Unveränderbares Backup gegen Ransomware: so funktioniert es

Wie ein Angriff heute abläuft

Ein typischer Angriff auf ein mittelständisches Unternehmen beginnt unauffällig: mit einer Phishing-Mail, einem ungepatchten Fernzugang oder gekauften Zugangsdaten. Der Angreifer verschafft sich einen ersten Zugang, meist ein normales Benutzerkonto, und arbeitet sich in den folgenden Tagen oder Wochen bis zu Administratorrechten vor.

Mit diesen Rechten sieht er sich um: Wo liegen die Sicherungen, wie heißt die Backup-Software, welches Konto darf darauf zugreifen. Dann löscht er die Sicherungen auf dem NAS, leert die Backup-Freigabe, kündigt das Cloud-Konto oder löscht dort die Aufbewahrung. Erst wenn er sicher ist, dass es keinen Weg zurück gibt, startet die Verschlüsselung, gern an einem Freitagabend.

Der entscheidende Punkt: Alles, was ein rechtmäßiger Administrator löschen kann, kann ein Angreifer mit dessen Rechten auch löschen. Ein Backup, das mit denselben Rechten verwaltet wird wie die Produktion, ist Teil der Produktion.

Was „unveränderbar“ bedeutet

Ein unveränderbarer Speicher legt Sicherungen so ab, dass sie für eine festgelegte Frist weder gelöscht noch überschrieben noch verändert werden können. Nicht vom Backup-Administrator, nicht vom Anbieter auf Zuruf, nicht von jemandem mit gestohlenen Zugangsdaten. Die Frist läuft ab dem Zeitpunkt der Sicherung; danach kann die Kopie regulär entfernt werden.

Technisch steckt dahinter ein Speichersystem, das die Regel „schreiben einmal, lesen beliebig oft“ durchsetzt, oft als WORM bezeichnet, und dessen Verwaltungsschnittstelle die Löschung vor Fristablauf schlicht nicht anbietet. Auf der Plattform, die wir einsetzen, ist die Unveränderbarkeit eine Eigenschaft des Cloud-Speichers im Rechenzentrum; sie wird beim Sicherungsplan eingestellt und gilt dann für jede Sicherung, die dort landet.

Wichtig ist der Unterschied zu „nur lesbar“: Einen Schreibschutz kann ein Administrator aufheben. Unveränderbarkeit mit Frist kann er nicht aufheben, das ist der ganze Zweck.

Zwei Betriebsarten

Speichersysteme bieten die Unveränderbarkeit üblicherweise in zwei Stufen an, und der Unterschied ist für die Praxis wichtig.

• Im Governance-Modus kann ein besonders berechtigtes Konto die Frist im Ausnahmefall aufheben, etwa wenn versehentlich eine sehr lange Frist eingestellt wurde. Das ist bequem, aber genau dieses Konto ist dann das Ziel.
• Im Compliance-Modus kann niemand die Frist verkürzen, auch der Anbieter nicht. Was einmal geschrieben ist, bleibt bis zum Ablauf. Das ist die Stufe, die gegen einen Angreifer mit vollen Rechten schützt.

Für Unternehmenskunden richten wir den Compliance-Modus ein. Die Frist wählen wir so, dass sie länger ist als die Zeit, die ein Angreifer typischerweise unentdeckt im Netz verbringt, und so kurz, dass der Speicher nicht mit Sicherungen vollläuft, die niemand mehr braucht. Ein üblicher Wert liegt bei einigen Wochen bis wenigen Monaten; er hängt von Ihrer Aufbewahrungsfrist ab.

Was der unveränderbare Speicher nicht löst

Unveränderbarkeit ist eine Eigenschaft des Speichers, nicht des gesamten Backups. Drei Punkte bleiben offen und brauchen eigene Antworten.

Erstens der Inhalt: Ist der Server bereits infiziert, wird er infiziert gesichert. Die Sicherung ist dann unveränderbar, aber wertlos. Deshalb gehört zur Wiederherstellung die Prüfung, welcher Sicherungspunkt sauber ist; auf unserer Plattform übernimmt das die Verbindung zwischen Backup und Endpoint-Schutz, die einen malwarefreien Wiederherstellungspunkt kennzeichnet.

Zweitens die Zeit: Eine Sicherung im Rechenzentrum muss zurückkopiert werden, bevor der Server wieder läuft. Bei großen Datenmengen dauert das. Eine lokale Kopie beschleunigt die Rückkehr, ist aber selbst angreifbar; die Kombination aus lokal und unveränderbar außer Haus ist deshalb die übliche Empfehlung.

Drittens die Zugänge: Wenn der Angreifer mit dem Backup-Konto zwar nichts löschen, aber die Sicherung auf einen eigenen Rechner wiederherstellen kann, hat er Ihre Daten. Das Backup-Konto braucht deshalb mehrstufige Anmeldung und getrennte Rechte, und Wiederherstellungen sollten nur wenige Personen auslösen dürfen.

Worauf es bei der Einrichtung ankommt

Aus unseren Einführungen haben sich einige Regeln bewährt, die wir jedem Sicherungsplan zugrunde legen.

• Das Backup wird mit eigenen Zugangsdaten verwaltet, nicht mit dem Domänen-Administrator. Der Zugang hat mehrstufige Anmeldung.
• Die Frist für die Unveränderbarkeit ist länger als der Abstand zwischen zwei Restore-Tests. So fällt eine fehlende Sicherung auf, bevor die letzte gute abgelaufen ist.
• Es gibt eine Sicherung außer Haus, die unveränderbar ist, und nach Möglichkeit eine lokale Kopie für schnelle Wiederherstellungen. Drei Kopien, zwei Medien, eine außer Haus: die 3-2-1-Regel bleibt gültig.
• Wiederherstellungen werden geübt, mindestens so, dass die Dauer bekannt ist. Ein Backup, das nie zurückgespielt wurde, ist eine Annahme.
• Alarme über fehlgeschlagene Sicherungen gehen an jemanden, der sie liest. Bei uns ist das die tägliche Überwachung.

Ein Beispiel aus der Praxis, anonymisiert

Ein Handwerksbetrieb mit zwanzig Arbeitsplätzen sicherte seinen Server jede Nacht auf ein NAS im selben Raum, mit dem Domänen-Administrator als Zugang. Ein Mitarbeiter öffnete eine gefälschte Bewerbung, der Angreifer war zehn Tage im Netz, löschte in der neunten Nacht die Sicherungen auf dem NAS und verschlüsselte am zehnten Tag den Server. Die Wiederherstellung kam aus einer drei Monate alten Kopie auf einer externen Festplatte im Schreibtisch des Geschäftsführers. Drei Monate Buchhaltung wurden nachgetragen.

Mit einem unveränderbaren Cloud-Backup wäre die Sicherung der Vornacht unangetastet geblieben. Der Angreifer hätte sie gesehen und nicht löschen können. Die Wiederherstellung hätte einen Tag gekostet statt drei Monate Nacharbeit, und die Frage nach dem Lösegeld hätte sich nicht gestellt.

Der Betrieb sichert heute lokal und unveränderbar in die Cloud, mit getrenntem Backup-Konto und einem Restore-Test je Quartal. Der Aufwand dafür liegt unter dem, was die Nacharbeit allein an Überstunden gekostet hat.

Was das mit Versicherern und Auditoren zu tun hat

Cyber-Versicherer fragen in ihren Antragsbögen inzwischen gezielt nach Sicherungen, die vom Produktionsnetz getrennt und gegen Löschung geschützt sind. Prüfer nach ISO 27001 wollen sehen, dass Sicherungen regelmäßig getestet werden und gegen unbefugte Änderung geschützt sind. Ein unveränderbares Backup mit protokollierten Restore-Tests beantwortet beide Fragen mit einem Dokument.

Was genau Ihre Police oder Ihr Auditor verlangt, steht in den jeweiligen Bedingungen; die technische Grundlage dafür lässt sich aber ohne Umwege schaffen.