Ransomware-Angriffe wirken oft chaotisch, sind es aber selten. Fast jeder erfolgreiche Vorfall folgt einer klaren Abfolge von Phasen, der sogenannten Cyber-Kill-Chain. Entscheidend hat sich in den letzten Jahren eines verändert: Backups sind kein neutraler Rettungsanker mehr, den Angreifer links liegen lassen. Sie sind selbst zum Ziel geworden.
Warum Backups zum bevorzugten Ziel wurden
Eine Studie der Enterprise Strategy Group zeigt, dass bei 96 Prozent der Unternehmen, die in den vergangenen zwei Jahren von Ransomware betroffen waren, auch die Backup-Systeme angegriffen wurden. In über der Hälfte der Fälle zielten sogar fast alle Angriffsversuche zusätzlich auf die Datensicherung. Der Grund liegt auf der Hand: Wer seine Daten aus einem intakten Backup wiederherstellen kann, hat keinen Anreiz, Lösegeld zu zahlen. Angreifer wissen das und haben ihr Vorgehen entsprechend angepasst.
Die Phasen der Kill-Chain
Am Anfang stehen Aufklärung und Erstzugang, meist über Phishing, gestohlene Zugangsdaten oder offen erreichbare RDP-Zugänge. Schon hier suchen erfahrene Angreifer gezielt nach Hinweisen auf die Backup-Infrastruktur, etwa über Netzwerk-Scans, die Dienste wie Veeam, Backup Exec oder Commvault verraten.
Danach folgen laterale Bewegung und Rechteausweitung. Backup-Server sind dabei ein bevorzugtes Zwischenziel, denn sie sind häufig domänenverbunden, besitzen weitreichende Zugriffsrechte auf die Speicherinfrastruktur und werden in der Praxis oft schwächer gehärtet als Produktivsysteme. Laut dem aktuellen CrowdStrike Global Threat Report ist die durchschnittliche Breakout-Time, also die Zeit zwischen Erstzugriff und erster lateraler Bewegung, 2025 auf 29 Minuten gesunken, nach 48 Minuten im Vorjahr. Ein so enges Zeitfenster lässt kaum Raum für manuelle Reaktion. Anschließend bauen die Angreifer über Command & Control einen verdeckten Kanal zu ihrer Infrastruktur auf.
Der kritische Punkt: Wiederherstellung zerstören
Bevor die eigentliche Verschlüsselung beginnt, versuchen moderne Ransomware-Familien systematisch, jede Wiederherstellungsmöglichkeit zu zerstören. Dokumentierte Fälle wie die Familie Dire Wolf zeigen, wie das abläuft: Über legitime Windows-Bordmittel werden Schattenkopien gelöscht, Backup-Jobs gestoppt und vorhandene Sicherungen entfernt, die Windows-Wiederherstellungsumgebung deaktiviert und Ereignisprotokolle geleert. Zusätzlich werden gezielt Prozesse und Dienste von Backup- und Sicherheitslösungen beendet.
Bemerkenswert daran: Es braucht keine klassische Schadsoftware. Alle Befehle sind reguläre, von Microsoft signierte Bordmittel, im MITRE-ATT&CK-Framework als Technik T1490 katalogisiert und auch als Living-off-the-Land-Technik bekannt. Weil diese Werkzeuge auch im normalen Admin-Alltag laufen, ist reine Signaturerkennung machtlos. Entscheidend ist der Kontext, etwa welches Konto die Befehle aufruft und ob das außerhalb der geplanten Backup-Fenster passiert. Erst danach folgt die Verschlüsselung, häufig kombiniert mit vorheriger Datenexfiltration als doppelte Erpressung.
Neben der reinen Löschung beobachten Analysten zunehmend subtilere Taktiken. Statt ganze Backups zu entfernen, verändern manche Angreifer gezielt nur wenige Bits in den Sicherungsdateien. Das fällt kaum auf und zeigt sich oft erst im Ernstfall, wenn die Wiederherstellung scheitert. Ein weiteres Muster betrifft Schwachstellen in der Backup-Software selbst: Ungepatchte, aus dem internen Netz erreichbare Backup-Server sind ein attraktives Einfallstor.
So wird die Datensicherung widerstandsfähiger
Die alte Faustregel, wonach funktionierende Backups automatisch gegen Ransomware schützen, ist überholt. Ein einzelnes, im Produktivnetz erreichbares Backup ist heute selbst Teil der Angriffsfläche. Aus den beobachteten Mustern lassen sich mehrere Konsequenzen ableiten:
- Unveränderlichkeit: Speicherlösungen mit Retention- oder Object-Lock verhindern, dass geschriebene Daten innerhalb eines definierten Zeitraums verändert oder gelöscht werden, unabhängig von den Rechten eines Angreifers.
- Air-Gap und Cyber-Vaults: Physisch oder logisch getrennte Speicherbereiche, die nur zu definierten Zeitfenstern erreichbar sind, entziehen sich der lateralen Bewegung.
- Konsequente 3-2-1-Regel: mindestens drei Kopien auf zwei Medientypen, davon eine außerhalb des Produktivnetzes.
- Härtung der Backup-Infrastruktur: Netzwerksegmentierung, restriktive Firewall-Regeln und separate administrative Konten reduzieren die Angriffsfläche.
- Verhaltensbasierte Erkennung: Eine Baseline für normales Backup-Verhalten hilft, Abweichungen früh zu erkennen.
- Regelmäßige Restore-Tests: Nur getestete Backups sind im Ernstfall verlässlich.
Die Kill-Chain zeigt, dass der Schutz von Backups nicht am Ende, sondern von Beginn an mitgedacht werden muss. Wer seine Datensicherung nur als letzten Rettungsanker betrachtet, statt sie als eigenständiges, aktiv zu verteidigendes Ziel zu behandeln, steht im Ernstfall womöglich vor einem leeren Tresor.