„Wir haben Backups” ist die häufigste Antwort auf die Notfallfrage — und eine der trügerischsten. Denn zwischen „es existiert eine Sicherung” und „wir sind nach einem Totalausfall in zwei Tagen wieder arbeitsfähig” liegen Welten: ungetestete Rücksicherungen, mitverschlüsselte Backup-Server, fehlende Reihenfolgepläne, niemand mit Passwort-Zugriff im Urlaubsfall. Ransomware-Gruppen kalkulieren genau das ein — moderne Angriffe suchen und zerstören zuerst die Sicherungen.
Die 3-2-1-Regel, richtig verstanden
Der Klassiker gilt unverändert: drei Kopien der Daten, auf zwei verschiedenen Medientypen, davon eine außer Haus. Entscheidend ist die zeitgemäße Lesart der letzten Eins: außer Haus heißt heute vor allem offline oder unveränderlich (Immutable Backup / Air Gap) — eine Kopie, an die ein Angreifer mit Domänen-Adminrechten nicht herankommt. Ein NAS im selben Netz mit denselben Zugangsdaten ist keine dritte Kopie, sondern ein drittes Opfer.
Die vier Fragen, die über Arbeitsfähigkeit entscheiden
- RPO — wie viel Datenverlust ist tragbar? Ein Tag? Eine Stunde? Die Antwort bestimmt die Sicherungsfrequenz — und sie fällt je System unterschiedlich aus.
- RTO — wie schnell muss was wieder laufen? Nicht alles ist gleich kritisch. Eine Priorisierungsliste (erst ERP und E-Mail, dann der Rest) verhindert, dass im Ernstfall alle an allem gleichzeitig scheitern.
- Wer kann es tun? Notfallzugänge, Lizenzschlüssel, Dienstleister-Kontakte — dokumentiert und offline verfügbar. Das schönste Notfallhandbuch nützt nichts, wenn es nur im verschlüsselten Wiki liegt.
- Wann wurde zuletzt geübt? Die Rücksicherungsübung ist der einzige Beweis, dass das Konzept funktioniert. Einmal jährlich ein System komplett wiederherstellen und die Zeit stoppen — mehr braucht der Einstieg nicht.
Erfahrung aus Audits: Die Übung scheitert beim ersten Mal fast immer — an einem abgelaufenen Passwort, einem vergessenen Agenten, einer Wiederherstellungszeit, die statt Stunden Tage beträgt. Genau deshalb ist sie so wertvoll: Jeder dieser Funde ist im Übungsmodus eine Notiz und im Ernstfall eine Katastrophe.
Vom Backup zum Business Continuity Management
Backups sind die technische Basis; ein Notfallkonzept beantwortet die Organisationsfragen: Wer ruft wen, wer entscheidet über Abschaltung und Wiederanlauf, wie kommuniziert man ohne E-Mail-System, wann werden Behörden und Betroffene informiert (Stichwort Datenpanne)? Der BSI-Standard 200-4 liefert dafür ein gestuftes, auch für den Mittelstand gangbares Vorgehen — und in einem ISMS nach ISO 27001 ist die Notfallvorsorge ohnehin Pflichtbestandteil.
Fazit
Backups beruhigen; geprobte Wiederherstellung schützt. Wer 3-2-1 mit einer unveränderlichen Kopie umsetzt, Prioritäten und Notfallzugänge dokumentiert und einmal im Jahr ernsthaft übt, hat den Kern eines Notfallkonzepts — und schläft bei der nächsten Ransomware-Welle messbar ruhiger. Unterstützung von der Analyse bis zur Übung bietet unser Informationssicherheits-Team.