Bei einem Ransomware-Angriff gibt es genau eine Sache, die zuverlässig hilft: ein Backup, an das die Angreifer nicht herangekommen sind. Keine Firewall, kein Virenscanner, keine Versicherung ersetzt das. Sie entscheiden darüber, wie wahrscheinlich ein Angriff ist — das Backup entscheidet darüber, was er kostet.
Der Haken: Die meisten Betriebe haben ein Backup. Nur funktioniert es im Ernstfall oft nicht, und das merkt man erst dann.
Dieser Artikel erklärt ein tragfähiges Konzept ohne Fachchinesisch. Sie brauchen dafür keine IT-Abteilung, aber Sie müssen ein paar Entscheidungen treffen.
Die 3-2-1-Regel
Die Faustregel der Branche ist über zwanzig Jahre alt und immer noch richtig:
| 3 | drei Kopien Ihrer Daten — das Original und zwei Sicherungen |
| 2 | auf zwei verschiedenen Speichertypen |
| 1 | eine davon außer Haus |
Der Sinn dahinter ist, dass kein einzelnes Ereignis alle Kopien gleichzeitig erwischt. Ein Wasserschaden im Serverraum trifft Original und NAS, aber nicht die Kopie im Rechenzentrum. Ein defektes NAS trifft nicht das Bandlaufwerk.
„Zwei verschiedene Speichertypen” heißt dabei tatsächlich verschieden. Zwei baugleiche NAS im selben Schrank, gekauft am selben Tag aus derselben Charge, sind keine zwei Medien — die fallen erfahrungsgemäß auch zeitnah zusammen aus.
Warum die „1” heute die wichtigste Ziffer ist
Als die Regel entstand, ging es um Feuer und Hardwaredefekte. Heute geht es um Ransomware, und die verändert die Gewichtung.
Moderne Verschlüsselungstrojaner suchen aktiv nach Backups. Sie durchsuchen verbundene Laufwerke, erreichbare Netzwerkfreigaben und gemappte NAS-Shares — und verschlüsseln sie gleich mit. Ein Backup, das dauerhaft am selben Netz hängt, ist im Ernstfall genauso verschlüsselt wie das Original.
Deshalb braucht mindestens eine Kopie eine echte Trennung. Dafür gibt es drei praktikable Wege:
- Offline: eine externe Platte, die nach dem Backup abgezogen wird. Simpel, billig, wirksam — hängt aber daran, dass es jemand macht.
- Unveränderbar (immutable): Speicher, auf dem eine geschriebene Sicherung für eine festgelegte Zeit nicht gelöscht oder überschrieben werden kann, auch nicht mit Administratorrechten. Viele Cloud-Backup-Anbieter bieten das an.
- Getrennte Zugangsdaten: Der Backup-Speicher ist nicht Teil Ihrer normalen Domäne und nutzt eigene Konten. Wer Ihre Windows-Anmeldedaten erbeutet, kommt damit nicht an die Sicherung.
Wenn Sie aus diesem Artikel eine einzige Sache mitnehmen: Eine Kopie muss so liegen, dass ein Angreifer mit Administratorrechten sie nicht löschen kann.
Was kein Backup ist
Vier Dinge, die regelmäßig für ein Backup gehalten werden und keines sind:
RAID. Ein RAID schützt vor dem Ausfall einer Festplatte. Gegen Verschlüsselung, versehentliches Löschen oder einen Brand hilft es nicht — es schreibt den Schaden nur zuverlässig auf alle Platten gleichzeitig.
Synchronisierung. OneDrive, Dropbox, Nextcloud und Co. spiegeln Änderungen. Wird eine Datei verschlüsselt, wird die verschlüsselte Version synchronisiert. Versionierung hilft ein Stück weit, ist aber zeitlich begrenzt und bei zehntausenden Dateien mühsam zurückzuholen.
Snapshots auf demselben System. Nützlich für schnelles Zurückspringen, aber wenn das System kompromittiert ist, sind die Snapshots es meist auch.
Microsoft 365. Das ist der häufigste blinde Fleck überhaupt. Microsoft garantiert die Verfügbarkeit des Dienstes, nicht die Wiederherstellbarkeit Ihrer Inhalte. Papierkorb und Aufbewahrungsrichtlinien sind kein Backup — nach Ablauf der Fristen sind Mails, SharePoint-Dateien und Teams-Inhalte weg. Wer M365 geschäftskritisch nutzt, braucht eine eigene Sicherung dafür.
Zwei Zahlen, die Sie festlegen müssen
Bevor über Technik gesprochen wird, brauchen Sie zwei Antworten. Es sind kaufmännische Entscheidungen, keine technischen.
Wie viel Arbeit dürfen wir verlieren? Wenn einmal nachts gesichert wird und um 16 Uhr der Angriff kommt, ist der ganze Arbeitstag weg. Fachlich heißt das RPO — praktisch heißt es: Wie viele Stunden Buchhaltung, Aufträge und Mails können Sie verschmerzen und notfalls nacharbeiten?
Wie lange dürfen wir stillstehen? Von der Entscheidung „wir spielen zurück” bis „wir arbeiten wieder” vergeht Zeit — bei mehreren Terabyte über eine normale Internetleitung durchaus Tage. Fachlich RTO, praktisch: Ab wann wird es existenzbedrohend?
Aus diesen zwei Zahlen ergibt sich das Konzept. Wer vier Stunden Datenverlust und einen Tag Stillstand akzeptiert, braucht etwas anderes als ein Betrieb, der acht Stunden und eine Woche verträgt. Wer die Fragen nicht beantwortet, kauft im Zweifel das Falsche — meist zu wenig.
Der Test, den fast niemand macht
Ein Backup, das nie zurückgespielt wurde, ist kein Backup. Es ist eine Hoffnung.
Die typischen Überraschungen kommen alle erst beim ersten echten Rücksicherungsversuch: Der Job lief seit acht Monaten auf Fehler, die Benachrichtigungsmails landeten im Spam. Die Datenbank wurde im laufenden Betrieb gesichert und ist inkonsistent. Niemand kennt das Passwort für das Backup-Archiv. Die Wiederherstellung funktioniert, dauert aber elf Tage.
Machen Sie deshalb mindestens einmal im Jahr eine echte Rücksicherung — nicht nur „grünes Häkchen geprüft”, sondern eine Datei oder besser ein ganzes System zurückholen. Notieren Sie Datum, Dauer und wer es gemacht hat. Diese eine Seite ist im Schadensfall gegenüber Versicherung und Behörde mehr wert als jede Produktbroschüre.
Ein Minimalkonzept
Für einen Betrieb ohne eigene IT, mit Server oder NAS im Haus und Microsoft 365, sieht ein tragfähiger Aufbau ungefähr so aus:
- Tägliche automatische Sicherung aller Server, Freigaben und Arbeitsplatzdaten auf ein lokales Backup-Ziel — das ist die schnelle Wiederherstellung für den Normalfall
- Tägliche Auslagerung in ein Cloud-Backup mit Unveränderbarkeit oder auf eine wöchentlich gewechselte externe Platte, die außer Haus gelagert wird
- Separate Sicherung von Microsoft 365 — Exchange Online, SharePoint, OneDrive, Teams
- Getrennte Zugangsdaten für die Backup-Umgebung, nicht das normale Admin-Konto
- Aufbewahrung über mehrere Monate, damit auch ein spät entdeckter Befall noch auf saubere Stände zurückgreifen kann
- Automatische Benachrichtigung bei Fehlern — an eine Adresse, die tatsächlich jemand liest
- Jährlicher Wiederherstellungstest, dokumentiert
Punkt 5 wird häufig unterschätzt: Angreifer sind oft Wochen im Netz, bevor sie verschlüsseln. Wer nur 14 Tage aufbewahrt, hat unter Umständen nur bereits kompromittierte Stände.
Was das kostet
Seriös lässt sich das nicht pauschal beziffern — es hängt an Datenmenge, Anzahl der Systeme und den beiden Zahlen von oben. Zwei Orientierungspunkte helfen trotzdem:
Cloud-Backup wird üblicherweise nach Datenmenge oder pro geschütztem System und Monat abgerechnet, die Sicherung von Microsoft 365 pro Postfach. Beides ist für einen kleinen Betrieb überschaubar und planbar.
Der ehrlichere Vergleichsmaßstab ist die andere Seite: Was kostet eine Woche Stillstand? Rechnen Sie das einmal grob durch — Umsatzausfall, Löhne, Nacharbeit, Kundenverluste. Gegen diese Zahl gehalten fällt die Entscheidung meist von selbst.
Fünf Fragen zum Mitnehmen
- Wo liegt unsere letzte Kopie, die nicht am Netz hängt?
- Wann wurde zuletzt eine echte Rücksicherung getestet — und wie lange hat sie gedauert?
- Wer bekommt die Fehlermeldungen des Backup-Systems, und liest sie jemand?
- Ist Microsoft 365 gesichert?
- Wie weit reicht unsere Aufbewahrung zurück?
Wenn Sie diese fünf Fragen beantworten können, stehen Sie besser da als die meisten Betriebe Ihrer Größe.
Für den Ernstfall: Notfall-Checkliste
Sicherheit endet nicht bei der Konfiguration. Für Unternehmen ohne eigene IT-Abteilung habe ich zusammengeschrieben, was in den ersten 60 Minuten nach einem Sicherheitsvorfall zu tun ist — zwei Seiten PDF, kostenlos, ohne Anmeldung. Zum Weitergeben an Geschäftsführung, Kunden oder den Betrieb nebenan.
Dieser Artikel ersetzt keine individuelle Rechts- oder IT-Sicherheitsberatung und erhebt keinen Anspruch auf Vollständigkeit. Backup-Anforderungen sind im Einzelfall zu prüfen.
