Ratgeber · Sicherheit
Ransomware: Sicherungen, die einen Angriff überstehen
Kurz gesagt: Moderne Angreifer suchen und zerstören zuerst die Sicherungen, bevor sie verschlüsseln. Überstehen wird den Angriff nur eine Sicherung, die vom Netz des Unternehmens aus nicht gelöscht werden kann – gesperrt auf einem getrennten Backup-Server, außer Haus oder offline – und deren Wiederherstellung vorher geprobt wurde.
Wie ein Angriff auf die Sicherungen abläuft
- Eindringen: über eine Phishing-Mail, eine Schwachstelle oder gestohlene Zugangsdaten.
- Ausbreiten: Die Angreifer sammeln Administratorrechte, oft über Wochen unbemerkt.
- Sicherungen finden: Backup-Server, NAS-Freigaben, Schattenkopien und Cloud-Zugänge werden gesucht.
- Sicherungen zerstören: mit den erbeuteten Rechten gelöscht oder mitverschlüsselt.
- Verschlüsseln und erpressen: erst jetzt wird der Angriff sichtbar – meist nachts oder am Wochenende.
Daraus folgt: Jede Sicherung, die ein Administrator des Unternehmensnetzes löschen kann, kann auch ein Angreifer mit diesen Rechten löschen.
Fünf Maßnahmen, die wirklich helfen
| Maßnahme | Was sie bewirkt |
|---|---|
| Unveränderbare Kopie | Sicherungen sind bis zu einem Datum gegen Ändern und Löschen gesperrt – auch für die gesicherten Rechner und ihre Zugangsdaten |
| Getrennter Backup-Server | Eigene Zugangsdaten, nicht Mitglied der Windows-Domäne, nur die nötigen Ports offen |
| Kopie außer Haus | Eine zweite Kopie an einem anderen Ort, mit anderen Zugangsdaten |
| Offline-Kopie | Regelmäßig ein Export auf USB-Platte oder Band, danach vom Netz getrennt aufbewahrt |
| Geprobte Wiederherstellung | Regelmäßige Prüf-Restores zeigen, dass die Sicherungen sauber und vollständig sind |
Den Backup-Server selbst schützen
Eine Aufbewahrungssperre ist nur so stark wie der Server, der sie durchsetzt. Deshalb gilt für den Backup-Server: eigenes Betriebssystem-Konto für die Verwaltung, kein Domänenmitglied, keine Anmeldung mit denselben Kennwörtern wie im übrigen Netz, Updates zeitnah, Zugriff nur über die nötigen Schnittstellen. Wer zusätzlich eine Offline-Kopie hält, hat auch für den äußersten Fall eine Reserve.
Nach dem Angriff: sauber wiederherstellen
- Den richtigen Stand wählen: Angreifer sind oft Wochen vor der Verschlüsselung im Netz. Viele erhaltene Stände erlauben es, auf einen Zeitpunkt vor dem Eindringen zurückzugehen.
- Erst prüfen, dann zurückspielen: Wiederhergestellte Systeme zunächst abgeschottet starten und untersuchen, damit die Schadsoftware nicht mit zurückkommt.
- Reihenfolge kennen: Erst Verzeichnisdienst und Netz, dann die Fachanwendungen – geübt, nicht improvisiert.
Wie AegisGrid vor Ransomware schützt
AegisGrid verschlüsselt die Daten auf dem gesicherten System und schreibt sie in einem Lauf an bis zu acht Ziele. Auf einem WORM-Speicher des Backup-Servers ist jede Sicherung bis zum Ende ihrer Sperre gegen Ändern und Löschen gesperrt: Der Backup-Server setzt die Sperre gegenüber allen gesicherten Rechnern und Schnittstellen durch, und deren Zugangsschlüssel gelten nur für ihre eigenen Verzeichnisse. Auf dem Server selbst arbeitet die Datenverarbeitung unter einem eigenen, unprivilegierten Konto. Für die Offline-Kopie exportiert AegisGrid einzelne Sicherungen als Archiv auf USB-Platte oder Band. Prüf-Restores starten wiederhergestellte VMs in einer abgeschotteten Umgebung ohne Verbindung nach außen und lesen jede Datei der Sicherung: Häufen sich verschlüsselt wirkende Dateien oder Erpresserschreiben, meldet der Backup-Server das, solange noch saubere Stände vorhanden sind. Jede Löschung steht im signierten Nachweis-Protokoll.
Häufige Fragen zu Backup und Ransomware
Reichen Schattenkopien und ein NAS gegen Ransomware?
Meist nicht. Schattenkopien löscht eine Ransomware mit Administratorrechten in Sekunden, und eine NAS-Freigabe, die vom Netz aus beschreibbar ist, wird mitverschlüsselt. Nötig ist mindestens eine Kopie, die mit den Rechten aus dem Unternehmensnetz nicht gelöscht werden kann.
Wie lange sollte die Sperre dauern?
Länger als die Zeit, die ein Angriff unbemerkt bleiben kann – in der Praxis mindestens 14 bis 30 Tage für die tägliche Sicherung, dazu ältere Monatsstände mit längerer Sperre. Wichtig ist, dass mehrere ältere Stände erhalten bleiben.
Merkt AegisGrid, wenn Ransomware schon in der Sicherung steckt?
Das Prüf-Restore des Backup-Servers liest jede Datei der wiederhergestellten Sicherung und achtet auf Anzeichen einer Verschlüsselung: Inhalte, die nicht zu ihrer Endung passen oder wie Zufallsdaten aussehen, typische Endungen von Erpressungstrojanern und Erpresserschreiben. Sind es deutlich mehr als bei der letzten Prüfung, kommt eine Meldung – so fällt ein Angriff auf, bevor die letzte saubere Sicherung abläuft. Bei Datei-Sicherungen prüft schon der Agent jeden Lauf: Ändern sich ungewöhnlich viele Dateien oder tauchen viele typische Endungen auf, wird der Lauf markiert, es geht eine Meldung hinaus, und die älteren Stände werden für eine Frist nicht aufgeräumt. Auf Wunsch prüft das Prüf-Restore die Sicherungen zusätzlich mit ClamAV auf Viren und nennt die letzte Sicherung ohne den Fund. Einen Virenschutz auf den Systemen ersetzt das nicht.
Hilft die Verschlüsselung der Sicherung gegen Ransomware?
Sie schützt die Vertraulichkeit: Gestohlene Sicherungen verraten nichts. Gegen Löschen oder erneutes Verschlüsseln schützt sie nicht – dafür braucht es die unveränderbare und die Offline-Kopie.
Ist Ihre Sicherung angriffsfest?
Wir prüfen mit Ihnen, ob Ihre Sicherungen einen Angriff überstehen würden.