Blog · IT-Sicherheit
Ransomware und Backup: So schützen Sie Ihre Daten vor Erpressung
Ein Montagmorgen, und nichts geht mehr: Dateien verschlüsselt, Server gesperrt, auf dem Bildschirm eine Lösegeldforderung. Ransomware gehört zu den größten Bedrohungen für kleine und mittlere Unternehmen. Ob aus dem Angriff eine Katastrophe wird oder ein ärgerlicher Tag, entscheidet vor allem eines: ein Backup, das den Angriff überlebt.
Das Wichtigste in Kürze
- Angreifer suchen gezielt nach Backups und löschen oder verschlüsseln sie mit.
- Die 3-2-1-1-0-Regel: drei Kopien, zwei Medien, eine extern, eine unveränderbar, null Fehler beim Test.
- Microsoft 365 ersetzt kein Backup – E-Mails, OneDrive und SharePoint brauchen eine eigene Sicherung.
- Ein Backup ist erst etwas wert, wenn die Wiederherstellung getestet ist.
- Im Ernstfall: Systeme vom Netz trennen, nicht ausschalten, Hilfe holen und Vorfall melden.
Grundlagen
Wie ein Ransomware-Angriff abläuft
Ransomware ist Schadsoftware, die Daten verschlüsselt und nur gegen Lösegeld wieder freigeben soll. Moderne Angriffe laufen selten spontan ab, sondern in Phasen:
- Einstieg: über eine Phishing-Mail, gestohlene Zugangsdaten ohne Mehr-Faktor-Anmeldung, eine ungepatchte VPN- oder Firewall-Lücke oder einen offenen Fernzugang.
- Ausbreitung: Die Angreifer verschaffen sich Administratorrechte und erkunden das Netzwerk – oft über Tage oder Wochen.
- Backups ausschalten: Sie suchen gezielt nach Sicherungen, um sie zu löschen oder mitzuverschlüsseln.
- Datendiebstahl: Vertrauliche Daten werden abgezogen, um zusätzlich mit einer Veröffentlichung zu drohen („doppelte Erpressung“).
- Verschlüsselung: Erst ganz am Ende werden die Systeme verschlüsselt – meist nachts oder am Wochenende.
Die wichtigste Erkenntnis: Ein Backup, das Angreifer mit den erbeuteten Admin-Rechten erreichen können, ist im Ernstfall kein Backup. Mindestens eine Kopie muss außer Reichweite liegen.
Vorbeugen
Den Angriff erschweren
Die meisten Ransomware-Angriffe nutzen bekannte, vermeidbare Schwächen. Diese Maßnahmen schließen die häufigsten Einstiegswege:
- Mehr-Faktor-Anmeldung für E-Mail, VPN, Fernzugänge und alle Admin-Konten.
- Patch-Management: Updates zügig einspielen, besonders für Firewalls, VPN und alles, was aus dem Internet erreichbar ist.
- Moderner Endpoint-Schutz (EDR), der verdächtiges Verhalten erkennt und zentral überwacht wird.
- Getrennte Admin-Konten und so wenige Administratorrechte wie möglich.
- Netzwerk trennen: Server, Arbeitsplätze, Gäste und Produktion in eigene Bereiche.
- Mitarbeitende schulen: gefälschte Mails und Login-Seiten erkennen und verdächtige Ereignisse sofort melden.
Ausführlicher stellen wir diese Hebel in unserem Ratgeber IT-Sicherheit für KMU vor.
Backup
Die 3-2-1-1-0-Regel
Die bekannte 3-2-1-Regel wurde wegen Ransomware um zwei Punkte erweitert:
| Ziffer | Bedeutung | In der Praxis |
|---|---|---|
| 3 | Drei Kopien Ihrer Daten | Original plus zwei Sicherungen |
| 2 | Auf zwei verschiedenen Medien | Zum Beispiel NAS im Haus und Cloud-Speicher |
| 1 | Eine Kopie außer Haus | Rechenzentrum oder Cloud – schützt auch vor Brand und Wasser |
| 1 | Eine Kopie unveränderbar oder offline | Immutable Storage oder getrenntes Medium, das Angreifer nicht löschen können |
| 0 | Null Fehler bei der Prüfung | Backups werden überwacht und regelmäßig testweise wiederhergestellt |
Unveränderbare Backups
Unveränderbar (immutable) heißt: Eine Sicherung kann für einen festgelegten Zeitraum von niemandem gelöscht oder überschrieben werden – auch nicht mit Administratorrechten. Viele Backup-Lösungen und Cloud-Speicher bieten das heute an. Für kleinere Umgebungen ist auch ein Wechselmedium, das nach der Sicherung getrennt wird, eine praktikable Lösung, wenn der Wechsel zuverlässig passiert.
Wichtig: Backup-Zugänge getrennt halten
Die Backup-Verwaltung sollte eigene Zugangsdaten mit Mehr-Faktor-Anmeldung haben und nicht am normalen Firmenkonto oder an der Windows-Domäne hängen. Sonst haben Angreifer mit dem Domänen-Admin auch Ihr Backup.
Backup für Microsoft 365 und Cloud-Dienste
Ein weit verbreiteter Irrtum: „Unsere Daten liegen bei Microsoft, die sind gesichert.“ Microsoft betreibt die Plattform zuverlässig, ist aber nicht für die langfristige Wiederherstellung Ihrer Daten nach versehentlichem Löschen, einem kompromittierten Konto oder einer Verschlüsselung über synchronisierte Ordner zuständig. Papierkorb und Versionsverlauf haben begrenzte Aufbewahrungszeiten.
Wir sichern E-Mails, OneDrive, SharePoint, Teams, Kontakte und Kalender deshalb mit Keepit – unabhängig von Microsoft, unveränderbar gespeichert und mit einfacher Wiederherstellung einzelner Dateien oder ganzer Postfächer. Mehr dazu auf unserer Seite zu Microsoft 365. Gleiches gilt für andere Cloud-Dienste: Prüfen Sie für jedes wichtige System, wer es sichert und wie lange.
Planung
RTO und RPO: zwei Fragen, die Ihr Backup bestimmen
Hinter den Abkürzungen stecken zwei einfache Fragen, die nur die Geschäftsleitung beantworten kann:
- RPO (Recovery Point Objective): Wie viel Datenverlust können wir verkraften? Wird einmal pro Nacht gesichert, gehen im schlimmsten Fall die Daten eines Arbeitstages verloren. Reicht das nicht, müssen Sie häufiger sichern.
- RTO (Recovery Time Objective): Wie lange dürfen wir stillstehen? Ein paar Stunden, einen Tag, eine Woche? Davon hängt ab, wie schnell Ihre Wiederherstellung sein muss – und ob etwa Ersatzhardware oder eine Wiederherstellung in der Cloud vorbereitet sein sollte.
Beantworten Sie die Fragen für Ihre wichtigsten Systeme einzeln: Warenwirtschaft und E-Mail haben oft andere Anforderungen als das Archiv. Daraus ergibt sich, in welcher Reihenfolge Sie im Ernstfall wiederherstellen.
Die Wiederherstellung testen
Viele Unternehmen merken erst im Ernstfall, dass ein Backup unvollständig ist, seit Wochen fehlschlägt oder die Wiederherstellung Tage dauert. Planen Sie deshalb feste Tests:
- Monatlich: Backup-Berichte prüfen und einzelne Dateien oder Postfächer testweise zurückholen.
- Jährlich: Ein wichtiges System vollständig wiederherstellen und die Zeit messen – passt sie zu Ihrem RTO?
- Dokumentieren: Ergebnis, Dauer und Probleme festhalten. Das ist auch ein Nachweis für Versicherung, Kunden und – falls betroffen – NIS2.
Ernstfall
Was tun bei einem Ransomware-Angriff?
- Trennen, nicht ausschalten: Betroffene Geräte vom Netzwerk trennen (Kabel ziehen, WLAN aus), aber eingeschaltet lassen – so bleiben Spuren für die Analyse erhalten.
- Hilfe holen: IT-Dienstleister oder Incident-Response-Team informieren. Haben Sie eine Cyber-Versicherung, melden Sie den Schaden sofort – viele Versicherer stellen eigene Notfallteams.
- Nicht voreilig handeln: Keine Systeme neu aufsetzen und keine Backups zurückspielen, bevor klar ist, wie die Angreifer hereingekommen sind – sonst stehen sie morgen wieder da.
- Melden: Anzeige bei der Zentralen Ansprechstelle Cybercrime (ZAC) des Landeskriminalamts. Sind personenbezogene Daten betroffen, innerhalb von 72 Stunden an die Datenschutzaufsicht. NIS2-Einrichtungen melden zusätzlich an das BSI.
- Kommunizieren: Mitarbeitende, Kunden und Partner über einen sicheren Weg informieren – nicht über ein möglicherweise kompromittiertes E-Mail-System.
- Sauber wiederherstellen: Systeme neu aufbauen, Zugangsdaten zurücksetzen und Daten aus einem Backup vor dem Angriffszeitpunkt einspielen.
Polizei und BSI raten davon ab, Lösegeld zu zahlen: Es gibt keine Garantie, dass die Daten wieder freigegeben oder gestohlene Daten gelöscht werden, und die Zahlung finanziert die nächsten Angriffe. Die wichtigsten Kontakte für den Ernstfall halten Sie am besten auf unserer IT-Notfallkarte fest – ausgedruckt, nicht nur digital.
Checkliste
Ist Ihr Backup ransomware-fest?
- Gibt es mindestens eine Kopie außer Haus und eine unveränderbare oder offline gelagerte Kopie?
- Sind Microsoft 365 und andere Cloud-Dienste gesondert gesichert?
- Hat die Backup-Verwaltung eigene Zugangsdaten mit Mehr-Faktor-Anmeldung?
- Werden fehlgeschlagene Sicherungen automatisch gemeldet – und liest jemand die Meldungen?
- Wurde in den letzten zwölf Monaten eine vollständige Wiederherstellung getestet?
- Sind RPO und RTO für die wichtigsten Systeme festgelegt?
- Liegt ein Notfallplan mit Kontakten auch auf Papier vor?
Unser Fazit: Ransomware lässt sich nie ganz ausschließen – ein Totalschaden schon. Mit erschwertem Einstieg, einem unveränderbaren Backup außer Reichweite und einer geübten Wiederherstellung wird aus der Erpressung ein beherrschbarer Vorfall.
Häufige Fragen zu Ransomware und Backup
Reicht ein NAS als Backup?
Ein NAS im eigenen Netzwerk ist ein guter erster Speicherort, aber allein nicht ausreichend: Es kann bei einem Angriff mitverschlüsselt werden und schützt nicht vor Brand oder Diebstahl. Ergänzen Sie es um eine Kopie außer Haus, die unveränderbar oder getrennt gespeichert ist.
Sind Dateien in OneDrive oder Dropbox schon ein Backup?
Nein. Synchronisierung ist kein Backup: Werden Dateien auf dem Rechner verschlüsselt oder gelöscht, wird diese Änderung in die Cloud übertragen. Versionsverlauf und Papierkorb helfen begrenzt, ersetzen aber keine unabhängige Sicherung.
Wie oft sollten wir sichern?
Das hängt davon ab, wie viel Datenverlust Sie verkraften können (RPO). Für die meisten KMU ist eine tägliche Sicherung das Minimum; für wichtige Systeme wie Warenwirtschaft oder Datenbanken können mehrere Sicherungen am Tag sinnvoll sein.
Sollten wir das Lösegeld zahlen?
Polizei und BSI raten davon ab. Es gibt keine Garantie, dass Sie Ihre Daten zurückbekommen oder gestohlene Daten gelöscht werden, und Sie bleiben ein lohnendes Ziel. Die beste Verhandlungsposition ist ein funktionierendes Backup.
Zahlt die Cyber-Versicherung bei Ransomware?
Viele Policen decken Wiederherstellung, Betriebsunterbrechung und Notfallhilfe ab. Voraussetzung ist meist, dass vereinbarte Mindestmaßnahmen wie Backup und Mehr-Faktor-Anmeldung tatsächlich umgesetzt waren. Prüfen Sie die Bedingungen genau – mehr dazu in unserem Ratgeber zur Cyber-Versicherung.
Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine individuelle Beratung. Stand: Oktober 2026.
Kostenlos vorab prüfen
Für den Ernstfall vorbereitet sein – kostenlos und ohne Anmeldung.