Ein Backup schützt vor Datenverlust. Ob es auch bei einem Ransomware-Angriff greift, hängt an zwei Punkten: ob die Sicherung getrennt von der übrigen IT-Umgebung liegt, und ob eine Wiederherstellung daraus jemals getestet wurde. Fehlt einer der beiden, kann eine vorhandene Sicherung im entscheidenden Moment trotzdem nicht helfen.
Warum reicht eine vorhandene Sicherung im Ernstfall nicht aus?
In vielen kleineren IT-Umgebungen laufen Sicherungen automatisch und regelmäßig. Sie bleiben dabei dauerhaft mit dem Netzwerk verbunden, das sie eigentlich absichern sollen. Verschlüsselt ein Angriff die Arbeitsplätze und Server, erreicht er über dieselbe Verbindung häufig auch die Sicherungskopie. Sie wird gemeinsam mit den Originaldaten verschlüsselt — die zusätzliche Absicherung fällt genau in dem Moment aus, in dem sie gebraucht wird.
Ein zweites, ebenso häufiges Muster: Die Sicherung läuft zuverlässig, eine Wiederherstellung wurde aber nie unter realen Bedingungen geprobt. Der Sicherungsjob meldet seit Monaten „erfolgreich". Ob sich daraus tatsächlich ein funktionierender Arbeitsplatz oder ein vollständiger Server wiederherstellen lässt, zeigt sich in vielen Unternehmen erst am Tag des Vorfalls — wenn keine Zeit für einen zweiten Versuch bleibt und jede Stunde Ausfall bereits Geld kostet.
Ein dritter Punkt betrifft Microsoft 365 direkt. Wird ein Laufwerk auf einem Arbeitsplatz verschlüsselt, lädt die Synchronisation die veränderten Dateien wie jede andere Änderung in die Cloud hoch. Bleibt der Vorfall über Tage unbemerkt, sind irgendwann auch die gespeicherten Vorgängerversionen betroffen. Papierkorb und Versionsverlauf sind Aufbewahrungsfunktionen innerhalb derselben Umgebung, keine getrennte Kopie.
Was bedeutet „getrennt" bei einer Sicherung konkret?
Trennung ist keine Frage des Speicherorts allein. Eine Sicherung, die in der Cloud liegt, aber mit denselben Zugangsdaten erreichbar ist wie das Hauptsystem, ist im Ernstfall nicht getrennt. Entscheidend ist, ob ein Angreifer mit den Rechten, die er sich verschafft hat, auch an die Kopie herankommt. In der Praxis laufen die Antworten darauf auf drei Merkmale hinaus:
- Eigener Zugangsweg — die Sicherung ist nicht mit denselben Konten und Rechten erreichbar wie die Produktivumgebung.
- Unveränderlichkeit — die abgelegte Kopie kann innerhalb einer festgelegten Frist von niemandem überschrieben oder gelöscht werden, auch nicht mit Administratorrechten.
- Nachweisbare Wiederherstellung — es gibt ein dokumentiertes Datum, an dem zuletzt tatsächlich etwas zurückgeholt wurde.
Diese drei Merkmale sind auch die Punkte, die in Versicherungsfragebögen und Kundenaudits abgefragt werden. Wer sie beantworten kann, beantwortet damit gleichzeitig die Frage, ob die eigene Sicherung bei Ransomware trägt.
Warum beruhigt „wir machen doch Backups" hier nicht?
Die Aussage ist meist zutreffend und beantwortet trotzdem eine andere Frage. Relevant ist, ob die Sicherung über einen eigenen Zugangsweg erreichbar oder unveränderlich abgelegt ist, wie lange eine vollständige Wiederherstellung tatsächlich dauert, und wer im Unternehmen weiß, wie dieser Prozess im Ernstfall abläuft.
Ein IT-Dienstleister richtet eine Sicherung in der Regel korrekt ein. Die regelmäßige Prüfung auf Wiederherstellbarkeit ist eine eigene, wiederkehrende Aufgabe und gehört selten zum vereinbarten Leistungsumfang. Ein Blick in den bestehenden Vertrag klärt das in wenigen Minuten — und die Frage lässt sich auch ohne technische Vorkenntnisse stellen.
Was es kostet, wenn Sie nichts tun
Ohne eine getestete, getrennte Sicherung entscheidet im Ernstfall der Zufall über die Dauer des Ausfalls. Das reicht von wenigen Stunden bis zu mehreren Tagen ohne Zugriff auf E-Mail, Dateien und Systeme — mit allem, was ein Kunde, der auf eine Lieferung wartet, in dieser Zeit erlebt.
Cyber-Versicherungen verlangen zunehmend einen Nachweis über funktionierende, getrennte Sicherungen, bevor sie zahlen. Fehlt dieser Nachweis, verschiebt sich das Problem vom Ausfall selbst auf die Frage, ob die Versicherung dafür überhaupt eintritt. Der Fragebogen, der beim Abschluss der Police ausgefüllt wurde, wird im Schadensfall zum Prüfmaßstab.
Was ändert sich, wenn die Sicherung tatsächlich geprüft ist?
Nexus.365 Security beginnt mit dem Security Scan. Er wertet Ihre Microsoft-365-Umgebung in sieben Werktagen ausschließlich lesend aus und zeigt unter anderem, wo Aufbewahrungsfunktionen wie Papierkorb, Versionsverlauf und Aufbewahrungsrichtlinien mit dem verwechselt werden, was im Ernstfall gebraucht wird. Das Ergebnis ist eine priorisierte Liste statt einer allgemeinen Einschätzung — und damit eine Grundlage für die Entscheidung, ob eine eigenständige Datensicherung dazugehört.
Der Quick-Win schließt anschließend die dringendsten Konfigurationslücken in Microsoft 365, etwa bei Anmeldeschutz, Zugriffsregeln und Administratorrechten — also genau bei den Wegen, über die ein Angreifer üblicherweise an Daten und Sicherungen gelangt. Nexus.365 SecureWatch übernimmt danach den wiederkehrenden Konfigurations-Check mit monatlichem Bericht, sodass eine einmal saubere Einstellung sichtbar bleibt, wenn sie sich verändert.
Der Unterschied zu einer einmaligen Einrichtung: Die Absicherung wird ein laufend überprüfter Bestandteil des Betriebs. Eine Annahme, die niemand mehr hinterfragt, hält bis zu dem Tag, an dem sie gebraucht wird.
Häufige Fragen zum Thema
Warum schützt ein Backup nicht immer vor einem Ransomware-Angriff?+
Weil eine Sicherung, die dauerhaft mit dem Hauptsystem verbunden ist, bei einer Verschlüsselung häufig mitbetroffen ist. Schutz entsteht erst durch eine getrennte, unveränderliche Kopie und eine getestete Wiederherstellung.
Wie oft sollte eine Wiederherstellung getestet werden?+
Mindestens einmal im Jahr, bei Unternehmen mit Prüfpflichten häufiger. Ein Sicherungsjob, der „erfolgreich" meldet, sagt nichts darüber aus, ob eine vollständige Wiederherstellung tatsächlich funktioniert.
Reicht eine Cloud-Sicherung als Schutz vor Ransomware?+
Nur, wenn sie über einen eigenen Zugangsweg erreichbar oder unveränderlich gespeichert ist. Eine Cloud-Sicherung, die mit denselben Konten und Rechten erreichbar bleibt wie das Hauptsystem, kann bei einer Verschlüsselung genauso betroffen sein wie eine lokale.
Was verlangen Cyber-Versicherungen inzwischen von einer Sicherung?+
Zunehmend einen Nachweis über getrennte, regelmäßig geprüfte Sicherungen — nicht nur die Aussage, dass eine Sicherung existiert. Ohne diesen Nachweis kann eine Zahlung im Schadensfall ausbleiben oder sich deutlich verzögern.
Wie lange dauert eine Wiederherstellung nach einem Ransomware-Angriff?+
Das hängt stark davon ab, ob eine getestete, getrennte Sicherung vorhanden ist. Mit einer solchen Sicherung sind es häufig Stunden bis wenige Tage. Ohne sie kann es deutlich länger dauern, in ungünstigen Fällen Wochen.
Wissen Sie, was im Ernstfall tatsächlich zurückkommt?
Der Nexus.365 Security Scan wertet Ihre Microsoft-365-Umgebung read-only aus und zeigt in sieben Werktagen, wo Aufbewahrung endet und eine Sicherung anfangen müsste. Festpreis und Enddatum stehen vor Beginn fest, das Erstgespräch ist unverbindlich.
Security Scan starten