Backups, die Ransomware überstehen

Modul 6: Backups · Lesezeit: 10 Minuten

Lernziel: Nach dieser Lektion können Sie ein Backup einrichten, das ein Angreifer nicht verschlüsseln oder löschen kann, indem Sie eine Offline-Kopie, unveränderlichen Speicher, Versionen mit einer passenden Aufbewahrungsfrist und einen eigenen Zugang für das Backup wählen.
Kernbegriffe: Offline-Backup, Air Gap, unveränderlich (immutable), Object Lock, Versionsverwaltung, eigener Zugang für das Backup, Aufbewahrungsfrist

Warum ein gewöhnliches Backup oft nicht genug ist

In Lektion 1.3 haben Sie gesehen, wie Ransomware funktioniert: Jemand dringt ein, schaut sich um und verschlüsselt dann in einem Rutsch alles, was er erreichen kann. „Alles, was er erreichen kann" ist das Kernproblem. Liegt Ihr Backup auf einem Netzlaufwerk, das immer als Laufwerksbuchstabe mit Ihrem PC verbunden ist, dann ist dieses Backup für die Ransomware einfach ein Ordner mit Dateien. Er wird genauso verschlüsselt wie das Original.

Die US-amerikanische Cybersicherheitsbehörde CISA schreibt in ihrem Ransomware-Leitfaden, dass viele Arten von Ransomware aktiv nach erreichbaren Backups suchen, um diese zu löschen oder zu verschlüsseln. Ein Angreifer, der Ihr Administratorkonto übernommen hat, kann sich zudem in Ihr Backup-Programm oder Ihren Clouddienst einloggen und dort die Backups entfernen. Deshalb braucht ein ransomwaresicheres Backup mehr als „es gibt eine Kopie". Es muss außer Reichweite dessen sein, der Ihren Computer oder Ihr Konto übernommen hat.

Dafür gibt es drei Wege, die Sie am besten kombinieren:

1. das Backup ist nicht verbunden (offline);
2. das Backup kann nicht geändert oder gelöscht werden, auch nicht von einem Administrator (unveränderlich);
3. das Backup liegt hinter einem anderen Zugang als Ihre tägliche Arbeit.

Offline: die Festplatte in der Schublade

Ein Offline-Backup ist eine Kopie, die nach der Erstellung getrennt wird. Eine externe Festplatte, die Sie nach dem Backup aus dem Laptop ziehen und in eine Schublade oder einen Tresor legen, ist das einfachste Beispiel. Ransomware kann nur verschlüsseln, was erreichbar ist, und eine Festplatte in einer Schublade ist nicht erreichbar. Der englische Begriff dafür ist Air Gap: Es liegt buchstäblich Luft zwischen dem Backup und Ihrem Netzwerk.

Das niederländische NCSC rät dasselbe: Halten Sie das Backup nicht mit Ihrem Computer verbunden, weil Ransomware es sonst mitverschlüsseln kann.

Fallstricke bei Offline-Backups:

• Vergessen. Ein Backup, das Sie von Hand erstellen, wird nach ein paar arbeitsreichen Wochen übersprungen. Legen Sie einen festen Tag in Ihrem Kalender fest und wechseln Sie zwei Festplatten ab, sodass immer eine außer Haus ist.
• Dauerhaft angeschlossen lassen. Eine Festplatte, die „der Einfachheit halber" eingesteckt bleibt, ist kein Offline-Backup mehr.
• Nicht verschlüsselt. Eine lose Festplatte mit Ihrer gesamten Buchhaltung ist eine Datenpanne, wenn sie gestohlen wird. Aktivieren Sie die Verschlüsselung (siehe Lektion 5.2) und bewahren Sie den Schlüssel an einem anderen Ort als die Festplatte auf.

Unveränderlich: immutable und Object Lock

Ein unveränderliches Backup (Englisch: immutable) kann während eines festgelegten Zeitraums von niemandem geändert oder gelöscht werden. Auch nicht von jemandem, der Ihr Passwort hat. Auch nicht vom Administrator.

Bei Cloudspeicher heißt die Technik oft Object Lock. Die Dokumentation eines großen Anbieters beschreibt es als write once, read many: Sie schreiben eine Datei einmal weg, danach können Sie sie nur noch lesen, bis die Aufbewahrungsfrist abgelaufen ist. Es gibt meist zwei Modi:

Viele Backup-Programme und Backup-Dienste bieten unveränderlichen Speicher an, unter Bezeichnungen wie „immutable backup", „gesperrtes Backup" oder „WORM". Achten Sie bei der Wahl auf drei Dinge:

• Wie lange dauert die Sperre? Eine Sperre von 7 Tagen schützt Sie nicht, wenn Sie den Angriff erst nach drei Wochen entdecken.
• Wer kann die Sperre aufheben? Wenn Sie das mit demselben Konto können, mit dem Sie sich täglich anmelden, kann ein Angreifer das auch.
• Was kostet es? Unveränderlich bedeutet auch, dass Sie es nicht aufräumen können. CISA warnt, dass eine falsche Einstellung hohe Kosten verursachen kann. Fangen Sie klein an und testen Sie.

Versionen und Aufbewahrungsfrist: wie weit können Sie zurück?

Ein Backup von gestern hilft nur, wenn gestern noch alles in Ordnung war. Ransomware wartet manchmal eine Weile, bevor sie zuschlägt, und ein Versehen (ein gelöschter Ordner, eine überschriebene Preisliste) bemerkt man manchmal erst Wochen später. Deshalb brauchen Sie Versionen: mehrere Backup-Zeitpunkte nebeneinander. Die Aufbewahrungsfrist (auch Retention) bestimmt, wie weit Sie zurückgehen können. Das niederländische NCSC formuliert es so: Die Retention gibt an, wie weit Sie in der Geschichte eines Backups zurückgehen können.

Ein gängiges Muster ist das Ausdünnen: jeden Tag ein Backup, das Sie ein paar Wochen aufbewahren, jede Woche eines, das Sie ein paar Monate aufbewahren, und jeden Monat eines, das Sie länger aufbewahren. So können Sie weit zurückgehen, ohne hunderte vollständige Kopien zu haben.

Fragen, um Ihre Aufbewahrungsfrist zu wählen:

• Wie schnell bemerken Sie normalerweise, dass etwas schiefgelaufen ist? Schauen Sie auf frühere Versehen.
• Gibt es gesetzliche Aufbewahrungspflichten, etwa für Ihre Buchhaltung? Ein Backup ist etwas anderes als ein Archiv: Ein Archiv bewahren Sie jahrelang an einem festen Ort auf, ein Backup rotiert.
• Wie viel Speicherplatz kostet es? Längeres Aufbewahren kostet mehr.

Ein eigener Zugang für das Backup

Die dritte Maßnahme ist die günstigste und wird am häufigsten vergessen. Wenn Ihr Backup-Dienst, Ihr Cloudspeicher und Ihre E-Mail alle mit demselben Konto arbeiten und dieses Konto übernommen wird (Lektion 1.4), hat der Angreifer alles auf einmal.

• Verwenden Sie für den Backup-Dienst oder das Backup-Programm ein eigenes Konto mit einem eigenen, einzigartigen Passwort aus Ihrem Passwort-Manager, und aktivieren Sie die Zwei-Faktor-Authentifizierung.
• Verwenden Sie dieses Konto nicht für die tägliche Arbeit und melden Sie sich damit nicht auf dem Computer an, auf dem Sie mailen und surfen.
• Lassen Sie das Backup-Programm, wo immer möglich, am Speicherort nur schreiben, nicht löschen.
• Legen Sie fest, wer Zugang hat, sowohl physisch (wer hat den Schlüssel zum Schrank mit der Festplatte) als auch in der Software. Das niederländische NCSC nennt das auch ausdrücklich.

In der Praxis: so sieht es aus

Beim Beispielanbieter WebOké liegen die nächtlichen Backups eines Hostingpakets auf separaten Speicherservern in einem anderen Rechenzentrum, getrennt vom Server, auf dem die Website läuft. Laut der Wissensdatenbank können Sie diese nächtlichen Backups selbst nicht löschen: Sie bleiben bestehen, damit immer ein Wiederherstellungspunkt vorhanden ist, und verschwinden nach 30 Tagen von selbst. Nur ein zusätzliches Backup, das Sie selbst erstellt haben, können Sie löschen, und dafür fragt das Panel nach Ihrem Passwort.

Was Sie selbst noch hinzufügen, um die 3-2-1-Regel und die Offline-Kopie zu erreichen: hin und wieder ein Backup herunterladen (das 48 Stunden bereitsteht) und auf einer Festplatte speichern, die Sie danach trennen. Ein Snapshot eines VPS ist laut derselben Wissensdatenbank ausdrücklich kein Backup, weil er auf demselben Speicher liegt wie der VPS selbst.

Bei anderen Anbietern kann es ähnlich oder ganz anders sein. Fragen Sie Ihren Anbieter konkret: Liegen die Backups getrennt von meinem Konto, kann ich oder jemand mit meinem Passwort sie löschen, und wie weit reichen sie zurück?

Zusammenfassung

• Ransomware verschlüsselt alles, was sie erreicht, auch verbundene Backups, und Angreifer suchen gezielt nach Backups.
• Offline: Trennen Sie die Backup-Festplatte und wechseln Sie Festplatten ab, mit Verschlüsselung.
• Unveränderlich (immutable, Object Lock): Niemand kann die Kopie löschen, bis die Frist abgelaufen ist.
• Versionen und eine passende Aufbewahrungsfrist bestimmen, wie weit Sie zurückgehen können; wählen Sie diese danach, wie spät Sie Probleme normalerweise entdecken.
• Verwenden Sie einen eigenen, gut gesicherten Zugang für Ihr Backup, getrennt von Ihrem täglichen Konto.

Quiz

Aufgabe

Aufgabe D6.2: Machen Sie ein Backup ransomwaresicher. Wählen Sie Ihre wichtigsten Daten (zum Beispiel Ihre Buchhaltung oder Ihre Website) und richten Sie eine Kopie ein, die außer Reichweite liegt: eine externe Festplatte, die Sie nach dem Backup trennen und anderswo aufbewahren, oder einen Backup-Dienst mit unveränderlichem Speicher. Geben Sie dem Backup einen eigenen Zugang mit Zwei-Faktor-Authentifizierung, prüfen Sie, wie weit Sie zurückgehen können, und notieren Sie, wer Zugang hat. Beantworten Sie abschließend die Reflexionsfragen.

Weiterführende Informationen

Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es ähnlich oder anders. Fragen Sie Ihren Anbieter.

• DirectAdmin Anleitung 16.2: Sichern und Wiederherstellen: selbst ein Backup erstellen in DirectAdmin
• Nextcloud-Anleitung 6.2: Eine ältere Version wiederherstellen und Versionen benennen
• Nextcloud-Anleitung 6.3: Wie lange bewahrt Nextcloud Versionen und gelöschte Dateien?
• Snapshots und Backups Ihres VPS
• WebOké Backups: Ein Backup ansehen, wiederherstellen oder herunterladen
• BSI, Ransomware-Angriffe: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Cyber-Sicherheitslage/Analysen-und-Prognosen/Ransomware-Angriffe/ransomware-angriffe_node.html
• Niederländisches NCSC, Eine Backup-Strategie erstellen (Niederländisch): https://www.ncsc.nl/back-up/een-back-up-strategie-opstellen
• CISA, #StopRansomware Guide (Englisch): https://www.cisa.gov/stopransomware/ransomware-guide
• Backup-Strategie: Die 3-2-1-Regel für Ihr eigenes Unternehmen