Fast jedes Unternehmen, das wir nach Backups fragen, sagt, dass es welche hat. Meistens halten sie sich an die 3-2-1-Regel oder zumindest an „auf eine externe Festplatte und in die Cloud“. Das ist ein guter Anfang. Doch die Vorfälle, die wir in den letzten Jahren bearbeitet haben, zeigen immer wieder dasselbe Bild: Die Backups waren da, und es gab nichts, woraus man wiederherstellen konnte.
Der Grund ist einfach. Die 3-2-1-Regel entstand in einer Zeit, in der die Hauptbedrohung ein defekter Datenträger oder ein Brand im Serverraum war. Heute ist die Hauptbedrohung ein Mensch auf der anderen Seite, der, bevor er Ihre Systeme verschlüsselt, zuerst Ihre Backups findet und zerstört. Drei Kopien auf zwei Medien schützen Sie vor diesem Szenario nicht, wenn alle drei aus demselben Netzwerk mit denselben Zugangsdaten erreichbar sind.
In diesem Artikel erklären wir, was die 3-2-1-Regel wirklich bedeutet, wie Ransomware an Backups gelangt, was unveränderliche und Air-Gap-Kopien ändern und wie das in der Praxis aussieht, wenn wir die Backups selbst führen.
Was die 3-2-1-Regel bedeutet und was sie nicht sagt
Die Regel ist kurz:
- 3: Bewahren Sie mindestens drei Kopien Ihrer Daten auf: das Original und zwei Backups.
- 2: Speichern Sie sie auf mindestens zwei verschiedenen Medien oder Systemen, damit ein einzelner Ausfall nicht beide zerstören kann.
- 1: Halten Sie mindestens eine Kopie an einem anderen Ort, nicht im selben Gebäude.
Sie ist nach wie vor richtig. Fällt eine Serverfestplatte aus, stellen Sie aus der lokalen Kopie wieder her. Gibt es einen Brand oder eine Überschwemmung im Büro, stellen Sie aus der entfernten wieder her. Bei den Unternehmen, mit denen wir arbeiten, besteht die häufigste Einrichtung aus einem Server, einem NAS-Gerät im selben Schrank und einer Kopie in der Cloud oder beim IT-Dienstleister.
Über zwei Dinge sagt die Regel nichts. Erstens: wer die Backups löschen oder ändern kann. Zweitens: ob die Backups aus demselben Netzwerk erreichbar sind, in dem das Original läuft. Und genau dort finden moderne Angriffe statt.
Wie Ransomware an Ihre Backups gelangt
Ein moderner Ransomware-Angriff ist keine einzelne Datei, die jemand aus Versehen geöffnet hat. Es ist ein Vorgang über mehrere Wochen, der von Menschen durchgeführt wird. Eine typische Abfolge sieht nach unserer Erfahrung so aus:
- Erstzugriff: eine gefälschte E-Mail, ein abgeflossenes Passwort oder ungepatchte VPN-Geräte.
- Aufklärung: Der Angreifer sieht sich unauffällig an, welche Server es gibt, wo die Backups liegen und wer Administratorrechte hat.
- Rechteausweitung: Der Zugriff auf Domänenadministrator oder Backup-Server wird erlangt. Oft ist es derselbe Administrator, dessen Passwort überall funktioniert.
- Zerstörung der Backups: Backup-Aufträge werden gelöscht, das NAS wird formatiert, und Objekte im Cloud-Speicher werden über dasselbe Konto gelöscht, mit dem die Backups hochgeladen wurden.
- Verschlüsselung: Erst jetzt wird die Ransomware selbst gestartet, meist am Freitagabend oder vor einem Feiertag.
Beachten Sie den vierten Schritt. Ein NAS im selben Netzwerk, als Netzlaufwerk eingebunden, ist einfach ein weiteres Laufwerk, das die Ransomware verschlüsselt. Eine Cloud-Kopie, die der Server mit einem eigenen Konto hochlädt, lässt sich mit diesem Konto auch löschen. Formal ist 3-2-1 erfüllt. In der Praxis hält der Angreifer die Schlüssel zu allen drei Kopien.
Was unveränderliche und Air-Gap-Kopien ändern
Die Antwort auf dieses Problem hat zwei Ebenen, die sich ergänzen.
Unveränderliche Backups
Ein unveränderliches Backup (Immutable Backup) ist eine Kopie, die für einen festgelegten Zeitraum niemand löschen oder überschreiben kann: weder der Administrator noch die Backup-Software noch ein Angreifer, der beide übernommen hat. Technisch wird das auf der Ebene des Speichers umgesetzt: Das Objekt wird gesperrt, zum Beispiel für 30 Tage, und der Speicher weist jeden Löschbefehl bis zum Ablauf der Frist einfach zurück. Veeam nennt das ein Hardened Repository, im Cloud-Speicher heißt es Object Lock.
Eine wichtige Nuance: Die Sperre muss im Speicher liegen, nicht in der Backup-Anwendung. Übernimmt ein Angreifer den Backup-Server, ändert er die Einstellungen der Anwendung. Die Sperre im Speicher ändert er nicht.
Air-Gap-Backups
Eine Air-Gap-Kopie ist eine Kopie, die aus dem Produktivnetz überhaupt nicht sichtbar ist. Sie ist kein eingebundenes Laufwerk und keine Freigabe und hat keine IP-Adresse, die bei der Aufklärung gefunden werden könnte. Die Daten gelangen über einen Einwegkanal dorthin, und eine Wiederherstellung wird nicht von denselben Personen und nicht mit denselben Zugangsdaten angestoßen, die das Produktivnetz verwalten.
Früher bedeutete das Bänder, die jemand jeden Abend mit nach Hause nahm. Heute lässt sich dasselbe Prinzip in der Cloud umsetzen, aber es muss gezielt so entworfen werden, dass die Backup-Seite die Zugangsdaten der Produktion nicht sehen kann und die Produktionsseite die Backups nicht.
3-2-1-1-0: Die Regel, die zu 2026 passt
In der Praxis nutzen wir eine erweiterte Fassung, die auch Veeam empfiehlt:
| Zahl | Anforderung | Wovor sie schützt |
|---|---|---|
| 3 | Drei Kopien der Daten | Verlust einer einzelnen Kopie |
| 2 | Zwei verschiedene Medien oder Systeme | Hardwareausfall |
| 1 | Eine Kopie an einem anderen Ort | Brand, Diebstahl, Überschwemmung |
| 1 | Eine Kopie, die unveränderlich oder Air-Gap ist | Ransomware, böswilliger Administrator |
| 0 | Null Fehler in einem Wiederherstellungstest | Ein Backup, aus dem sich nicht wiederherstellen lässt |
Die ersten drei Punkte sind der Klassiker. Der vierte beantwortet die Frage „Was, wenn der Angreifer Administratorzugriff hat?“. Der fünfte beantwortet die Frage, die wir bei der ersten Begegnung mit einem neuen Kunden am häufigsten stellen: Wann haben Sie zuletzt versucht wiederherzustellen? Ein Backup, das niemand getestet hat, ist eine Annahme und kein Schutz. Null Fehler bedeutet einen regelmäßigen, dokumentierten Test und nicht einen grünen Haken in der Backup-Software.
Wie das bei MDP CLOUD aussieht
Wenn wir die Backups führen, setzen wir die Regel so um:
- Erste Kopie: auf Ihrem Server oder in unserer Cloud, für die schnelle tägliche Wiederherstellung: eine Datei, eine E-Mail, eine virtuelle Maschine.
- Zweite Kopie: in unserem Rechenzentrum in Litauen (EU), in separatem Speicher und in einer vom Produktivsystem getrennten Netzwerkzone.
- Dritte Kopie nach Bedarf: in einem Amazon-Rechenzentrum in Deutschland, wenn Anforderungen (zum Beispiel DORA oder eine Konzernrichtlinie) eine Kopie in einem anderen Land verlangen.
- Geheime Kopie: unveränderlich und aus Ihrem Netzwerk nicht sichtbar. Sie wird über einen Einwegkanal hochgeladen, und während der festgelegten Aufbewahrungsfrist können weder Ihr Administrator noch Ihr IT-Dienstleister noch wir sie einseitig löschen. Eine Wiederherstellung wird von einem bevollmächtigten Vertreter von Ihnen über einen separaten, von Ihrem Netzwerk unabhängigen Kanal angestoßen.
All das setzen wir mit Veeam-Backups um. Braucht ein Unternehmen nach einem Vorfall nicht nur die Daten, sondern auch einen Ort, an dem es sie betreiben kann, ergänzen wir die PlanB-Infrastrukturwiederherstellung: eine fertige Umgebung in unserer Cloud, in der Server aus Backups gestartet werden, während Ihre Büroinfrastruktur repariert wird.
Wo Sie anfangen
- Zeichnen Sie auf, wo jedes Ihrer Backups heute liegt und wer es löschen darf. Wenn ein Konto alle drei löschen kann, haben Sie eine Kopie, nicht drei.
- Trennen Sie den Backup-Speicher vom Produktivnetz: eigene Netzwerkzone, eigene Zugangsdaten, keine gemeinsamen Freigaben.
- Aktivieren Sie die Unveränderlichkeit im Speicher, nicht in der Anwendung, und legen Sie eine Frist fest, die nicht kürzer ist als die Zeit, die Sie bräuchten, um einen Einbruch zu bemerken. Nach unserer Erfahrung sind das mindestens 30 Tage.
- Stellen Sie einen Server in einer isolierten Umgebung wieder her und halten Sie fest, wie lange es gedauert hat und ob alles funktionierte.
- Wenn Sie diese Schritte gemeinsam mit uns gehen möchten, beginnen Sie mit der Beschreibung der geheimen Backups oder schreiben Sie uns über das Kontaktformular. Im ersten Gespräch beurteilen wir gemeinsam, welche Teile von 3-2-1-1-0 Ihrem Unternehmen heute fehlen.
