Artikel vom 16. März 2026
Backup-Medien im Ransomware-Vergleich
Vergleichstabelle: Ransomware-Resilienz #
| Kriterium | NAS/SAN | Tape | Cloud (S3/Azure) | Hardware Air Gap |
|---|---|---|---|---|
| **Netzwerk-Erreichbarkeit** | Ja (immer) | Nein (offline) | Ja (immer) | Nein (physisch isoliert) |
| **Ransomware-Risiko** | Sehr hoch | Niedrig | Hoch | Sehr niedrig |
| **RTO** | 1 – 4h | 4 – 24h | 2 – 8h | 0,5 – 2h |
| **RPO** | Stündlich | Täglich – wöchentlich | Stündlich | Stündlich – täglich |
| **Datenmenge (realistisch)** | 1 – 50TB | 10 – 1000TB | 1TB – unendlich | 10 – 500TB |
| **Langzeitarchivierung** | Moderat (5 – 7 Jahre) | Hervorragend (30 Jahre) | Moderat (Vendor Lock) | Gut (10 – 20 Jahre) |
| **Kosten (CAPEX)** | 10.000 – 50.000 EUR | 5.000 – 15.000 EUR | Variabel (Pay-as-you-go) | 40.000 – 80.000 EUR |
| **Kosten (OPEX/Jahr)** | 2.500 – 5.000 EUR | 1.000 – 3.000 EUR | 2.500 – 50.000 EUR* | 5.000 – 10.000 EUR |
| **Compliance-Eignung (BSI)** | Moderat | Hervorragend | Moderat | Hervorragend |
| **Automatisierung** | Hoch | Moderat | Hoch | Hoch |
*Cloud-Kosten sind stark datenmenge-abhängig und Egress-Kosten können erheblich sein.
Detaillierter Vergleich nach Medium #
1. NAS / SAN (Netzwerk-Attached Storage) #
Funktionsweise:
- Backup-Software schreibt auf Netzwerk-Share (SMB, NFS)
- NAS/SAN ist immer erreichbar (24÷7 online)
- Oft mit Snapshots (für schnelle Point-in-Time-Recovery)
Ransomware-Szenario:
hat Admin-Rechte
→ Findet NAS-Credentials in Backup-Software-Config
→ Verbindet sich zu NAS-Share
→ Löscht oder verschlüsselt Backup-Daten
Ransomware-Resilienz: ❌ Sehr schwach
Warum?
- Netzwerk-erreichbar (credentials existieren lokal)
- Keine unveränderlichen Mechanismen (Admin kann alles löschen)
- Snapshots sind lokal (auf gleichen Festplatten wie Daten)
Wann nutzen?
- Nur für Kurzzeit-Backup (Hot Recovery, 24 – 48h)
- Nicht für -Schutz
- Immer kombinieren mit Tape/Hardware Air Gap
Kosten: Niedrig (CAPEX), aber hohe Betriebskosten
2. Tape (LTO) #
Funktionsweise:
- Daten werden auf LTO-Tape (Cartridge) geschrieben
- Tape wird offline ins Lager gebracht
- Langzeitarchivierung über Jahrzehnte
Ransomware-Szenario:
Tape-Cartridge ist offline im Lager
→ kann es nicht erreichen (nicht netzwerk-erreichbar)
→ Backup ist sicher
Ransomware-Resilienz: ✅ Stark
Warum?
- Offline-Speicherung (physisch isoliert)
- Unveränderlich (, hardware-basiert)
- Langzeitarchivierung (30+ Jahre möglich)
Nachteile:
- Lange RTO (Tape muss geholt werden): 4 – 24h
- Manuelle Prozesse (Fehlerpotential)
- Großes RPO (täglich bis wöchentlich)
Wann nutzen?
- Langzeitarchivierung
- Compliance-Anforderungen (7 – 30 Jahre)
- Disaster Recovery (geografisch verteilte Tapes)
Kosten: Moderat (CAPEX), niedrig (OPEX)
3. Cloud (AWS S3, Azure Blob, Google Cloud) #
Funktionsweise:
- Daten werden via HTTPS zu Cloud-Provider übertragen
- () kann aktiviert sein
- Skalierbar auf unbegrenzte Größe
Ransomware-Szenario:
findet AWS-Credentials lokal (in Config-Datei)
→ Verbindet sich zu S3 mit gestohlenen Credentials
→ Löscht oder verschlüsselt Backups (Governance Mode umgehbar)
Ransomware-Resilienz: ⚠️ Moderat-schwach
Warum schwach?
- Credentials sind lokal erreichbar (siehe Artikel “Cloud-Backups keinen echten Schutz”)
- Governance Mode ist mit Admin-Credentials umgehbar
- Compliance Mode ist starr (lange Wartezeiten für echte Deletion)
Wann nutzen?
- Geografische Redundanz
- Disaster Recovery (sekundär)
- Unkritische Daten
- Niemals allein für -Schutz
Kosten: Pay-as-you-go, kann teuer werden (Egress-Kosten)
4. Hardware Air Gap (Silent Brick Max Air) #
Funktionsweise:
- Backup-Daten über sichere Verbindung geschrieben
- Nach Backup: Netzwerk-Verbindung wird physisch getrennt
- Auf Hardware-Firmware: unveränderlich (Hardware-)
- Daten sind offline und nicht adressierbar
Ransomware-Szenario:
hat Admin-Rechte
→ Versucht, zu erreichen
→ Kein Netzwerk-Interface vorhanden
→ Zugriff unmöglich
→ Backup ist sicher
Ransomware-Resilienz: ✅ Sehr stark
Warum?
- Physisch isoliert (kein Netzwerk-Interface)
- Hardware- (Firmware-basiert, nicht umgehbar)
- Automatisiert (weniger menschliche Fehler)
Wann nutzen?
- Kritische Systeme (Domäne, ERP, E‑Mail)
- Tägliche Backups mit schnellem RTO
- Compliance-Anforderungen (mit Firmware-)
Kosten: Höher (CAPEX), aber niedrig (OPEX, kaum Administration)
Multi-Tier Backup-Strategie (empfohlen) #
Kein einzelnes Medium ist optimal. Empfohlene Strategie nach Systemkritikalität:
Tier 1: Hot Recovery (Schnelle Wiederherstellung) #
- Medium: NAS/Snapshots
- RTO: 1 – 4 Stunden
- Erhaltungsdauer: 48 Stunden – 7 Tage
- Zweck: Schnelle lokale Recovery
- Ransomware-Schutz: ❌ Nein
Tier 2: Offline Backup (Ransomware-Schutz) #
- Medium: Hardware oder Tape
- RTO: 0,5 – 24 Stunden
- Erhaltungsdauer: Unbegrenzt
- Zweck: Langzeitschutz, echte Offline-Sicherung
- Ransomware-Schutz: ✅ Ja
Tier 3: Geografische Redundanz (Disaster Recovery) #
- Medium: Cloud (secondary)
- RTO: 2 – 8 Stunden
- Erhaltungsdauer: 90 Tage – 1 Jahr
- Zweck: Schutz vor Rechenzentrum-Ausfall
- Ransomware-Schutz: ⚠️ Moderat
Beispiel-Umsetzung für kritische Systeme:
Montag: Snapshot zu NAS (Hot Recovery)
Täglich: Backup zu (Tier 2) um 22:00
Wöchentlich: Kopie zu Cloud für (Tier 3)
Monatlich: Recovery-Test aus
Entscheidungsbaum: Welches Medium für welche Daten? #
Ist die Datenmenge > 100 TB?
├─ Ja → Tape (Langzeitarchivierung)
└─ Nein → Größe > 10 TB?
├─ Ja → + Cloud (Hybrid)
└─ Nein → Brauche ich < 4h RTO?
├─ Ja →
└─ Nein → Tape oder
Ist die Datenmenge kritisch?
├─ Ja → (Tier 2) + Cloud (Tier 3)
└─ Nein → NAS + Cloud genügt
Brauche ich Langzeitarchivierung (> 7 Jahre)?
├─ Ja → Tape (30+ Jahre möglich)
└─ Nein → oder Cloud
Häufige Fragen #
Sollte ich nur ein Medium nutzen? Nein. Redundanz ist wichtig. Mindestens zwei unterschiedliche Medien: eines offline (Tape/), eines online (NAS) oder eines geografisch verteilt (Cloud).
Ist Tape tot? Nein, absolut nicht. Tape ist optimal für Langzeitarchivierung und hat eine 30+ Jahre Lebensdauer. Allerdings erfordert Tape manuelle Prozesse. Hardware automatisiert das besser.
Warum ist Cloud allein nicht genug? Weil Credentials gestohlen werden können. Cloud ist optimal für Tier 3 (geografische Redundanz), nicht für primären Ransomware-Schutz. Der primäre Schutz muss offline sein: Tape oder Hardware Air Gap.
Was kostet eine sichere Multi-Tier-Lösung? Beispiel für ein 20-TB-Umfeld:
- Tier 1 (NAS): 15.000 EUR
- Tier 2 (Hardware ): 60.000 EUR
- Tier 3 (Cloud): 500 EUR/Monat
- Total 5‑Jahres-Kosten: ~100.000 – 150.000 EUR (Personal nicht mitgerechnet)
Ransomware
Ransomware ist Schadsoftware, die Daten auf infizierten Systemen verschlüsselt und ein Lösegeld für die Entschlüsselung fordert — mit dem Ziel, Unternehmen und Behörden zur Zahlung zu zwingen, indem sie deren Betrieb lahmlegen.
Ransomware
Ransomware ist Schadsoftware, die Daten auf infizierten Systemen verschlüsselt und ein Lösegeld für die Entschlüsselung fordert — mit dem Ziel, Unternehmen und Behörden zur Zahlung zu zwingen, indem sie deren Betrieb lahmlegen.
Ransomware
Ransomware ist Schadsoftware, die Daten auf infizierten Systemen verschlüsselt und ein Lösegeld für die Entschlüsselung fordert — mit dem Ziel, Unternehmen und Behörden zur Zahlung zu zwingen, indem sie deren Betrieb lahmlegen.
Ransomware
Ransomware ist Schadsoftware, die Daten auf infizierten Systemen verschlüsselt und ein Lösegeld für die Entschlüsselung fordert — mit dem Ziel, Unternehmen und Behörden zur Zahlung zu zwingen, indem sie deren Betrieb lahmlegen.
Air Gap
Ein Air Gap ist die physische Unterbrechung jeder Netzwerkverbindung zwischen einem Backup-System und der übrigen IT-Infrastruktur, sodass das System im Offline-Zustand keine adressierbare Netzwerkschnittstelle besitzt und damit für Ransomware und Angreifer unerreichbar ist.
Air Gap
Ein Air Gap ist die physische Unterbrechung jeder Netzwerkverbindung zwischen einem Backup-System und der übrigen IT-Infrastruktur, sodass das System im Offline-Zustand keine adressierbare Netzwerkschnittstelle besitzt und damit für Ransomware und Angreifer unerreichbar ist.
Air Gap
Ein Air Gap ist die physische Unterbrechung jeder Netzwerkverbindung zwischen einem Backup-System und der übrigen IT-Infrastruktur, sodass das System im Offline-Zustand keine adressierbare Netzwerkschnittstelle besitzt und damit für Ransomware und Angreifer unerreichbar ist.
Air Gap
Ein Air Gap ist die physische Unterbrechung jeder Netzwerkverbindung zwischen einem Backup-System und der übrigen IT-Infrastruktur, sodass das System im Offline-Zustand keine adressierbare Netzwerkschnittstelle besitzt und damit für Ransomware und Angreifer unerreichbar ist.
Air Gap
Ein Air Gap ist die physische Unterbrechung jeder Netzwerkverbindung zwischen einem Backup-System und der übrigen IT-Infrastruktur, sodass das System im Offline-Zustand keine adressierbare Netzwerkschnittstelle besitzt und damit für Ransomware und Angreifer unerreichbar ist.
Disaster Recovery
Disaster Recovery bezeichnet die strukturierten Prozesse und technischen Maßnahmen, die sicherstellen, dass IT-Systeme nach einem schwerwiegenden Ausfall — Ransomware-Angriff, Hardwareversagen, Rechenzentrumsausfall — innerhalb definierter Zeitrahmen (RTO) mit maximalem Datenverlust (RPO) wiederhergestellt werden können.
Air Gap
Ein Air Gap ist die physische Unterbrechung jeder Netzwerkverbindung zwischen einem Backup-System und der übrigen IT-Infrastruktur, sodass das System im Offline-Zustand keine adressierbare Netzwerkschnittstelle besitzt und damit für Ransomware und Angreifer unerreichbar ist.
Air Gap
Ein Air Gap ist die physische Unterbrechung jeder Netzwerkverbindung zwischen einem Backup-System und der übrigen IT-Infrastruktur, sodass das System im Offline-Zustand keine adressierbare Netzwerkschnittstelle besitzt und damit für Ransomware und Angreifer unerreichbar ist.
Air Gap
Ein Air Gap ist die physische Unterbrechung jeder Netzwerkverbindung zwischen einem Backup-System und der übrigen IT-Infrastruktur, sodass das System im Offline-Zustand keine adressierbare Netzwerkschnittstelle besitzt und damit für Ransomware und Angreifer unerreichbar ist.
Air Gap
Ein Air Gap ist die physische Unterbrechung jeder Netzwerkverbindung zwischen einem Backup-System und der übrigen IT-Infrastruktur, sodass das System im Offline-Zustand keine adressierbare Netzwerkschnittstelle besitzt und damit für Ransomware und Angreifer unerreichbar ist.
Air Gap
Ein Air Gap ist die physische Unterbrechung jeder Netzwerkverbindung zwischen einem Backup-System und der übrigen IT-Infrastruktur, sodass das System im Offline-Zustand keine adressierbare Netzwerkschnittstelle besitzt und damit für Ransomware und Angreifer unerreichbar ist.
Air Gap
Ein Air Gap ist die physische Unterbrechung jeder Netzwerkverbindung zwischen einem Backup-System und der übrigen IT-Infrastruktur, sodass das System im Offline-Zustand keine adressierbare Netzwerkschnittstelle besitzt und damit für Ransomware und Angreifer unerreichbar ist.
Air Gap
Ein Air Gap ist die physische Unterbrechung jeder Netzwerkverbindung zwischen einem Backup-System und der übrigen IT-Infrastruktur, sodass das System im Offline-Zustand keine adressierbare Netzwerkschnittstelle besitzt und damit für Ransomware und Angreifer unerreichbar ist.
Air Gap
Ein Air Gap ist die physische Unterbrechung jeder Netzwerkverbindung zwischen einem Backup-System und der übrigen IT-Infrastruktur, sodass das System im Offline-Zustand keine adressierbare Netzwerkschnittstelle besitzt und damit für Ransomware und Angreifer unerreichbar ist.
Air Gap
Ein Air Gap ist die physische Unterbrechung jeder Netzwerkverbindung zwischen einem Backup-System und der übrigen IT-Infrastruktur, sodass das System im Offline-Zustand keine adressierbare Netzwerkschnittstelle besitzt und damit für Ransomware und Angreifer unerreichbar ist.
Air Gap
Ein Air Gap ist die physische Unterbrechung jeder Netzwerkverbindung zwischen einem Backup-System und der übrigen IT-Infrastruktur, sodass das System im Offline-Zustand keine adressierbare Netzwerkschnittstelle besitzt und damit für Ransomware und Angreifer unerreichbar ist.
Air Gap
Ein Air Gap ist die physische Unterbrechung jeder Netzwerkverbindung zwischen einem Backup-System und der übrigen IT-Infrastruktur, sodass das System im Offline-Zustand keine adressierbare Netzwerkschnittstelle besitzt und damit für Ransomware und Angreifer unerreichbar ist.
Air Gap
Ein Air Gap ist die physische Unterbrechung jeder Netzwerkverbindung zwischen einem Backup-System und der übrigen IT-Infrastruktur, sodass das System im Offline-Zustand keine adressierbare Netzwerkschnittstelle besitzt und damit für Ransomware und Angreifer unerreichbar ist.
Ransomware
Ransomware ist Schadsoftware, die Daten auf infizierten Systemen verschlüsselt und ein Lösegeld für die Entschlüsselung fordert — mit dem Ziel, Unternehmen und Behörden zur Zahlung zu zwingen, indem sie deren Betrieb lahmlegen.
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
Immutable Storage
Immutable Storage bezeichnet Speichertechnologien, die gespeicherte Daten vor nachträglicher Veränderung oder Löschung schützen — wobei der entscheidende Unterschied darin liegt, ob dieser Schutz auf Hardware-Ebene (nicht umgehbar) oder auf Software-Ebene (durch Administratoren mit ausreichenden Rechten umgehbar) durchgesetzt wird.
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
Immutable Storage
Immutable Storage bezeichnet Speichertechnologien, die gespeicherte Daten vor nachträglicher Veränderung oder Löschung schützen — wobei der entscheidende Unterschied darin liegt, ob dieser Schutz auf Hardware-Ebene (nicht umgehbar) oder auf Software-Ebene (durch Administratoren mit ausreichenden Rechten umgehbar) durchgesetzt wird.
Ransomware
Ransomware ist Schadsoftware, die Daten auf infizierten Systemen verschlüsselt und ein Lösegeld für die Entschlüsselung fordert — mit dem Ziel, Unternehmen und Behörden zur Zahlung zu zwingen, indem sie deren Betrieb lahmlegen.
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
Air Gap
Ein Air Gap ist die physische Unterbrechung jeder Netzwerkverbindung zwischen einem Backup-System und der übrigen IT-Infrastruktur, sodass das System im Offline-Zustand keine adressierbare Netzwerkschnittstelle besitzt und damit für Ransomware und Angreifer unerreichbar ist.
Air Gap
Ein Air Gap ist die physische Unterbrechung jeder Netzwerkverbindung zwischen einem Backup-System und der übrigen IT-Infrastruktur, sodass das System im Offline-Zustand keine adressierbare Netzwerkschnittstelle besitzt und damit für Ransomware und Angreifer unerreichbar ist.