Ransomware-Schutz und Notfallwiederherstellung
Die Frage ist nicht, ob Ihre Daten gesichert sind. Die Frage ist, ob Sie in drei Tagen wieder arbeiten können – und wer Ihnen das vorher schon einmal bewiesen hat.
Was bei einem Ransomware-Angriff tatsächlich passiert
Das Bild vom Klick auf den falschen Anhang und der sofortigen Verschlüsselung stimmt so nicht mehr. Ein typischer Angriff auf ein mittelständisches Unternehmen läuft in Phasen ab:
- 1
Zugang – über eine ungepatchte VPN-Appliance, gestohlene Zugangsdaten aus einem Phishing-Mail oder einen kompromittierten Fernwartungszugang.
- 2
Ausbreitung – der Angreifer bewegt sich seitlich durchs Netz und sammelt Anmeldedaten, bis er Domänen-Administrator ist. Dieser Schritt dauert oft Tage bis Wochen und bleibt ohne Überwachung unbemerkt.
- 3
Vorbereitung – Daten werden abgezogen (für die spätere Erpressung mit Veröffentlichung), Sicherheitssoftware wird deaktiviert.
- 4
Zerstörung der Backups – gezielt gesucht werden Backup-Server, Backup-Freigaben und NAS-Systeme. Genau hier entscheidet sich, ob der Angriff eine Störung oder eine Existenzfrage wird.
- 5
Verschlüsselung – meist nachts oder am Wochenende, wenn niemand eingreift.
Der Punkt, der in Beratungsgesprächen oft überrascht: Schritt 4 ist der wichtigste. Die meisten Unternehmen haben ein Backup. Nur haben viele eines, das der Angreifer mit denselben Rechten löschen kann, mit denen er auch die Produktivsysteme verschlüsselt.
Zur Einordnung: Der BSI-Lagebericht 2025 erfasst für den Zeitraum Juli 2024 bis Juni 2025 rund 950 Ransomware-Vorfälle in Deutschland; etwa 80 Prozent davon betrafen kleine und mittlere Unternehmen. Gleichzeitig erfüllen KMU im Schnitt nur rund 56 Prozent der IT-Sicherheits-Basisanforderungen.
Warum ein normales Backup diesen Angriff nicht übersteht
Typische Konstellationen, die wir bei Erstaufnahmen regelmäßig finden – und warum sie im Ernstfall nicht tragen:
| Vorgefundene Lösung | Das Problem im Angriffsfall |
|---|---|
| Backup auf eine NAS-Freigabe im selben Netz | Per SMB erreichbar. Wer Domänen-Admin ist, kann die Freigabe löschen oder mitverschlüsseln. |
| Externe USB-Festplatten im Wechsel | Funktioniert im Prinzip – scheitert aber daran, dass der Wechsel im Alltag vergessen wird und der Stand oft Wochen alt ist. |
| Backup-Server in der Domäne | Der Backup-Server selbst ist ein Ziel. Mit Domänen-Rechten lassen sich Jobs löschen und Repositories formatieren. |
| Cloud-Backup ohne Aufbewahrungssperre | Löschbefehle werden mit synchronisiert. Ohne Objektsperre ist „in der Cloud" kein Schutz. |
| Backup vorhanden, nie zurückgespielt | Die häufigste Variante. Ob eine Sicherung wiederherstellbar ist, weiß man erst, wenn man es getan hat. |
Wie wir die Datensicherung aufbauen
Wir arbeiten nach dem Prinzip 3-2-1-1-0. Es ist kein Marketingbegriff, sondern eine Prüfliste:
- 3
Kopien Ihrer Daten (das Original plus zwei Sicherungen)
- 2
verschiedene Speichermedien
- 1
Kopie außer Haus
- 1
Kopie unveränderbar oder physisch getrennt
- 0
Fehler bei der Überprüfung – jede Sicherung wird automatisiert auf Wiederherstellbarkeit getestet
Die letzten beiden Ziffern sind der Unterschied zum klassischen 3-2-1. Sie sind auch der Teil, der Arbeit macht – und deshalb an den meisten Stellen fehlt.
Veeam – die Backup-Software
Veeam sichert virtuelle Maschinen, physische Server, Microsoft 365 und Endgeräte in einer Oberfläche. Für den Ransomware-Fall nutzen wir gezielt diese Funktionen:
- Inline-Malware-Erkennung: Während der Sicherung wird der Datenstrom auf Auffälligkeiten geprüft – etwa sprunghaft steigende Entropie (ein Hinweis auf laufende Verschlüsselung) oder typische Erpresserbriefe im Dateisystem. Verdächtige Wiederherstellungspunkte werden markiert, bevor jemand sie versehentlich zurückspielt.
- SureBackup: Wiederherstellungspunkte werden automatisiert in einem isolierten Netzsegment gestartet und getestet – bootet die VM, antwortet der Dienst, ist die Datenbank konsistent. Das Ergebnis kommt als Bericht, nicht als Vermutung.
- Secure Restore: Vor der Rückführung ins Produktivnetz wird die Sicherung mit einem Virenscanner und YARA-Regeln durchsucht. So holen Sie sich die Schadsoftware nicht mit dem Restore zurück ins Haus.
- Instant Recovery: Eine VM läuft direkt aus dem Backup-Speicher, während die eigentlichen Daten im Hintergrund zurückgeschrieben werden. Das verkürzt die Ausfallzeit von Stunden auf Minuten.
- Objektwiederherstellung: Einzelne Dateien, Postfächer, SharePoint-Elemente oder AD-Objekte lassen sich einzeln zurückholen – ohne kompletten Server-Restore.
Zur Lizenzierung: Mit der Veeam Data Cloud sind die genannten Funktionen bereits in der Basislizenz enthalten – der Funktionsumfang entspricht dem früheren Enterprise Plus. Ergänzend lassen sich Veeam ONE für die Überwachung und, ab der größten Lizenzstufe, Veeam Recovery Orchestrator hinzubuchen.
Object First Ootbi – der Speicher, der sich nicht löschen lässt
Die zweite Hälfte der Absicherung ist der Speicherort. Eine Ootbi-Appliance ist eine 2U-Hardware, die ausschließlich für Veeam-Backups gebaut ist – und die bewusst weniger kann als ein Server, um weniger angreifbar zu sein:
- S3 Object Lock ab dem ersten Schreibvorgang: Jedes Backup-Objekt erhält eine Aufbewahrungsfrist. Innerhalb dieser Frist kann es nicht überschrieben und nicht gelöscht werden – von keinem Konto.
- Kein Root-Zugang: Es existiert kein administrativer Zugang zum Betriebssystem, mit dem sich Firmware, Konfiguration oder Daten zerstören ließen. Auch wir als Dienstleister haben ihn nicht. Das ist der entscheidende Unterschied zu einem „gehärteten Linux-Repository", das ein Administrator mit genügend Rechten am Ende doch leeren kann.
- Keine Domänenmitgliedschaft, kein SMB: Die Appliance spricht ausschließlich S3 gegenüber dem Veeam-Server. Ihre Windows-Anmeldedaten – auch die des Domänen-Administrators – sind dort ohne Bedeutung.
- Getrennte Verwaltung: Zugriff nur über eigene Konten mit Mehr-Faktor-Authentifizierung, eingerichtet bei der Erstkonfiguration.
- Schöpft die Veeam-Schnittstelle SOSAPI voll aus: Über die Smart Object Storage API meldet die Appliance Veeam ihre Fähigkeiten und ihren Aufbau. Veeam verteilt die Sicherungsdaten daraufhin selbstständig auf die passenden Nodes und Netzwerkkarten und übernimmt die optimalen Einstellungen automatisch. In der Praxis heißt das: mehr Durchsatz ohne manuelle Feinabstimmung – und Sicherungsfenster, die auch bei wachsender Datenmenge eingehalten werden.
Technische Eckdaten: Nodes von 18 TB bis 432 TB nutzbarer Kapazität, bis zu vier Nodes im Cluster (bis rund 1,7 PB), Datenaufnahme mit 1–2 GB/s pro Node bzw. bis 8 GB/s im Cluster, RAID 6 bzw. RAID 60, redundante Netzteile, 10/25-GbE-Anbindung. Bis zu 45 gleichzeitig laufende Instant-Recovery-VMs je Node – im Vier-Node-Cluster entsprechend mehr. Das heißt: im Ernstfall läuft ein erheblicher Teil Ihrer Serverlandschaft direkt vom Backup-Speicher weiter.
Mini-Nodes ab 8 TB nutzbarer Kapazität
Bisher war dieser Schutz vor allem etwas für größere Umgebungen. Mit den Mini-Nodes lohnt er sich auch für kleine und mittelständische Unternehmen mit überschaubarer Datenmenge – bei gleicher Unveränderbarkeit und gleicher Abschottung, nur mit entsprechend kleineren Leistungswerten. Wächst die Datenmenge, wächst der Speicher mit.
Zum Vergleich: Mit einem herkömmlichen NAS ist das nicht vergleichbar. Dort teilen sich Sicherung und andere Dienste dieselbe Hardware, der Zugriff läuft über Windows-Freigaben, und wer im Netz genügend Rechte erlangt, kann die Daten löschen. Ootbi ist für genau eine Aufgabe gebaut – und für alles andere bewusst verschlossen.
Das Prinzip dahinter – Zero Trust Data Resilience
Der Aufbau folgt einem Modell, das Veeam gemeinsam mit Sicherheitsexperten formuliert hat und das auch Object First umsetzt. Es hat drei Regeln:
- 1Backup-Software und Backup-Speicher trennen – durch Netzsegmentierung und ein logisches oder physisches Air Gap.
- 2Mehrere Widerstandszonen – mindestens eine Kopie außerhalb des Standorts, damit die Kompromittierung einer Zone nicht alles mitnimmt.
- 3Unveränderbarer und verschlüsselter Speicher – Verschlüsselung schützt die Vertraulichkeit, Unveränderbarkeit die Integrität.
Der Grundgedanke: Man geht davon aus, dass ein Angreifer bereits im Netz ist („assume breach"), und baut die Sicherung so, dass sie auch dann noch hält.
Der Ernstfall – was in den ersten 72 Stunden passiert
Ein Notfallplan, den niemand gelesen hat, ist kein Notfallplan. Deshalb legen wir ihn gemeinsam mit Ihnen fest, halten ihn auch außerhalb der IT verfügbar (ausgedruckt und offline) und üben ihn.
Stunde 0 bis 4 – Eindämmen
- Betroffene Systeme vom Netz trennen, aber nicht ausschalten – flüchtige Spuren gehen sonst verloren.
- Internetzugang und Standortkopplungen unterbrechen, damit sich die Verschlüsselung nicht weiter ausbreitet.
- Alle administrativen Passwörter zurücksetzen; Fernwartungszugänge sperren.
- Backup-Appliance prüfen: Sind die unveränderbaren Wiederherstellungspunkte intakt? Bis wann reicht der jüngste saubere Stand zurück?
- Meldeuhren starten: Bei betroffenen personenbezogenen Daten gilt die 72-Stunden-Frist nach Art. 33 DSGVO gegenüber der Aufsichtsbehörde. Cyberversicherungen verlangen die Meldung in der Regel unverzüglich – und schreiben teils vor, welchen Dienstleister Sie einschalten dürfen. Beides vorher klären, nicht im Ernstfall nachlesen.
Stunde 4 bis 24 – Sauberen Stand finden und prüfen
- Ermitteln, wann der Angreifer ins Netz kam. Der letzte Wiederherstellungspunkt vor diesem Zeitpunkt ist der Kandidat – nicht automatisch der jüngste.
- Wiederherstellung in eine isolierte Umgebung („Clean Room"): ein abgeschottetes Netzsegment oder eine Cloud-Umgebung mit gespiegelter Konfiguration, aber ohne Verbindung zum Produktivnetz.
- Dort Virenscan und Prüfung auf Persistenzmechanismen, bevor irgendetwas zurück ins echte Netz darf. Mit Veeam Recovery Orchestrator lässt sich dieser Ablauf zusätzlich automatisiert durchspielen und protokollieren.
Stunde 24 bis 72 – Wiederanlauf in der richtigen Reihenfolge
Die Reihenfolge ist der Teil, an dem Wiederherstellungen in der Praxis scheitern. Unsere Standardabfolge:
- 1Netzwerk-Basis: Firewall, Switching, VLANs
- 2Verzeichnisdienst: Domain Controller (bei mehreren: autoritative Wiederherstellung nur auf einem)
- 3Kerndienste: DNS, DHCP, Zertifikate, Lizenzserver
- 4Datei- und Datenbankserver
- 5Fachanwendungen (ERP, Warenwirtschaft, Branchensoftware)
- 6Arbeitsplätze, Drucker, Telefonie
- 7Externe Anbindungen wieder freischalten – erst zuletzt
Was dabei erfahrungsgemäß fehlt
Diese Punkte klären wir vorher, weil sie im Ernstfall regelmäßig zum Stillstand führen:
- Der Passwort-Safe liegt auf einem verschlüsselten Server: Ein Offline-Notfallexemplar der wichtigsten Zugänge gehört in den Tresor, nicht ins Netz.
- Lizenzschlüssel und Aktivierungen: für Fachanwendungen sind nicht dokumentiert – der Hersteller-Support braucht dann Tage.
- Niemand weiß, wen man anruft: Kontaktliste mit Handynummern von Geschäftsführung, IT-Dienstleister, Versicherung, Steuerberater, ggf. Anwalt – ausgedruckt.
- Die Telefonanlage hängt an der IT: Wenn die Cloud-Telefonie am ausgefallenen Internetanschluss hängt, ist das Unternehmen auch telefonisch nicht erreichbar. Mobiler Rückfallweg gehört in den Plan.
- Der Wiederherstellungsstand passt nicht zur Buchhaltung: Wenn Sie auf einen Stand von vorgestern zurückgehen, müssen Belege und Buchungen nacherfasst werden. Wer das macht, sollte vorher feststehen.
Wiederanlaufzeiten festlegen – RTO und RPO
Zwei Kennzahlen, die wir pro Systemgruppe mit Ihnen festlegen, statt „so schnell wie möglich" zu versprechen:
- RTO (Recovery Time Objective): Wie lange darf das System ausfallen?
- RPO (Recovery Point Objective): Wie viel Arbeit darf verloren gehen?
Ein Beispiel, wie eine solche Festlegung bei einem Betrieb mit rund 40 Arbeitsplätzen aussehen kann:
| Systemgruppe | RTO (max. Ausfall) | RPO (max. Datenverlust) | Umsetzung |
|---|---|---|---|
| ERP / Warenwirtschaft | 4 Stunden | 1 Stunde | Stündliche Sicherung, Instant Recovery aus dem Backup-Speicher |
| Datei- und Verzeichnisdienst | 8 Stunden | 4 Stunden | Mehrfachsicherung täglich |
| E-Mail (Microsoft 365) | 8 Stunden | 4 Stunden | Separate M365-Sicherung, unabhängig von Microsoft |
| Fertigungs-/Maschinensteuerung | 24 Stunden | 24 Stunden | Tägliche Sicherung, dokumentierte Neuinstallation als Rückfall |
| Arbeitsplatzrechner | 48 Stunden | 24 Stunden | Standardisiertes Image, Nutzerdaten zentral |
Die Zahlen sind ein Beispiel, keine Zusage – sie hängen von Ihren Prozessen, der Datenmenge und der vorhandenen Hardware ab. Wir ermitteln sie im Erstgespräch anhand der Frage: Was kostet uns eine Stunde Stillstand in diesem Bereich?
Testwiederherstellung – der Teil, den niemand gerne macht
Wir führen bei betreuten Kunden regelmäßige Wiederherstellungstests durch und dokumentieren sie:
- Automatisiert, wöchentlich: SureBackup startet ausgewählte Systeme in einer isolierten Umgebung, prüft Bootvorgang und Dienste, und meldet das Ergebnis per Bericht.
- Manuell, jährlich: Ein angekündigter Übungsdurchlauf mit Ihnen – ein definierter Server wird tatsächlich zurückgespielt, die Zeit gestoppt und mit dem vereinbarten RTO verglichen.
- Protokolliert: Jeder Test wird mit Datum, Umfang und Ergebnis festgehalten. Das ist gleichzeitig der Nachweis, den Cyberversicherer und Wirtschaftsprüfer zunehmend sehen wollen.
Wenn ein Test das vereinbarte RTO reißt, ist das kein Misserfolg – es ist genau der Grund, warum man testet. Dann wird nachgebessert, bevor es ernst wird.
Was das für Sie bedeutet
Sie bekommen keine Garantie, dass nichts passiert – die kann Ihnen niemand seriös geben. Sie bekommen:
- eine Sicherung, die ein Angreifer mit Administratorrechten nicht löschen kann,
- einen schriftlichen Wiederanlaufplan mit festgelegten Zeiten und Reihenfolgen,
- den regelmäßigen Nachweis, dass die Wiederherstellung funktioniert,
- und im Ernstfall einen Ansprechpartner, der Ihre Umgebung kennt und vor Ort sein kann.
Sie wissen nicht, ob Ihr aktuelles Backup einen Ransomware-Angriff überstehen würde? Wir prüfen das in einem Erstgespräch – konkret anhand Ihrer vorhandenen Sicherung, nicht anhand einer Checkliste.