Warum unveränderliche Backups
trotzdem kompromittiert werden können
Warum unveränderliche Backups
trotzdem kompromittiert werden können
Backups werden bei Ransomware-Angriffen häufig kompromittiert. In einigen von DriveSavers bearbeiteten Fällen wurde die betroffene Backup-Lösung als unveränderlich beworben.
Unveränderliche Backups sind eine gängige Verteidigungsmaßnahme gegen Ransomware, oft kombiniert mit einer physischen Trennung dieser Backups vom Netzwerk (Air-Gapping). Unveränderlichkeit garantiert jedoch nicht, dass Daten nach einem Angriff wiederherstellbar sind.
Was ist ein unveränderliches Backup?
Ein unveränderliches Backup ist eine Datenkopie, die während eines festgelegten Aufbewahrungszeitraums nicht geändert oder gelöscht werden kann – selbst nicht von einem Administrator. Dieses Write-Once-Design macht Unveränderlichkeit zu einer gängigen Verteidigungsmaßnahme gegen Ransomware, da Angreifer theoretisch ein Backup, das sie nicht verändern können, auch nicht manipulieren können. Unveränderlichkeit schützt jedoch nur die Daten selbst, nicht aber die Software und die Zugangsdaten, mit denen sie verwaltet werden.
Im Oktober 2025 erreichte die Ransomware Akira das Nakivo-Backup-Repository eines Kunden – eine Plattform, die mit ihrem unveränderlichen Speicher beworben wird. Die Nakivo-Backups wurden gelöscht, während die Daten der virtuellen Maschinen auf dem Volume verschlüsselt wurden.
Das IT-Team des Kunden führte mehrere Tage lang erfolglos Wiederherstellungsprogramme auf dem Volume aus. Zudem kopierte man 15 TB an Produktionsdaten auf denselben Speicherplatz, den die gelöschten Backups zuvor belegt hatten. Dieser Vorgang überschrieb Teile der gelöschten Backup-Daten.
DriveSavers erstellte Images der Laufwerke und rekonstruierte manuell fehlende BTRFS-Mapping-Informationen, um an Backup-Daten zu gelangen, die das Volume bereits freigegeben hatte. Auf dem prioritären Datenbankserver erreichte die Wiederherstellung allein aus dem Backup-Repository 99,4 Prozent. Durch das Zusammenführen der unverschlüsselten Bereiche der produktiven virtuellen Festplatten mit den Backup-Daten stieg die Erfolgsquote auf 99,91 Prozent.
Ohne die 15 TB an überschriebenen Daten wäre es eine vollständige Wiederherstellung gewesen.
Unveränderlichkeit und Air-Gapping werden oft in einem Atemzug genannt, erfüllen jedoch unterschiedliche Aufgaben.
Veeam macht diesen Unterschied klar. Ein Air-Gapped-Backup ist vom Netzwerk isoliert, entweder physisch durch Entfernen des Laufwerks oder Trennen der Anschlüsse, oder digital durch Blockieren des Netzwerkverkehrs zu ihm. Ein unveränderliches Backup kann bis zum Ablauf seiner Aufbewahrungsfrist weder geändert noch gelöscht werden, doch Unveränderlichkeit setzt nicht voraus, dass es offline ist. Es kann weiterhin über das Netzwerk erreichbar sein.
Veeam benennt die jeweilige Schwachstelle klar. Die physische Logistik verlangsamt die Wiederherstellung aus einem Air Gap. Unveränderliche Backups bleiben über das Netzwerk zugänglich, was ein Risiko darstellt, wenn die sie umgebenden Kontrollen schwach sind.
Unveränderlichkeit verhindert, dass ein Backup verändert wird. Ein Air Gap verhindert, dass es erreicht werden kann. Eine kompromittierte Verwaltungsebene kann ein Backup, das sie nicht erreichen kann, nicht beeinflussen.
Stellen Sie Ihrem Anbieter eine Frage: Kann ein Administrator mit vollen Rechten die Unveränderlichkeitseinstellung auf dieser Plattform außer Kraft setzen?
Die Antwort hängt davon ab, wie die Unveränderlichkeit implementiert ist. Bei manchen Systemen können Benutzer mit ausreichenden Rechten den Schutz außer Kraft setzen; bei anderen kann kein Benutzer ihn entfernen, bevor die Aufbewahrungsfrist abgelaufen ist.
Fragen Sie anschließend, wo der Schreibschutz durchgesetzt wird. Unveränderlichkeit, die von der Backup-Anwendung implementiert wird, hängt davon ab, dass diese Anwendung vertrauenswürdig bleibt. Unveränderlichkeit, die auf der Speicherebene durchgesetzt wird – etwa durch Object Lock bei S3-kompatiblem Speicher oder eine Hardware-Appliance mit WORM-Schutz –, ist nicht allein auf die Backup-Anwendung zur Durchsetzung angewiesen.
Sobald Sie verstanden haben, wie Ihre unveränderlichen Backups geschützt sind, ergreifen Sie Maßnahmen, um die Infrastruktur um sie herum zu schützen:
Verwaltungsebene härten
Betreiben Sie die Backup-Konsole mit separaten Zugangsdaten anstelle des Produktionsverzeichnisses, damit eine Kompromittierung der Domäne nicht gleichzeitig die Backups preisgibt. Verlangen Sie eine Multi-Faktor-Authentifizierung für die Konsole.
Administrativen Zugriff einschränken
Beschränken Sie die Anzahl der Konten mit vollen Rechten und überprüfen Sie diesen Zugriff regelmäßig.
Nach administrativen Änderungen erneut testen
Überprüfen Sie die Unveränderlichkeitsrichtlinie jedes Mal, wenn sich der Backup-Administrator ändert, anstatt anzunehmen, dass die übernommene Konfiguration weiterhin wie beabsichtigt funktioniert.
Backup-Infrastruktur als Ziel testen
Angreifer nehmen die Wiederherstellungsfähigkeit ins Visier. Beziehen Sie die Backup-Infrastruktur in Penetrationstests ein, statt sie als außerhalb der Angriffsfläche liegend zu betrachten.
Laut der Befragung von mehr als 900 leitenden IT-, Sicherheits- und Risikoverantwortlichen ergab Veeams Data Trust and Resilience Report 2026, dass 90 Prozent der Organisationen davon überzeugt waren, sich nach einem Cyber-Vorfall wiederherstellen zu können. Unter den Befragten, die tatsächlich einen Ransomware-Vorfall erlebt hatten, konnten nur 28 % alle betroffenen Daten vollständig wiederherstellen. 44 % stellten weniger als drei Viertel davon wieder her, wodurch erhebliche Lücken entstanden.
Gelöscht oder verschlüsselt ist nicht dasselbe wie nicht wiederherstellbar. Wenn DriveSavers einen Ransomware-Datenrettungsauftrag übernimmt, beginnt die Arbeit damit, festzustellen, was auf dem Medium noch vorhanden ist und was daraus rekonstruiert werden kann.
Unsere Ingenieure reparieren die strukturellen Schäden, die eine Verschlüsselung an virtuellen Festplatten, Backup-Dateien und Datenbanken verursacht. Wurde bereits ein Entschlüsselungstool ausgeführt und hat es Dateien beschädigt zurückgelassen, können wir den entstandenen Schaden möglicherweise reparieren. Ist eine virtuelle Festplatte teilweise verschlüsselt, setzt DriveSavers seine Werkzeuge und Verfahren ein, um Daten aus nicht betroffenen Bereichen zu identifizieren und wiederherzustellen. Wir stellen zudem ältere oder nicht betroffene Versionen der Daten wieder her, auch aus Copy-on-Write-Systemen, und durchsuchen alternative Quellen wie Bänder und Cloud-Ressourcen.
Trennen Sie betroffene Geräte so schnell wie möglich vom Netzwerk. Trennen Sie externe Speichermedien und verhindern Sie, dass betroffene Systeme auf verbundenen Cloud-Speicher zugreifen können.
Trennen ist nicht dasselbe wie Herunterfahren. Das Ausschalten eines Geräts kann Beweise löschen, die im flüchtigen Speicher gespeichert sind. Betrachten Sie dies daher als letztes Mittel, wenn eine Trennung nicht möglich ist.
Am wichtigsten ist: Schreiben Sie keine neuen Daten auf einen Speicher, der gelöschte oder beschädigte Backups enthält. Das Wiederherstellen von Daten oder die fortgesetzte Nutzung des betroffenen Speichers kann Daten überschreiben, die andernfalls wiederherstellbar wären.
Schalten Sie freigegebene Netzwerkressourcen aus und deaktivieren Sie den Fernzugriff auf die infizierten Geräte. Bewahren Sie die Lösegeldforderung sowie alle verdächtigen E-Mails oder Anhänge auf. Rufen Sie uns anschließend an, bevor irgendetwas wiederhergestellt oder neu aufgebaut wird.
Auch die Zahlung der geforderten Lösegeldsumme schließt diese Lücke nicht. In Veeams Untersuchung aus dem Jahr 2025 gaben 17 Prozent der Organisationen an, ihre Daten trotz Erfüllung der Forderungen des Angreifers nicht wiedererlangt zu haben.
Entschlüsselungstools können bei großen Dateien wie Datenbanken und Backup-Dateien versagen. Auch eine unvollständige Verschlüsselung kann dazu führen, dass ein Entschlüsselungstool versagt. Wird ein Angriff während der Verschlüsselung unterbrochen, kann eine Datei verändert werden, ohne den vollständig verschlüsselten Zustand zu erreichen, den das Entschlüsselungstool erwartet – wodurch dieses die Datei nicht wiederherstellen kann.
DriveSavers arbeitet häufig mit Kunden zusammen, die zwar ein Entschlüsselungstool erhalten haben, aber dennoch eine Datenrettung benötigen, weil das Entschlüsselungstool ihre Daten nicht wiederherstellen konnte oder Dateien beschädigt zurückgelassen hat.
Abschreckung und Prävention erhalten die größte Aufmerksamkeit, und das zu Recht. Doch Leitlinien zur Reaktion auf Vorfälle behandeln Ransomware-Datenrettungsdienste häufig als letztes Mittel, das man erst mitten in der Krise entdeckt, statt es im Voraus einzuplanen.
Der falsche Zeitpunkt für eine Organisation, mit der Lösungsplanung zu beginnen, ist der, nachdem die Backups bereits ins Visier genommen wurden und die Standard-Wiederherstellungsmethoden gescheitert sind. Bei der Reaktion auf Ransomware ist Zeit entscheidend: Die Feststellung, ob Daten wiederherstellbar sind, kann Stunden oder Tage dauern, während Entscheidungen zur Geschäftskontinuität und zu Lösegeldverhandlungen unter Umständen viel schneller getroffen werden müssen.
Wer auch immer diese Entscheidungen trifft, steht dabei unter Druck, und im Reaktionsplan sollte bereits ein vertrauenswürdiger Datenrettungsdienstleister vorgesehen sein. Wir beobachten, dass Cyberversicherer inzwischen fragen, ob die Daten wiederherstellbar sind, bevor sie überhaupt über eine Lösegeldzahlung verhandeln. Einen Dienstleister im Voraus zu benennen, kann daher den gesamten Wiederherstellungsprozess beschleunigen.
Wenn Ihre Organisation Unterstützung dabei benötigt, einzuschätzen, ob eine Datenrettung nach einem Angriff möglich ist, bieten wir professionelle Ransomware-Datenrettungsdienste an, denen Versicherer und Incident-Response-Unternehmen vertrauen.
Kontaktieren Sie DriveSavers unter 1 (888) 282-2227.
English (United States) 
English (Australia) 
French (France) 
English (UK) 
French (Canada) 
English (Canada) 
Spanish (Mexico) 
German 
Dutch 
Italian 
Finnish 
Polish 
Norwegian 
Swedish 
Danish 
Spanish (Spain) 
Chinese 
Japanese 
German (Austria)