Backups, die Ransomware überstehen

Modul 6: Backups · Lesezeit: 10 Minuten

Lernziel: Nach dieser Lektion können Sie ein Backup einrichten, das ein Angreifer nicht verschlüsseln oder löschen kann, indem Sie eine Offline-Kopie, unveränderbaren Speicher, Versionen mit einer passenden Aufbewahrungsfrist und einen separaten Login für das Backup wählen.
Kernbegriffe: Offline-Backup, Air Gap, unveränderbar (immutable), Object Lock, Versionsverwaltung, separater Login für das Backup, Aufbewahrungsfrist

Warum ein gewöhnliches Backup oft nicht ausreicht

In Lektion 1.3 haben Sie gesehen, wie Ransomware funktioniert: Jemand verschafft sich Zugang, schaut sich um und verschlüsselt dann auf einen Schlag alles, was er erreichen kann. „Alles, was er erreichen kann" ist das Kernproblem. Liegt Ihr Backup auf einem Netzlaufwerk, das immer als Laufwerksbuchstabe mit Ihrem PC verbunden ist, dann ist dieses Backup für die Ransomware einfach ein Ordner mit Dateien. Er wird genauso verschlüsselt wie das Original.

Die US-amerikanische Cybersicherheitsbehörde CISA schreibt in ihrem Ransomware-Leitfaden, dass viele Arten von Ransomware aktiv nach erreichbaren Backups suchen, um diese zu löschen oder zu verschlüsseln. Ein Angreifer, der Ihr Administratorkonto übernommen hat, kann sich zudem in Ihr Backup-Programm oder Ihren Cloud-Dienst einloggen und dort die Backups löschen. Deshalb erfordert ein ransomwaresicheres Backup mehr als „es gibt eine Kopie". Es muss außer Reichweite von jemandem sein, der Ihren Computer oder Ihr Konto übernommen hat.

Dafür gibt es drei Möglichkeiten, die Sie am besten kombinieren:

1. das Backup ist nicht verbunden (offline);
2. das Backup kann nicht geändert oder gelöscht werden, auch nicht von einem Administrator (unveränderbar);
3. das Backup befindet sich hinter einem anderen Login als Ihre tägliche Arbeit.

Offline: die Festplatte in der Schublade

Ein Offline-Backup ist eine Kopie, die nach der Erstellung getrennt wird. Eine externe Festplatte, die Sie nach dem Backup aus dem Laptop ziehen und in eine Schublade oder einen Tresor legen, ist das einfachste Beispiel. Ransomware kann nur verschlüsseln, was erreichbar ist, und eine Festplatte in einer Schublade ist nicht erreichbar. Der englische Begriff dafür ist Air Gap: Es befindet sich buchstäblich Luft zwischen dem Backup und Ihrem Netzwerk.

Das BSI rät zum Gleichen: Halten Sie das Backup nicht mit Ihrem Computer verbunden, da Ransomware es sonst mitverschlüsseln kann.

Fallstricke bei Offline-Backups:

• Vergessen. Ein Backup, das Sie von Hand erstellen, wird nach ein paar arbeitsreichen Wochen übersprungen. Tragen Sie einen festen Tag in Ihren Kalender ein und wechseln Sie zwischen zwei Festplatten, sodass immer eine außer Haus ist.
• Dauerhaft angeschlossen lassen. Eine Festplatte, die „der Einfachheit halber" angeschlossen bleibt, ist kein Offline-Backup mehr.
• Nicht verschlüsselt. Eine lose Festplatte mit Ihrer gesamten Buchhaltung ist eine Datenpanne, wenn sie gestohlen wird. Aktivieren Sie die Verschlüsselung (siehe Lektion 5.2) und bewahren Sie den Schlüssel an einem anderen Ort als die Festplatte auf.

Unveränderbar: immutable und Object Lock

Ein unveränderbares Backup (englisch: immutable) kann während eines festgelegten Zeitraums von niemandem geändert oder gelöscht werden. Auch nicht von jemandem, der Ihr Passwort hat. Auch nicht vom Administrator.

Bei Cloud-Speicher heißt die Technik oft Object Lock. Die Dokumentation eines großen Anbieters beschreibt es als write once, read many: Sie schreiben eine Datei einmal weg, danach können Sie sie nur noch lesen, bis die Aufbewahrungsfrist abgelaufen ist. Meist gibt es zwei Modi:

Viele Backup-Programme und Backup-Dienste bieten unveränderbaren Speicher an, unter Bezeichnungen wie „immutable backup", „gesperrtes Backup" oder „WORM". Achten Sie bei der Wahl auf drei Dinge:

• Wie lange dauert die Sperre? Eine Sperre von 7 Tagen schützt Sie nicht, wenn Sie den Angriff erst nach drei Wochen entdecken.
• Wer kann die Sperre aufheben? Wenn Sie das mit demselben Konto können, mit dem Sie sich täglich anmelden, kann ein Angreifer das auch.
• Was kostet es? Unveränderbar bedeutet auch, dass Sie es nicht aufräumen können. CISA warnt, dass eine falsche Einstellung hohe Kosten verursachen kann. Fangen Sie klein an und testen Sie.

Versionen und Aufbewahrungsfrist: Wie weit können Sie zurück?

Ein Backup von gestern hilft nur, wenn gestern noch alles in Ordnung war. Ransomware wartet manchmal eine Weile, bevor sie zuschlägt, und einen Fehler (einen gelöschten Ordner, eine überschriebene Preisliste) bemerken Sie manchmal erst Wochen später. Deshalb brauchen Sie Versionen: mehrere Backup-Zeitpunkte nebeneinander. Die Aufbewahrungsfrist (auch Retention genannt) bestimmt, wie weit Sie zurückgehen können. Das BSI formuliert es so: Die Retention gibt an, wie weit Sie in der Historie eines Backups zurückgehen können.

Ein häufig verwendetes Muster ist das Ausdünnen: täglich ein Backup, das Sie ein paar Wochen aufbewahren, wöchentlich eines, das Sie ein paar Monate aufbewahren, und monatlich eines, das Sie länger aufbewahren. So können Sie weit zurückgehen, ohne hunderte vollständige Kopien zu haben.

Fragen zur Wahl Ihrer Aufbewahrungsfrist:

• Wie schnell bemerken Sie in der Regel, dass etwas schiefgelaufen ist? Schauen Sie sich frühere Fehler an.
• Gibt es gesetzliche Aufbewahrungspflichten, etwa für Ihre Buchhaltung? Ein Backup ist etwas anderes als ein Archiv: Ein Archiv bewahren Sie jahrelang an einem festen Ort auf, ein Backup rotiert.
• Wie viel Speicherplatz kostet es? Längere Aufbewahrung kostet mehr.

Ein separater Login für das Backup

Die dritte Maßnahme ist die kostengünstigste und wird am häufigsten vergessen. Wenn Ihr Backup-Dienst, Ihr Cloud-Speicher und Ihre E-Mail alle mit demselben Konto arbeiten und dieses Konto übernommen wird (Lektion 1.4), dann hat der Angreifer alles auf einen Schlag.

• Verwenden Sie für den Backup-Dienst oder das Backup-Programm ein eigenes Konto mit einem eigenen, einzigartigen Passwort aus Ihrem Passwort-Manager, und aktivieren Sie die Zwei-Faktor-Authentifizierung.
• Verwenden Sie dieses Konto nicht für die tägliche Arbeit und loggen Sie sich damit nicht auf dem Computer ein, mit dem Sie mailen und surfen.
• Lassen Sie das Backup-Programm, wo möglich, nur zum Speicherort schreiben, nicht löschen.
• Legen Sie fest, wer Zugang hat, sowohl physisch (wer hat den Schlüssel zum Schrank mit der Festplatte) als auch in der Software. Das BSI nennt das ebenfalls ausdrücklich.

In der Praxis: So sieht es aus

Beim Beispielanbieter WebOké liegen die nächtlichen Backups eines Hosting-Pakets auf separaten Speicherservern in einem anderen Rechenzentrum, getrennt von dem Server, auf dem die Website läuft. Laut der Wissensdatenbank können Sie diese nächtlichen Backups selbst nicht löschen: Sie bleiben bestehen, damit immer ein Wiederherstellungspunkt vorhanden ist, und verschwinden nach 30 Tagen automatisch. Nur ein zusätzliches Backup, das Sie selbst erstellt haben, können Sie löschen, und dafür fragt das Panel nach Ihrem Passwort.

Was Sie selbst noch hinzufügen, um die 3-2-1-Regel und die Offline-Kopie zu erreichen: gelegentlich ein Backup herunterladen (es steht 48 Stunden lang zur Verfügung) und auf einer Festplatte aufbewahren, die Sie danach trennen. Ein Snapshot eines VPS ist laut derselben Wissensdatenbank ausdrücklich kein Backup, da er auf demselben Speicher liegt wie der VPS selbst.

Bei anderen Anbietern kann es ähnlich oder ganz anders sein. Fragen Sie Ihren Anbieter konkret: Liegen die Backups getrennt von meinem Konto, kann ich oder jemand mit meinem Passwort sie löschen, und wie weit reichen sie zurück?

Zusammenfassung

• Ransomware verschlüsselt alles, was sie erreicht, auch verbundene Backups, und Angreifer suchen aktiv nach Backups.
• Offline: Trennen Sie die Backup-Festplatte und wechseln Sie zwischen mehreren Festplatten, mit Verschlüsselung.
• Unveränderbar (immutable, Object Lock): Niemand kann die Kopie löschen, bis die Frist abgelaufen ist.
• Versionen und eine passende Aufbewahrungsfrist bestimmen, wie weit Sie zurückgehen können; wählen Sie diese danach, wie spät Sie Probleme in der Regel entdecken.
• Verwenden Sie einen separaten, gut gesicherten Login für Ihr Backup, getrennt von Ihrem täglichen Konto.

Quiz

Aufgabe

Aufgabe D6.2: Machen Sie ein Backup ransomwaresicher. Wählen Sie Ihre wichtigsten Daten aus (zum Beispiel Ihre Buchhaltung oder Ihre Website) und richten Sie eine Kopie ein, die außer Reichweite liegt: eine externe Festplatte, die Sie nach dem Backup trennen und anderswo aufbewahren, oder einen Backup-Dienst mit unveränderbarem Speicher. Geben Sie dem Backup einen eigenen Login mit Zwei-Faktor-Authentifizierung, prüfen Sie, wie weit Sie zurückgehen können, und notieren Sie, wer Zugang hat. Beantworten Sie abschließend die Reflexionsfragen.

Weiterführende Informationen

Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es ähnlich oder anders. Fragen Sie Ihren Anbieter.

• DirectAdmin Anleitung 16.2: Sichern und Wiederherstellen: selbst ein Backup erstellen in DirectAdmin
• Nextcloud-Anleitung 6.2: Eine ältere Version wiederherstellen und Versionen benennen
• Nextcloud-Anleitung 6.3: Wie lange bewahrt Nextcloud Versionen und gelöschte Dateien?
• Snapshots und Backups Ihres VPS
• WebOké Backups: Ein Backup ansehen, wiederherstellen oder herunterladen
• BSI, Ransomware-Angriffe: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Cyber-Sicherheitslage/Analysen-und-Prognosen/Ransomware-Angriffe/ransomware-angriffe_node.html
• BSI, Informationen und Angebote für Unternehmen: https://www.bsi.bund.de/
• CISA, #StopRansomware Guide (Englisch): https://www.cisa.gov/stopransomware/ransomware-guide