Cybersecurity-Wissen · Redaktion 360digital ·
Ransomware: Backup und Notfallplan, der im Ernstfall trägt
Ein Backup ist erst dann eine Schutzmassnahme, wenn es sich innerhalb der benötigten Zeit verlässlich wiederherstellen lässt. Ransomware-Vorsorge verbindet geschützte Kopien, getestete Wiederanlaufreihenfolgen, erreichbare Rollen und klare Entscheidungen. Der Plan darf weder von einer einzelnen Person noch von einem ständig verbundenen Administratorkonto abhängen.
Wiederherstellungsziele festlegen
Beginnen Sie mit Geschäftsprozessen: Welche Systeme braucht der Betrieb am ersten Tag, welche später? Für jeden Prozess werden tolerierbarer Datenverlust und Wiederanlaufzeit mit den Verantwortlichen vereinbart. Daraus ergibt sich, wie häufig gesichert, wie lange aufbewahrt und in welcher Reihenfolge wiederhergestellt wird. Ein pauschales tägliches Backup kann für ein System zu selten und für ein anderes unnötig aufwendig sein.
Schützen Sie Sicherungen vor dem Konto und Netzwerk, das im Alltag arbeitet. Nutzen Sie getrennte Administrationswege, Zugriff mit minimalen Rechten und eine Kopie, die bei einem kompromittierten Primärsystem nicht einfach verändert oder gelöscht werden kann. Verschlüsselung hilft beim Datenschutz; sie ersetzt keine Integritätsprüfung und keinen Wiederherstellungstest.
- Prozess, Eigentümer, Datenverlust und Wiederanlaufzeit pro System dokumentieren.
- Mindestens eine Kopie gegen alltägliche Administrationsrechte abschirmen.
- Alarme für Löschungen, ungewöhnliche Sicherungsmengen und fehlgeschlagene Jobs einrichten.
Notfallablauf üben
Der Notfallplan nennt Erkennung, Einordnung, Isolation, Beweissicherung, Kommunikation und Wiederherstellung. Rollen müssen Vertretungen haben: technische Leitung, Geschäftsentscheidung, Kommunikation, Anbieter und gegebenenfalls externe Fachstellen. Kontaktlisten werden ausserhalb der betroffenen Umgebung verfügbar gehalten. Ein erster Schritt ist häufig, weitere Ausbreitung kontrolliert zu stoppen; hektisches Löschen kann Beweise und Wiederherstellungsoptionen zerstören.
Üben Sie mit einem Szenario und künstlichen Annahmen. Prüfen Sie, ob eine Sicherung auffindbar, unverändert und in der geplanten Zeit lesbar ist. Dokumentieren Sie Abweichungen und verbessern Sie den Plan. Eine Übung belegt die getestete Annahme zu diesem Zeitpunkt; sie garantiert keine erfolgreiche Reaktion auf jeden späteren Angriff.
Ein Durchlauf sollte auch Abhängigkeiten ausserhalb der IT einbeziehen: Lieferanten, Telefonie, Gebäudezugang und Kundenkommunikation. Legen Sie fest, welche Informationen intern bleiben und wer eine externe Meldung koordiniert. Der Plan benennt Aufgaben, keine technischen Heldentaten. Wenn ein Schritt nur mit einer Person funktioniert, ist das eine offene Massnahme. Nach der Übung werden diese Abhängigkeiten mit einer zuständigen Person und einem realistischen Termin hinterlegt.
Beispiel und Entscheidung
Hypothetisches Beispiel: Ein Produktionsbetrieb verliert den Zugriff auf Dateiablagen und ERP. Der Plan priorisiert Identitätsdienst, Kommunikationskanal, Produktionssteuerung und Auftragsdaten. Die IT isoliert betroffene Systeme, die Geschäftsleitung entscheidet über manuellen Betrieb, und das Wiederherstellungsteam nutzt eine getrennte Kopie. Nach der Rückkehr werden Zugangsdaten, Protokolle und Überwachungsregeln überprüft, bevor Systeme wieder breit geöffnet werden.
Investieren Sie zuerst in bekannte kritische Prozesse, getrennte Sicherungen und einen realistisch getesteten Minimalbetrieb. Kaufen Sie keine vermeintliche Garantie durch ein einzelnes Produkt. Ein Notfallplan ist ein lebendes Dokument mit Eigentümer, Übungstermin und Nachweisen. Nach jeder Übung werden Annahmen, Zeitbedarf und Abhängigkeiten aktualisiert. Besonders wertvoll sind dabei die kleinen Reibungen: fehlende Kontaktdaten, unklare Freigaben oder ein Restore, der zwar technisch funktioniert, aber die benötigte Datenqualität nicht liefert. Die Leitung sollte vorab wissen, wer einen manuellen Betrieb freigibt und welche Abhängigkeiten zuerst wieder verfügbar sein müssen. So wird die Wiederherstellung zu einer priorisierten Geschäftsentscheidung. Die Reihenfolge steht danach im Plan und muss nicht erst im Stress ausgehandelt werden.
Häufige Fragen
Sind Cloud-Backups automatisch sicher?
Nein. Auch Cloud-Dienste brauchen getrennte Rechte, Aufbewahrung, Integritätskontrollen und Wiederherstellungstests.
Soll man bei Verdacht sofort alles ausschalten?
Das hängt von Umgebung und Plan ab. Unkoordinierte Schritte können Beweise oder kritische Prozesse gefährden. Ein vorbereiteter Incident-Ablauf und fachliche Einordnung sind entscheidend.
Wie oft testen?
In einem zur Kritikalität passenden Rhythmus und nach wesentlichen Änderungen. Der Test muss tatsächlich Wiederherstellung, Zeit und Datenqualität prüfen.
Von der Orientierung zur konkreten Prüfung
Auf Cybervorfälle vorbereiten: Zuständigkeiten, Wiederherstellung und Entscheidungswege in einer abgestimmten Übung prüfen. Für Schweizer KMU.
Notfallbereitschaft: Leistung ansehen ↗Quellen und fachliche Orientierung
Die verlinkten Fachquellen erläutern die zugrunde liegenden Konzepte. Checklisten und Planungsbeispiele sind redaktionelle Orientierung für KMU; sie ersetzen keinen auf Ihre Umgebung abgestimmten Prüfauftrag.