Warum klassische Backups nicht mehr ausreichen
Moderne Ransomware-Gruppen wissen genau: Wenn das Opfer ein funktionierendes Backup hat, wird kein Lösegeld gezahlt. Deshalb gehen Angreifer heute systematisch zwei Schritte vor:
**Wochenlang unauffällig im Netzwerk bleiben** und Backup-Systeme ausspionieren
**Backups zuerst zerstören oder verschlüsseln**, dann die Produktivdaten
Wer seine Backup-Server im selben Netzwerk und mit Standard-Admin-Zugängen betreibt, hat im Ernstfall nichts mehr in der Hand.
Was sind Immutable Backups?
"Immutable" bedeutet unveränderlich. Einmal geschriebene Backups können für einen definierten Zeitraum (z. B. 30 Tage) von niemandem mehr verändert oder gelöscht werden - auch nicht vom Administrator selbst und auch nicht von einem Angreifer mit Admin-Rechten.
Technisch wird das z. B. realisiert durch:
**Object Lock** auf S3-kompatiblem Storage (Wasabi, AWS S3, MinIO)
**WORM-Modus** auf Synology NAS und QNAP
**Hardened Repositories** in Veeam Backup & Replication
**Snapshot-basierte Lösungen** mit Schreibschutz auf ZFS
Die moderne 3-2-1-1-0-Strategie
Die bekannte 3-2-1-Regel wurde 2024/2025 erweitert:
**3** Kopien der Daten
**2** verschiedene Speichermedien
**1** Kopie außer Haus (offsite)
**1** Kopie offline oder immutable (air-gapped)
**0** Fehler bei den Restore-Tests
Der doppelte Schutz durch "1 offline" und "0 Fehler" ist der entscheidende Unterschied zu klassischen Konzepten.
Wie KMU Immutable Backups konkret umsetzen
Variante 1: Synology NAS mit WORM-Ordner (Einstieg)
Geeignet für Unternehmen mit 5-20 Arbeitsplätzen
Synology-NAS mit Snapshot-Retention und WORM-Ordnern
Zweitsystem an einem zweiten Standort (z. B. Geschäftsführerwohnung) für Offsite-Kopie
Kosten: ab ca. 2.500 € einmalig
Variante 2: Cloud-Backup mit Object Lock (empfohlen)
Lokales Backup-System (Proxmox Backup Server, Veeam) plus verschlüsseltes Cloud-Backup mit Object Lock bei einem deutschen/europäischen Anbieter
Backups in der Cloud sind unveränderlich für die definierte Aufbewahrungszeit
Kosten: ab ca. 50 € pro Monat plus einmaliges Setup
Variante 3: Backup-as-a-Service (Managed)
Wir übernehmen Konzept, Betrieb, Monitoring und Restore-Tests
Sie zahlen einen monatlichen Festbetrag pro GB oder pro Server
Inkl. dokumentiertem Restore-Test alle 3 Monate
Ideal für Unternehmen ohne dedizierte IT-Abteilung
Restore-Tests: Der oft vergessene Schritt
Ein Backup, das nie zurückgespielt wurde, ist kein Backup. Wir empfehlen:
**Monatlich**: Stichprobenartiger Restore einzelner Dateien
**Quartalsweise**: Vollständige Wiederherstellung mindestens einer VM in einer Testumgebung
**Jährlich**: Komplette Notfallübung inkl. Zeitmessung ("Wie lange dauert es, bis wir wieder arbeitsfähig sind?")
Häufige Fehler in der Praxis
**Backup-Server im Domänen-Login**: Wird die Domäne kompromittiert, ist auch der Backup-Server weg. → Dedizierte Admin-Konten, idealerweise mit MFA.
**Nur eine Kopie am selben Standort**: Brand, Wasserschaden oder Diebstahl vernichten dann alles. → Immer Offsite-Kopie.
**Keine Verschlüsselung**: Wer Backups stiehlt, hat alle Daten. → AES-256-Verschlüsselung mit sicher verwahrtem Key.
**Aufbewahrungszeit zu kurz**: Manche Angriffe werden erst nach 30+ Tagen entdeckt. → Mindestens 30 Tage Retention, besser 90.
Fazit
Immutable Backups sind 2026 kein Luxus mehr, sondern Pflichtprogramm - besonders mit Blick auf NIS2 und Cyber-Versicherungen, die zunehmend genau diese Schutzmaßnahmen fordern.
Unser Tipp: Prüfen Sie zuerst Ihre aktuelle Backup-Strategie ehrlich: Sind Ihre Backups vor einem kompromittierten Administrator-Account geschützt? Wenn die Antwort "nein" lautet, gibt es Handlungsbedarf.
Wir analysieren Ihre Backup-Situation, machen einen Restore-Test und zeigen Ihnen, wie Sie mit überschaubarem Aufwand Ransomware-resilient werden.
