1. Was ist Ran­som­wa­re — und war­um reicht End­point-Schutz nicht? #

Ran­som­wa­re ist Schad­soft­ware, die Daten ver­schlüs­selt und ein Löse­geld für die Ent­schlüs­se­lung for­dert. Was als ein­fa­che Erpres­sungs­tro­ja­ner begann — Cryp­to­Lo­cker (2013), Wan­naCry (2017) — hat sich zu einer hoch­pro­fes­sio­na­li­sier­ten Indus­trie ent­wi­ckelt: Ran­som­wa­re-as-a-Ser­vice (), bei der spe­zia­li­sier­te Grup­pen Angriffs­werk­zeu­ge ver­mie­ten und am Löse­geld betei­ligt werden.

War­um End­point-Schutz allein nicht reicht #

End­point Detec­tion and Respon­se (E), Fire­walls und Intru­si­on-Detec­tion-Sys­te­me sind not­wen­di­ge Schutz­schich­ten — aber sie adres­sie­ren nur die Prä­ven­ti­on. Das Pro­blem: Kei­ne Prä­ven­ti­ons­maß­nah­me bie­tet 100 % Schutz. Laut dem Vee­am Ran­som­wa­re Trends Report 2023 wur­den 76 % der befrag­ten Unter­neh­men min­des­tens ein­mal Opfer eines Ran­som­wa­re-Angriffs — trotz vor­han­de­ner Schutzmaßnahmen.

Die ent­schei­den­de Fra­ge lau­tet nicht: Kann ich einen Angriff ver­hin­dern? Son­dern: Kann ich mich nach einem erfolg­rei­chen Angriff wiederherstellen?

Und genau hier beginnt das eigent­li­che Problem.

Die Kos­ten eines Ran­som­wa­re-Angriffs #

Kos­ten­po­si­ti­onDurch­schnitt­li­cher WertQuel­le
Gesamt­scha­den pro Angriff5,3 Mio. EURBit­kom 2024 (Schät­zung)
Aus­fall­zeit bis zur WiederherstellungWochen bis MonateSophos Sta­te of Ran­som­wa­re 2024
Anteil der Opfer, die Löse­geld zahlen56 %Sophos Sta­te of Ran­som­wa­re 2024
Daten­wie­der­her­stel­lung nach ZahlungOft unvoll­stän­digSophos Sta­te of Ran­som­wa­re 2024

Die Zah­len zei­gen: Zah­len ist kei­ne Stra­te­gie. Die Wie­der­her­stel­lung bleibt oft unvoll­stän­dig. Die ein­zi­ge ver­läss­li­che Stra­te­gie ist die Fähig­keit, Sys­te­me und Daten eigen­stän­dig wie­der­her­zu­stel­len — aus einem Back­up, das der Angrei­fer nicht errei­chen konnte.

Post | 03.02.2026
Was ist Ransomware? Einfach erklärt für IT-Entscheider
Ransomware ist eine Art von Schadsoftware, die Daten und Systeme verschlüsselt oder sperrt und Lösegeld für deren Freigabe verlangt. Der Name ist Programm: Ransom (Lösegeld) + Software. Für IT-Entscheider ist es entscheidend zu verstehen, dass modernes Ransomware nicht nur ein Sicherheitsproblem ist — es ist eine Geschäftsbedrohung, die zu mehrtägigen bis mehrmonatigen Ausfallzeiten führt.Die Bedrohung ist real und wächst exponentiell. Laut dem Veeam Data Protection Trends Report 2024 waren 76% aller Organisationen Opfer eines Ransomware-Angriffs in den letzten 18 Monaten. Das bedeutet nicht nur finanzielle Verluste durch Ausfallzeit; 56% der befallenen Unternehmen zahlten tatsächlich Lösegeld (Sophos State of Ransomware 2024). Die Folgen reichen von Tagen bis zu Monaten ohne IT-Services.Dieser Artikel erklärt, was Ransomware ist, wie sie sich entwickelt hat, und — wichtig — warum traditionelle Prävention allein nicht ausreicht.
Post | 06.02.2026
Ransomware-as-a-Service: So funktioniert die Schattenwirtschaft
Ransomware ist längst kein Werk einzelner Hacker mehr. Das Geschäftsmodell dahinter funktioniert wie ein Tech-Startup — mit Kundenservice, Affiliate-Programmen und sogar Versionsupdates. Dieses Modell heißt Ransomware-as-a-Service (RaaS), und es ist der Grund, warum Angriffe exponentiell skaliert wurden.Für IT-Entscheider ist es wichtig zu verstehen: Ransomware-Banden sind heute organisierte, gut finanzierte Kriminelle mit Entwickler-Teams. Das macht ihre Angriffe effizienter, zielgerichteter und schwerer abzuwehren als je zuvor.

2. Wie Ran­som­wa­re Ihre Back­ups angreift #

Moder­ne Ran­som­wa­re-Kam­pa­gnen fol­gen einem metho­di­schen Ablauf, der gezielt auf die Zer­stö­rung Ihrer Wie­der­her­stel­lungs­fä­hig­keit abzielt. Seit 2018 domi­nie­ren soge­nann­te Big-Game-Hun­ting-Kam­pa­gnen: pro­fes­sio­nel­le Grup­pen wie Lock­Bit, BlackCat/​ALPHV und Cl0p, die sys­te­ma­tisch gro­ße Orga­ni­sa­tio­nen ins Visier nehmen.

Der typi­sche Angriffs­ver­lauf #

Pha­se 1 — Initia­ler Zugriff (Tag 0) Phis­hing-E-Mails, kom­pro­mit­tier­te VPN-Zugän­ge oder unge­patch­te öffent­lich erreich­ba­re Sys­te­me lie­fern den ers­ten Zugang. Die­ser wird nicht sofort aus­ge­nutzt — Angrei­fer war­ten und beobachten.

Pha­se 2 — Erkun­dung und Aus­brei­tung (Tag 1 – 21) Angrei­fer blei­ben oft wochen­lang, teils mona­te­lang unent­deckt im Netz­werk. Sie bewe­gen sich metho­disch durch Ihr Netz­werk, eska­lie­ren Berech­ti­gun­gen, steh­len Domä­nen-Admi­nis­tra­tor-Cre­den­ti­als und kar­tie­ren die gesam­te Infra­struk­tur — ein­schließ­lich aller Back­up-Sys­te­me. Die­ser Schritt ist der ent­schei­den­de: Die Angrei­fer iden­ti­fi­zie­ren jedes Back­up-Repo­si­to­ry, jeden Snapshot-Spei­cher, jede Cloud-Verbindung.

Pha­se 3 — Back­up-Zer­stö­rung (vor der Verschlüsselung) Erst wenn das voll­stän­di­ge Lage­bild erstellt ist, grei­fen Angrei­fer ein:

  • Back­up-Daten­ban­ken wer­den gelöscht
  • Snapshots wer­den entfernt
  • Back­up-Agen­ten wer­den deinstalliert
  • Shadow Copies wer­den vernichtet
  • Cloud-Back­up-Cre­den­ti­als wer­den ver­wen­det, um Off-Site-Kopien zu löschen

Pha­se 4 — Ver­schlüs­se­lung und Erpressung Mit zer­stör­ten Back­ups steht das Opfer vor einer binä­ren Wahl: Zah­lung oder Totalausfall.

War­um Ihr aktu­el­les Back­up gefähr­det ist #

Die kri­ti­sche Fra­ge für jede IT-Orga­ni­sa­ti­on: Kann ein Angrei­fer mit kom­pro­mit­tier­ten Admi­nis­tra­tor-Cre­den­ti­als Ihr Back­up vernichten?

Wenn Ihre Back­ups über das­sel­be Acti­ve Direc­to­ry, die­sel­ben Netz­werk­seg­men­te oder die­sel­ben Cloud-Cre­den­ti­als erreich­bar sind wie Ihre Pro­duk­tiv­um­ge­bung — dann lau­tet die Ant­wort: Ja.

Back­up-TypErreich­bar mit Admin-Cre­den­ti­als?Ran­som­wa­re-Schutz
NAS/SAN (netz­werk­ge­bun­den)Ja — über SMB/NFSKei­ner
Cloud-Back­up (S3, Azu­re Blob)Ja — über IAM/A­PI-KeysGering (Object Lock umgehbar)
Snapshot-Immu­ta­bi­li­tätJa — Admin kann Poli­ci­es ändernGering
Hard­ware Air GapNein — phy­sisch nicht adressierbarSehr hoch
Ransomware-Angriffsverlauf
Wie professionelle Angreifer Ihre Backup-Infrastruktur systematisch zerstören
Big-Game-Hunting-Gruppen wie LockBit und BlackCat vernichten Backups vor der Verschlüsselung — der entscheidende Unterschied zu frühen Angriffen.
Phase 1
Initialer Zugriff
Tag 0
  • Phishing-E-Mail
  • Kompromittiertes VPN
  • Ungepatchte Systeme
  • Schwache Credentials
›
Phase 2
Erkundung & Ausbreitung
Tag 1–21
  • Credential-Diebstahl
  • Domain-Admin eskaliert
  • Netzwerk kartiert
  • Backups identifiziert
›
⚠ Phase 3
Backup-Zerstörung
Vor Verschlüsselung
  • Backup-DBs gelöscht
  • Shadow Copies entfernt
  • Cloud-Backups gelöscht
  • Agents deinstalliert
›
Phase 4
Verschlüsselung & Erpressung
Stunde X
  • Alle Daten verschlüsselt
  • Lösegeldforderung
  • Backups vernichtet
  • Zahlung oder Ausfall
🛡
Air Gap-Backups überstehen Phase 3 — physisch nicht adressierbar
Ein Hardware Air Gap hat in Phase 3 keine aktive Netzwerkverbindung. Kein kompromittiertes Admin-Credential kann das System erreichen. Das Backup bleibt intakt — unabhängig vom Ausmaß des Angriffs.
Quellen: Sophos State of Ransomware 2024, Bitkom Wirtschaftsschutz 2024, BSI Lagebericht
FAST LTA
Post | 12.02.2026
Wie Ransomware Backups zerstört: Technische Analyse
Ein Backup ist nur so sicher, wie es schwer zu erreichen und zu löschen ist. Die meisten Unternehmen sichern ihre Daten auf Netzwerk-Shares oder Cloud-Speicher — beide sind für Ransomware erreichbar. Moderne Ransomware-Varianten sind nicht dumm; sie suchen aktiv nach Backups und zerstören sie, bevor Sie merken, dass Sie getroffen wurden.Für IT-Entscheider ist das ein kritisches Verständnis: Ein Backup ist nur ein Backup, wenn es nicht von Ransomware gelöscht werden kann. Dieser Artikel erklärt die vier Haupttaktiken, mit denen Ransomware Ihre Sicherungskopien zerstört — und wie Hardware Air Gap Sie wirklich schützt.

3. Back­up-Stra­te­gien im Ran­som­wa­re-Kon­text #

Die 3 – 2‑1-Regel — und war­um sie nicht mehr aus­reicht #

Die 3 – 2‑1-Regel galt jahr­zehn­te­lang als Gold­stan­dard: drei Kopien, zwei Medi­en­ty­pen, ein Off-Site-Stand­ort. Das Pro­blem: Alle drei Kopien kön­nen netz­wer­ker­reich­bar sein. Ein Angrei­fer mit Domä­nen­ad­mi­nis­tra­tor-Rech­ten ver­nich­tet sie in Stunden.

Die Erwei­te­rung: 3−2−1−1−0 #

Sicher­heits­ar­chi­tek­ten und das BSI emp­feh­len die Erwei­te­rung um zwei kri­ti­sche Elemente:

  • +1 (off­line/air-gap­ped): Min­des­tens eine Kopie muss phy­sisch vom Netz­werk getrennt sein — nicht nur logisch iso­liert, nicht nur durch eine Fire­wall geschützt, son­dern phy­sisch nicht adressierbar.
  • +0 (zero errors after veri­fi­ca­ti­on): Back­ups müs­sen regel­mä­ßig auf Wie­der­her­stell­bar­keit geprüft wer­den. Ein Back­up ohne veri­fi­zier­ten Res­to­re ist kein Back­up — es ist eine Hoffnung.

Back­up-Iso­la­ti­on im Ver­gleich #

Metho­deEch­ter Ran­som­wa­re-SchutzRTOAuto­ma­ti­sie­rungCom­pli­ance-Eig­nung
Online-Back­up (NAS/​Cloud)Nein< 1 StundeHochUnzu­rei­chend
Snapshot-Immu­ta­bi­li­tätGering< 1 StundeHochBedingt
Object Lock / Cloud WORMMit­telMit­telHochBedingt
Hard­ware Air GapSehr hoch4 – 8 StundenHochJa

Die Tabel­le zeigt: Ech­ter Ran­som­wa­re-Schutz erfor­dert phy­si­sche Iso­la­ti­on. Die Fra­ge ist nur, ob auto­ma­ti­siert (Hard­ware ) oder manu­ell und langsam.

Rtorpo | FAST LTA

4. Air Gap: Der ein­zi­ge phy­si­sche Schutz #

Was ist ein ech­ter Air Gap? #

Der Begriff ​„” wird infla­tio­när ver­wen­det. Cloud-Anbie­ter ver­mark­ten als ​„Vir­tu­al ”, Back­up-Soft­ware-Her­stel­ler bezeich­nen Netz­werk­seg­men­tie­rung als ​„logi­schen ”. Bei­des ist kein Air Gap.

Defi­ni­ti­on: Ein ist die phy­si­sche Unter­bre­chung der Netz­werk­ver­bin­dung zwi­schen einem Back­up-Sys­tem und der übri­gen IT-Infra­struk­tur — so, dass das Sys­tem im Off­line-Zustand kei­ne adres­sier­ba­re Netz­werk­schnitt­stel­le besitzt.

Die drei Anfor­de­run­gen an einen ech­ten Air Gap:

  1. Kei­ne akti­ve Netz­werk­ver­bin­dung nach dem Back­up. Das Sys­tem muss nach dem Back­up-Fens­ter phy­sisch vom Netz­werk getrennt sein.
  2. Kei­ne adres­sier­ba­re Netz­werk­schnitt­stel­le im Off­line-Zustand. Ein Sys­tem mit IP-Adres­se hin­ter einer Fire­wall hat kei­nen  — es ist segmentiert.
  3. Hard­ware-erzwun­gen, nicht soft­ware-kon­trol­liert. Die Tren­nung muss durch phy­si­sche Mecha­nis­men erfol­gen, die von einem kom­pro­mit­tier­ten Sys­tem nicht auf­ge­ho­ben wer­den können.

Wie funk­tio­niert ein auto­ma­ti­sier­ter Hard­ware Air Gap? #

  1. Back­up-Fens­ter öff­net sich: Die Back­up-Soft­ware adres­siert das Air-Gap-Sys­tem über Stan­dard-Schnitt­stel­len (FC, iSCSI, NFS, SMB, S3)
  2. Daten wer­den geschrie­ben: Siche­rungs­job läuft wie bei jedem ande­ren Backup-Target
  3. Hard­ware-Tren­nung: Nach Abschluss des Schreib­vor­gangs trennt ein inte­grier­ter Hard­ware-Con­trol­ler die Netz­werk­ver­bin­dung phy­sisch — auto­ma­tisch, ohne manu­el­len Eingriff
  4. Off­line-Zustand: Das Sys­tem ist uner­reich­bar. Kei­ne IP-Adres­se, kei­ne Netz­werk­schnitt­stel­le, kein Angriffsvektor
  5. Nächs­tes Back­up-Fens­ter: Das Sys­tem stellt die Ver­bin­dung auto­ma­tisch wie­der her

Die­ser Zyklus läuft voll­au­to­ma­tisch — kein manu­el­ler Pro­zess, kein Risi­ko mensch­li­cher Fehler.

FAST LTA Silent Brick Sys­tem: Hard­ware Air Gap in der Pra­xis #

Das Silent Brick Sys­tem imple­men­tiert die­sen auto­ma­ti­sier­ten Hard­ware Air Gap:

  • Phy­si­sche Netz­tren­nung durch inte­grier­ten Hard­ware-Con­trol­ler, unab­hän­gig vom Host-Betriebssystem
  • Fest­plat­ten­ba­siert: Wie­der­her­stel­lungs­ge­schwin­dig­keit in Stun­den, nicht Tagen
  • Kom­pa­ti­bel mit allen gän­gi­gen Back­up-Lösun­gen: Vee­am, Commv­ault, Veri­tas, IBM Spec­trum Protect
  • Revi­si­ons­si­che­re Pro­to­kol­lie­rung aller Ver­bin­dungs­zei­ten — für Compliance-Nachweis
  • Made in Ger­ma­ny: Ent­wick­lung und Fer­ti­gung in München

→ Mehr zum Silent Brick System

Post | 31.03.2026
Logischer vs. physischer Air Gap: Der Unterschied, der im Ernstfall zählt
"Wir nutzen VLANs und eine Firewall — unsere Backups sind isoliert!" Das höre ich oft von IT-Leitern. Technisch ist das nicht falsch. Praktisch ist es aber oft nicht genug gegen Ransomware. Der Unterschied zwischen logischem Air Gap und physischem Air Gap ist fundamental — und im Ernstfall entscheidend.Dieser Artikel erklärt, warum logische Isolation für Ransomware-Schutz nicht ausreicht, und was ein echter physischer Air Gap leistet.

5. BSI-Emp­feh­lun­gen und regu­la­to­ri­sche Anfor­de­run­gen #

BSI IT-Grund­schutz CON.3: Daten­si­che­rungs­kon­zept #

Das BSI IT-Grund­schutz-Kom­pen­di­um defi­niert im Bau­stein CON.3 ver­bind­li­che Anfor­de­run­gen für Daten­si­che­rung. Die für Ran­som­wa­re-Schutz rele­van­ten Maßnahmen:

BSI CON.3‑AnforderungWas sie for­dertUmset­zung mit Air Gap
CON.3.A1 — DatensicherungsplanungRTO/RPO je Sys­tem dokumentierenTier-Defi­ni­tio­nen mit kon­kre­ten Zeitzielen
CON.3 — Schutz schutz­be­dürf­ti­ger DatenSepa­ra­te Siche­rung mit erhöh­ten MaßnahmenDedi­zier­ter Air-Gap-Lay­er für kri­ti­sche Systeme
CON.3 — Regel­mä­ßi­ge WiederherstellungstestsWie­der­her­stel­lungs­tests durch­füh­ren und dokumentierenQuar­tals­wei­se Recovery-Tests
CON.3 — Phy­si­sche Iso­la­ti­on bei erhöh­tem SchutzbedarfPhy­si­sche Tren­nung der Backup-MedienHard­ware Air Gap als dedi­zier­ter Tier

BSI-Emp­feh­lun­gen zu Ran­som­wa­re #

Das BSI hat in sei­nen ​„Emp­feh­lun­gen zum Schutz vor Ran­som­wa­re” expli­zit fol­gen­de Maß­nah­men benannt:

  • Off­line-Back­ups: Siche­rungs­ko­pien, die nicht über das Netz­werk erreich­bar sind
  • Regel­mä­ßi­ge Wie­der­her­stel­lungs­tests: Nach­wei­sen, dass ein Res­to­re tat­säch­lich funktioniert
  • Getrenn­te Admi­nis­tra­tor­kon­ten: Back­up-Sys­te­me nicht mit Pro­duk­ti­ons-Cre­den­ti­als verwalten
  • Netz­werk­seg­men­tie­rung: Back­up-Infra­struk­tur in dedi­zier­ten VLANs betreiben

Die­se Emp­feh­lun­gen decken sich mit der Air-Gap-Archi­tek­tur: phy­si­sche Iso­la­ti­on, getrenn­te Cre­den­ti­als, nach­ge­wie­se­ne Wiederherstellbarkeit.

6. KRI­TIS und NIS2: Pflich­ten für betrof­fe­ne Unter­neh­men #

NIS2-Richt­li­nie: Neue Back­up-Pflich­ten seit 2024 #

Die NIS2-Richt­li­nie (EU 2022⁄2555), umge­setzt durch das NIS2UmsuCG, ver­pflich­tet wesent­li­che und wich­ti­ge Ein­rich­tun­gen zu kon­kre­ten Maß­nah­men im Bereich Busi­ness Con­ti­nui­ty. §30 BSIG-neu fordert:

  • Back­up-Manage­ment und Wie­der­her­stel­lung: Doku­men­tier­te Stra­te­gien und Verfahren
  • Kri­sen­ma­nage­ment: Plä­ne für den Umgang mit -Vorfällen
  • Sicher­heit der Lie­fer­ket­te: Bewer­tung von Back­up-Soft­ware und ‑Hard­ware-Her­stel­lern
  • Schwach­stel­len­ma­nage­ment: Back­up-Sys­te­me in Vul­nerabi­li­ty-Manage­ment einbeziehen

Wer ist betrof­fen? #

  • Wesent­li­che Ein­rich­tun­gen: Ener­gie, Trans­port, Bank­we­sen, Gesund­heits­we­sen, Trink­was­ser, digi­ta­le Infra­struk­tur, öffent­li­che Verwaltung
  • Wich­ti­ge Ein­rich­tun­gen: Post, Abfall­wirt­schaft, Che­mie, Lebens­mit­tel, ver­ar­bei­ten­des Gewer­be, Forschung
  • Grö­ßen­schwel­le: Ab 50 Mit­ar­bei­ter UND 10 Mio. EUR Umsatz — für bestimm­te Sek­to­ren größenunabhängig

Buß­geld­rah­men #

Kate­go­rieMaxi­mal­buß­geld
Wesent­li­che Einrichtungen10 Mio. EUR oder 2 % des welt­wei­ten Jahresumsatzes
Wich­ti­ge Einrichtungen7 Mio. EUR oder 1,4 % des welt­wei­ten Jahresumsatzes
Per­sön­li­che HaftungGeschäfts­lei­tung haf­tet per­sön­lich für Umsetzung

Was NIS2 für Ihre Back­up-Archi­tek­tur bedeu­tet #

NIS2 macht eine resi­li­en­te Back­up-Archi­tek­tur zur Rechts­pflicht. Orga­ni­sa­tio­nen, die kei­ne nach­weis­bar funk­tio­nie­ren­de Back­up- und Reco­very-Stra­te­gie vor­wei­sen kön­nen, ris­kie­ren Buß­gel­der — und im Ernst­fall per­sön­li­che Haf­tung der Geschäftsleitung.

7. Ran­som­wa­re Reco­very: Was im Ernst­fall zählt #

Die ers­ten 72 Stun­den nach einem Angriff #

Wenn Ran­som­wa­re zuge­schla­gen hat, ent­schei­den die ers­ten Stun­den über die Scha­dens­bi­lanz. Das Worst-Case-Sze­na­rio: Sie stel­len fest, dass Ihre Back­ups eben­falls kom­pro­mit­tiert sind.

Reco­very-Ablauf mit Air-Gap-Backup:

  1. Stun­de 0 – 4: Schadensbegrenzung

    • Infi­zier­te Sys­te­me vom Netz­werk isolieren
    • Aus­maß des Angriffs kartieren
    • Inci­dent-Respon­se-Team aktivieren

  2. Stun­de 4 – 8: Backup-Verifikation

    • Air-Gap-Back­up-Sys­tem prü­fen: Daten­in­te­gri­tät verifizieren
    • Letz­ten sau­be­ren Wie­der­her­stel­lungs­punkt identifizieren
    • Reco­very-Rei­hen­fol­ge fest­le­gen (kri­ti­sche Sys­te­me zuerst)

  3. Stun­de 8 – 24: Wie­der­her­stel­lung kri­ti­scher Systeme

    • Acti­ve Direc­to­ry und DNS wiederherstellen
    • Kri­ti­sche Geschäfts­an­wen­dun­gen starten
    • Kom­mu­ni­ka­ti­ons­sys­te­me wiederherstellen

  4. Tag 2 – 7: Voll­stän­di­ge Wiederherstellung

    • Alle Sys­te­me schritt­wei­se wiederherstellen
    • Daten­in­te­gri­tät verifizieren
    • Root Cau­se Ana­ly­sis beginnen

War­um RTO kei­ne Wunsch­vor­stel­lung sein darf #

Reco­very Time Objec­ti­ve (RTO) ist die maxi­mal akzep­ta­ble Aus­fall­zeit. Die­se Kenn­zahl muss durch Tests belegt sein — nicht durch Annah­men. Typi­sche RTOs nach Backup-Architektur:

Archi­tek­turTypi­sches RTO (vol­ler Res­to­re)Pra­xis­test bestanden?
Cloud-Back­up12 – 72 Stun­den (WAN-abhän­gig)Sel­ten getestet
Hard­ware Air Gap (Silent Brick)4 – 8 StundenQuar­tals­wei­se testbar

8. Imple­men­tie­rung: Schritt für Schritt zum Schutz #

Ihr 8‑Schrit­te-Plan #

SchrittMaß­nah­meZeit­rah­men
1Bestands­auf­nah­me: Alle Back­up-Sys­te­me inven­ta­ri­sie­ren, Angriffs­flä­chen bewerten1 Woche
2RTO/RPO defi­nie­ren: Wie­der­her­stel­lungs­zie­le je Sys­tem dokumentieren1 Woche
3Tier-Archi­tek­tur pla­nen: Wel­che Sys­te­me brau­chen Air-Gap-Schutz?1 Woche
4Lösung aus­wäh­len: Bewer­tungs­ma­trix anwen­den, Com­pli­ance-Anfor­de­run­gen prüfen2 Wochen
5Pilot imple­men­tie­ren: Reprä­sen­ta­ti­ve Workloads über 4 Wochen testen4 Wochen
6Reco­very tes­ten: Voll­stän­di­ger Res­to­re-Test vor Go-Live1 Woche
7Doku­men­ta­ti­on: BSI CON.3 aktua­li­sie­ren, Reco­very-Run­book erstellen1 Woche
8Betrieb: Moni­to­ring, quar­tals­wei­se Reco­very-Tests, jähr­li­che Architektur-ReviewsLau­fend

Die häu­figs­ten Feh­ler ver­mei­den #

  • Logi­schen für ech­ten hal­ten: Cloud ist kein  — wenn ein Angrei­fer mit Admin-Cre­den­ti­als Ihr Back­up löschen kann, ist es kein Schutz.
  • Back­up-Tests ver­nach­läs­si­gen: Ein Back­up ohne Res­to­re-Test ist ein Hoffnungssystem.
  • RTO nicht veri­fi­zie­ren: Ihr RTO muss durch Tests belegt sein, nicht durch Wunschdenken.
  • Glei­che Cre­den­ti­als ver­wen­den: Back­up-Sys­te­me brau­chen eige­ne, getrenn­te Administratorkonten.

Laut Bitkom 2024 verursacht ein erfolgreicher -Angriff durchschnittlich 5,3 Millionen Euro Schaden — diese Zahl ist eine Schätzung auf Basis von Gesamtschadensaufsummierungen. Die tatsächlichen Kosten variieren stark je nach Unternehmensgröße, Branche und Reaktionsgeschwindigkeit. Sophos 2024 dokumentiert, dass 65 % der Opfer länger als eine Woche für die vollständige Wiederherstellung benötigten.

(unveränderlicher Speicher) schützt Daten durch Software-Policies vor Änderung oder Löschung. Ein trennt Daten physisch vom Netzwerk. Der entscheidende Unterschied: -Policies können von einem Angreifer mit kompromittierten Administrator-Credentials aufgehoben werden. Ein physischer nicht — weil das System im Offline-Zustand keine Netzwerkverbindung hat.

Nein. Cloud-Backups sind über API-Credentials erreichbar. Ein Angreifer, der Ihre Cloud-IAM-Berechtigungen kompromittiert, kann auch Cloud-Backups löschen — einschließlich Object-Lock-geschützter Buckets, wenn MFA nicht konsequent erzwungen wird. Cloud-Backup ist eine sinnvolle ergänzende Schutzschicht, aber kein Ersatz für einen physischen .

Das BSI empfiehlt in seinen -Empfehlungen und im -Baustein CON.3: Offline-Backups (physisch vom Netzwerk getrennt), regelmäßige Wiederherstellungstests, getrennte Administratorkonten für Backup-Systeme und Netzwerksegmentierung. Für Organisationen mit erhöhtem Schutzbedarf fordert BSI CON.3 explizit eine physische Trennung der Backup-Medien.

Bei festplattenbasierten Air-Gap-Systemen wie dem Silent Brick System liegt das typische bei 4–8 Stunden für eine vollständige Systemwiederherstellung. Ältere Tape-basierte Lösungen benötigen dagegen typischerweise 24–96 Stunden. Der Unterschied liegt in der Zugriffsgeschwindigkeit: Festplatten ermöglichen Random Access, Bänder nur sequentielles Lesen.

Nein. Ein System wie das Silent Brick System integriert sich über Standard-Schnittstellen (FC, iSCSI, NFS, SMB, S3) in Ihre bestehende Backup-Infrastruktur. Es arbeitet mit allen gängigen Backup-Lösungen zusammen — Veeam, Commvault, Veritas NetBackup, IBM Spectrum Protect und anderen.

Ein schützt Ihre Wiederherstellungsfähigkeit — er verhindert, dass ein Angreifer Ihre Backups vernichtet. Gegen den Datendiebstahl-Aspekt von Double Extortion schützt er nicht direkt; dafür sind Maßnahmen wie Netzwerksegmentierung, Data Loss Prevention und Verschlüsselung sensibler Daten erforderlich. Der stellt aber sicher, dass Sie nach einem Angriff operativ handlungsfähig bleiben — ohne Lösegeld zahlen zu müssen.

Disclaimer

Dieser Beitrag wurde redaktionell erstellt und mit KI-Unterstützung aufbereitet. Er gibt einen allgemeinen Überblick und stellt keine Rechtsberatung dar – für Ihre konkrete Situation empfehlen wir professionellen Rat.