Best Practices für Backup-Aufbewahrungsrichtlinien: Ein vollständiger Leitfaden

Best Practices für Backup-Aufbewahrungsrichtlinien zum Schutz vor Ransomware. Behandelt unveränderlichen Speicher, isolierte Backups, 3-2-1-1-0-Framework und HIPAA/GDPR-Compliance.

Was ist Backup-Aufbewahrung?

Backup-Aufbewahrung ist die Praxis, Kopien kritischer Daten für definierte Zeiträume vorzuhalten, gesteuert durch regulatorische, rechtliche und cybersicherheitsbezogene Anforderungen. Sie legt fest, wie lange Wiederherstellungspunkte aufbewahrt werden, wo sie gespeichert werden und wie sie vor Angriffen geschützt werden, die Ihre Produktionsumgebung kompromittieren könnten.

Die Risiken sind real. Beim Ransomware-Vorfall von MGM Resorts im Jahr 2023 gab das Unternehmen in einer SEC-Meldung einen Einfluss von etwa 100 Millionen US-Dollar auf das bereinigte EBITDA bekannt. Wenn Angreifer Ihre Backups erreichen oder kompromittieren, geht die geschäftliche Auswirkung über IT-Ausfallzeiten hinaus und wird zu einem unternehmensweiten finanziellen Ereignis.

Viele Unternehmen behandeln die Backup-Aufbewahrung immer noch als reines Speicherlogistik-Problem. Der Unterschied zwischen Organisationen, die sich erholen, und denen, die Lösegeld zahlen, liegt darin, wie sie ihre Backup-Aufbewahrungsrichtlinien entwerfen, implementieren und durchsetzen.

Der CISA #StopRansomware Guide bezeichnet die Backup-Aufbewahrung als bereichsübergreifendes Cybersecurity Performance Goal 2.R: Offline, verschlüsselte Backups kritischer Daten vorhalten und deren Verfügbarkeit und Integrität regelmäßig testen. Dies ist ein bundesweiter Cybersecurity-Standard.

Ransomware-Gruppen nehmen Backup-Infrastrukturen inzwischen als primäres Ziel ins Visier. Ihre Backup-Aufbewahrungsrichtlinie ist der Bauplan, der bestimmt, ob diese Backups überleben.

Wie sich die Backup-Aufbewahrungsrichtlinie auf die Cybersicherheit auswirkt

Die Backup-Aufbewahrungsrichtlinie ist eine Schutzmaßnahme. Das NIST Cybersecurity Framework 2.0 kodifiziert dies unter Unterkategorie PR.DS-11 und verlangt, dass Backups erstellt, geschützt, gepflegt und getestet werden. Damit ist die Backup-Aufbewahrung Teil Ihrer Schutzarchitektur neben Endpoint-Schutz, Zugriffsmanagement und Netzwerksegmentierung.

Die Relevanz für die Cybersicherheit wird deutlich, wenn man das Verhalten von Angreifern betrachtet. Laut NIST SP 800-209 können Angreifer den Backup-Prozess selbst stören und zukünftige Kopien schrittweise vergiften, bis nur noch kompromittierte Backups verfügbar sind. Die Aufbewahrungsdauer bestimmt direkt, ob Sie einen sauberen Wiederherstellungspunkt vor dem Angriff erhalten.

Während des Colonial Pipeline Ransomware-Vorfalls 2021 beschrieb das US-Justizministerium eine Lösegeldzahlung von 4,4 Millionen US-Dollar in seiner DOJ-Mitteilung. Backup-Aufbewahrung allein stoppt keine Ransomware, aber sie entscheidet, ob Sie wiederherstellen und fortfahren können, ohne zu verhandeln.

Ihre Backup-Aufbewahrungsrichtlinie definiert, wie weit Sie zurücksetzen können, wie schnell Sie sich erholen und ob Angreifer Ihre Fähigkeit, eine Lösegeldforderung abzulehnen, eliminieren können.

Wie Backup-Aufbewahrungsrichtlinien funktionieren

Eine Backup-Aufbewahrungsrichtlinie steuert den Lebenszyklus jeder Backup-Kopie, die Ihre Organisation erstellt. Sie legt Erstellungsfrequenz, Speicherorte, Schutzmechanismen, Aufbewahrungsdauer und Löschverfahren für jede Datenklassifizierungsstufe fest.

Das 3-2-1-1-0-Framework

Der Branchenstandard hat sich von der 3-2-1-Regel zum 3-2-1-1-0-Framework weiterentwickelt, um aktuellen Ransomware-Taktiken zu begegnen.

Das Framework fordert:

• 3 Backup-Kopien zusätzlich zu den Produktionsdaten
• 2 verschiedene Medientypen zum Schutz vor unterschiedlichen Gefahrenklassen
• 1 Kopie extern gespeichert für geografische Trennung
• 1 unveränderliche oder isolierte Kopie sowie 0 Fehler bei der Backup-Überprüfung

Die Einhaltung all dieser Anforderungen verringert die Wahrscheinlichkeit, dass ein einzelner Vorfall alle Wiederherstellungsoptionen zerstört.

Aufbewahrungsstufen und -dauer

Ihre Backup-Aufbewahrungsrichtlinie sollte Aufbewahrungsfristen basierend auf Datenklassifizierung, regulatorischen Anforderungen und Wiederherstellungszielen definieren. Laut Gartner Peer Community unterscheiden Unternehmen typischerweise zwischen Backup-Kopien für die Notfallwiederherstellung (30 bis 90 Tage) und archivierten Daten für Compliance (gesteuert durch branchenspezifische Vorgaben).

Zwei zeitbasierte Ziele bestimmen jede Aufbewahrungsentscheidung:

1. Recovery Point Objective (RPO): Das maximal akzeptable Datenalter für die Wiederherstellung. Ein RPO von vier Stunden bedeutet, dass Sie nicht mehr als vier Stunden an Daten verlieren dürfen.
2. Recovery Time Objective (RTO): Die maximal akzeptable Ausfallzeit. Dies bestimmt, wie schnell Ihre Aufbewahrungsinfrastruktur nutzbare Wiederherstellungspunkte liefern muss.

Gemeinsam bestimmen RPO und RTO, wie häufig Sie Backups erstellen und wie schnell Ihre Aufbewahrungsinfrastruktur diese im Ernstfall bereitstellen muss.

Unveränderlichkeit und Zugriffskontrollen

Unveränderliche Backups nutzen WORM-Technologie (Write Once Read Many), um Änderungen oder Löschungen zu verhindern – selbst durch Administratoren mit vollen Rechten. NIST SP 1800-25 legt fest, dass Backup-Systeme den Zugriff auf ein einzelnes Servicekonto auf bekannten Maschinen beschränken und rollenbasierte Zugriffskontrolle, MFA sowie getrennte Authentifizierungsframeworks vom Produktivsystem erzwingen sollten.

Diese Mechanismen bilden die Grundlage, aber die Strukturierung Ihrer Backups bestimmt, wie wirksam Ihre Aufbewahrungsrichtlinie jede Datenstufe schützt.

Backup-Typen und Aufbewahrungsstrategien

Ihre Backup-Aufbewahrungsrichtlinie muss die verschiedenen Backup-Methoden berücksichtigen, die Ihre Organisation verwendet. Jeder Typ erzeugt eine andere Wiederherstellungskette mit unterschiedlichen Speicher-, Geschwindigkeits- und Risikoprofilen.

• Voll-Backups: Ein Voll-Backup kopiert alle ausgewählten Daten in einem einzigen Vorgang. NIST SP 800-34 empfiehlt, dass Richtlinien die Backup-Frequenz basierend auf Datenkritikalität und Änderungsrate festlegen. Voll-Backups lassen sich am schnellsten wiederherstellen, da nur ein Backup-Satz benötigt wird, verbrauchen aber am meisten Speicher und dauern am längsten.
• Inkrementelle Backups: Ein inkrementelles Backup erfasst nur die Daten, die sich seit dem letzten Backup jeglicher Art geändert haben. Jedes Inkrement ist klein und schnell, aber für die Wiederherstellung werden das letzte Voll-Backup und alle nachfolgenden Inkremente benötigt. Ist ein Glied dieser Kette beschädigt, gehen alle nachfolgenden Wiederherstellungspunkte verloren.
• Differenzielle Backups: Ein differenzielles Backup erfasst alle Änderungen seit dem letzten Voll-Backup, unabhängig davon, wie viele differenzielle Backups seitdem durchgeführt wurden. Differenzielle Backups werden täglich größer, lassen sich aber schneller wiederherstellen als inkrementelle, da nur zwei Backup-Sätze benötigt werden: das letzte Voll-Backup und das aktuellste differenzielle Backup.
• Kombination der Methoden mit GFS-Rotation: Die meisten Unternehmen kombinieren diese Methoden mit einer Grandfather-Father-Son (GFS)-Rotation: Wöchentliche Voll-Backups werden monatelang aufbewahrt, tägliche differenzielle oder inkrementelle Backups für Wochen und monatliche oder jährliche Archivkopien für Compliance-Zwecke. Ihr Aufbewahrungsplan sollte für jede Stufe unterschiedliche Fristen festlegen. Beispielsweise könnten tägliche Inkremente nach 14 Tagen ablaufen, wöchentliche Voll-Backups nach 90 Tagen und monatliche Archivkopien je nach regulatorischen Anforderungen nach einem bis sieben Jahren.

Der gewählte Backup-Typ beeinflusst auch Ihr RPO. Stündliche Inkremente ermöglichen ein engeres RPO als tägliche differenzielle Backups, erzeugen aber längere Wiederherstellungsketten und erhöhen Ihr RTO. Ordnen Sie jede Datenklassifizierungsstufe der Backup-Methode und Aufbewahrungsdauer zu, die diese Ziele ausbalanciert.

Best Practices für Backup-Aufbewahrungsrichtlinien

Eine Backup-Aufbewahrungsrichtlinie auf dem Papier ist nur so stark wie ihre Umsetzung. Jede der folgenden Best Practices adressiert einen spezifischen Ausfallmodus, der in realen Vorfällen beobachtet wurde – von Backup-Vergiftung und Identitätskompromittierung bis zu ungetesteten Wiederherstellungen und unzureichender Überwachung.

1. Unveränderlichen Backup-Speicher für mindestens 30 bis 90 Tage erzwingen

Konfigurieren Sie unveränderliche Aufbewahrungsfristen basierend auf der durchschnittlichen Verweildauer von Bedrohungen in Ihrer Organisation. Die CISA LockBit-Warnung verlangt, dass alle Backup-Daten verschlüsselt, unveränderlich und für die gesamte Dateninfrastruktur des Unternehmens abgedeckt sind.

Ein 90-Tage-Fenster berücksichtigt die langsamen, anhaltenden Kompromittierungen, die NIST SP 800-209 als Backup-Vergiftung beschreibt, bei der Angreifer Kopien über Wochen hinweg schrittweise kompromittieren, bevor sie die Verschlüsselung auf Produktionssystemen auslösen. Kürzere 30-Tage-Fenster schützen vor schnell erkannten Angriffen, decken aber möglicherweise keine längeren Verweildauern ab.

2. Air-Gapped oder logisch isolierten Speicher implementieren

Ihre unveränderlichen Backups verlieren ihren Wert, wenn Angreifer sie über dieselben Netzwerkpfade erreichen können wie die Produktionssysteme. Die NIST NCCoE-Leitlinien betonen vollständige Isolierung durch physisches Air-Gapping (Offline-Tape oder Wechselmedien ohne Netzwerkverbindung) oder logisches Air-Gapping (Online-Speicher mit objektbasierten Aufbewahrungsrichtlinien und starker Identitätstrennung). In jedem Fall sollten Angreifer nicht von Ihrer Produktionsidentitätsebene in Ihre Backup-Steuerungsebene wechseln können.

3. Wiederherstellung mit Null-Fehler-Toleranz testen

Das "0" im 3-2-1-1-0 steht für Null-Toleranz bei ungetesteten Wiederherstellungsverfahren. Das NIST Cybersecurity Framework 2.0 verlangt explizit, dass Backups getestet werden, und hebt dies von einer empfohlenen Praxis zu einer formalen Cybersecurity-Anforderung an.

Erstellen Sie einen Testzyklus, der Ihrem Risikoprofil entspricht:

• Monatliche Validierung der Wiederherstellung kritischer Systeme
• Vollständige Wiederherstellungstests mit simulierten Ransomware-Szenarien vierteljährlich
• Komplette Wiederherstellungsübungen halbjährlich oder jährlich für ISO 27001-Auditbereitschaft

Jeder Test sollte die tatsächliche Wiederherstellungszeit mit Ihrem RTO abgleichen und die Datenintegrität per Prüfsumme verifizieren. Behandeln Sie jeden fehlgeschlagenen Test als P1-Incident und beheben Sie ihn vor dem nächsten Zyklus.

4. Isolierte Wiederherstellungsumgebungen bereitstellen

NIST NCCoE-Leitlinien empfehlen isolierte Wiederherstellungsumgebungen (IREs) mit Immutable Data Vaults (IDVs). Dies sind sichere, isolierte Umgebungen, in denen Sie Backup-Daten wiederherstellen und analysieren, ohne Malware erneut einzuschleusen. Ihre IRE benötigt getrennte Authentifizierungsframeworks, dedizierte Netzwerksegmente und unabhängige administrative Zugriffspfade.

5. Backups verschlüsseln und Schlüsselverwaltung trennen

Wenden Sie AES-256 Verschlüsselung im Ruhezustand und TLS 1.3 während der Übertragung gemäß ISO 27001 an. Speichern Sie Verschlüsselungsschlüssel getrennt von den Backup-Daten mit unterschiedlichen Rollen. Verlangen Sie MFA für Löschvorgänge von Schlüsseln. Wenn ein Angreifer sowohl Ihre Backup-Daten als auch die Verschlüsselungsschlüssel über denselben Zugriffspfad kompromittiert, bietet Verschlüsselung keinen Schutz.

6. Backup-Telemetrie in Security Operations integrieren

Ihre Backup-Infrastruktur erzeugt Signale, die Ihr SOC überwachen sollte. NIST SP 800-61 legt fest, dass Backup-Systeme mit Incident-Response-Funktionen integriert werden sollten. Leiten Sie Backup-Telemetrie in Ihr SIEM oder XDR-Plattform und achten Sie auf:

• Plötzliche Änderungen bei Backup-Größe oder -Dauer
• Übersprungene oder fehlgeschlagene Backup-Jobs
• Ungewöhnliche Anmeldeaktivitäten auf der Backup-Infrastruktur
• Unerwartete Änderungs- oder Löschversuche

Diese Anomalien treten oft auf, bevor Ransomware die Verschlüsselung auslöst. Die Singularity Platform von SentinelOne kann diese Telemetrie mit Endpoint- und Cloud-Signalen korrelieren und Ihren Analysten Kontext über die gesamte Angriffskette liefern.

7. Golden Images und Infrastructure-as-Code-Backups vorhalten

Der CISA #StopRansomware Guide empfiehlt, Golden Images kritischer Systeme vorzuhalten und Infrastructure-as-Code (IaC) zur Bereitstellung von Cloud-Ressourcen zu nutzen, wobei Template-Backups offline gespeichert werden. Versionieren Sie Ihre IaC-Templates und prüfen Sie Änderungen, um eine vollständige Wiederherstellung der Umgebung zu ermöglichen.

8. Quorum-basierte Freigabe für destruktive Operationen implementieren

Kein einzelner Administrator sollte in der Lage sein, unveränderliche Backups zu löschen oder zu ändern. Verlangen Sie eine Quorum-basierte Freigabe (mehrere autorisierte Personen) für jede Operation, die Backup-Kopien reduziert, Aufbewahrungsfristen verkürzt oder Unveränderlichkeit deaktiviert. Dies schützt sowohl vor Insider-Bedrohungen als auch vor kompromittierten privilegierten Konten.

Nach der Implementierung dieser Kontrollen ordnen Sie Aufbewahrungsfristen und Testnachweise Ihren Compliance-Frameworks zu.

Regulatorische Compliance-Anforderungen für Backup-Aufbewahrung

Backup-Aufbewahrungsfristen sind nicht nur Sicherheitsentscheidungen. Sie sind Compliance-Verpflichtungen mit Prüfungs- und Rechtsfolgen. Die Herausforderung besteht darin, dass verschiedene Frameworks unterschiedliche Anforderungen stellen und viele Organisationen mehreren unterliegen. Bei widersprüchlichen regulatorischen Vorgaben implementieren Sie die längste anwendbare Backup-Aufbewahrungsfrist und dokumentieren die Begründung für jede Datenklassifizierungsstufe.

HIPAA

HIPAA gibt keine spezifischen Aufbewahrungsfristen für Backup-Daten vor, verlangt aber Verfahren zur Erstellung und Pflege abrufbarer exakter Kopien elektronisch geschützter Gesundheitsinformationen (ePHI) gemäß 45 CFR § 164.308(a)(7). Die HHS HIPAA-Serie verlangt eine Mindestaufbewahrung von sechs Jahren für Sicherheitsdokumentation.

DSGVO

EDPB-Leitlinien 4/2019 verlangen die Löschung personenbezogener Daten, wenn sie nicht mehr erforderlich sind. Die DSGVO behandelt Backups als Verarbeitung gemäß EDPB-Leitlinien 9/2022 und unterwirft sie allen Datenschutzanforderungen. Dokumentieren Sie Ihre geschäftliche Begründung für jede Aufbewahrungsfrist.

PCI-DSS

PCI-DSS Anforderung 10.7 verlangt eine Aufbewahrung von Audit-Trails für ein Jahr, davon drei Monate sofort verfügbar. Anforderung 3.1 verlangt eine vierteljährliche Überprüfung, dass gespeicherte Daten, die die Aufbewahrungsfrist überschreiten, sicher gelöscht werden.

SOC 2

SOC 2 schreibt keine Aufbewahrungsfristen vor. Definieren Sie eigene Fristen, dokumentieren Sie diese, befolgen Sie sie konsequent und weisen Sie die Wirksamkeit der Kontrollen bei Audits nach.

Framework	Backup-Datenaufbewahrung	Dokumentationsaufbewahrung	Test erforderlich	Verschlüsselung erforderlich
HIPAA	Risikobasiert (nicht spezifiziert)	Mindestens 6 Jahre	Ja	Adressierbare Vorgabe
DSGVO	Zweckgebunden mit dokumentierter Begründung	Nach dem Rechenschaftsprinzip	Ja (zeitnahe Wiederherstellung)	Erforderlich nach Artikel 32
PCI-DSS	Nach geschäftlicher Begründung, vierteljährliche Überprüfung	1 Jahr Audit-Logs (3 Monate online)	Impliziert	Verpflichtend für Karteninhaberdaten
SOC 2	Von der Organisation definiert und dokumentiert	Nach Organisationsrichtlinie	Ja (Verfügbarkeitskriterium)	Erforderlich (Sicherheitskriterium)

Compliance-Ausrichtung ist notwendig, aber nicht ausreichend. Sie müssen auch für die Ausfallmodi planen, die die Backup-Aufbewahrung in der Praxis gefährden.

Herausforderungen und Einschränkungen von Backup-Aufbewahrungsrichtlinien

Selbst gut gestaltete Aufbewahrungsrichtlinien stoßen bei der Umsetzung auf Hürden, die erst in realen Vorfällen und nicht in der Planung sichtbar werden. Die häufigsten Fehler zeigen ein Muster: Organisationen erstellen die Richtlinie korrekt, unterschätzen aber, wie Angreifer, Infrastrukturdefizite und operative Blindspots ihre Wirksamkeit im Laufe der Zeit untergraben.

Ransomware-Gruppen nehmen Backups zuerst ins Visier

Angreifer suchen nach Backup-Zugangsdaten, nutzen ungepatchte Backup-Lösungen aus und kompromittieren gezielt die Wiederherstellungsinfrastruktur, bevor sie die Verschlüsselung auf Produktionssystemen auslösen. Wenn Ihre Backup-Infrastruktur denselben Identitätsspeicher wie die Produktion nutzt, kann ein kompromittiertes Domain-Admin-Konto Ihre gesamte Wiederherstellungsfähigkeit eliminieren.

Der Blindspot in der Identitätsinfrastruktur

Wenn Active Directory, Authentifizierungssysteme und privilegiertes Zugriffsmanagement nicht in den Aufbewahrungsumfang einbezogen werden, entsteht ein Wiederherstellungsparadoxon: Unveränderliche Datenbackups existieren, aber Sie können den Zugriff darauf nicht wiederherstellen. Ihre Backup-Aufbewahrungsrichtlinie muss Identitätsinfrastruktur als primäres Backup-Ziel abdecken.

Compliance-Konflikte zwischen Frameworks

Das Prinzip der Datenminimierung der DSGVO kann mit längeren Aufbewahrungsfristen aus HIPAA oder PCI-DSS kollidieren. Das Management dieser Konflikte erfordert granulare, datenspezifische Aufbewahrungspläne mit dokumentierter Rechtsgrundlage und laufender juristischer Prüfung.

Überwachungslücken und stille Fehler

Wenn niemand Backup-Logs oder Warnungen prüft, bleiben Fehler monatelang unentdeckt. Speicher wird voll, Backup-Jobs werden ohne Benachrichtigung übersprungen, und Organisationen entdecken Korruption erst bei tatsächlichen Wiederherstellungsversuchen. Die Integration von Backup-Telemetrie in Ihr Security-Monitoring schließt diese Sichtbarkeitslücke.

Angriffszeitpunkt an Wochenenden und Feiertagen

Angreifer nutzen reduzierte Überwachungszeiten aus. Ransomware-Gruppen timen Angriffe gezielt auf Zeiträume mit geringer IT-Personalabdeckung, wodurch das Zeitfenster für unbemerkte Backup-Kompromittierungen steigt. Autonome Überwachungs- und Reaktionsfunktionen adressieren diese Schwachstelle effektiver als manuelle Kontrolle.

Diese Herausforderungen zeigen eine gemeinsame Lücke: Backup-Aufbewahrungsrichtlinien benötigen kontinuierliche Durchsetzung, nicht nur Dokumentation. Um diese Lücke zu schließen, ist eine Sicherheitsplattform erforderlich, die autonom arbeitet und Sichtbarkeit über Ihre gesamte Wiederherstellungsumgebung bietet.

Backup-Aufbewahrung mit SentinelOne verbessern

Ihre Backup-Aufbewahrungsrichtlinie definiert die Regeln. Ihre Sicherheitsplattform entscheidet, ob diese Regeln im Angriffsfall Bestand haben. Die Singularity Platform von SentinelOne stärkt die Backup-Aufbewahrung, indem sie Ransomware stoppt, bevor sie Ihre Backup-Infrastruktur erreicht, und Ihrem SOC die Sichtbarkeit liefert, um Backup-gerichtetes Verhalten in Echtzeit zu erkennen.

Autonomes Ransomware-Rollback

SentinelOne nutzt verhaltensbasierte KI, um Ransomware-Aktivitäten bei der Ausführung zu erkennen und zu stoppen, wodurch die Wahrscheinlichkeit sinkt, dass die Verschlüsselung kritische Systeme einschließlich Backup-Server erreicht. Wenn Ransomware Dateien auf Windows-Endpunkten verschlüsselt, nutzt die Rollback-Funktion der Plattform Volume Shadow Copy-Snapshots, um betroffene Dateien in den Zustand vor dem Angriff zurückzusetzen.

Schutz der Backup-Infrastruktur

Singularity Cloud Workload Security erweitert den Echtzeitschutz auf die VMs, Server, Container und Kubernetes-Cluster, die Ihre Backup-Infrastruktur hosten. Die Plattform bietet Laufzeitschutz und autonome Reaktion in Public Clouds, Private Clouds und On-Premises-Rechenzentren, isoliert betroffene Systeme und stellt ohne Analysteneingriff einen sicheren Zustand wieder her.

AWS Backup-Integration

SentinelOne integriert sich mit AWS Backup, um Cloud-Wiederherstellungsprozesse zu optimieren. Wenn Singularity Cloud Workload Security eine kompromittierte EC2-Instanz erkennt, fragt sie AWS Backup nach Wiederherstellungsinformationen ab und präsentiert einen Wiederherstellungslink direkt in der SentinelOne-Konsole.

Purple AI für Backup-Anomalie-Untersuchungen

Purple AI ermöglicht es Ihren Analysten, verdächtige Backup-Zugriffsmuster per Konversationsabfrage zu untersuchen und so die Zeit zur Validierung von Wiederherstellungsoptionen während der Incident Response zu verkürzen. Frühe Anwender berichten, dass Purple AI die Bedrohungssuche und Untersuchungen um bis zu 80 % beschleunigt.

Singularity™ AI SIEM

SentinelOne’s Singularity™ AI SIEM für das autonome SOC ist die branchenweit schnellste offene Plattform für all Ihre Daten und Workflows. Sie basiert auf unserem Data Lake und bietet Ihnen Echtzeit-KI-Schutz für das gesamte Unternehmen. Sie erhalten unbegrenzte Skalierbarkeit und endlose Datenaufbewahrung. Beschleunigen Sie Ihre Workflows mit Hyperautomation. Schützen Sie Ihre Endpunkte, Clouds, Netzwerke, Identitäten, E-Mails und mehr. Streamen Sie Ihre Daten für Echtzeit-Erkennung und ermöglichen Sie maschinenschnellen Schutz mit autonomer KI. Sie erhalten zudem mehr Sichtbarkeit für Untersuchungen und Erkennungen mit der branchenweit einzigen einheitlichen Konsolenerfahrung. Machen Sie die Tour.

Melden Sie sich für eine Demo bei SentinelOne an, um zu sehen, wie autonomer Backup-Schutz in Ihre Umgebung passt.

Wichtige Erkenntnisse

Backup-Aufbewahrung ist eine Cybersecurity-Maßnahme, die bestimmt, ob Ihre Organisation sich von Ransomware erholt oder zahlt. Implementieren Sie das 3-2-1-1-0-Framework mit unveränderlichen, isolierten Kopien. Testen Sie die Wiederherstellung vierteljährlich mit Null-Fehler-Toleranz. 

Richten Sie Backup-Aufbewahrungspläne an HIPAA, DSGVO, PCI-DSS und SOC 2 aus. Integrieren Sie Backup-Telemetrie in Ihr SOC. Die Singularity Platform von SentinelOne stärkt diese Strategien mit autonomer Reaktion und Echtzeit-Sichtbarkeit über Ihre gesamte Wiederherstellungsumgebung.

FAQs

Was ist eine Backup-Aufbewahrungsrichtlinie?

Eine Backup-Aufbewahrungsrichtlinie ist eine Sammlung von Regeln, die festlegt, wie lange Ihr Unternehmen Sicherungskopien von Daten aufbewahrt, wo diese Kopien gespeichert werden und wann sie gelöscht werden. Sie umfasst Erstellungsfrequenz, Speicherorte, Anforderungen an Unveränderlichkeit und Entsorgungsverfahren. 

Aufbewahrungsrichtlinien werden durch Cybersicherheitsanforderungen, regulatorische Vorgaben wie HIPAA und GDPR sowie die Wiederherstellungsziele Ihres Unternehmens für RPO und RTO bestimmt.

Was ist die 3-2-1-1-0-Backup-Regel?

Das 3-2-1-1-0-Framework erweitert die traditionelle 3-2-1-Regel um zwei Ergänzungen, die für Resilienz gegenüber Ransomware entwickelt wurden. Die zusätzliche "1" verlangt eine unveränderliche oder isolierte Kopie, die Angreifer nicht verändern können, selbst mit gestohlenen Admin-Zugangsdaten. 

Die "0" erzwingt Nulltoleranz gegenüber nicht verifizierten Wiederherstellungen, damit Sie keine Korruption während eines aktiven Vorfalls entdecken. Dadurch wird die Backup-Aufbewahrung von einer Speicherhygiene zu einer Wiederherstellungskontrolle.

Wie greifen Ransomware-Gruppen Backup-Infrastrukturen an?

Ransomware-Gruppen stehlen Zugangsdaten, oft durch das Auslesen des Speichers auf Admin-Endpunkten, und bewegen sich dann zu Backup-Konsolen und -Repositorys. Sie nutzen ungepatchte Backup-Software aus, ändern Zeitpläne für Backup-Jobs, um Lücken zu schaffen, und versuchen, Aufbewahrungseinstellungen zu löschen oder zu verkürzen. 

Einige Akteure vergiften Backups auch über längere Zeit, sodass eine Wiederherstellung Persistenz erneut einführt. Ihr Ziel ist es, Zugriffspfade zu blockieren, Unveränderlichkeit durchzusetzen und Wiederherstellungen regelmäßig zu überprüfen.

Was ist Backup Poisoning und wie schützt man sich davor?

Backup Poisoning tritt auf, wenn Angreifer Backups während ihrer Verweildauer schrittweise kompromittieren, sodass jeder aktuelle Wiederherstellungspunkt die Kompromittierung enthält. Wenn schließlich die Verschlüsselung ausgelöst wird, stellen Sie wieder her und führen den Angreifer erneut ein. 

Unveränderliche Aufbewahrungszeiträume sollten länger als die typische Verweildauer in Ihrer Umgebung sein. Viele Unternehmen beginnen mit 30 bis 90 Tagen Unveränderlichkeit und passen dies dann an ihre Entdeckungsgeschwindigkeit und ihr Gesamtrisiko an.

Warum ist das Backup von Active Directory für die Ransomware-Wiederherstellung kritisch?

Wenn Angreifer Active Directory oder Ihren Identity Provider kompromittieren, verlieren Sie möglicherweise die Möglichkeit, sich an den Systemen zu authentifizieren, die Ihre Backups enthalten. Die Daten existieren, aber Sie können nicht sicher darauf zugreifen oder deren Integrität nachweisen. 

Ohne Identitäts-Backups müssen Sie häufig die Domäne, Dienstkonten und Vertrauensstellungen neu aufbauen, bevor Sie Produktionsanwendungen wiederherstellen. Diese Verzögerung kann eine Wiederherstellung von Stunden auf Tage verlängern.