Backup verschlüsselt mit: Die drei Konstruktionsfehler hinter fast jedem Datenverlust

„Bei uns ist alles weg. Auch das Backup." — So beginnt der Anruf, den kein Geschäftsführer machen will, typischerweise am Freitagnachmittag. Und in fast allen dieser Fälle ist die eigentliche Ursache nicht die Ransomware, sondern es sind Konstruktionsfehler im Backup-Konzept, die Jahre vorher gemacht wurden. Drei davon tauchen bei Erstanalysen immer wieder auf.

Die Regel dahinter — kurz und ohne Esoterik

Der heutige Goldstandard ist die 3-2-1-1-0-Regel: 3 Kopien Ihrer Daten (Original plus zwei Backups) · 2 verschiedene Medien (nicht beide auf demselben NAS, nicht beide beim selben Cloud-Anbieter) · 1 Kopie außer Haus (geografisch getrennt) · 1 unveränderbare Kopie (immutable — auch für Admins nicht löschbar) · 0 Fehler bei der getesteten Wiederherstellung. Klingt banal, wird trotzdem ständig verletzt. Hier sind die drei typischen Konstruktionsfehler.

Fehler 1: Das Backup hängt im selben Netz wie die Server

Der Klassiker hinter „auch das Backup ist verschlüsselt": Der Backup-Server steht im selben Netzwerk wie die Produktivsysteme, erreichbar mit demselben Domain-Admin, der überall Zugriff hat. Ist die Ransomware drin, arbeitet sie sich in Ruhe zum Backup-Server vor — und verschlüsselt auch dort.

Was das verhindert: Immutable Backups — einmal geschrieben, innerhalb einer definierten Frist nicht änderbar, auch nicht vom Admin. Separate Backup-Zugänge mit eigenen Credentials, getrennt von der normalen Domäne. Eine externe Kopie mit Object Lock, die das Schadprogramm gar nicht erst erreicht. Deshalb gehört zu jedem sauberen Managed-Backup-Konzept mindestens eine unveränderbare Kopie — nicht verhandelbar.

Fehler 2: „Backup läuft" ist kein Beweis für „Backup funktioniert"

Ein grünes Backup-Log über zwei Jahre sagt nichts darüber, ob die Wiederherstellung im Ernstfall gelingt — häufig scheitert sie dann an einem trivialen Konfigurationsfehler, der nie aufgefallen ist, weil nie jemand zurückgespielt hat. Erfahrungsgemäß geht ein erschreckend hoher Anteil erster Wiederherstellungsversuche schief.

Was das verhindert: Regelmäßige echte Wiederherstellungen — mindestens quartalsweise eine Datei oder VM tatsächlich zurückholen, nicht nur einen Testlauf abhaken. Automatische Restore-Validierung durch die Backup-Software. Ein dokumentierter Recovery-Plan, den im Zweifel auch ein Kollege ausführen kann, der nicht der Backup-Admin ist.

Fehler 3: Microsoft 365 wird nicht gesichert

Der Fehler, von dem fast niemand weiß: Microsoft sichert Ihre M365-Daten nicht für Sie. Die Verantwortung für E-Mails, Teams-Chats, SharePoint-Inhalte und OneDrive-Daten liegt beim Kunden — Microsofts eigene Wiederherstellungsfenster sind eng begrenzt. Ein typisches Szenario: Ein ausscheidender Mitarbeiter leert sein Postfach, und Wochen später fehlt Vertragskorrespondenz aus Jahren — ohne separates M365-Backup ist das ein irreparabler Verlust.

Was das verhindert: Ein dediziertes Cloud-to-Cloud-Backup für M365 in EU-Rechenzentren sowie Aufbewahrungsfristen, die zu Ihrer Branche passen (für Fiduciaires und Steuerberater z. B. mindestens 10 Jahre).

Was ein sauberes Managed Backup konkret enthält

Sicherung von Servern, virtuellen Maschinen und Microsoft 365 · mindestens eine unveränderbare Kopie — auf Wunsch auf eigenen Serverressourcen im zertifizierten KÜS-DATA-Rechenzentrum in der Großregion (DIN EN 50600, ISO 27001) · Ende-zu-Ende-Verschlüsselung (AES-256), Schlüssel beim Kunden · dokumentierte Restore-Tests · 24/7-Monitoring mit Eskalation, wenn ein Backup-Lauf scheitert · Quartalsbericht mit Status, getesteten Restores und Empfehlungen. Das Modell ist immer gleich: planbare Monatspauschale, kein Notfall-Honorar.

Die Frage ist nicht ob, sondern wann

Bei Backups gibt es keinen Mittelweg zwischen „läuft" und „rettet uns". Der kostenlose Backup-Quickcheck: 30 Minuten am Telefon, in denen Ihre aktuelle Strategie an genau diesen drei Fehlern gemessen wird. — 📞 +352 20 60 12 44 · 📧 mail@local-it-partner.lu