Ransomware-resistente Sicherungen ── die 3-2-1-Regel, Speicher ohne Überschreiben und die Prüfung der Wiederherstellung

Bei Ransomware-Angriffen gibt es viele Fälle, in denen eine Organisation Sicherungen hatte und trotzdem nicht wiederherstellen konnte. Die häufigste Ursache ist, dass die Sicherungen zusammen mit allem anderen verschlüsselt wurden. Dieser Artikel erklärt, wie Sie Sicherungen aufbauen, die Angriffen standhalten, und zwar für die Windows-PCs und Dateiserver kleiner und mittlerer Unternehmen.

Es gibt drei Kernpunkte: eine Kopie besitzen, die ein infizierter PC nicht überschreiben kann, die „Vorgängerversionen“ nicht anstelle von Sicherungen verwenden und bestätigen, dass sich tatsächlich wiederherstellen lässt. Die 3-2-1-Regel legt fest, wie viele Kopien Sie wo aufbewahren, lässt für sich allein aber Lücken als Schutz vor Ransomware.

Die Befehle in diesem Artikel gelten nur für Windows; ihre Ausgabe wurde in einer Administrator-Eingabeaufforderung unter Windows Server 2022 geprüft. Einstellungsbildschirme und Preise der Produkte können sich ändern; prüfen Sie bei der Einführung daher die aktuelle Dokumentation des jeweiligen Anbieters.

Viele Organisationen hatten Sicherungen und konnten trotzdem nicht wiederherstellen

Die japanische Nationale Polizeibehörde befragt von Ransomware betroffene Organisationen zum Zustand ihrer Sicherungen. Im Bericht für das erste Halbjahr 2025 hatten 51 der 53 antwortenden Organisationen Sicherungen erstellt. Von den 48 Organisationen, die gefragt wurden, ob sie aus der Sicherung auf den Stand unmittelbar vor dem Angriff zurückkehren konnten, gelang dies jedoch nur 7, 41 gelang es nicht¹.

Von den 35 Organisationen, die einen Grund für die gescheiterte Wiederherstellung nannten, gaben 23 „auch die Sicherungen waren verschlüsselt“, 8 „Mängel im Betrieb“ und 4 „Sonstiges“ an¹. Derselbe Bericht schreibt, dass Ransomware-Gruppen die Protokolle und Sicherungen der Opfer löschen, um ihre Spuren zu verwischen und die Wiederherstellung zu verhindern. Er fordert daher, Sicherungen in einer Offline-Umgebung aufzubewahren².

flowchart TB
        accTitle: Wie man Sicherungen haben und trotzdem nicht wiederherstellen kann
        accDescr: Eine Abbildung, die zeigt, dass Sicherungen zusammen mit allem anderen verschlüsselt werden, wenn sie vom infizierten PC aus erreichbar sind, und dass Mängel im Betrieb die Wiederherstellung verhindern, wenn das Wiederherstellungsverfahren nicht geprüft wurde.
        A["Sicherungen werden erstellt"] --> B{"Vom infizierten PC erreichbar?"}
        B -->|"Erreichbar"| C["Ebenfalls verschlüsselt oder gelöscht"]
        B -->|"Nicht erreichbar"| D{"Wiederherstellungsverfahren geprüft?"}
        D -->|"Nicht geprüft"| E["Keine Wiederherstellung wegen Mängeln im Betrieb"]
        D -->|"Geprüft"| F["Wiederherstellung möglich"]

Abbildung 1: Sicherungen sind brauchbar, wenn der infizierte PC sie nicht erreicht und das Wiederherstellungsverfahren geprüft ist.

Es gibt auch Fälle, in denen die Wiederherstellung gelang. Die 4. Ausgabe der IPA-„Informationssicherheitsleitlinien für KMU“ beschreibt den Fall eines Bauunternehmens, dessen Dateiserver und weitere Systeme nach einem Eindringen über ein VPN-Gerät verschlüsselt wurden. Auch weil das Unternehmen zweimal im Jahr Wiederherstellungsübungen durchführte, nahm es seine Kernsysteme fünf Tage nach Entdeckung des Angriffs aus den Sicherungen wieder in Betrieb. Dennoch dauerte es 41 Tage, bis die einzelnen internen Systeme wieder liefen, und vier Monate, bis der Fernzugriff wieder möglich war, und das Unternehmen verlor etwas mehr als 20 Prozent seiner internen Dateien³. Dass sich aus Sicherungen wiederherstellen lässt, macht den Schaden nicht ungeschehen.

In der Abbildung kennzeichnet eine durchgezogene Linie eine stets geltende Beziehung und eine gestrichelte Linie eine bedingte (die Bedingungen stehen bei jeder Beziehung auf der Detailseite). Die vollständige Liste der Beziehungen (13 insgesamt, mit Beleg und Sicherheitsgrad) und die Definitionen der wichtigsten Konzepte sind auf der Detailseite der Wissenskarte (auf Japanisch) zusammengestellt. Daten: JSON-LD / Turtle

Angreifer löschen die Sicherungen, die sie erreichen können

Der #StopRansomware Guide, den die CISA und weitere US-Behörden herausgeben, schreibt, dass viele Ransomware-Varianten erreichbare Sicherungen suchen und zu löschen oder zu verschlüsseln versuchen, damit eine Wiederherstellung ohne Zahlung des Lösegelds unmöglich wird. Deshalb sei es wichtig, Sicherungen offline aufzubewahren⁴.

Auch Microsoft schreibt, dass Angreifer sich darauf konzentrieren, Sicherungssoftware und Betriebssystemfunktionen wie Volumeschattenkopien außer Gefecht zu setzen⁵. Zu den Sicherungen, die ein infizierter PC erreichen kann, gehören die folgenden.

• Externe Laufwerke, die ständig am PC angeschlossen sind
• Freigaben auf einem NAS oder Dateiserver, die mit einem Laufwerksbuchstaben verbunden sind
• Cloud-Synchronisierungsordner, in die das alltägliche Konto schreiben kann
• Schattenkopien („Vorgängerversionen“) auf demselben Volume

Schattenkopien und Sicherungskataloge lassen sich schon mit den im Betriebssystem eingebauten Befehlen löschen. MITRE ATT&CK führt diese Technik als „Inhibit System Recovery“ (T1490). Dort finden sich Beispiele wie das Löschen aller Schattenkopien mit vssadmin.exe delete shadows /all /quiet und das Löschen des Windows-Sicherungskatalogs mit wbadmin.exe delete catalog -quiet⁶. Auch der CISA-Leitfaden fordert, auf verdächtige Verwendung von vssadmin.exe, wbadmin.exe, wmic.exe (shadowcopy) und ähnlichen Werkzeugen zu achten⁴.

flowchart TB
        accTitle: Sicherungen, die ein infizierter PC erreichen kann und nicht erreichen kann
        accDescr: Eine Abbildung, die zeigt, dass ein infizierter PC auf ständig angeschlossene externe Laufwerke, verbundene Freigaben, Synchronisierungsordner und Schattenkopien schreiben kann, nicht aber auf getrennte Medien oder Speicher, die sich nicht überschreiben lassen.
        P["Infizierter PC"] --> R["Orte, an die er schreiben kann"]
        P -.-x N["Getrennte Medien, Speicher ohne Überschreiben"]
        R --> A["Ständig angeschlossenes externes Laufwerk"]
        R --> B["Verbundene Freigabe"]
        R --> C["Cloud-Synchronisierungsordner"]
        R --> D["Schattenkopien"]

Abbildung 2: Sicherungen an Orten, an die ein infizierter PC schreiben kann, werden zum Ziel des Angriffs.

Auch auf Angriffe, die sich Zeit lassen, müssen Sie achten. Microsoft schreibt, dass Ransomware manchmal schrittweise verschlüsselt und den Schlüssel dabei im System belässt. In dieser Zeit können die Benutzer die Daten wie gewohnt verwenden, sodass sich unbemerkt Sicherungen bereits verschlüsselter Daten ansammeln. Sobald alles verschlüsselt und der Schlüssel gelöscht ist, lassen sich selbst die jüngsten Sicherungen nicht mehr lesen⁵. Wer nur die jüngste Generation aufbewahrt, hat in diesem Fall keinen Stand, zu dem er zurückkehren kann.

Die „Vorgängerversionen“ ersetzen keine Sicherungen

Die „Vorgängerversionen“ von Windows und die Schattenkopien freigegebener Ordner nutzen den Volumeschattenkopie-Dienst (VSS). Der mit Windows gelieferte VSS-Systemanbieter arbeitet nach dem Copy-on-Write-Verfahren: Bevor ein Block überschrieben wird, sichert er dessen Inhalt in einen Differenzbereich und bildet so das Volume zu einem bestimmten Zeitpunkt nach⁷.

In der VSS-Dokumentation erklärt Microsoft den Unterschied zwischen Schattenkopien und Sicherungen so: Werden Daten aus einer Schattenkopie auf ein Wechselmedium wie Band kopiert, wird der Inhalt dieses Mediums zur Sicherung. Nach dem Kopieren darf die Schattenkopie selbst gelöscht werden⁷. Die Dokumentation schreibt außerdem, dass bei Platzmangel im Differenzbereich die ältesten Schattenkopien zuerst gelöscht werden⁷.

flowchart TB
        accTitle: Der Unterschied zwischen Schattenkopien und Sicherungen
        accDescr: Eine Abbildung, die zeigt, dass eine Schattenkopie eine Menge von Differenzen zum ursprünglichen Volume ist und bei Platzmangel oder durch einen Angreifer gelöscht wird, während eine auf ein separates Medium kopierte Sicherung auch den Verlust des ursprünglichen Volumes übersteht.
        V["Ursprüngliches Volume"] --> S["Schattenkopie (Differenzen)"]
        S --> L["Bei Platzmangel die ältesten zuerst gelöscht"]
        S --> K["Von einem Angreifer mit vssadmin gelöscht"]
        S -->|"Auf separates Medium kopieren"| B["Sicherung"]
        B --> R["Bleibt auch bei Verlust des ursprünglichen Volumes erhalten"]

Abbildung 3: Schattenkopien hängen von den Daten des ursprünglichen Volumes ab; was Sie auf ein separates Medium kopieren, wird zur Sicherung.

Schattenkopien sind praktisch, damit Benutzer versehentlich überschriebene Dateien selbst wiederherstellen können. Wie im vorigen Abschnitt beschrieben, löschen Angreifer sie jedoch mitunter. Funktionsweise und Betrieb erklärt ausführlich der Artikel „Volumeschattenkopie (VSS): Funktionsweise und Praxis“.

Welche Schattenkopien noch vorhanden sind, listen Sie mit vssadmin list shadows in einer Administrator-Eingabeaufforderung auf. Dieser Unterbefehl steht sowohl auf Clients als auch auf Servern zur Verfügung⁸.

vssadmin list shadows

Auch der Versionsverlauf und der Papierkorb in OneDrive und SharePoint sind Wege, über die Benutzer Dateien zurückholen können. Microsoft empfiehlt, den Benutzern beizubringen, wie sie ihr gesamtes OneDrive auf einen früheren Zeitpunkt zurücksetzen. Außerdem nennt Microsoft, Benutzer erst wiederherstellen zu lassen, wenn sicher ist, dass der Angreifer vertrieben wurde, und für den Fall vorzusorgen, dass Benutzer auch die Schadsoftware wiederherstellen⁵.

Die 3-2-1-Regel legt fest, wie viele Kopien und wo

Die 3-2-1-Regel ist eine Faustregel dafür, wie Sicherungskopien aufbewahrt werden. „Data Backup Options“, 2012 für US-CERT verfasst, erklärt sie so⁹.

• 3: Bewahren Sie von wichtigen Dateien drei Kopien auf, das Original und zwei Sicherungen.
• 2: Speichern Sie sie auf zwei verschiedenen Medientypen, um sich gegen unterschiedliche Arten von Katastrophen zu wappnen.
• 1: Bewahren Sie eine Kopie außerhalb der Wohnung oder des Betriebs auf.

Als Quelle nennt das Dokument „The DAM Book“, ein Buch des Fotografen Peter Krogh über die Verwaltung digitaler Fotos⁹. Auch Microsoft nennt diese Regel in seiner Dokumentation zu Sicherungen zum Schutz vor Ransomware und beschreibt die „1“ als „externe oder kalte Kopie“⁵.

Was die 3-2-1-Regel verlangt, ist eine Kopie außer Haus. Sie verlangt nicht, dass diese Kopie offline oder unveränderlich ist. Liegt die Kopie außer Haus also in einer Cloud, in die ein infizierter PC jederzeit schreiben kann, kann sie zusammen mit den lokalen Kopien verschlüsselt werden. Der CISA-Leitfaden und die Microsoft-Dokumentation nennen die Offline-Aufbewahrung als Schutz vor Ransomware. Microsoft nennt außerdem Speicher, die sich nicht überschreiben lassen⁴⁵.

flowchart TB
        accTitle: Die 3-2-1-Regel und der Schutz vor Ransomware
        accDescr: Eine Abbildung, die zeigt, dass zur 3-2-1-Regel mit drei Kopien, zwei Medientypen und einer Kopie außer Haus eine Offline- oder unveränderliche Kopie hinzukommt und anschließend bestätigt wird, dass sich wiederherstellen lässt.
        A["Drei Kopien"] --> B["Zwei Medientypen"]
        B --> C["Eine außer Haus"]
        C --> D["Eine offline oder unveränderlich"]
        D --> E["Bestätigen, dass sich wiederherstellen lässt"]

Abbildung 4: Ergänzen Sie die 3-2-1-Regel um eine Kopie, die ein infizierter PC nicht überschreiben kann, und um die Prüfung der Wiederherstellung.

Der Sicherungssoftware-Anbieter Veeam bewirbt dies als „3-2-1-1-0-Regel“. In der Veeam-Dokumentation bedeutet die zusätzliche „1“, eine Kopie offline, per Air Gap getrennt oder unveränderlich aufzubewahren, und die „0“ null Fehler bei der regelmäßigen Überprüfung der Wiederherstellung¹⁰. Dies ist eine Bezeichnung aus der Dokumentation eines Anbieters, kein offizieller Standard. Die beiden zusätzlichen Punkte decken sich aber mit dem, was CISA und IPA verlangen.

Eine Kopie besitzen, die ein infizierter PC nicht überschreiben kann

Es gibt zwei grundlegende Wege, eine nicht überschreibbare Kopie herzustellen: das Medium vom PC trennen und aufbewahren oder einen Cloud-Speicher verwenden, in dem Daten für einen festgelegten Zeitraum weder überschrieben noch gelöscht werden können. Für welchen Weg Sie sich auch entscheiden: Trennen Sie die Berechtigungen für die Verwaltung der Sicherungen von der täglichen Arbeit.

Das Medium vom PC trennen und aufbewahren

Als Beispielmaßnahme in der Selbstbewertung nennen die IPA-Leitlinien, die für Sicherungen verwendeten Geräte und Medien nur während der Sicherung mit dem PC zu verbinden. Außerdem nennen sie, festzulegen, wie Sicherungen erstellt werden, sie an einem sicheren Ort aufzubewahren und regelmäßig zu bestätigen, dass sie sich wiederherstellen lassen¹¹.

Für Organisationen, die weiter gehen wollen, nennen die Leitlinien die „physische Isolierung“. Dabei werden Sicherungen an einem vom ursprünglichen System physisch getrennten Ort aufbewahrt, und externe Speicher oder Sicherungsbänder werden möglichst weit entfernt gelagert. Als Aufbewahrungsorte werden ein Bankschließfach oder ein vertrauenswürdiger Geschäftspartner oder ein verbundenes Unternehmen genannt¹².

Eine so von den Produktivsystemen getrennt aufbewahrte Sicherung nennt man Offline-Sicherung. Auf ein getrenntes Medium kann ein infizierter PC nicht schreiben. Dafür müssen Menschen die Medien anschließen, trennen und transportieren, sodass Sicherungen vergessen oder Medien nicht außer Haus gebracht werden. Legen Sie fest, wer das Medium wann anschließt, trennt und zum Aufbewahrungsort bringt.

Einen Cloud-Speicher ohne Überschreiben verwenden

Cloud-Speicher bieten Funktionen, die verhindern, dass Daten für einen festgelegten Zeitraum überschrieben oder gelöscht werden. Sie bewahren Daten in einem Zustand auf, der WORM (Write Once, Read Many) genannt wird.

Beim unveränderlichen Speicher von Azure Blob Storage können Daten nach dem Festlegen einer zeitbasierten Aufbewahrungsrichtlinie während dieses Zeitraums erstellt und gelesen, aber weder geändert noch gelöscht werden¹³. Eine Richtlinie wird zunächst im entsperrten Zustand angelegt und nach dem Testen gesperrt. Eine gesperrte Richtlinie lässt sich nicht löschen, und ihr Aufbewahrungszeitraum lässt sich verlängern, aber nicht verkürzen¹³. Microsoft erklärt, dass selbst Benutzer mit Administratorrechten für das Konto die Daten weder ändern noch löschen können¹³.

Amazon S3 Object Lock hat zwei Modi. Im Compliance-Modus kann niemand, auch nicht der Root-Benutzer des AWS-Kontos, eine Objektversion während des Aufbewahrungszeitraums überschreiben oder löschen. Im Governance-Modus können nur Benutzer mit besonderen Berechtigungen die Aufbewahrungseinstellungen ändern oder entfernen¹⁴. Object Lock kann nur in Buckets verwendet werden, in denen die S3-Versionsverwaltung aktiviert ist¹⁴.

flowchart TB
        accTitle: Zwei Beispiele für Speicher, die sich nicht überschreiben lassen
        accDescr: Eine Abbildung, die zeigt, dass beim unveränderlichen Speicher von Azure Blob Storage eine gesperrte Richtlinie nicht gelöscht und ihr Aufbewahrungszeitraum nicht verkürzt werden kann, und dass bei S3 Object Lock im Compliance-Modus selbst der Root-Benutzer nicht löschen kann, während im Governance-Modus besondere Berechtigungen Änderungen erlauben.
        W["Speicher ohne Überschreiben"] --> AZ["Unveränderlicher Speicher von Azure Blob Storage"]
        W --> S3["S3 Object Lock"]
        AZ --> AZ1["Aufbewahrung nach dem Sperren nicht verkürzbar"]
        S3 --> C["Compliance-Modus"]
        S3 --> G["Governance-Modus"]
        C --> C1["Selbst der Root-Benutzer kann nicht löschen"]
        G --> G1["Besondere Berechtigungen erlauben Änderungen"]

Abbildung 5: Beide Speicher verweigern Überschreiben und Löschen für einen festgelegten Zeitraum; wie streng, hängt von den Einstellungen ab.

Wenn Sie in Azure nach dem Sperren einer Richtlinie einen Konfigurationsfehler bemerken, können Sie den Aufbewahrungszeitraum trotzdem nicht verkürzen¹³. Der CISA-Leitfaden weist darauf hin, dass manche Cloud-Anbieter Speicher anbieten, die sich nicht überschreiben lassen, und warnt, dass eine Fehlkonfiguration hohe Kosten verursachen kann. Er erwähnt auch, dass solche Speicher die Anforderungen bestimmter Vorschriften unter Umständen nicht erfüllen⁴. Wenn Sie einen langen Aufbewahrungszeitraum festlegen und sperren, können Sie die Daten in diesem Zeitraum nicht löschen, und die Speichergebühren laufen weiter. Beginnen Sie im entsperrten Zustand oder mit einem kurzen Zeitraum, bestätigen Sie, dass sich wiederherstellen lässt, und wenden Sie erst dann die Produktiveinstellungen an.

Die Berechtigungen für die Verwaltung der Sicherungen trennen

Auch wenn Sie einen Speicher ohne Überschreiben verwenden, kann ein Angreifer die Sicherungseinstellungen und -richtlinien ändern, wenn sie sich mit dem alltäglichen Administratorkonto ändern lassen. Microsoft empfiehlt, vor dem Ändern oder Löschen von Online-Sicherungen einen zusätzlichen Schritt wie eine mehrstufige Authentifizierung oder eine Sicherheits-PIN zu verlangen. Außerdem nennt Microsoft, Sicherungs- und Wiederherstellungsvorgänge auf Benutzer in festgelegten Rollen zu beschränken und die Zahl der Dateifreigaben zu verringern, in denen viele Benutzer schreiben und löschen können⁵.

Auch wenn dieselbe Person sowohl die PCs als auch die Sicherungen verwaltet: Verwenden Sie das Konto für die Verwaltung des Sicherungsziels nicht für die tägliche Anmeldung am PC, und schützen Sie es mit einer mehrstufigen Authentifizierung.

Mehrere Generationen aufbewahren

Die IPA-Leitlinien nennen die „Generationsverwaltung“, also das Aufbewahren von Sicherungen aus mehreren Zeitpunkten. Damit kann man bei Beschädigung oder Verlust von Daten auf einen bestimmten Zeitpunkt zurückgehen¹². Wie in einem früheren Abschnitt beschrieben, enthalten die jüngsten Sicherungen bereits verschlüsselte Daten, wenn es dauert, bis die Verschlüsselung bemerkt wird. Wie viele Generationen Sie aufbewahren, legen Sie danach fest, wie lange es dauern kann, die Verschlüsselung zu bemerken, und wie viel die Speicherung kostet.

flowchart TB
        accTitle: Drei Maßnahmen für eine Kopie, die sich nicht überschreiben lässt
        accDescr: Eine Abbildung, die zeigt, getrennte Medien aufzubewahren oder einen Speicher ohne Überschreiben zu verwenden, die Berechtigungen für die Verwaltung der Sicherungen von den alltäglichen Konten zu trennen und mehrere Generationen aufzubewahren.
        A["Eine Kopie, die sich nicht überschreiben lässt"] --> B["Getrennte Medien aufbewahren"]
        A --> C["Speicher ohne Überschreiben"]
        B --> D["Verwaltungsberechtigungen trennen"]
        C --> D
        D --> E["Mehrere Generationen aufbewahren"]

Abbildung 6: Wenn der Aufbewahrungsort feststeht, trennen Sie die Verwaltungsberechtigungen und bewahren Sie Generationen auf, damit Sie auch bei spätem Bemerken zurückgehen können.

Bestätigen, dass sich wiederherstellen lässt

Im Bericht der Nationalen Polizeibehörde war „Mängel im Betrieb“ der zweithäufigste Grund für eine gescheiterte Wiederherstellung¹. Ob sich eine Sicherung tatsächlich wiederherstellen lässt, weiß man erst, wenn man es versucht. Das tatsächliche Wiederherstellen aus der Sicherung, um dies zu bestätigen, nennt man Wiederherstellungstest.

Die IPA-Leitlinien teilen den Sicherungsbetrieb in drei Teile: Erstellen, Aufbewahren und Wiederherstellen. Für die Wiederherstellung verlangen sie, einen Wiederherstellungsplan aufzustellen und zu bestätigen, dass sich korrekt wiederherstellen lässt³. Für geschäftskritische Systeme verlangen sie, das Erstellen der Sicherungen und die Verfahren auf die Wiederherstellungszeit (RTO) und den Wiederherstellungspunkt (RPO) abzustimmen und die Wirksamkeit in Übungen zu überprüfen. Die RTO ist die Zeit, die die Wiederherstellung auf das Zielniveau dauern darf, der RPO ist der Zeitpunkt, auf den wiederhergestellt wird, also der Zeitpunkt der jüngsten Sicherung¹⁵. Auch der CISA-Leitfaden verlangt, mit Blick auf die Notfallwiederherstellung regelmäßig zu prüfen, ob Sicherungen verfügbar und unversehrt sind⁴.

flowchart TB
        accTitle: Wie ein Wiederherstellungstest abläuft
        accDescr: Eine Abbildung, die den Ablauf zeigt: die Wiederherstellungsreihenfolge festlegen, in eine separate Umgebung wiederherstellen, die benötigte Zeit und den wiederhergestellten Stand mit RTO und RPO vergleichen und das Betriebshandbuch überarbeiten.
        A["Wiederherstellungsreihenfolge festlegen"] --> B["In eine separate Umgebung wiederherstellen"]
        B --> C["Benötigte Zeit mit der RTO vergleichen"]
        B --> D["Wiederhergestellten Stand mit dem RPO vergleichen"]
        C --> E["Betriebshandbuch überarbeiten"]
        D --> E
        E -.->|"Nächste Prüfung"| A

Abbildung 7: Versuchen Sie die Wiederherstellung, prüfen Sie, ob Zeit und Stand die Ziele erfüllen, und lassen Sie die Ergebnisse in das Betriebshandbuch einfließen.

Was zu prüfen ist

Anhand der Dokumentation von IPA und Microsoft lässt sich das Prüfprogramm wie folgt ordnen.

Microsoft empfiehlt, zuerst die geschäftskritischen Systeme zu bestimmen und sie regelmäßig zu sichern. Die so entstehende priorisierte Liste der Sicherungen wird unverändert zur Wiederherstellungsreihenfolge. Unter den hohen Prioritäten nennt Microsoft an erster Stelle die Authentifizierungssysteme wie Active Directory, die man braucht, um in alle anderen Systeme zu gelangen⁵. Außerdem empfiehlt Microsoft regelmäßige Übungen, das Geschäft aus einem Zustand wieder hochzufahren, in dem alle Systeme ausgefallen sind. Dabei wird davon ausgegangen, dass auch E-Mail und Chat nicht verfügbar sind⁵.

Microsoft schreibt, dass Angreifer es gezielt auf Wiederherstellungshandbücher und Netzwerkpläne abgesehen haben. Microsoft empfiehlt, sie zu schützen oder ausgedruckt griffbereit zu halten⁵. Liegt das Betriebshandbuch nur auf dem Dateiserver, kann man es nicht lesen, wenn dieser Dateiserver verschlüsselt ist.

Vorsicht bei der Wiederherstellung nach einem Angriff

Entfernen Sie nach einem tatsächlichen Angriff zuerst die Ransomware selbst aus der Umgebung, bevor Sie wiederherstellen⁵. Microsoft nennt, eine Sicherung von einem Zeitpunkt zu wählen, der nachweislich nicht infiziert war, und die Sicherung vor der Wiederherstellung auf Schadsoftware zu prüfen⁵. Der Bericht der Nationalen Polizeibehörde schreibt, dass Ransomware-Gruppen manchmal fernsteuerbare Software als Hintertür installieren, um auch nach dem Schließen des Einfallstors wieder hineinzukommen². Vor der Wiederherstellung müssen Sie den Eindringweg und das, was die Angreifer zurückgelassen haben, untersuchen.

flowchart TB
        accTitle: Die Reihenfolge der Wiederherstellung aus der Sicherung nach einem Angriff
        accDescr: Eine Abbildung, die zeigt, die Ransomware selbst und den Eindringweg zu entfernen, eine Sicherung von einem nicht infizierten Zeitpunkt zu wählen, sie auf Schadsoftware zu prüfen und dann die Systeme mit der höchsten Priorität zuerst wiederherzustellen.
        A["Die Ransomware selbst entfernen"] --> B["Eindringweg und Zurückgelassenes untersuchen"]
        B --> C["Einen nicht infizierten Zeitpunkt wählen"]
        C --> D["Die Sicherung prüfen"]
        D --> E["Mit der höchsten Priorität beginnen"]

Abbildung 8: Entfernen Sie nach einem Angriff, was die Angreifer zurückgelassen haben, und vergewissern Sie sich, dass der gewählte Zeitpunkt nicht infiziert war, bevor Sie wiederherstellen.

Wie oft zu prüfen ist

Sowohl die IPA-Leitlinien als auch der CISA-Leitfaden verlangen, „regelmäßig“ zu bestätigen, dass sich wiederherstellen lässt, nennen aber keine Zahl¹¹⁴. Das Unternehmen aus dem zuvor vorgestellten IPA-Fall führte zweimal im Jahr Wiederherstellungsübungen durch³. Legen Sie fest, wie lange Ihr Geschäft stillstehen darf und wie alt der wiederhergestellte Stand sein darf, und prüfen Sie so oft, dass Sie bestätigen können, diese Ziele einzuhalten.

Was zuerst festzulegen ist

Das Bisherige lässt sich als das zusammenfassen, was ein KMU zuerst festlegen sollte.

flowchart TB
        accTitle: Die Reihenfolge der Entscheidungen für ransomware-resistente Sicherungen
        accDescr: Eine Abbildung, die die Reihenfolge zeigt: den Umfang festlegen, die Orte der Kopien und die nicht überschreibbare Kopie festlegen, Berechtigungen und Generationen festlegen, RTO und RPO festlegen und bestätigen, dass sich wiederherstellen lässt.
        A["Den Umfang festlegen"] --> B["Die Orte der Kopien festlegen"]
        B --> C["Die nicht überschreibbare Kopie festlegen"]
        C --> D["Berechtigungen und Generationen festlegen"]
        D --> E["RTO und RPO festlegen"]
        E --> F["Bestätigen, dass sich wiederherstellen lässt"]

Abbildung 9: Legen Sie alles in einer Abfolge fest, vom Umfang bis zur abschließenden Prüfung der Wiederherstellung.

In der 4. Ausgabe der IPA-Leitlinien wurde den „Fünf Artikeln der Informationssicherheit“, mit denen Organisationen beginnen, „Backups erstellen!“ hinzugefügt, sodass es nun sechs sind¹⁶. Wie man die Leitlinien insgesamt durcharbeitet, fasst der Artikel „Wo sollten KMU bei der Sicherheit anfangen?“ zusammen. Wenn Sie den Austausch von Servern planen, lesen Sie auch „Preparing for Windows Server 2016 End of Support“.

Verwandte Artikel

• Wo sollten KMU bei der Sicherheit anfangen? — Ein Durchgang durch die IPA-„Informationssicherheitsleitlinien für KMU“, 4. Ausgabe
• Volumeschattenkopie (VSS): Funktionsweise und Praxis ── Warum sich Dateien in Benutzung sichern lassen
• Preparing for Windows Server 2016 End of Support

Quellen

Verwandte Artikel

Aktuelle Artikel mit denselben Schlagwörtern führen zu verwandten Themen weiter.

Verwandte Themen

Dies sind Themenseiten, die zu diesem Thema passen. Ausgehend vom Artikel gelangen Sie zu verwandten Leistungen und weiteren Artikeln.

Leistungen zu diesem Thema

Dieser Artikel führt zu den folgenden Leistungsseiten. Beginnen Sie gern mit einem Einstieg, der Ihrem Anliegen nahekommt.

Häufige Fragen

Fragen, die in Beratungen zu diesem Artikelthema häufig gestellt werden.

Wenn ich Sicherungen erstelle, kann ich nach einer Ransomware-Infektion alles wiederherstellen?

Oft reicht es nicht, nur Sicherungen zu erstellen. In der Auswertung der japanischen Nationalen Polizeibehörde für das erste Halbjahr 2025 konnten 41 der 48 antwortenden Organisationen, die Sicherungen erstellt hatten, nicht auf den Stand unmittelbar vor dem Angriff zurückkehren. Der häufigste Grund war, dass auch die Sicherungen verschlüsselt worden waren. Sie brauchen eine Kopie, die ein infizierter PC nicht überschreiben kann, und Sie müssen vorab bestätigen, dass sich daraus wiederherstellen lässt.

Wenn Windows die „Vorgängerversionen“ hat, brauche ich dann noch Sicherungen?

Ja. Die „Vorgängerversionen“ sind Volumeschattenkopien, also Differenzen, die auf dem ursprünglichen Volume liegen. Microsoft betrachtet erst die Daten, die aus einer Schattenkopie auf Medien wie Band kopiert wurden, als Sicherung. Ransomware löscht Schattenkopien manchmal mit Werkzeugen wie vssadmin; kombinieren Sie sie daher mit Sicherungen auf separaten Medien.

Reicht es, die 3-2-1-Regel einzuhalten, um sich vor Ransomware zu schützen?

Manchmal nicht. Die 3-2-1-Regel verlangt drei Kopien, zwei Medientypen und eine Kopie außer Haus, aber nicht, dass die Kopie außer Haus offline oder unveränderlich ist. Eine Cloud-Kopie, in die ein infizierter PC jederzeit schreiben kann, kann auf dieselbe Weise verschlüsselt werden. Ergänzen Sie eine Kopie auf einem Offline-Medium oder in einem Speicher, der sich nicht überschreiben lässt.

Wie oft sollte ich prüfen, ob sich aus den Sicherungen wiederherstellen lässt?

Sowohl die IPA-Leitlinien als auch der CISA-Leitfaden sagen „regelmäßig“ und nennen keine Zahl. Die IPA-Leitlinien beschreiben einen Fall, in dem ein Unternehmen, das zweimal im Jahr Wiederherstellungsübungen durchführte, seine Kernsysteme fünf Tage nach Entdeckung des Angriffs wieder in Betrieb nahm. Legen Sie fest, wie lange Ihr Geschäft stillstehen darf und wie alt der wiederhergestellte Stand sein darf, und prüfen Sie so oft, dass Sie bestätigen können, diese Ziele einzuhalten.

Autorenprofil

Profilseite des Artikelautors.

Go Komura

Vertretungsberechtigter von KomuraSoft LLC

Schwerpunkte sind Windows-Softwareentwicklung, technische Beratung und Fehleruntersuchung. Besondere Stärken liegen bei Projekten mit bestehenden Assets und bei der Untersuchung von Störungen, deren Ursache schwer erkennbar ist.