🔍 Was beobachte ich?

Ich sehe saubere Sicherungskonzepte: zweiter Standort, eigene Appliance, Kopie in der Cloud. Dann frage ich, wer darauf zugreifen darf. Meist dieselbe Administration, dieselbe DomĂ€ne, dieselben Konten – und in der Cloud dieselbe Control-Plane, die auch die Produktivdaten verwaltet.

🎯 Was soll eigentlich erreicht werden?

Das Backup ist das letzte Netz. ISO 27001 A.8.13 verlangt Sicherungen, ihren Schutz und regelmĂ€ĂŸige Tests.

⚠ Warum funktioniert das nicht?

Die Trennung ist geografisch, nicht logisch. Ransomware reist nicht ĂŒber Entfernungen, sondern ĂŒber Berechtigungen. Angreifende sitzen wochenlang im Netz, eskalieren zu DomĂ€nen- und dann zu Sicherungsrechten. Veeam zĂ€hlte 2024 in 96 Prozent der VorfĂ€lle Angriffe auf die Backups, in 76 Prozent erfolgreich; 2026 hielten sich 90 Prozent fĂŒr wiederherstellungsfĂ€hig, vollstĂ€ndig zurĂŒck bekamen ihre Daten 28 Prozent. Wer ein Konto besitzt, das beide Seiten erreicht, hat keine zwei Schutzschichten, sondern eine mit zwei Namen. Sophos beziffert die Rechnung: Sind die Sicherungen kompromittiert, liegt der Median der Wiederherstellungskosten bei 3 Millionen Dollar – achtmal so hoch wie bei intakten Kopien.

💡 Was funktioniert besser?

Die Trennung an der IdentitĂ€t ansetzen, nicht am Ort. Der Sicherungsserver gehört nicht in die ProduktivdomĂ€ne; CISA empfiehlt dafĂŒr ein nicht domĂ€nengebundenes System. Eigene Konten, eigene Anmeldung, kein Pfad zur Löschfunktion. Dazu mindestens eine Kopie, die auch mit gĂŒltigen Rechten nicht löschbar ist: unverĂ€nderlich oder offline. Das Air-Gap ist dabei die strengste Form – aber nur, wenn es physisch ist. Was Hersteller “logisches Air-Gap” nennen, hĂ€ngt oft an derselben Control-Plane und wiederholt damit genau dieses Muster. Die Gegenprobe dauert fĂŒnf Minuten: Was könnte das mĂ€chtigste Konto der Produktion heute zerstören – und bleibt danach eine Kopie ĂŒbrig?

📚🔍