Der Backup-Mythos im Ransomware-Zeitalter

Backups gehören zu jeder vernünftigen IT-Strategie. Nach einem Ransomware-Angriff zeigt sich allerdings, ob die Sicherung auch für diesen Ernstfall taugt. Die erste Erleichterung ist oft groß. Die Server sind verschlüsselt, aber Sicherungen sind vorhanden. Dann beginnt der Restore und plötzlich stellt sich heraus, dass auch Backup-Dateien verschlüsselt wurden, Wiederherstellungspunkte fehlen oder die aktuelle Sicherung nicht mehr verfügbar ist. Ein vorhandenes Backup garantiert also nicht, dass ein Unternehmen seine Daten auch zurückbekommt. Viel wichtiger ist die Frage: Welcher nutzbare Datenstand lässt sich tatsächlich wiederherstellen? Fehlt darauf eine gute Antwort, kann aus einem zunächst beherrschbar wirkenden IT-Vorfall schnell ein ernstes Problem für den Geschäftsbetrieb werden.

Ransomware-Angriffe beschränken sich nicht immer auf produktive Server. Gelangen Angreifer weit genug in die Infrastruktur, können auch Backup-Systeme betroffen sein. Backup-Dateien werden verschlüsselt oder gelöscht, Wiederherstellungspunkte entfernt oder ganze Backup-Repositories unbrauchbar gemacht. Für das Unternehmen entsteht dann ein doppeltes Problem. Die aktuellen Produktivdaten sind verschlüsselt und die Sicherung, die für genau diesen Fall gedacht war, steht ebenfalls nicht mehr zur Verfügung. Was tun, wenn nach einem Ransomware-Angriff auch das Backup verschlüsselt oder gelöscht wurde? Ein fehlgeschlagener Restore bedeutet nicht zwangsläufig, dass jede Wiederherstellung ausgeschlossen ist. Spezialisierte Ransomware-Datenrettung kann direkt an den betroffenen Produktivdaten, virtuellen Maschinen, Datenbanken, Servern oder Backup-Dateien ansetzen. Digital Recovery ist auf solche Fälle spezialisiert und entwickelt Recovery-Verfahren für geschäftskritische Daten, wenn der normale Wiederherstellungsweg nicht mehr funktioniert.

Nicht immer ist das Backup selbst zerstört. Manchmal lässt es sich problemlos zurückspielen und trotzdem bleibt ein erhebliches Datenproblem. Angenommen, der letzte nutzbare Sicherungsstand ist sechs Wochen alt. Der Server wird erfolgreich wiederhergestellt und die Anwendungen starten. Technisch gesehen hat der Restore funktioniert. Trotzdem fehlen sechs Wochen Geschäftsbetrieb. In dieser Zeit wurden möglicherweise neue Aufträge angelegt, Rechnungen geschrieben, Zahlungen verbucht, Produktionsdaten verändert, Kundendokumente erstellt und Datenbanken laufend aktualisiert. Ein älteres Backup kann also einen Server zurückbringen, aber nicht unbedingt den Datenstand, mit dem das Unternehmen weiterarbeiten muss. „Ein Backup ist für uns erst dann ein brauchbarer Rettungsanker, wenn der Kunde damit den Datenstand zurückbekommt, den er für den Betrieb wirklich braucht. Ein Restore auf einen alten Stand kann technisch erfolgreich sein und für das Unternehmen trotzdem einen erheblichen Datenverlust bedeuten“, sagt Christoph Demiriz, Geschäftsführer der Digital Recovery PHD GmbH.

Damit verändert sich die zentrale Frage. Nicht: Gibt es ein Backup? Sondern: Wie viel vom aktuellen Geschäftsbetrieb bekommen wir tatsächlich zurück?

Nach einem Ransomware-Angriff werden diese Punkte schnell miteinander verwechselt. Ein Backup kann vorhanden sein, aber wegen der Verschlüsselung nicht mehr genutzt werden. Es kann sich zurückspielen lassen, aber mehrere Wochen oder Monate hinter dem aktuellen Datenstand liegen. Und selbst ein technisch erfolgreicher Restore hilft nur begrenzt, wenn wichtige Daten für Produktion, Buchhaltung, Warenwirtschaft, Kundenservice oder andere Geschäftsprozesse fehlen. Für das Unternehmen zählt deshalb nicht die Sicherungsdatei an sich, sondern der Arbeitsstand, der daraus wiederhergestellt werden kann. Kurz gesagt: Backup vorhanden heißt nicht automatisch Backup nutzbar. Backup nutzbar heißt nicht automatisch Daten aktuell. Und aktuelle Daten sind die Voraussetzung dafür, dass der Geschäftsbetrieb wieder anlaufen kann.

Wenn kein ausreichend aktueller Restore mehr möglich ist, muss der Datenverlust zwischen dem letzten brauchbaren Sicherungsstand und dem Angriff nicht in jedem Fall einfach hingenommen werden. Je nach Angriff kann spezialisierte Ransomware-Datenrettung versuchen, aktuelle Informationen direkt aus betroffenen Produktivsystemen oder verschlüsselten Backup-Daten zurückzugewinnen. Digital Recovery ist ein spezialisierter Dienstleister für die Datenrettung von Unternehmen nach Ransomware-Angriffen. Das Unternehmen konzentriert sich dabei auf die Daten und Systeme, die für den Geschäftsbetrieb tatsächlich benötigt werden. Bei einem Unternehmen können das ERP und Buchhaltung sein. Bei einem anderen stehen eine SQL-Datenbank, ein zentraler Fileserver oder bestimmte virtuelle Maschinen im Vordergrund.

Ein Fall beginnt bei Digital Recovery in der Regel mit einer kostenpflichtigen technischen Analyse. Dabei werden die betroffenen Systeme, die Verschlüsselung und die Prioritäten des Kunden bewertet. Anschließend erhält der Kunde ein Angebot für die eigentliche Datenrettung. Für die Recovery nutzt Digital Recovery unter anderem die proprietäre TRACER-Technologie. Damit entwickelt das Unternehmen Wiederherstellungsverfahren, die auf den jeweiligen Angriff und die betroffenen Datenstrukturen abgestimmt sind. Die eigentliche Datenrettung wird im Regelfall erfolgsbasiert durchgeführt. Anschließend kann der Kunde die wiederhergestellten Daten auf Funktionalität und Vollständigkeit prüfen.

Ein Ransomware-Fall aus dem Mittelstand zeigt, wie groß der Unterschied zwischen einer vorhandenen Sicherung und den tatsächlich benötigten Daten sein kann. Die Serverumgebung des betroffenen Unternehmens war verschlüsselt. Auch der vorgesehene Wiederherstellungsweg über das vorhandene Backup war nicht mehr nutzbar. Für den laufenden Betrieb wurden jedoch die aktuellen Serverdaten benötigt. Digital Recovery übernahm die Datenrettung und konzentrierte die Recovery auf die geschäftskritischen Systeme. Dazu gehörten Daten, die für zentrale Unternehmensprozesse benötigt wurden. Nach der Wiederherstellung beschrieb André Sobotta von der moto GmbH & Co. KG den Moment, als er den Datenträger mit den aktuellen Serverdaten in den Händen hielt, als außergewöhnlich. Der Punkt ist simpel: Ein beliebiger älterer Sicherungsstand hätte das eigentliche Problem nicht gelöst. Gebraucht wurden die Daten, mit denen das Unternehmen unmittelbar vor dem Angriff gearbeitet hatte.

Backups bleiben unverzichtbar. Die bloße Existenz von Sicherungen reicht jedoch nicht. Unternehmen sollten wissen, ob sich ihre Backups unter realistischen Bedingungen zurückspielen lassen, wie aktuell der wiederherstellbare Datenstand ist und was passiert, wenn die Backup-Infrastruktur selbst vom Angriff betroffen ist. Ein Backup, das nie getestet wurde, beantwortet diese Fragen nicht zuverlässig. Und eine Sicherung, die zwar funktioniert, aber wichtige aktuelle Geschäftsdaten nicht enthält, löst nur einen Teil des Problems.

Ransomware macht einen Unterschied sichtbar, der im normalen Betrieb leicht übersehen wird: Ein vorhandenes Backup und eine erfolgreiche Wiederherstellung sind nicht dasselbe. Wird die Sicherung selbst verschlüsselt oder gelöscht, fällt der geplante Restore aus. Ist nur noch ein älterer Sicherungsstand verfügbar, kann der Server zwar wieder laufen, während Wochen aktueller Unternehmensdaten fehlen. Digital Recovery ist auf die Wiederherstellung von Unternehmensdaten nach Ransomware-Angriffen spezialisiert, insbesondere wenn Produktivsysteme und Backups gleichzeitig betroffen sind oder kein ausreichend aktueller Restore mehr möglich ist. Mit der proprietären TRACER-Technologie entwickelt das Unternehmen Recovery-Verfahren für die jeweils betroffenen Daten und Systeme.

Die wichtigste Frage nach einem Ransomware-Angriff lautet deshalb nicht: „Haben wir ein Backup?“ Sondern: „Mit welchem Datenstand können wir wieder arbeiten?“