Artikel vom 15. Januar 2026
Warum Cloud-Backups keinen echten Ransomware-Schutz bieten
Drei kritische Schwachstellen von Cloud-Backups #
Schwachstelle 1: IAM und API-Key-Kompromittierung #
Cloud-Backups werden über API-Credentials authentifiziert. Diese Credentials sind oft:
Lokal gespeichert:
- In Konfigurationsdateien (z. B. ~/.aws/credentials, ~/.azure/credentials)
- In Umgebungsvariablen (AWS_ACCESS_KEY_ID, etc.)
- Im Quellcode (häufiger Fehler)
- Im RAM eines Backup-Prozesses (mittels Memory-Dumping auslesbar)
Wie Ransomware vorgeht:
Sobald Ransomware Admin-Rechte hat, führt sie einfache Befehle aus:
findstr /S /M "AKIA\|ASIA\|aws_access_key" C:\
cat ~/.aws/credentials
printenv | grep AWS
Mit gestohlenen Credentials kann Ransomware sich zur Cloud verbinden — mit den gleichen Rechten wie der legitime Administrator. Das heißt:
aws s3 rm s3://my-backup-bucket --recursive
Das Backup ist weg. Ransomware hat sich selbst als legitimer Benutzer authentifiziert.
Warum Cloud-Anbieter hier nicht helfen können: Sie sehen legitime API-Calls. Es gibt keine Möglichkeit, zwischen “Administrator löscht absichtlich” und “Ransomware mit gestohlenen Credentials” zu unterscheiden.
Schwachstelle 2: Object Lock und Governance Mode #
AWS S3 (und ähnliche -Features in Azure, GCP) bieten scheinbar Schutz. Aber es gibt einen Haken.
Governance Mode: Objekte können nicht verändert oder gelöscht werden — es sei denn, der Benutzer hat die Berechtigung s3:BypassGovernanceRetention. Typischerweise haben Administratoren diese Berechtigung (für Notfallszenarien).
Wenn Admin-Credentials kompromittiert sind, kann Ransomware diese Berechtigung nutzen:
aws s3api put-object-retention \
--bucket my-backups \
--key backup-2024-01-15.tar.gz \
--retention Mode=
Der Retention-Schutz wird entfernt, und das Objekt kann gelöscht werden.
Compliance Mode: Das ist stärker — selbst der Root-Account kann keine Objekte löschen, solange die Retention aktiv ist. Das ist echter . Aber:
- Es erfordert strikte Policy: Niemand darf die Berechtigung zum Ändern der Retention haben.
- Es ist nicht Malware-resistent: Wenn Ransomware die Root-Credentials hat (was bei Advanced Persistent Threats passiert), kann sie über Policy-Änderungen die Retention überschreiben.
- Es ist administrativ unflexibel: Was ist, wenn Sie wirklich ein Backup löschen müssen? Mit Compliance Mode warten Sie Wochen oder Monate.
Der Kern-Problem: Software-basierte Schutzmaßnahmen sind umgehbar mit Admin-Rechten. Das ist eine Designbeschränkung der Cloud.
Schwachstelle 3: CLOUD Act und Geopolitik #
Das ist ein subtilerer, aber unterschätzter Punkt. Der US CLOUD Act erlaubt US-Behörden (FBI, DEA, etc.), auf Daten zuzugreifen, die in der Cloud bei US-Unternehmen liegen — auch wenn diese Server physisch in Europa stehen.
Beispiel: Sie speichern Backups in AWS mit einem EU-Daten Zentrum. Ihre Daten sind physisch in Deutschland. Aber AWS ist eine US-Gesellschaft. Ein US-Richter kann einen Zugriffsbescheid ausstellen, und AWS ist rechtlich verpflichtet, die Daten herauszugeben — Deutsches Recht hin oder her.
Das ist kein IT-Problem, sondern ein Geopolitik-Problem. Für Unternehmen mit sensiblen Daten (Medizin, Finanz, Infrastruktur) ist das ein Compliance-Risiko, das Cloud-Backups nicht lösen.
Warum diese Probleme schwer lösbar sind #
Cloud-Anbieter können diese Sicherheitslücken teilweise reduzieren, aber nicht eliminieren:
- IAM-Sicherheit: Nur wenn Admin-Credentials nicht kompromittiert werden — aber Advanced Ransomware zielt genau darauf ab.
- Compliance Mode: Schränkt Flexibilität ein und bietet trotzdem keine 100% Garantie.
- Geopolitik: Unheilbar, es sei denn, Sie lagern in der eigenen On-Premises-Infrastruktur.
Cloud-Backups als Ergänzung, nicht als Ersatz #
Cloud-Backups haben Vorteile:
- Geografische Redundanz: Backups sind weltweit verteilt.
- Einfache Verwaltung: Kaum Wartung, automatische Skalierung.
- Disaster-Recovery: Wenn Ihr lokales Rechenzentrum abbrennt, können Sie schnell von der Cloud wiederherstellen.
Sie sind aber nicht genug für Ransomware-Resilienz. Warum?
Weil die letzte Verteidigungslinie bei Ransomware nicht ein Cloud-Feature sein kann, das mit Admin-Rechten übergehbar ist. Die letzte Verteidigungslinie muss physisch sein.
Die echte Lösung: Multi-Tier Backup #
Moderner Ransomware-Schutz funktioniert mit drei Ebenen:
| Ebene | Technologie | Funktion | Ransomware-Schutz |
|---|---|---|---|
| **1 — Lokal/Schnell** | NAS oder SAN | Schnelle Recovery (RTO: Stunden) | Moderat (erreichbar) |
| **2 — Offline/Offline** | Hardware Air Gap (Silent Brick) | Sichere Langzeit-Archivierung | Stark (physisch isoliert) |
| **3 — Geografisch** | Cloud (AWS, Azure) | Disaster Recovery, Redundanz | Moderat (Admin-übergehbar) |
Ein Angriff kann Ebene 1 zerstören. Ebene 2 ist offline und nicht erreichbar. Ebene 3 ist für geografische Redundanz, nicht primärer Schutz.
Best Practice: Backup-Strategie nach Systemkritikalität #
Kritische Systeme (Domäne, ERP, E‑Mail) #
- Backup-Ziel: Hardware (offline, unveränderlich)
- Frequenz: Täglich
- Recovery-Test: Monatlich
- Cloud-Backup: Optional (Disaster Recovery)
Unkritische Systeme (Fileserver, Datenbanken für Reporting) #
- Backup-Ziel: NAS mit Snapshots + Cloud
- Frequenz: Täglich bis wöchentlich
- Recovery-Test: Quartalweise
- Cloud-Backup: Primary (kostengünstiger)
Häufige Fragen #
Kann ich nur in die Cloud sichern? Technisch ja, aber Ransomware-Experten empfehlen das nicht für kritische Daten. Cloud allein bietet nicht genügend Garantien gegen Advanced Ransomware. Nutzen Sie Cloud als Zusatzebene, nicht als Ersatz.
Sollte ich Compliance Mode verwenden? Ja, wenn Sie Cloud-Backups nutzen. Aber bedenken Sie: Compliance Mode ist starr (lange Wartezeiten zum Löschen) und bietet trotzdem keine 100% Garantie gegen Root-Zugriff. Nutzen Sie es, aber nicht als einzigen Schutz.
Was ist mit Multi-Cloud-Backups? Eine Strategie, bei der Backups in mehreren Cloud-Anbietern liegen (z. B. AWS und Azure). Das schützt vor einem einzelnen Cloud-Anbieter-Angriff, aber nicht vor Ransomware-Angriff auf Ihre On-Premises-Credentials. Hilft, aber nicht vollständig.
Ist ein lokales Backup genug? Ein lokales Hardware ist gegen Ransomware stark. Aber es schützt nicht vor Disaster-Szenarien (Feuer, Hochwasser). Kombinieren Sie mit geografisch verteilten Backups.
Immutable Storage
Immutable Storage bezeichnet Speichertechnologien, die gespeicherte Daten vor nachträglicher Veränderung oder Löschung schützen — wobei der entscheidende Unterschied darin liegt, ob dieser Schutz auf Hardware-Ebene (nicht umgehbar) oder auf Software-Ebene (durch Administratoren mit ausreichenden Rechten umgehbar) durchgesetzt wird.
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
WORM
WORM (Write Once, Read Many) bezeichnet ein Speicherprinzip, bei dem Daten einmal geschrieben und danach technisch nicht mehr verändert oder gelöscht werden können — bei Hardware-WORM ist diese Unveränderlichkeit eine physikalische Eigenschaft des Speicher-Controllers, unabhängig von Software, Betriebssystem oder Benutzerprivilegien.
Air Gap
Ein Air Gap ist die physische Unterbrechung jeder Netzwerkverbindung zwischen einem Backup-System und der übrigen IT-Infrastruktur, sodass das System im Offline-Zustand keine adressierbare Netzwerkschnittstelle besitzt und damit für Ransomware und Angreifer unerreichbar ist.
Air Gap
Ein Air Gap ist die physische Unterbrechung jeder Netzwerkverbindung zwischen einem Backup-System und der übrigen IT-Infrastruktur, sodass das System im Offline-Zustand keine adressierbare Netzwerkschnittstelle besitzt und damit für Ransomware und Angreifer unerreichbar ist.
Air Gap
Ein Air Gap ist die physische Unterbrechung jeder Netzwerkverbindung zwischen einem Backup-System und der übrigen IT-Infrastruktur, sodass das System im Offline-Zustand keine adressierbare Netzwerkschnittstelle besitzt und damit für Ransomware und Angreifer unerreichbar ist.