Backup gegen Ransomware schützen: Offline, Offsite und unveränderlich

Ein Backup gegen Ransomware schützen heißt im Kern: Mindestens eine Kopie darf für den infizierten Rechner nicht erreichbar sein. Das gelingt auf drei Wegen — physisch getrennt (offline, „Air-Gap“), an einem zweiten Ort (offsite) oder mit einer Löschsperre versehen (unveränderlich). Alles, was dauerhaft als Laufwerk oder Netzwerkfreigabe eingebunden ist, verschlüsselt die Schadsoftware mit. Der Mindeststandard dafür heißt heute 3-2-1-1-0.

Warum Ransomware zuerst die Sicherungen sucht

Moderne Erpressungssoftware — also Schadsoftware, die Daten verschlüsselt und Lösegeld fordert — verschlüsselt nicht blind drauflos. Sie sucht gezielt nach den Sicherungen, weil ein Opfer mit funktionierendem Backup selten zahlt. Der Veeam Ransomware Trends Report 2025 (1.300 befragte Organisationen) beziffert das deutlich: Bei 89 Prozent der betroffenen Organisationen wurden die Backup-Speicher gezielt angegriffen, im Schnitt wurden 34 Prozent der Backup-Bestände verändert oder gelöscht. Nur 32 Prozent der Befragten nutzten unveränderliche Speicherorte.

Vier Muster machen eine gewöhnliche Sicherung im Ernstfall wertlos:

• Dauerhaft angeschlossene Laufwerke: Die externe USB-Platte hängt rund um die Uhr am Rechner und wird wie jede andere Partition befallen.
• Gelöschte Schattenkopien: Die Windows-Schattenkopien (Volume Shadow Copy Service, kurz VSS — die internen Wiederherstellungsstände) werden von der Schadsoftware aktiv entfernt, klassisch über vssadmin delete shadows /all /quiet mit Administratorrechten.
• Übernommene Zugangsdaten: Hat der Angreifer ein Admin- oder Backup-Konto, stoppt er den Sicherungsdienst und löscht die Bestände regulär — ohne jede Verschlüsselung.
• Eingebundene Freigaben und Sync-Ordner: Gemountete NAS-Freigaben und als Laufwerk verbundene Cloud-Ordner sind für den Rechner normale Pfade — und damit auch für die Ransomware.

Das BSI führt in seinen Top-10-Ransomware-Maßnahmen deshalb ausdrücklich das Offline-Backup: Die Daten müssen in einem Offline-Backup gesichert werden, das nach dem Sicherungsvorgang von den anderen Systemen des Netzes getrennt wird. Die Regel dahinter ist simpel — was der verschlüsselte Rechner erreichen kann, erreicht auch die Ransomware.

3-2-1-1-0: das Fundament in fünf Ziffern

Die 3-2-1-Regel ist der etablierte Mindeststandard für Datensicherung und ein Klassiker in der Fachinformatiker-Prüfung:

• 3 Kopien der Daten insgesamt (das Original plus zwei Sicherungen)
• 2 verschiedene Medientypen (zum Beispiel interne SSD und externe Festplatte, oder NAS und Cloud)
• 1 Kopie außer Haus, also an einem anderen physischen Ort

Gegen Ransomware wird sie zu 3-2-1-1-0 erweitert: eine zusätzliche Kopie offline oder unveränderlich und 0 Fehler, nachgewiesen durch echte Rücksicherungstests. Wer sein Backup gegen Ransomware schützen will, holt sich den Schutz genau aus diesen beiden Zusätzen — der klassische Dreiklang deckt Hardware-Defekt und Brand ab, nicht aber einen Angreifer mit Adminrechten im Netz.

Für Firmen ist das seit Kurzem auch Rechtsthema: Mit dem NIS2-Umsetzungsgesetz, in Kraft seit dem 6. Dezember 2025, verlangt § 30 BSIG von betroffenen Einrichtungen ein dokumentiertes Backup-Management samt Wiederherstellung nach einem Notfall. Ob dein Betrieb darunterfällt, klärt die Geschäftsführung — die technische Umsetzung sieht trotzdem aus wie unten beschrieben.

Offline-Kopie mit Air-Gap anlegen — Schritt für Schritt

Eine Offline-Kopie ist eine Sicherung, die nach dem Schreiben physisch vom Rechner und Netz getrennt wird. Solange das Medium nicht angeschlossen ist, kann keine Schadsoftware es erreichen. Für zu Hause und kleine Büros reicht der Plattenwechsel im Rotationsverfahren:

1. Zwei externe Festplatten oder SSDs mit ausreichend Kapazität besorgen und beschriften (A und B).
2. Platte A anschließen und die Sicherung laufen lassen — vollständig, nicht nur die „wichtigen“ Ordner. Systemabbild plus Nutzerdaten spart im Ernstfall Tage.
3. Die Sicherung verifizieren, sofern deine Backup-Software das anbietet, und das Laufwerk anschließend im Explorer auswerfen.
4. Platte A physisch abziehen und weglegen. Entscheidend ist, dass sie im Normalbetrieb nicht am Rechner steckt — ein ausgeworfenes, aber angestecktes Laufwerk ist kein Air-Gap.
5. Beim nächsten Turnus Platte B verwenden. So gibt es immer ein getrenntes Medium und zwei Stände, falls einer beim Schreiben beschädigt wird.

Verschlüssele die Platten (unter Windows etwa mit BitLocker To Go), bevor sie das Haus verlassen — sonst tauschst du das Ransomware-Risiko gegen ein Diebstahlrisiko. Wer größere Datenmengen sichert, greift zu LTO-Bändern: Magnetband-Kassetten sind nach dem Schreiben ohnehin physisch getrennt, langlebig und günstig pro Terabyte. Für die meisten Einsteiger tut es die rotierende USB-Platte.

Wie kann ich mein Backup gegen Ransomware schützen, wenn es in der Cloud liegt?

Eine Offsite-Kopie schützt zusätzlich gegen Brand, Diebstahl und Wasserschaden — Ereignisse, die alle Medien an einem Ort gleichzeitig treffen. Cloud ist dafür der bequemste Weg, aber nur unter Bedingungen:

• Kein dauerhaft eingebundenes Laufwerk: Ein als Netzlaufwerk gemappter Cloud-Ordner oder ein synchronisierter Sync-Ordner wird mitverschlüsselt. Nutze echte Backup-Software, die per API oder Protokoll schreibt, statt eines Ordners im Explorer.
• Versionierung aktiv halten: Landen verschlüsselte Dateien im Speicher, brauchst du den Stand davor. Microsoft-365-Abonnenten können in OneDrive nach einem Angriff bis zu 30 Tage zurück — die Funktion „Dateien wiederherstellen“ samt Ransomware-Erkennung setzt das gesamte Konto auf einen Zeitpunkt vor dem Vorfall zurück.
• Eigene Zugangsdaten: Das Backup-Konto bekommt ein eigenes Passwort und Zwei-Faktor-Authentifizierung, nicht dieselben Daten wie das Windows- oder Domänenkonto.

Die einfachste Variante ohne Anbieter: eine der Rotationsplatten dauerhaft außer Haus lagern — im Büro, bei Verwandten, im Bankschließfach. Das ist offline und offsite in einem Handgriff, kostet nur Disziplin beim Tauschen.

Unveränderliche Backups: die Sperre, die auch Admins nicht öffnen

Ein unveränderliches (englisch immutable) Backup lässt sich innerhalb einer festgelegten Frist weder ändern noch löschen — auch nicht von einem übernommenen Administratorkonto. Dahinter steckt das WORM-Prinzip (Write Once, Read Many: einmal schreiben, beliebig oft lesen).

• Objektspeicher mit Object Lock: Viele S3-kompatible Dienste sperren Objekte für eine gewählte Aufbewahrungsfrist. Gängige Backup-Programme setzen die Sperre beim Schreiben selbst.
• NAS mit unveränderlichen Snapshots: Synology bietet seit DSM 7.2 lizenzfrei WriteOnce-Ordner und unveränderliche Snapshots; welche Modelle das können, listet der Hersteller im Knowledge Center. Andere Anbieter führen die Funktion unter Namen wie „gesperrte Snapshots“.
• Frist realistisch wählen: Die Sperre muss länger halten, als ein Angriff unentdeckt bleibt. Zwei Wochen sind ein brauchbarer Startwert, 30 Tage sind sicherer.

Kalkuliere vorher den Speicherbedarf: Gesperrte Stände lassen sich bis zum Fristende nicht aufräumen, auch nicht von dir. Wer die Frist zu großzügig setzt und knapp dimensioniert, steht nach ein paar Wochen vor einem vollen Volume.

Wenn die Sicherung bereits verschlüsselt ist

Ist der Ernstfall schon eingetreten, gilt zuerst: betroffene Systeme vom Netz trennen, aber nicht sofort platt machen — die Datenträger sind Beweismittel und manchmal die einzige Datenquelle. Danach der Reihe nach prüfen:

• Schattenkopien: In einer Eingabeaufforderung mit Administratorrechten zeigt vssadmin list shadows, ob noch Stände vorhanden sind. Meist hat die Schadsoftware sie gelöscht — der Blick kostet aber eine Minute.
• Cloud-Versionen: Über die Weboberfläche des Anbieters, nicht über den Sync-Client. Der Papierkorb der Dienste hält gelöschte Dateien oft weitere Wochen vor.
• Entschlüsselungswerkzeuge: Für einige Ransomware-Familien gibt es kostenlose Decryptor, gesammelt beim europäischen Projekt No More Ransom. Bewahre die verschlüsselten Dateien auf — Werkzeuge erscheinen manchmal Monate später.
• Zahlen bleibt die schlechteste Option: Laut dem oben genannten Report bekamen 17 Prozent der Zahlenden ihre Daten trotzdem nicht zurück, und 69 Prozent wurden erneut angegriffen.

Die 0 in 3-2-1-1-0: der Rücksicherungstest

Ein Backup, das nie zurückgespielt wurde, ist eine Vermutung. Plane den Test so ein, dass er nicht am guten Willen hängt:

1. Vierteljährlich einzelne Dateien aus der ältesten vorhandenen Sicherung zurückholen und öffnen — nicht nur die Dateiliste ansehen.
2. Einmal im Jahr eine vollständige Wiederherstellung auf Ersatz-Hardware oder in eine virtuelle Maschine üben und die Dauer mitschreiben. Diese Zahl ist deine reale Ausfallzeit.
3. Prüfen, ob BitLocker-Wiederherstellungsschlüssel, Passwörter und Lizenzschlüssel außerhalb des verschlüsselten Systems liegen — sonst nützt die beste Kopie wenig.

Hintergrund: Erreichbarkeit ist die entscheidende Größe

Ransomware kann nur angreifen, was der infizierte Rechner technisch erreicht: lokale Platten, Netzfreigaben, eingebundene Cloud-Laufwerke, im schlimmsten Fall über gestohlene Zugangsdaten auch den Backup-Server. Wer sein Backup gegen Ransomware schützen möchte, nimmt einer Kopie genau diese Erreichbarkeit — über die Zeitachse, den Ort oder die Berechtigung.

Offline löst es über die Zeit: Das Medium hängt nur während des kurzen Sicherungslaufs am System. Offsite löst es über den Ort: Ein zweiter Standort ist von einem lokalen Vorfall nicht betroffen. Unveränderlichkeit löst es über die Berechtigung: Selbst mit vollem Zugriff lässt sich die gesperrte Kopie nicht anfassen. Kombiniert bleibt nach einem Angriff immer ein sauberer Stand übrig — und der ist der Unterschied zwischen einem verlorenen Wochenende und einem verlorenen Unternehmen.

Häufige Fragen

Schützt eine externe Festplatte vor Ransomware?

Nur, wenn sie nach der Sicherung physisch abgezogen wird. Eine dauerhaft angeschlossene Platte wird wie jedes andere Laufwerk mitverschlüsselt. Erst der Air-Gap macht sie zum sicheren Offline-Backup.

Was bedeutet die 3-2-1-1-0-Regel?

Drei Kopien der Daten auf zwei Medientypen, eine davon außer Haus, eine zusätzlich offline oder unveränderlich und null Fehler im Rücksicherungstest. Die beiden letzten Ziffern sind der Ransomware-Schutz.

Ist ein Cloud-Backup sicher gegen Ransomware?

Nur, wenn es nicht als Laufwerk oder Sync-Ordner eingebunden ist. Sicher wird es durch Versionierung, ein eigenes Backup-Konto mit Zwei-Faktor-Anmeldung und Object Lock, der Dateien für eine Frist sperrt.

Was ist ein unveränderliches (immutable) Backup?

Eine Sicherung, die innerhalb einer festen Frist nicht geändert oder gelöscht werden kann – auch nicht von einem übernommenen Admin-Konto. Umgesetzt über WORM-Speicher, Object Lock oder gesperrte NAS-Snapshots.

Wie oft sollte ich das Backup testen?

Vierteljährlich einzelne Dateien zurückholen und öffnen, einmal im Jahr eine vollständige Wiederherstellung üben und die Dauer notieren. Diese Zeit ist deine reale Ausfallzeit im Ernstfall.