bleibt, wie sie ist.
Virenprüfung und Ransomware-Spuren
Signaturen finden bekannte Schadsoftware. Ransomware fällt oft anders auf: an Dateien, deren Inhalt nicht zur Endung passt oder zufällig wirkt, an typischen Endungen und an Erpresserschreiben. Beides zusammen, im Rahmen eines regelmäßigen Wiederherstellungstests, gibt das vollständigere Bild.
Wie AegisGrid Sicherungen auf Viren prüft
Der Backup-Server von AegisGrid prüft Sicherungen im Prüf-Restore mit ClamAV, nur lesend und ohne Last auf dem gesicherten System. Bei einem Fund nennt er die betroffene Datei und Signatur, die erste Sicherung mit dem Fund und die letzte Sicherung ohne ihn; der Fund erscheint im Prüfbericht, eine Meldung geht hinaus, und bei Datei- und Laufwerkssicherungen zeigt auch der Planer des gesicherten Rechners einen Hinweis. Fehlalarme lassen sich markieren. Folgeprüfungen können sich auf geänderte Dateien beschränken und in festen Abständen alles prüfen. Backup-Server ohne Internetzugang bekommen die Signaturen über einen Standortserver oder als Import. Daneben sucht der Prüf-Restore nach Ransomware-Spuren.
Häufige Fragen zur Virenprüfung von Backups
Wird eine befallene Sicherung gelöscht oder gesäubert?
Nein. Die Prüfung liest nur. Die Sicherung bleibt unverändert und kann weiter genutzt werden, etwa um einzelne saubere Dateien daraus zu holen oder um den Befall nachzuvollziehen.
Verlangsamt die Prüfung meine Server?
Nein. Geprüft wird auf dem Backup-Server, nicht auf dem gesicherten System. Dort lassen sich Rechenzeit, Arbeitsspeicher und Plattenzugriffe für den Prüfauftrag begrenzen.
Ersetzt die Prüfung der Sicherungen den Virenschutz?
Nein. Sie ergänzt ihn: Der Virenschutz schützt die laufenden Systeme, die Prüfung der Sicherungen zeigt, ob ein später erkannter Fund schon in älteren Ständen steckt und welcher Stand sauber ist.
Sicherungen, denen Sie vertrauen können
Im Pilotprojekt richten wir Prüf-Restore und Virenprüfung auf Ihrem Backup-Server mit Ihnen ein.