Wenn nach einem Ransomware-Angriff Bildschirme gesperrt sind, Dateien verschlüsselt wurden und der Betrieb stillsteht, entscheidet nicht die Größe des Backup-Speichers über den nächsten Schritt. Entscheidend ist, ob sich Systeme kontrolliert, sauber und innerhalb der benötigten Zeit wiederherstellen lassen. Wer die Datensicherung nach Ransomware planen will, muss deshalb mehr betrachten als tägliche Kopien: Wiederanlaufziele, unveränderbare Sicherungen, Verantwortlichkeiten und realistische Tests gehören zusammen.

Ein Backup ist keine Versicherung, die man einmal abschließt und dann vergisst. Es ist ein betrieblicher Prozess. Gerade mittelständische Unternehmen, Schulen, Gemeinden oder Einrichtungen im Medical-Bereich brauchen dafür eine Lösung, die zur eigenen Infrastruktur, zu ihren Anwendungen und zu ihren personellen Ressourcen passt – keine 08/15-Konfiguration.

Warum Datensicherung nach Ransomware anders geplant wird

Klassische Datensicherung schützt vor versehentlich gelöschten Dateien, Hardware-Ausfällen oder einzelnen defekten Datenbanken. Ransomware verändert die Ausgangslage. Angreifer verschlüsseln nicht nur produktive Daten, sondern versuchen gezielt, Sicherungen zu finden, zu löschen oder ebenfalls zu verschlüsseln. Häufig bewegen sie sich bereits Tage oder Wochen im Netzwerk, bevor sie aktiv werden.

Das führt zu einer zentralen Frage: Welcher Wiederherstellungspunkt ist wirklich sauber? Ein Backup vom Vorabend kann Schadcode, manipulierte Konten oder bereits veränderte Daten enthalten. Deshalb darf die Planung nicht allein auf die Häufigkeit der Sicherungen schauen. Sie muss Versionen über einen ausreichend langen Zeitraum vorhalten und festlegen, wie ein Wiederherstellungspunkt geprüft wird.

Hinzu kommt der Zeitdruck. Wenn eine Warenwirtschaft, ein DMS, die Zeiterfassung oder die Kommunikation ausfallen, entstehen schnell operative und wirtschaftliche Folgen. Manche Organisationen können einige Stunden ohne bestimmte Systeme arbeiten, andere nicht. Diese Unterschiede bestimmen die technische Auslegung.

Zuerst die Wiederanlaufziele festlegen

Bevor Speicher, Backup-Software oder Cloud-Ziele ausgewählt werden, sollten Geschäftsleitung und Fachbereiche zwei Werte definieren. Der Recovery Time Objective, kurz RTO, beschreibt, wie schnell ein System wieder verfügbar sein muss. Der Recovery Point Objective, kurz RPO, legt fest, wie viel Datenverlust maximal akzeptabel ist.

Ein Beispiel: Für eine geschäftskritische Auftragsbearbeitung kann ein RTO von vier Stunden sinnvoll sein. Müssen dabei höchstens 30 Minuten an Daten nacherfasst werden, braucht es Sicherungen oder Replikationen in entsprechend kurzen Intervallen. Für ein Archiv mit selten veränderten Unterlagen kann ein Wiederanlauf innerhalb eines Arbeitstags ausreichend sein. Beide Systeme identisch abzusichern wäre teuer und nicht automatisch besser.

Prioritäten nach Geschäftsprozess statt nach Servernamen

Die technische Inventarliste allein genügt nicht. Ein Dateiserver mag wichtig sein, aber ohne Active Directory, Netzwerkdienste, Firewall-Konfiguration, ERP-Datenbank oder Microsoft-365-Identitäten lässt er sich nicht sinnvoll nutzen. Planen Sie Wiederherstellungsgruppen entlang echter Abläufe: Anmeldung, Kommunikation, Kernanwendung, Datenbestand, Druck und Schnittstellen.

Dokumentieren Sie zudem Abhängigkeiten. Welche Anwendung benötigt welche Datenbank? Wo liegen Lizenzdateien, Verschlüsselungszertifikate und Konfigurationen? Welche Fachabteilung prüft nach der Wiederherstellung, ob Daten fachlich korrekt sind? Diese Informationen sparen im Ernstfall Stunden, in denen niemand nach Passwörtern, Installationsmedien oder Ansprechpartnern suchen sollte.

Die 3-2-1-1-0-Regel als belastbare Grundlage

Eine praxistaugliche Planung orientiert sich häufig an der 3-2-1-1-0-Regel. Sie ist kein Selbstzweck, sondern eine einfache Leitlinie gegen typische Ausfallrisiken:

• Drei Kopien der Daten sind vorhanden: die produktiven Daten und mindestens zwei Sicherungskopien.
• Zwei unterschiedliche Speicherarten reduzieren das Risiko eines gemeinsamen technischen Fehlers.
• Eine Kopie liegt außerhalb des primären Standorts, etwa in einem getrennten Rechenzentrum oder in der Cloud.
• Eine weitere Kopie ist offline, logisch isoliert oder unveränderbar gespeichert.
• Null bedeutet: Die Sicherungen werden regelmäßig automatisiert geprüft und liefern keine Fehler.

Der entscheidende Punkt bei Ransomware ist die zusätzliche isolierte oder unveränderbare Kopie. Bei unveränderbaren Backups kann selbst ein Konto mit weitreichenden Rechten Sicherungen innerhalb einer definierten Aufbewahrungsfrist nicht löschen oder verändern. Offline-Medien bieten ebenfalls Schutz, verursachen aber mehr organisatorischen Aufwand. Welche Variante passt, hängt von Wiederanlaufzeit, Datenmenge, verfügbarem Personal und Compliance-Vorgaben ab.

Cloud-Backup allein ist übrigens nicht automatisch eine Ransomware-Strategie. Sind Produktivsystem und Sicherungsziel mit denselben kompromittierten Zugangsdaten administrierbar, bleibt ein Risiko. Entscheidend sind getrennte Berechtigungen, Mehrfaktor-Authentifizierung, Protokollierung und eine klare Trennung zwischen täglichem Betrieb und Backup-Administration.

Was gesichert werden muss – und was oft fehlt

Viele Sicherungskonzepte konzentrieren sich auf Dateien und Datenbanken. Für einen vollständigen Wiederanlauf reicht das selten. Auch Systemzustände, virtuelle Maschinen, Konfigurationen von Firewalls und Switches, SaaS-Daten sowie Identitäten müssen berücksichtigt werden.

Besonders Microsoft 365 wird oft missverstanden. Microsoft stellt die Plattform bereit, doch die langfristige Wiederherstellung einzelner Inhalte, gelöschter Teams-Strukturen oder bestimmter Versionen gehört in vielen Szenarien in ein ergänzendes Sicherungskonzept. Das gilt ebenso für SharePoint, Exchange Online und OneDrive. Prüfen Sie konkret, welche Aufbewahrungsfristen bestehen und welche Wiederherstellungsfälle sie abdecken.

Auch die Sicherung der Sicherung gehört in den Plan. Dazu zählen Backup-Konfigurationen, Verschlüsselungsschlüssel, Zugangsdaten in einem geschützten Passwortmanagement und Dokumentationen. Können diese Elemente nach einem Angriff nicht wiederhergestellt werden, verzögert sich der Start erheblich.

Wiederherstellung testen, nicht nur Sicherungsjobs prüfen

Ein grüner Status im Backup-Dashboard beweist lediglich, dass ein Job technisch durchgelaufen ist. Er beweist nicht, dass sich eine Anwendung starten lässt, Benutzer sich anmelden können oder die Daten fachlich stimmig sind.

Planen Sie feste Restore-Tests in einer isolierten Umgebung. Kleinere Prüfungen, etwa die Wiederherstellung einzelner Dateien oder Datenbanken, können monatlich erfolgen. Für kritische Systeme empfiehlt sich mindestens jährlich ein vollständiger Wiederanlauftest mit IT und Fachbereich. Dabei wird nicht nur Technik geprüft, sondern auch die Kommunikation: Wer entscheidet über die Freigabe? Wer informiert Mitarbeitende? Welche Systeme werden zuerst aktiviert?

Nach jedem Test sollten Zeitbedarf, Fehler und offene Abhängigkeiten dokumentiert werden. Daraus entstehen konkrete Verbesserungen. Vielleicht dauert der Download eines Cloud-Backups länger als erwartet. Vielleicht fehlt eine aktuelle Anleitung für eine Fachanwendung. Vielleicht ist das RTO ambitionierter als die vorhandene Infrastruktur erlaubt. Solche Erkenntnisse sind kein Scheitern, sondern der Zweck des Tests.

Ein Notfallplan braucht klare Entscheidungen

Während eines Ransomware-Vorfalls darf niemand improvisieren müssen, ob ein betroffener Server neu gestartet, vom Netzwerk getrennt oder wiederhergestellt wird. Ein kompakter Notfallplan definiert Rollen, Eskalationswege und die ersten Maßnahmen. Er sollte auch außerhalb der normalen IT-Systeme verfügbar sein – etwa als geschütztes Druckdokument und an einem getrennten Speicherort.

Der Plan muss nicht hundert Seiten lang sein. Er muss funktionieren. Dazu gehören aktuelle Kontaktdaten, die Reihenfolge der Wiederherstellung, Zugänge zum Backup-System, externe Ansprechpartner sowie Kriterien dafür, wann Systeme wieder ans Netz dürfen. Bei Verdacht auf einen laufenden Angriff ist die forensische Bewertung wichtig: Wer vorschnell zurückspielt, kann den Angreifer erneut aktivieren oder Beweise verlieren.

Für Organisationen ohne eigene IT-Abteilung lohnt sich ein fester externer Ansprechpartner besonders. IT4YOU kann Backup, Infrastruktur, Sicherheitsmaßnahmen und Notfallprozesse als zusammenhängendes Betriebsmodell betrachten. Das reduziert Übergaben zwischen mehreren Dienstleistern und schafft klare Zuständigkeiten, wenn Zeit knapp ist.

Kosten realistisch bewerten

Mehrere Kopien, lange Aufbewahrungszeiten und unveränderbarer Speicher kosten Geld. Zu knapp kalkulierte Backups kosten im Angriff häufig deutlich mehr – durch Ausfallzeiten, manuelle Nacherfassung, Vertrauensverlust und externe Incident-Response-Leistungen. Trotzdem muss nicht jede Datei mit derselben Geschwindigkeit und über Jahre hinweg gesichert werden.

Sinnvoll ist eine abgestufte Planung: Kritische Betriebsdaten erhalten kurze Sicherungsintervalle und priorisierte Wiederherstellung. Weniger kritische Archive erhalten längere RTOs und kostengünstigere Speicherklassen. Rechtliche Aufbewahrungspflichten, Datenschutz und branchenspezifische Anforderungen müssen dabei von Anfang an einbezogen werden. Ein Backup ersetzt keine geregelte Löschung und berechtigt nicht dazu, personenbezogene Daten unbegrenzt vorzuhalten.

Eine gute Datensicherung zeigt ihren Wert nicht im Monatsbericht, sondern an dem Tag, an dem der Betrieb trotz Angriff wieder handlungsfähig wird. Planen Sie deshalb nicht nur Speicherplatz ein, sondern Zeit für Tests, klare Entscheidungen und die Menschen, die den Wiederanlauf tatsächlich durchführen.