Ransomware-sicheres Backup

Cyberangriffe können verheerend sein. Doch ein letztes Sicherheitsnetz ist nicht so schwierig zu bauen. Hier die Hintergründe, was es beim Aufbau eines Ransomware-resilienten Backupprozesses zu beachten gilt.

Cyberkriminelle werden immer raffinierter, wie beispielsweise die Ransomware-Angriffe vor einigen Monaten in Grossbritannien gezeigt haben, die grosse Firmen über Wochen und Monate schwer in Mitleidenschaft gezogen haben.

Ziele

Immer häufiger ist dieser Tage deshalb von «Ransomware-sicherem Backup» die Rede. Das Ziel davon ist, als letztes Sicherheitsnetz zu fungieren, falls ein Angreifer Kontrolle über unsere Systeme übernommen hat.

Ransomware-sicheres Backup hilft nicht dagegen, dass der Angreifer die Daten kopiert, absaugt und auf dem Schwarzmarkt weiterverkauft. Dagegen wirkt nur, seine Systeme bestmöglich gegen Angreifer zu schützen und die Bösewichte so gar nicht erst an unsere Benutzerkonten, Systeme (Arbeitsplatzrechner, Server, …) und Daten gelangen zu lassen.

Das Ziel von Ransomware-sicherem Backup ist es, dass niemand gleichzeitig die Rechte hat, die Originaldaten und ihr Backup zu ändern (bzw. zu löschen). Dass ein Angreifer also, auch wenn er in das Konto oder den Arbeitslaptop einer Systemadministratorin eingedrungen ist, nicht auch noch das Backup verändern oder löschen kann.

Das muss auf verschiedenen Ebenen geschehen:

• Benutzer-Trennung: Es sollten nicht dieselben Konten Zugriff auf Original und Backup haben, in keiner der unten stehenden Dimensionen. Die Konten sollten auch nicht in derselben Benutzerverwaltung stecken, falls man eine zentrale Benutzerverwaltung im Einsatz hat. Der Einsatz einer zentralen Benutzerverwaltung ist an der Nutzung von Stichworte wie LDAP, SSO, Active Directory, … zu erkennen. (Der Administrator der Benutzerverwaltung hätte damit Zugang zu beiden Konten. Falls sein Konto gehackt wird oder er Opfer eines Phishing-Angriffs wird, sind wieder beide Kopien betroffen. Und wie gesagt, die modernen Angreifer sind sehr schlau, kompetent und mit viel Zeit, Expertise und Ressourcen ausgestattet. Ein durch Lösegeldzahlungen gut geöltes Milliarden-Geschäft.)
• Räumliche Trennung: Auch wenn die meisten Cyberangriffe rein virtuell erfolgen, sollte mindestens ein Backup an einem anderen Ort stehen und keine Person oder Organisation sollte zu beiden Räumlichkeiten Zugang haben.
• Hardware-Trennung: Die beiden Systeme (Computer mit den Originaldaten und Backupserver) sollten sich auf unterschiedlichen physischen Computern befinden. Also insbesondere nicht zwei virtuelle Maschinen, die auf demselben Rechner laufen. Weil die Kontrolle über das direkt auf der Hardware laufende Betriebssystem («Hypervisor») auch Kontrolle über die virtuellen Maschinen gibt.
• Speicher-Trennung: Die beiden Systeme sollten ihre Daten nicht auf demselben Speichersystem («NAS», «SAN», «RAID») ablegen. Kontrolle über das Speichersystem bedeutet Kontrolle über beide Datenspeicher und damit ist die Trennung dahin
• Software-Trennung: Auch die Software-Installation bzw. die Updates sollten getrennt erfolgen, damit Angriffe über das Softwareverteilsystem erschwert werden. Wenn dieselbe Software oder dasselbe Betriebssystem zum Einsatz kommen, sollten Updates gestaffelt installiert werden, wenn möglich im Abstand von mehreren Tagen, evt. sogar wenigen Wochen.

Organisatorische Massnahmen

Organisatorisch bedeutet das, dass vollständig separate Personenkreise für die beiden unterschiedlichen Systeme zuständig sein sollten. Wenn das aus Ressourcen- oder Know-How-Gründen nicht möglich ist, sollte zumindest das Administrator-Login auf die Backupsysteme so abgesichert sein, dass die Administrator:innen nicht ohne dedizierte Hilfe einer weiteren Person einloggen können.

Dies kann z.B. eine Vorgesetzte sein, auch wenn diese technisch nicht besonders tief in der Materie drin steckt. Beispielsweise, indem Logins nur über einen Zwischenrechner («Jumphost») oder durch einen zweiten/dritten Faktor möglich ist, der nur dieser Vertrauensperson zugänglich ist. (Sicherheitshalber sollte auch diese Vertrauensperson eine Vertretung haben, um Abwesenheiten und Notfälle abzudecken.)

Da die notwendige Kontentrennung meist bedeutet, dass auf dem Backupserver die Administratorenzugänge als lokale Zugänge ausgelegt sind, muss ein zuverlässiger Prozess etabliert werden, damit bei Personalmutationen (Aufgabenwechsel, Abgänge) diese Änderungen an den Administratorenkonten separat von der Haupt-Kontoverwaltung der Organisation nachgeführt werden.

Technische Massnahmen

Für die technische Umsetzung gibt es verschiedene Möglichkeiten (angelehnt an diesen Aufzählung):

• Nutzung von Offline-Backups, wie z.B. einer externen USB-Festplatte, die nur zum Backup kurz angeschlossen wird (siehe Beschreibung hier). Besser sind natürlich zwei oder mehr Platten in Rotation; damit das Anlegen eines Backups zeitgleich mit dem Angriff nicht auch das letzte verbleibende Backup zerstört.
• Reine Datenübermittlung: Etliche Backuplösungen basieren auf dem Konzept, dass das System, welche die Originaldaten hält, sich auch um die Verwaltung der Backups kümmert, also Dateien anlegen, ändern und auch löschen kann. Wenn die Aufgabenteilung zwischen Quell- und Backupsystem jedoch so aufgebaut ist, dass das Quellsystem nur Daten und keine Steuerbefehle einliefern kann, ist das Problem auch gelöst. Diese reine Datenübermittlung gibt es in zwei Ausprägungen, die auch teilweise überlappen:
  • «Immutable Backup»: Es gibt Angebote von Backupdienstleistern und Cloudprovidern für sogenannt unveränderbaren Speicher. Wenn eine Datei einmal dort gespeichert ist, kann sie nicht auf demselben Weg überschrieben oder gelöscht werden. (Meist gibt es Wege, aber die sind absichtlich aufwändig und nur beschränkt nutzbar. Wenn die Lösung für einen ganz bestimmten Backupdienst vorgesehen ist, dann kann auch eine geeignete automatische Löschung nach der ursprünglich vereinbarten Zeit stattfinden.)
  • Pull Backups: Der Backupserver holt die Backupdaten beim Originalsystem ab.
• Separate Versionierung: Eine Variante des Immutable Backup, häufig eine Zusatzfunktion bei Cloudspeichern, ist die Versionierung beim Speicheranbieter. Daten können zwar vom Kunden geändert/gelöscht werden, aber die vorherige Version wird automatisch weiter aufbewahrt (wie bei einem Time Machine-Backup oder in der NextCloud «Versions» App). Dabei wird sichergestellt, dass vorherige Versionen zwangsweise eine Mindestdauer vorgehalten werden, beispielsweise 30 Tage. Und damit die meisten Cyberangriffe überstehen sollten. Der Unterschied zum Immutable Backup ist, dass diese Lösung mit beliebiger Kundensoftware funktioniert.

Wie auch schon beim Backup selbst ist eine Kombination von verschiedenen Technologien hilfreich, hängt aber immer von den eigenen Bedürfnissen bzw. der vorhandenen Infrastruktur ab.

Reicht das?

Ransomware-resilientes Backup ist das letzte Sicherheitsnetz. Falls es je gebraucht wird, kommt eine riesige Menge stressige und intensive Aufräumarbeiten uvam. auf das IT-Team zu. So gilt es, das Einfallstor der Cyberkriminellen zu identifizieren und zu stopfen, sowie allfällige Hintertüren zu schliessen, die sie eingerichtet haben. Danach können die Systeme bereinigt und neu aufgesetzt werden; eine Aufgabe, die das IT-Team oft seit Jahren nicht mehr gemacht hat. Und natürlich muss alles auch getestet werden und IT-Sicherheitsmassnahmen etabliert werden, damit das zukünftig nicht nochmals passiert.

Aus diesem Grund sollte man zusätzlich zu diesem letzten Sicherheitsnetz unbedingt auch ganz viel vorbeugen, damit das gar nicht erst passiert. Über die Mechanismen und Checklisten dazu habe ich in «Was uns Ransomware zu Datenschutz und Datensicherheit lehrt» geschrieben.

Weitere Lektüre

• Ransomware Resistant Backups with btrbk, Guru Computing, undatiert (2025-07-01?).
  In der ersten Hälfte hat es eine gute Motivation und Aufzählung der Möglichkeiten. Diese war auch Inspiration für meine technische Auflistung. In der zweiten Hälfte wird ein Setup für Linux erklärt.
• Marcel Waldvogel: Was uns Ransomware zu Datenschutz und Datensicherheit lehrt, 2022-12-05.
  Überlegungen und Checklisten, wie man im Small Office/Home Office seine Daten schützt. Kann auch als Start der Überlegungen für eine grössere Organisation dienen.
• Marcel Waldvogel: Wieso wir «Move fast and break things» falsch verstehen — und wie wir Software besser machen können, DNIP, 2024-06-13 (Kurzversion hier).
  Wie man durch Automatisierung und automatische Tests einen grossen Teil des Stresses beim Wiederaufsetzen der Systeme vermeiden kann.