Backup-Strategie: So sicherst du Daten nach der 3-2-1-Regel – auch gegen Ransomware

Was ein Backup leisten muss

Daten gehen aus vielen Gründen verloren. Das BSI nennt als Ursachen unter anderem Stromausfall, Schadprogramme wie Viren, Würmer und Ransomware, versehentliches Überschreiben und versehentliches Löschen. Gegen all das hilft dieselbe Sache: eine Kopie, die vom Original unabhängig ist. Gesichert werden sollten vor allem die Dateien, die du selbst erzeugt hast. Betriebssystem und Programme lassen sich laut BSI in der Regel neu installieren, es sei denn, du hast Einstellungen angepasst, die in Konfigurationsdateien stehen.

Als Faustregel für die Planung: Überlege dir, wie viel Arbeit du im schlimmsten Fall verlieren darfst und wie lange du ohne die Daten auskommst. Daraus ergeben sich Häufigkeit und Technik des Backups.

Die 3-2-1-Regel

Ein US-CERT-Papier (heute bei CISA veröffentlicht, verfasst an der Carnegie Mellon University, Stand 2012) fasst es so zusammen: Wer seine Daten schützen will, sollte nicht nur eine Sicherung ablegen, sondern der 3-2-1-Regel folgen. Das Papier führt sie auf ein Fotografie-Handbuch von 2009 zurück.

3KopienOriginaldaten plus zwei Sicherungen

2Speichermedienz. B. interne Platte und externe Festplatte oder NAS

1Kopie außer Hausräumlich getrennt oder offline, damit Brand, Diebstahl oder Ransomware nicht alle Kopien treffen

• 3 Kopien jeder wichtigen Datei: ein Original und zwei Backups.
• 2 verschiedene Medientypen, um sich gegen unterschiedliche Gefahren abzusichern. Zwei Kopien auf derselben Platte teilen sich dasselbe Risiko.
• 1 Kopie an einem anderen Ort, zum Beispiel außerhalb von Wohnung oder Betrieb.

Das deckt sich mit dem BSI: Es rät, das Backup auf jeden Fall räumlich getrennt vom PC aufzubewahren, und nennt als Medien für den privaten Gebrauch USB-Sticks oder Wechselfestplatten. Eine Cloud kommt laut BSI ebenfalls infrage. Wer sie nutzt, sollte zusätzlich regelmäßig ein weiteres Back-up anlegen, die Datenschutzbestimmungen des Anbieters prüfen und darauf achten, dass die Daten verschlüsselt übertragen und gespeichert werden.

Der Hinweis zum Alter der Quelle ist wichtig: Die Regel ist nicht neu, ihre Grundidee, mehrere unabhängige Kopien an unterschiedlichen Orten, gilt aber unverändert. Die BSI-Seiten, die wir dazu gelesen haben, sprechen von „Doppelt gesichert hält besser“ und nennen die Regel nicht beim Namen.

Backup-Arten im Vergleich

Das BSI unterscheidet drei grundsätzliche Arten der Datensicherung:

Quelle für die Tabelle: BSI, Datensicherung – wie geht das? Weil die Abläufe kompliziert sein können, empfiehlt das BSI, Backup-Software oder die vom Betriebssystem bereitgestellten Programme zu nutzen, die den Vorgang automatisch abwickeln. Vorab solltest du entscheiden, ob das gesamte System oder nur ausgewählte Dateien wie Dokumente, Fotos und Videos gesichert werden. Prüfe außerdem, ob die Software alle deine Datenformate verarbeiten kann.

Beim Smartphone nennt das BSI die automatische Sicherung in die Hersteller-Cloud als gängige Methode. Sie ist oft schon ab Werk aktiviert, lädt aber meist alle Dateien hoch, und es ist nicht immer nachvollziehbar, ob und wie die Daten verschlüsselt sind oder in welchem Land die Server stehen. Passe die Einstellungen deshalb bewusst an. Mehr zur Absicherung des Handys steht in Handy gehackt erkennen.

Sync ist kein Backup

Ordner, die sich automatisch mit der Cloud oder einem zweiten Gerät abgleichen, wirken wie ein Backup, sind aber meist keines. Der Abgleich dient dazu, dass überall derselbe aktuelle Stand liegt. Löschst du eine Datei oder verschlüsselt Ransomware sie, kann dieser Stand überall landen. Das CISA-Papier beschreibt das Prinzip bei „Rolling Backups“, die Backup-Dateien automatisch mit den neuesten Versionen der Originale aktualisieren: Sie können Beschädigungen und Schadsoftware aus den Originaldateien unbemerkt auf die Backups übertragen. Außerdem: Liegen Original und Backup auf derselben internen Festplatte, kannst du bei einem Defekt beides verlieren.

Ein Cloud-Dienst kann diese Lücke teilweise schließen, wenn er frühere Stände aufbewahrt. Das hängt vom Anbieter und vom Tarif ab. Microsoft beschreibt etwa für OneDrive, dass Abonnenten von Microsoft 365 Aktionen der letzten 30 Tage rückgängig machen und das gesamte OneDrive in einen früheren Zustand zurückversetzen können, wenn Dateien gelöscht, überschrieben, beschädigt oder mit Schadsoftware infiziert wurden. Eine endgültig aus dem Papierkorb gelöschte Datei kann laut Microsoft nicht wiederhergestellt werden. Prüfe deshalb in den Hilfeseiten deines Dienstes, welche Stände wie lange vorgehalten werden. Verlass dich nicht darauf, dass „die Cloud“ alles aufbewahrt.

Backups gegen Ransomware

Ransomware zielt auch auf Backups. CISA begründet die Empfehlung von Offline-Backups damit, dass viele Ransomware-Varianten versuchen, erreichbare Backups zu löschen oder zu verschlüsseln. Das BSI nennt das Backup die wichtigste präventive Maßnahme gegen Ransomware. Es muss ein Offline-Backup sein, das nach der Sicherung von den anderen Systemen getrennt wird und damit vor Angriffen und Verschlüsselung geschützt ist.

Daraus folgen drei Regeln:

1. Mindestens eine Kopie ist offline. Stecke die externe Festplatte nach der Sicherung ab und bewahre sie getrennt vom Rechner auf. Das empfiehlt auch CISA: Wechselmedien nach dem Backup vom Rechner trennen.
2. Frühere Stände aufbewahren. Mehrere Sicherungsstände helfen dir, wenn du eine Beschädigung erst nach Tagen bemerkst. Das CISA-Papier weist darauf hin, dass Daten auf nicht wiederbeschreibbaren Datenträgern wie bestimmten optischen Medien nicht versehentlich gelöscht werden können und keine Beschädigungen oder Schadsoftware aus späteren Versionen erben. Der Preis: Sie lassen sich nicht wiederbeschreiben, du kannst sie also nur einmal beschreiben und musst für neue Stände neue Medien einplanen.
3. Zugriffe beschränken. Das BSI beschreibt für Netzlaufwerke: Mit Zugriffsrechten nach dem Need-to-know-Prinzip lassen sich zum Beispiel für archivierte Projektdaten die Schreibrechte entziehen. Eine Ransomware mit den Rechten eines Nutzers könnte diese Dateien dann nicht mehr verschlüsseln.

Nach einem Befall gilt: Bevor du aus einem Backup zurückspielst, sollte das System sauber sein. CISA warnt, dass Dropper-Schadsoftware vor dem Wiederherstellen aus Backups entdeckt werden muss, damit die Kompromittierung nicht weiterläuft. Die weiteren Schritte im Ernstfall stehen in Ransomware-Angriffe: So schützt du deine Daten.

Die Rücksicherung ausprobieren

Ein Backup gilt erst dann als zuverlässig, wenn du die Wiederherstellung einmal durchgespielt hast. Das BSI schreibt, dass zu einem Backup die Planung und Vorbereitung von Wiederanlauf und Rücksicherung gehören und diese Planung einem Praxistest unterzogen werden sollte, um Probleme vor dem Ernstfall zu erkennen. CISA formuliert ähnlich: Backup-Verfahren regelmäßig prüfen und Verfügbarkeit und Integrität der Backups in einem Notfallszenario ausprobieren. Für Privatnutzer gibt das BSI den Rat, gelegentlich zu kontrollieren, ob das Backup tatsächlich alle Daten enthält und lesbar ist.

Dazu kommt die Haltbarkeit. Die Lebensdauer von Speichermedien lässt sich laut BSI nicht genau vorhersagen. Auch Dateiformate und Programme veralten, sodass alte Sicherungen auf neuen Systemen nur eingeschränkt lesbar sein können. Gegebenenfalls müssen langfristig aufbewahrte Daten in ein neueres Format überführt werden.

Checkliste Rücksicherungsprobe

• Stelle eine einzelne Datei und einen ganzen Ordner aus dem Backup auf einem anderen Gerät oder in einem anderen Verzeichnis wieder her.
• Öffne die Dateien und prüfe, ob sie vollständig und lesbar sind.
• Notiere, wie lange es gedauert hat und was du dafür brauchtest (Passwort, Software, Schlüssel). Lege das Notierte getrennt vom Backup ab.
• Wiederhole die Probe in festen Abständen und nach jeder Änderung an Geräten oder Software.

Notfallplan: Wer macht was, wenn die Daten weg sind

Für Unternehmen gehört zum Backup ein Plan für den Ernstfall. Das BSI empfiehlt für das Worst-Case-Szenario, in dem alle Systeme verschlüsselt sind und ein Erpresserschreiben vorliegt, eine Notfallplanung. Reaktions- und Wiederherstellungsprozesse für geschäftskritische Systeme sollten regelmäßig geübt werden. Dazu gehört, die geschäftskritischen Systeme vorab zu bestimmen, Kommunikationswege außerhalb des kompromittierten Netzes vorzubereiten und wichtige Telefonnummern und Ansprechpartner offline (auf Papier) vorzuhalten.

Beispielpläne

Die folgenden Tabellen sind redaktionelle Vorschläge, die auf den oben genannten Quellen aufbauen. Passe Häufigkeit und Technik an deine Daten und deine Verlustgrenze an. Die BSI-Seiten legen keine festen Intervalle fest, sondern verweisen darauf, dass der Aufwand von dir abhängt.

Privat

Kleines Büro