Kurz gesagt
Moderne Erpressungstrojaner suchen zuerst nach Backups und löschen sie, bevor sie verschlüsseln. Schutz bietet ein Backup-Ziel, das neue Sicherungen nur annimmt, aber kein Löschen und Überschreiben erlaubt, sogenanntes append-only. Aufgeräumt werden alte Sicherungen nur vom Backup-Server selbst, nach festen Regeln und mit eigenen Zugangsdaten. Dazu gehören ein zweiter Standort und regelmäßig getestete Wiederherstellungen.
Warum normale Backups bei Ransomware versagen
Wer Daten verschlüsselt und Lösegeld will, hat ein Interesse daran, dass es keine Sicherung gibt. Deshalb suchen Angreifer gezielt nach Backups: angeschlossene Festplatten, Netzlaufwerke, Backup-Software mit gespeicherten Zugangsdaten. Hat der infizierte Server Schreib- und Löschrechte auf das Backup-Ziel, hat der Angreifer sie auch. Dann ist die Sicherung mit verschlüsselt oder gelöscht, bevor jemand etwas merkt.
Das Prinzip append-only
Bei einem append-only-Ziel darf der gesicherte Server nur eines: neue Sicherungen anlegen. Löschen, Überschreiben und Verändern alter Sicherungen lehnt das Ziel ab. Selbst wer den Server vollständig übernommen hat und alle Zugangsdaten kennt, kann die vorhandenen Sicherungen nicht zerstören.
- Getrennte Rechte: Der Server hat nur das Recht, anzuhängen. Das Recht zum Aufräumen liegt woanders.
- Aufräumen am Ziel: Alte Sicherungen werden nach festen Regeln vom Backup-Server selbst entfernt, etwa sieben tägliche, vier wöchentliche und sechs monatliche.
- Eigene Zugangsdaten: Der Backup-Server ist nicht mit denselben Passwörtern erreichbar wie der Rest.
Die 3-2-1-Regel, kurz
- Drei Kopien der Daten: das Original und zwei Sicherungen.
- Zwei verschiedene Speicher, etwa Server und Backup-Server.
- Eine Kopie an einem anderen Ort, getrennt vom Original.
Append-only ergänzt diese Regel um den wichtigsten Punkt bei Ransomware: Mindestens eine Kopie darf sich vom Original aus nicht verändern lassen. Mehr zur Grundidee in Wie sichere ich meine Daten?.
Ohne Wiederherstellungstest ist es nur eine Hoffnung
- Einmal im Quartal eine echte Wiederherstellung durchspielen, nicht nur prüfen, ob die Sicherung gelaufen ist.
- Auch die Schlüssel sichern: Verschlüsselte Backups sind ohne Schlüssel wertlos. Der Schlüssel gehört an einen zweiten, getrennten Ort.
- Aufschreiben, wie die Wiederherstellung funktioniert. Im Ernstfall ist keine Zeit, das herauszufinden.
So machen wir es
Die Postfächer in Shield Mail und die Ablage in Shield Docs werden jede Nacht auf einen zweiten Server in Nürnberg gesichert, der neue Sicherungen nur annimmt. Löschversuche vom gesicherten Server lehnt er ab, das haben wir getestet. Aufgeräumt wird nur auf dem Backup-Server selbst, nach festen Aufbewahrungsregeln.
Häufige Fragen
- Reicht eine externe Festplatte als Backup?
- Als zusätzliche Kopie ja, wenn sie nach der Sicherung abgezogen und getrennt aufbewahrt wird. Dauerhaft angeschlossen wird sie bei einem Angriff mitverschlüsselt.
- Wie lange sollten Sicherungen aufbewahrt werden?
- Lange genug, um auch einen Angriff zu überstehen, der erst nach Wochen bemerkt wird. Eine Mischung aus täglichen, wöchentlichen und monatlichen Ständen hat sich bewährt.
- Sind Cloud-Backups automatisch sicher?
- Nur, wenn der gesicherte Rechner sie nicht löschen kann. Viele Cloud-Speicher bieten dafür einen Löschschutz oder eine Versionierung, die man aber aktivieren muss.