Ransomware verschlüsselt heute gezielt auch deine Backups, sobald sie über das Netzwerk erreichbar sind. Wirklich sicher bist du erst, wenn mindestens eine Kopie offline (physisch vom Netz getrennt, sogenanntes „Air-Gap“) und eine offsite (an einem zweiten Ort) liegt. Die Faustregel dafür heißt 3-2-1: drei Kopien, auf zwei verschiedenen Medientypen, eine davon außer Haus — und eine zusätzlich offline oder unveränderlich. Genau diese getrennte Kopie übersteht den Angriff.
Warum ein normales Backup Ransomware nicht aufhält
Viele meinen, mit einer angeschlossenen externen Platte oder einem Netzwerklaufwerk seien sie geschützt. Das Problem: Moderne Ransomware — also Erpressungssoftware, die Daten verschlüsselt und Lösegeld fordert — sucht nach genau diesen Zielen. Sie durchsucht erreichbare Laufwerke, gemountete Netzwerkfreigaben (NAS) und Cloud-Sync-Ordner und verschlüsselt sie gleich mit.
Typisch sind drei Angriffsmuster, die ein einfaches Backup wertlos machen:
- Mitverschlüsselte Laufwerke: Die externe USB-Platte hängt dauerhaft am Rechner — sie wird wie jede andere Partition befallen.
- Gelöschte Schattenkopien: Die Windows-Schattenkopien (Volume Shadow Copy, die internen Wiederherstellungspunkte) werden von der Schadsoftware aktiv entfernt.
- Kompromittierte Zugangsdaten: Hat der Angreifer Admin- oder Backup-Konten übernommen, löscht oder überschreibt er auch Sicherungen, die online erreichbar sind.
Die Konsequenz ist simpel: Eine Kopie, die der verschlüsselte Rechner erreichen kann, kann auch die Ransomware erreichen.
Anzeige
Die 3-2-1-Regel als Fundament
Die 3-2-1-Regel ist der seit Jahren etablierte Mindeststandard für Datensicherung und ein Klassiker in der Fachinformatiker-Ausbildung. Sie lautet:
- 3 Kopien deiner Daten insgesamt (das Original plus zwei Sicherungen)
- 2 verschiedene Speichermedien oder -typen (z. B. interne SSD und externe Festplatte, oder NAS und Cloud)
- 1 Kopie außer Haus (offsite), also an einem anderen physischen Ort
Gegen Ransomware wird die Regel inzwischen oft zu 3-2-1-1-0 erweitert: eine zusätzliche Kopie offline oder unveränderlich und 0 Fehler, nachgewiesen durch regelmäßige Wiederherstellungstests. Die beiden Zusätze sind genau die Punkte, an denen klassische Backups bei einem Angriff scheitern.
Offline-Kopie (Air-Gap) anlegen — Schritt für Schritt
Eine Offline-Kopie ist eine Sicherung, die nach dem Schreiben physisch vom Rechner und Netzwerk getrennt wird. Solange das Medium nicht angeschlossen ist, kann keine Schadsoftware es erreichen. Für den Heim- oder kleinen Firmeneinsatz reicht eine externe Festplatte im Rotationsverfahren:
- Besorge dir mindestens zwei externe Festplatten (oder zwei SSDs) mit ausreichend Kapazität.
- Schließe Platte A an, sichere deine Daten vollständig darauf — manuell oder mit einer Backup-Software, die nach dem Lauf automatisch aushängt.
- Trenne Platte A danach physisch und lege sie weg. Nur das Auswerfen reicht; entscheidend ist, dass sie im Normalbetrieb nicht angeschlossen ist.
- Beim nächsten Sicherungslauf nutzt du Platte B. So existiert immer ein getrenntes Medium, und du hast zwei Stände, falls einer beim Schreiben beschädigt wird.
Wer mehr Daten sichert, greift zu LTO-Bändern (Magnetband-Kassetten, im Profi-Umfeld der Standard für Air-Gap): Sie sind nach dem Schreiben physisch getrennt, langlebig und günstig pro Gigabyte. Für die meisten Einsteiger ist die rotierende USB-Platte aber völlig ausreichend.
Offsite-Kopie anlegen — eine Kopie außer Haus
Die Offsite-Kopie schützt nicht nur gegen Ransomware, sondern auch gegen Brand, Diebstahl und Wasserschaden — Dinge, die alle Medien an einem Ort gleichzeitig treffen. Drei praktikable Wege:
- Rotierende Platte außer Haus: Eine der Offline-Platten lagerst du an einem anderen Ort — im Büro, bei Verwandten, in einem Bankschließfach. Das ist Offline und Offsite in einem.
- Cloud-Backup: Ein verschlüsseltes Online-Backup bei einem Anbieter. Wichtig: Es zählt nur dann gegen Ransomware, wenn es nicht als dauerhaft beschreibbares Laufwerk eingebunden ist. Reine Sync-Ordner wie ein gemapptes Cloud-Verzeichnis können mitverschlüsselt werden.
- Versionierung nutzen: Viele Backup-Dienste behalten ältere Versionen. Selbst wenn verschlüsselte Dateien hochgeladen werden, kannst du auf einen Stand vor dem Angriff zurückgehen.
Unveränderliche Backups: die zusätzliche Sperre
Ein unveränderliches (engl. immutable) Backup lässt sich innerhalb einer festgelegten Aufbewahrungsfrist nicht mehr ändern oder löschen — auch nicht von einem übernommenen Admin-Konto. Technisch steckt dahinter ein WORM-Prinzip (Write Once, Read Many: einmal schreiben, beliebig oft lesen) oder bei Cloud-Speicher die Funktion „Object Lock“.
Praktisch heißt das: Selbst wenn der Angreifer im Netzwerk ist und Zugangsdaten hat, kann er die gesperrte Kopie nicht antasten. Object Lock bieten viele Objektspeicher-Dienste an; bei lokalen NAS-Systemen findest du die Funktion teils unter „unveränderliche Snapshots“. Prüfe vor dem Einrichten in der Doku deines konkreten Geräts oder Dienstes, ob und wie die Sperre verfügbar ist — die Bezeichnungen unterscheiden sich je nach Hersteller.
Häufige Fragen
Schützt eine externe Festplatte vor Ransomware?
Nur, wenn sie nach der Sicherung physisch getrennt wird. Eine dauerhaft angeschlossene Platte wird wie jedes andere Laufwerk mitverschlüsselt. Erst das Abziehen (Air-Gap) macht sie zu einem sicheren Offline-Backup.
Was bedeutet die 3-2-1-Regel?
Drei Kopien deiner Daten, gespeichert auf zwei verschiedenen Medientypen, davon eine Kopie außer Haus (offsite). Gegen Ransomware wird sie zu 3-2-1-1-0 erweitert: zusätzlich eine offline oder unveränderliche Kopie und null Fehler im Wiederherstellungstest.
Ist ein Cloud-Backup sicher gegen Ransomware?
Nur bedingt. Ein als Laufwerk eingebundener Cloud-Sync-Ordner kann mitverschlüsselt werden. Sicher wird es durch Versionierung (Zugriff auf ältere Stände) oder Object Lock, das Dateien für eine Frist unveränderlich macht.
Was ist ein unveränderliches (immutable) Backup?
Eine Sicherung, die innerhalb einer festen Aufbewahrungsfrist nicht geändert oder gelöscht werden kann, auch nicht von einem übernommenen Admin-Konto. Technisch über WORM-Speicher oder die Object-Lock-Funktion vieler Cloud-Dienste umgesetzt.
Wie oft sollte ich mein Backup testen?
Regelmäßig, mindestens nach jeder größeren Änderung der Strategie. Stelle dabei stichprobenartig echte Dateien zurück. Ein beschädigtes Backup bemerkst du sonst erst im Ernstfall, wenn es zu spät ist.
Hintergrund: Warum gerade Offline und Offsite so wichtig sind
Der Kern jeder Ransomware-Abwehr ist Erreichbarkeit. Verschlüsselungssoftware kann nur das angreifen, was der infizierte Rechner technisch erreicht — lokale Platten, Netzfreigaben, eingebundene Cloud-Laufwerke. Eine Kopie, die im Moment des Angriffs nicht erreichbar ist, fällt aus dem Wirkungsbereich heraus.
Offline löst das über die Zeitachse: Das Medium ist nur während des kurzen Sicherungslaufs verbunden. Offsite löst es über den Ort: Ein zweiter Standort ist von einem lokalen Vorfall nicht betroffen. Unveränderlichkeit löst es über die Berechtigung: Selbst mit vollem Zugriff lässt sich die Kopie nicht löschen. Kombinierst du die drei, bleibt nach einem Angriff immer ein sauberer Stand übrig, von dem du wiederherstellen kannst — und genau das ist das Ziel.
