Backup-Strategien: 3-2-1-Regel und unveränderliche Backups

Backups sind nicht nur ein operatives IT-Thema – sie sind ein kritischer Sicherheitskontrollmechanismus, der die Wiederherstellung nach Ransomware-Angriffen, versehentlichem Löschen, Hardwareausfällen und Sabotage durch Insider direkt ermöglicht. Ohne getestete, zuverlässige Backups haben Ransomware-Angreifer die vollständige Kontrolle: zahlen oder Ihre Daten verlieren. Mit robusten, geschützten Backups können Organisationen ihre Daten wiederherstellen, ohne Lösegeld zu zahlen. Die Security+-Prüfung behandelt Backup-Strategien ausdrücklich als Teil der Anforderungen an Geschäftskontinuität und Datenschutz.

Die 3-2-1-Backup-Regel ist der branchenübliche Grundstandard für die Resilienz von Backups. Es müssen 3 Kopien der Daten vorhanden sein (Original plus 2 Backups). Es müssen 2 unterschiedliche Speichermedien verwendet werden (z. B. lokale Festplatte und Band oder lokales NAS und Cloud). 1 Kopie muss extern oder an einem geografisch getrennten Standort gespeichert werden. Diese Konfiguration stellt sicher, dass kein einzelner Ausfall – etwa ein Festplattendefekt, eine Standortkatastrophe oder ein Diebstahl – alle Datenkopien vernichtet. Die 3-2-1-Regel gilt seit zwei Jahrzehnten als Goldstandard für Backups.

Ransomware hat Schwächen der klassischen 3-2-1-Regel offengelegt: Wenn alle drei Kopien über das Netzwerk erreichbar sind, verschlüsselt Ransomware sie alle. Die erweiterte 3-2-1-1-0-Regel ergänzt daher: Eine Kopie muss offline oder air-gapped sein (vom Netzwerk getrennt und physisch isoliert), und es darf keine Backup-Fehler geben (alle Backups müssen getestet werden, wobei bei Wiederherstellungstests kein einziger Fehler auftreten darf). Die Offline-Kopie stellt sicher, dass Ransomware – selbst mit Domain-Admin-Zugriff – nicht alle Backup-Kopien erreichen und verschlüsseln kann.

Unveränderliche Backups werden so gespeichert, dass sie während eines festgelegten Aufbewahrungszeitraums nicht geändert oder gelöscht werden können – auch nicht von Administratoren mit vollständigem Zugriff. Cloud-Anbieter setzen Unveränderlichkeit mithilfe von Object Lock (WORM – Write Once, Read Many)-Richtlinien um. AWS S3 Object Lock, Azure Blob Immutable Storage und vergleichbare Funktionen verhindern, dass ein API-Aufruf Objekte löscht oder überschreibt, bevor der Sperrzeitraum abgelaufen ist. Ransomware-Gruppen, die sich Domain-Admin-Zugriff verschaffen, können unveränderliche Backups nicht löschen – selbst mit den höchstmöglichen Cloud-Anmeldedaten.

Drei Backuptypen wägen Vollständigkeit gegen Speicherkosten und Dauer des Backup-Fensters ab. Ein vollständiges Backup kopiert jedes Mal alle Daten – es ermöglicht die schnellste Wiederherstellung, benötigt aber am meisten Speicherplatz. Ein inkrementelles Backup kopiert nur Daten, die sich seit dem letzten Backup beliebigen Typs geändert haben – es ist am schnellsten erstellt und benötigt den wenigsten Speicherplatz, für die Wiederherstellung sind jedoch das letzte vollständige Backup und alle inkrementellen Backups erforderlich. Ein differentielles Backup kopiert alle Daten, die sich seit dem letzten vollständigen Backup geändert haben – der Speicherbedarf wächst moderat, und für die Wiederherstellung sind nur das letzte vollständige Backup und das aktuellste differentielle Backup erforderlich.

Backup-Dateien müssen verschlüsselt werden – an einen externen Speicherort gesendete Bänder oder in der Cloud gespeicherte Backups sind ein Ziel für Angreifer, die vertrauliche Daten erbeuten wollen. Verwenden Sie für ruhende Backup-Daten eine AES-256-Verschlüsselung. Besonders wichtig ist, dass die Schlüssel für die Backup-Verschlüsselung getrennt von den Backups selbst gespeichert werden: Werden Backups mit einem Schlüssel verschlüsselt, der am selben Ort ebenfalls gesichert wird, verfehlt die Verschlüsselung ihren Zweck. Speichern Sie die Verschlüsselungsschlüssel in einem Hardware Security Module (HSM) oder einem Schlüsselverwaltungsdienst, der vom Backup-System unabhängig ist.

Backup-Systeme müssen vom Produktionsnetzwerk isoliert werden. Wenn Backup-Server in derselben Active Directory wie die Produktionsserver in die Domäne eingebunden sind, kann Ransomware mit Domain-Admin-Anmeldedaten den Backup-Speicher erreichen und verschlüsseln. Zu den Best Practices gehören: Backup-Server in einem separaten Netzwerksegment ohne Zugriff durch Produktionsserver, dedizierte Backup-Anmeldedaten, die keine Domain-Admin-Konten sind, MFA für den Backup-Server beim administrativen Zugriff sowie gegebenenfalls eine separate Backup-Domäne ohne Vertrauensstellung zur Produktionsdomäne.

Cloud-Backup-Dienste bieten externen Speicher mit Optionen für Unveränderlichkeit und vereinfachen die Umsetzung der 3-2-1-Regel. AWS Backup, Azure Backup und Google Cloud Backup and DR lassen sich in Cloud-Dienste integrieren und ermöglichen eine zentrale Richtlinienverwaltung. Drittanbieterdienste wie Veeam, Rubrik und Cohesity bieten Cloud-native Backups mit unveränderlichen Repositorys, air-gapped Tresorkopien und Ransomware-Erkennung, die Backup-Daten auf Anomalien bei der Verschlüsselungsentropie analysiert – und alarmiert, bevor ein vollständiger Ransomware-Angriff abgeschlossen ist.

Viele Organisationen stellen während eines Ransomware-Vorfalls fest, dass ihre Backups beschädigt oder nicht wiederherstellbar sind – eine katastrophale Erkenntnis im denkbar ungünstigsten Moment. Backups müssen planmäßig und regelmäßig getestet werden. Zu den Testverfahren gehören: automatisierte Überprüfung der Wiederherstellung (täglich eine Auswahl von Dateien wiederherstellen und Prüfsummen überprüfen), regelmäßige vollständige Wiederherstellungen in einer isolierten Testumgebung (vierteljährlicher Test der Wiederherstellung einer Datenbank und des Anwendungsstarts) sowie DR-Übungen, bei denen das Team den DRP von der Wiederherstellung aus dem Backup bis zum laufenden Produktionsbetrieb auf einer alternativen Infrastruktur durchspielt. Dokumentieren Sie jedes Testergebnis.

Das Grandfather-Father-Son-(GFS)-Aufbewahrungsschema organisiert die Aufbewahrung von Backups über unterschiedliche Zeiträume hinweg. Son-Backups werden täglich erstellt (1 Woche aufbewahrt und anschließend überschrieben). Father-Backups sind wöchentliche vollständige Backups (1 Monat aufbewahrt). Grandfather-Backups sind monatliche vollständige Backups (1 Jahr oder länger aufbewahrt). GFS ermöglicht die Wiederherstellung vom Vortag, der Vorwoche oder dem Vormonat und bildet damit einen Ausgleich zwischen Wiederherstellungsflexibilität und Speicherkosten. Viele Compliance-Rahmenwerke verlangen für Prüfpfadzwecke eine Aufbewahrung nach dem GFS-Prinzip.

Fehlgeschlagene Backups sind stille Katastrophen – wenn ein Backup-Auftrag wochenlang unbemerkt fehlschlägt, besteht im dringendsten Moment kein Schutz. Die Backup-Überwachung muss erfassen, ob jeder geplante Backup-Auftrag erfolgreich abgeschlossen wurde, ob die Backup-Größe im erwarteten Bereich liegt (ein verdächtig kleines Backup kann auf einen Teilfehler hinweisen), ob der Zugriff auf den Verschlüsselungsschlüssel des Backups erfolgreich war und ob das Backup an alle erforderlichen Ziele übertragen wurde (lokal und extern). Bei jedem fehlgeschlagenen Auftrag sollten sofort Benachrichtigungen ausgelöst werden, mit einer Eskalation, wenn die Fehler über einen einzelnen Versuch hinaus bestehen bleiben. Behandeln Sie ein fehlgeschlagenes Backup als Incident der Priorität 2.

Testen Sie Ihr Verständnis der CompTIA Security+ (SY0-701)-Konzepte aus dieser Lektion.

In dieser Lektion haben Sie gelernt: Die 3-2-1-Regel erfordert 3 Kopien auf 2 Medientypen, davon 1 extern gespeichert. Die erweiterte 3-2-1-1-0-Regel ergänzt eine Offline-/unveränderliche Kopie und verlangt, dass keine Wiederherstellung fehlschlägt. Außerdem verhindert unveränderlicher/WORM-Speicher, dass Ransomware Backups zerstört, selbst wenn vollständige Administratoranmeldedaten vorliegen. Als Nächstes sehen wir uns Failover-Tests mithilfe von Tabletop-Übungen und DR-Übungen an, um zu überprüfen, ob Wiederherstellungspläne in der Praxis funktionieren.