Sichere Backups implementieren

Alle Informationen und Beispiele in diesem Artikel sind Umsetzungsempfehlungen für sichere Backups.

Nichts hier ist vertraglich bindend.

Backups sind Ihre letzte Verteidigungslinie bei Ransomware- und destruktiven Angriffen.

Der Wiederherstellungserfolg hängt von der Backup-Qualität, der Häufigkeit, der Aufbewahrungsdauer und der Fähigkeit ab, schnell wiederherzustellen.

Bedingungen für die Stoïk Cyber-Versicherung

Die Stoïk Cyber-Versicherung legt bei der Risikoprüfung Anforderungen an Backups fest.

Mindestanforderung: mindestens ein wöchentliches Backup muss sein:

• offline, oder

• auf unveränderlicher Speicher

Mit einer Mindestaufbewahrungsdauer von 2 Wochen.

Wenn offline oder unveränderbar nicht möglich ist, ist eine weniger empfohlene Option ein sicheres Online-Backup.

Das Backup-System bleibt verbunden, muss aber alle Anforderungen unten erfüllen:

• Das Backup-System ist außerhalb der AD-Domäne

• Das Backup-System ist segmentiert (Firewall + Allowlist-Zugriff)

• Das Löschen/Ändern von Backups ist nur über eine durch MFA geschützte Webkonsole

Ziel: Selbst mit einem kompromittierten Domain-Admin oder Cloud-Admin kann ein Angreifer Backups immer noch nicht löschen.

Backup-Typen (und was zählt)

Typ	Typische Beispiele	Warum es wichtig ist	Erfüllt die Anforderung?
Offline-Backups	Externe Laufwerke, USB-Medien, offline NAS, Magnetbänder (LTO/DLT)	Höchster Schutz. Über das Netzwerk nicht erreichbar.
Unveränderliche Online-Backups (Cloud)	AWS S3 Object Lock, Azure unveränderliche Blobs (WORM), Wasabi Object Lock	Online erreichbar, aber nicht änder- oder löschbar.
Online-Backups (On-Premises / Rechenzentrum)	Dedizierter Backup-Server mit eingeschränktem Zugriff	Kann akzeptabel sein nur wenn der Zugriff stark isoliert ist.	(nur wenn gehärtet)
Nicht-unveränderlicher Online-„Speicher“ (Cloud)	Dropbox, Google Drive, OneDrive ohne WORM	Einfach zu verwenden, bei kompromittierten Konten ebenso leicht zu löschen.
Lokale Backups	Lokale Datenträger, Dateikopie auf demselben Server, RAID-Spiegelung	Wird zusammen mit dem Host verschlüsselt oder gelöscht. Kein Wiederherstellungsplan.

„Sicheres Online-Backup“ bedeutet „widerstandsfähig gegen ein typisches Ransomware-Vorgehen, das versucht, alle Backups zu löschen“.

Offline-Backup-Optionen

Verwenden Sie Rotation. Bewahren Sie mindestens eine aktuelle Kopie getrennt auf.

Option	So setzen Sie es sicher um
Magnetbänder (LTO/DLT)	Rotieren Sie mindestens 2 Bänder. Bewahren Sie stets 1 Band extern/offline auf.
Offline-NAS	Nur für das Backup-Fenster verbinden. Nach dem Job trennen. Wenn möglich mehrere Geräte rotieren.
Externe Laufwerke / USB-Medien	Nur für das Backup-Fenster verbinden. Nach dem Job trennen. An einem verschlossenen Ort aufbewahren. Mehrere Geräte rotieren.

Unveränderliche Backup-Optionen

Cloud-gehostete unveränderliche Backups

Anbieter	Unveränderlichkeitsfunktion	Leitfaden / Doku
AWS	S3 Object Lock (und/oder Glacier)	Unveränderliche S3-Backups
Azure	Unveränderliche Blobs (WORM)	Cloud-Backup-Lösungen
Wasabi	S3 Object Lock	Sichern Sie Ihre Daten mit Wasabi
Acronis Cyber Protect Cloud	Compliance-Modus (prüfen Sie Ihren Tarif / Ihre Version)	Acronis-Doku 1, Acronis-Doku 2
Scaleway	Object Storage (Unterstützung für Object Lock prüfen)	Scaleway Object Storage-Konzepte
OVHcloud	Object Lock für S3 Object Storage	OVHcloud-Leitfaden
Fast LTA	„Zero Loss Storage“	Fast LTA-Überblick

Lokal gehostete unveränderliche Backups

Anbieter / Produkt	Voraussetzungen	Leitfaden / Doku
Veeam Linux Hardened Repository	Veeam >= 11. Erfordert Härtung des Repository-Hosts.	Veeam-Referenz
Synology	DSM >= 7.2. Erfordert unterstützte Modelle.	Unterstützte Modelle, Dokumentation zu unveränderlichen Snapshots
Dell Data Domain	Verwenden Sie den Compliance-Modus.	Dell-Whitepaper

Beispiele für „ungesicherte“ Backups

Dies sind häufige Muster, die scheitern, wenn Angreifer Admin-Konten übernehmen.

Beispiel	Warum es scheitert
Dropbox / Google Drive / OneDrive / SharePoint (ohne WORM)	Ein kompromittierter Admin kann Daten löschen und auch Papierkörbe / Aufbewahrungsrichtlinien leeren.
„Unveränderliches“ NAS nur softwarebasiert umgesetzt	Wenn das NAS-OS kompromittiert ist, kann der Angreifer trotzdem Volumes zerstören.
Ausgelagertes Rechenzentrum mit dauerhafter Netzwerkverbindung	Funktional ähnlich wie ein Online-Dateiserver. Ransomware kann über die Verbindung verschlüsseln/löschen.
Nicht-unveränderlicher Cloud-Speicher	Wenn der Cloud-Admin kompromittiert ist, kann der Angreifer Buckets, Backups und Aufbewahrungsregeln löschen.

Betriebliche Kontrollen (empfohlen)

Auch bei offline/unveränderlichem Speicher entscheiden oft betriebliche Kontrollen über den Wiederherstellungserfolg:

• Wiederherstellungen testen nach einem festen Zeitplan (bei kritischen Systemen mindestens monatlich).

• Verwenden Sie getrennte Backup-Admin-Konten. Nicht aus AD synchronisieren.

• Durchsetzen MFA auf Backup-Konsolen und Cloud-Konten.

• Bewahren Sie Backup-Zugangsdaten außerhalb von Benutzer-Endpunkten auf (keine gespeicherten Passwörter in Skripten).

• Aktivieren Alarmierung bei Backup-Job-Fehlern, Aufbewahrungsänderungen und Löschversuchen.

• Dokumentieren Sie das Restore-Runbook und bewahren Sie eine Kopie auf offline.