Von Stufe 2 auf Stufe 4: Der effizienteste Weg zur Resilienz

1. Was Stu­fe 2 und Stu­fe 4 kon­kret bedeu­ten #

Stu­fe 2: Grund­le­gend (teil­wei­se vor­be­rei­tet) #

Typi­scher Zustand auf Stu­fe 2:

• DR-Plan: exis­tiert, wur­de aber vor über 2 Jah­ren erstellt und nie aktualisiert
• Back­ups: wer­den täg­lich durch­ge­führt, Reco­very-Tests sel­ten oder nie
• RTO/RPO: defi­niert, aber nie gegen die Archi­tek­tur getestet
• Back­up-Zugang: Pro­duk­ti­ons-Admi­nis­tra­tor­kon­ten haben Zugriff auf Backup-Systeme
• Air Gap: kein phy­sisch iso­lier­ter Back­up-Lay­er vorhanden
• Off­line-Ver­füg­bar­keit: DR-Plan nur digi­tal vorhanden
• NIS2-Kon­for­mi­tät: nicht nachgewiesen

Rea­les Risi­ko auf Stu­fe 2: Wenn Ran­som­wa­re das Netz­werk kom­pro­mit­tiert und aus­rei­chen­de Cre­den­ti­als erlangt, sind Online-Back­ups gefähr­det. Die Wie­der­her­stel­lung kann Wochen dau­ern oder schei­tern. Laut Vee­am Ran­som­wa­re Trends Report 2025 zie­len 89 % der Ran­som­wa­re-Angrif­fe auch auf die Backup-Repositories.

Stu­fe 4: Gema­nagt (resi­li­ent) #

Zustand auf Stu­fe 4:

• DR-Plan: aktu­ell, getes­tet, mit Rol­len und Kommunikationsplan
• Back­ups: mehr­stu­fi­ge Archi­tek­tur mit Air-Gap-Layer
• RTO/RPO: defi­niert UND durch quar­tals­wei­se Tests belegt
• Back­up-Zugang: sepa­ra­tes Back­up-Admi­nis­tra­tor­kon­to, kein Produktionszugriff
• Air Gap: phy­sisch oder gal­va­nisch iso­lier­ter Back­up-Lay­er vorhanden
• Off­line-Ver­füg­bar­keit: DR-Plan gedruckt, im Tresor
• NIS2-Kon­for­mi­tät: nach­ge­wie­sen durch Doku­men­ta­ti­on und Testprotokolle

Rea­les Risi­ko auf Stu­fe 4: Kon­trol­lier­bar. Bei einem Ran­som­wa­re-Angriff bleibt der Air-Gap-Lay­er intakt. Reco­very-Dau­er: Stun­den bis Tage, gemes­sen und dokumentiert.

---

2. Die Lücken­ana­ly­se: Was zwi­schen Stu­fe 2 und Stu­fe 4 fehlt #

Der Sprung von Stu­fe 2 auf Stu­fe 4 erfor­dert vier struk­tu­rel­le Veränderungen:

Lücke 1: Feh­len­der Air-Gap-Lay­er #

Pro­blem: Alle Back­up-Kopien sind netz­ge­bun­den. Ein Angrei­fer mit Domain-Admin-Rech­ten kann sie löschen oder verschlüsseln.

Lösung: Ein­füh­rung eines phy­sisch oder gal­va­nisch iso­lier­ten Back­up-Lay­ers (Silent Brick Sys­tem mit Silent Brick Pro oder Silent Brick Max Air).

Auf­wand: 4 bis 8 Wochen (Beschaf­fung, Instal­la­ti­on, Kon­fi­gu­ra­ti­on). Einmalig.

Wir­kung: Größ­ter ein­zel­ner Resi­li­en­z­ge­winn. Schließt den häu­figs­ten Angriffs­pfad auf Backup-Systeme.

Lücke 2: Feh­len­de Reco­very-Test­nach­wei­se #

Pro­blem: Back­ups exis­tie­ren, aber nie­mand hat in den letz­ten 12+ Mona­ten einen voll­stän­di­gen Res­to­re getes­tet. Die doku­men­tier­te RTO ist eine Schät­zung, kein Messwert.

Lösung: Quar­tals­wei­se Reco­very-Tests mit Pro­to­kol­lie­rung: Was wur­de getes­tet, wann, wie lan­ge hat der Res­to­re gedau­ert, lag er inner­halb des RTO?

Auf­wand: 1 Tag pro Quar­tal für den Test, 2 Stun­den für das Pro­to­koll. Laufend.

Wir­kung: Macht das RTO zu einem beleg­ten Wert. Schafft Audit-Evi­denz. Deckt Schwach­stel­len in der Archi­tek­tur auf, bevor der Ernst­fall das tut.

Lücke 3: Pro­duk­ti­ons-Cre­den­ti­als für Back­up-Sys­te­me #

Pro­blem: Back­up-Admi­nis­tra­to­ren nut­zen die­sel­ben Kon­ten wie Pro­duk­ti­ons-Admi­nis­tra­to­ren. Ein Angrei­fer, der Pro­duk­ti­ons-Admin-Rech­te erlangt, hat auto­ma­tisch Backup-Admin-Rechte.

Lösung: Dedi­zier­tes Back­up-Admi­nis­tra­tor­kon­to, das in kei­ner ande­ren Rol­le ver­wen­det wird. Ande­re Admins ken­nen die­ses Kon­to nicht, und Ran­som­wa­re, die Pro­duk­ti­ons-Cre­den­ti­als kom­pro­mit­tiert, hat kei­nen auto­ma­ti­schen Zugriff auf Backup-Systeme.

Auf­wand: 1 Tag für Ein­rich­tung und Umkonfiguration.

Wir­kung: Ent­kop­pelt Back­up-Sicher­heit von Pro­duk­ti­ons-Sicher­heit. Güns­tigs­tes Sicher­heits-Upgrade pro Aufwand.

Lücke 4: Ver­al­te­ter und digi­tal-only DR-Plan #

Pro­blem: Der DR-Plan beschreibt einen Infra­struk­tur­zu­stand von vor 3 Jah­ren. Außer­dem liegt er auf einem Share­Point-Ser­ver, der im Ernst­fall mög­li­cher­wei­se nicht erreich­bar ist.

Lösung: Jähr­li­che Aktua­li­sie­rung des DR-Plans nach Infra­struc­tu­re-Reviews. Off­line-Ver­füg­bar­keit als Pflicht: aus­ge­druckt, im Tre­sor, oder ver­schlüs­selt auf einem USB-Stick im Schreibtischschrank.

Auf­wand: 1 Tag jähr­lich für die Aktua­li­sie­rung. 30 Minu­ten für Druck und Einlagerung.

Wir­kung: Im Ernst­fall haben Sie einen Plan, dem Sie ver­trau­en kön­nen, auch ohne Netzwerk.

---

3. Der Umset­zungs­pfad: 12 Wochen zu Stu­fe 4 #

Woche 1 bis 2: Bestands­auf­nah­me und Quick Wins #

Sofort­maß­nah­men (0 Inves­ti­ti­on, maxi­mal 1 Tag Aufwand):

• Back­up-Inven­tar erstel­len: Wel­che Sys­te­me wer­den gesi­chert? Wel­che nicht?
• Für jedes Back­up: Kann ein Angrei­fer mit Admin-Cre­den­ti­als es löschen?
• Dedi­zier­tes Back­up-Admin-Kon­to ein­rich­ten (Lücke 3 schließen)
• DR-Plan aus­dru­cken und in den Tre­sor legen (Lücke 4 teil­wei­se schließen)

Ergeb­nis nach Woche 2: Lücke 3 geschlos­sen, Lücke 4 teil­wei­se geschlos­sen. Kla­res Bild der ver­blei­ben­den Lücken.

Woche 3 bis 4: Pla­nung und Beschaf­fung des Air-Gap-Lay­ers #

Maß­nah­men:

• Kapa­zi­täts­be­darf berech­nen: Daten­men­ge × 1,5 als Richt­grö­ße für Air-Gap-Kapazität
• Ent­schei­dung: Silent Brick Pro (phy­sisch aus dem Con­trol­ler X ent­nehm­bar, phy­si­scher Air Gap) oder Silent Brick Max Air (gal­va­ni­sche Tren­nung, kei­ne Ent­nah­me nötig)?
• Beschaf­fung initi­ie­ren (typi­sche Lie­fer­zeit: 2 bis 4 Wochen)
• Back­up-Poli­cy für Air-Gap-Lay­er schrei­ben: Fre­quenz, Reten­ti­on, Verantwortlichkeit

Par­al­lel:

• DR-Plan aktua­li­sie­ren (mit aktu­el­lem Infra­struk­tur­zu­stand, aktu­el­len Kontaktdaten)
• RTO/RPO je kri­ti­sches Sys­tem defi­nie­ren, falls noch nicht dokumentiert

Woche 5 bis 8: Instal­la­ti­on und Kon­fi­gu­ra­ti­on des Air-Gap-Lay­ers #

Maß­nah­men:

• Hard­ware instal­lie­ren und netzwerkkonfigurieren
• Back­up-Jobs kon­fi­gu­rie­ren: Pro­duk­ti­ons­back­up → Online-Repo → Back­up-Copy-Job → Air-Gap
• Ers­tes Test-Back­up auf dem Air-Gap-Sys­tem durchführen
• Back­up-Moni­to­ring auf­set­zen: Fehl­alar­me sol­len sofort eska­liert werden

Ergeb­nis nach Woche 8: Lücke 1 geschlos­sen. Air-Gap-Lay­er ist ope­ra­tiv. Ers­te Back­ups laufen.

Woche 9 bis 12: Tests, Doku­men­ta­ti­on, Nach­weis #

Maß­nah­men:

• Ers­ten voll­stän­di­gen Reco­very-Test aus dem Air-Gap-Lay­er durchführen
• Res­to­re­zeit mes­sen und gegen RTO-Zie­le prüfen
• Test­pro­to­koll erstel­len (Datum, Tes­ter, Sys­tem, Res­to­re­zeit, Ergeb­nis, Abweichungen)
• Daten­si­che­rungs­kon­zept nach BSI CON.3 fertigstellen
• DR-Plan mit neu­er Air-Gap-Wie­der­her­stel­lungs­pro­ze­dur aktualisieren

Ergeb­nis nach Woche 12: Alle vier Lücken geschlos­sen. Ers­te Test­pro­to­kol­le vor­han­den. Stu­fe 4 erreicht.

---

4. Bud­get­rah­men: Was der Sprung von Stu­fe 2 auf Stu­fe 4 kos­tet #

Die fol­gen­den Wer­te sind Richt­wer­te aus typi­schen Pro­jek­ten; das kon­kre­te Ange­bot hängt von Kapa­zi­tät und Kon­fi­gu­ra­ti­on ab.

• Air-Gap-Sys­tem (Silent Brick Sys­tem mit Pro oder Max Air, 30 TB nutz­bar): ein­ma­lig ca. 8.000 bis 15.000 EUR, lau­fend ca. 1.500 bis 2.500 EUR/​Jahr (War­tung)
• IT-Per­so­nal, Kon­fi­gu­ra­ti­on und Tests: ein­ma­lig ca. 3.000 bis 5.000 EUR (intern), lau­fend ca. 1.500 EUR/​Jahr (Quar­tals­tests)
• Doku­men­ta­ti­on und DR-Plan-Update: ein­ma­lig ca. 1.000 bis 2.500 EUR (intern), lau­fend ca. 500 EUR/​Jahr (Aktua­li­sie­rung)
• Gesamt: ein­ma­lig ca. 12.500 bis 22.500 EUR, lau­fend ca. 3.500 bis 4.500 EUR/​Jahr

Zum Ver­gleich: Laut Sophos Sta­te of Ran­som­wa­re 2025 lie­gen die durch­schnitt­li­chen Reco­very-Kos­ten nach einem Ran­som­wa­re-Angriff welt­weit bei rund 1,5 Mil­lio­nen US-Dol­lar, ohne Repu­ta­ti­ons­scha­den, Buß­gel­der oder Kun­den­ver­lus­te. Fast die Hälf­te der betrof­fe­nen Unter­neh­men zahlt Lösegeld.

Die Inves­ti­ti­on in Stu­fe 4 amor­ti­siert sich beim ers­ten ver­hin­der­ten oder kon­trol­lier­ten Vor­fall vollständig.

---

5. Was Stu­fe 4 nicht ist und war­um Stu­fe 5 spä­ter kommt #

Stu­fe 4 ist kei­ne voll­stän­di­ge Cyber-Resi­li­enz-Archi­tek­tur. Sie ist die Grund­la­ge, auf der Stu­fe 5 aufbaut:

Was Stu­fe 4 leistet:

• Nach­ge­wie­se­ne Reco­very-Fähig­keit aus dem Air-Gap-Layer
• Schutz gegen Ran­som­wa­re, die Pro­duk­ti­ons-Cre­den­ti­als kompromittiert
• NIS2-Com­pli­ance-Grund­la­ge
• Kon­trol­lier­ter Aus­fall statt unkon­trol­lier­tem Totalausfall

Was Stu­fe 4 noch nicht leistet:

• Auto­ma­ti­sier­te Reco­very-Tests (noch manuell)
• Voll­stän­di­ge Cyber-Resi­li­enz-Archi­tek­tur mit iso­lier­ter Recovery-Zone
• Red-Team-Tests und Table­top Exer­ci­s­es als Regelpraxis
• Kon­ti­nu­ier­li­che Ver­bes­se­rung nach Post-Incident-Reviews

Die­se Ele­men­te bau­en auf Stu­fe 4 auf. Ohne die Grund­la­ge (Air-Gap-Lay­er, Reco­very-Tests, sepa­ra­tes Back­up-Admin-Kon­to, aktu­el­ler DR-Plan) sind sie wirkungslos.

Emp­feh­lung: Stu­fe 4 in den ers­ten 12 Wochen errei­chen. Dann: ers­tes Table­top Exer­cise durch­füh­ren (Stu­fe-5-Ele­ment), Reco­very-Test-Auto­ma­ti­sie­rung prüfen.

---

6. Mes­sung: Wie Sie Stu­fe 4 nach­wei­sen #

Stu­fe 4 ist kei­ne Selbst­ein­schät­zung, son­dern eine mess­ba­re Eigen­schaft. Ver­wen­den Sie die­se KPIs:

• Reco­very-Test­fre­quenz: Ziel 4x pro Jahr; Nach­weis: Test­pro­to­kol­le mit Datum
• RTO-Ein­hal­tung: Ziel über 90 % der Tests; Nach­weis: Res­to­re­zeit vs. doku­men­tier­tes RTO
• Back­up-Erfolgs­quo­te: Ziel über 99 %; Nach­weis: Moni­to­ring-Dash­board, Monatsberichte
• Air-Gap-Back­up-Aktua­li­tät: Ziel unter 24 h alt; Nach­weis: Backup-Job-Logs
• DR-Plan-Aktua­li­tät: Ziel unter 12 Mona­te alt; Nach­weis: Ver­si­ons­kon­trol­le, Datum im Dokument
• Back­up-Admin-Iso­la­ti­on: Ziel 100 %; Nach­weis: Kon­to-Doku­men­ta­ti­on im Verzeichnisdienst

---

Wei­ter­füh­ren­de Res­sour­cen #

→ IT-Resi­li­enz: Leit­fa­den für wider­stands­fä­hi­ge IT (/de/­b­log/it-resi­li­enz-leit­fa­den/) → Resi­li­enz-Rei­fe­grad mes­sen: Selbst­be­wer­tung für IT-Lei­ter (/de/­b­log/­re­si­li­enz-rei­fe­grad-selbst­be­wer­tun­g/) → Audit-Vor­be­rei­tung NIS2: Check­lis­te für IT-Lei­ter (/de/­b­log/au­dit-vor­be­rei­tung-nis2-check­lis­te/) → Table­top Exer­cise Ran­som­wa­re: Anlei­tung und Sze­na­ri­en (/de/­b­log/­ta­ble­top-exer­cise-ran­som­wa­re/) → Air Gap als Resi­li­enz-Lay­er: War­um Tier 2 über alles ent­schei­det (/de/­b­log/air-gap-resi­li­enz-lay­er/)