Back-up early – Back-up often 

In den 80er Jahren wurde von Al Lowe, einem Computerspieldesigner, der Ausspruch „Safe early – safe often“ geprägt. Dieser Ausspruch lässt sich wohl auf Computer und Daten im Allgemeinen übertragen.  

Am 30. Oktober 2023 wurde die Südwestfalen-IT (SIT) Ziel eines Cyberangriffs, der in Form von Ransomware stattfand. Hinter diesem Angriff steht die Cybercrime-Gruppe Akira, die gezielt Sicherheitslücken ausnutzte, um in die Systeme einzudringen. Insbesondere machte die Bande sich ein schwaches Passwort, das Fehlen einer Mehrfaktor-Authentifizierung sowie eine mangelhaft gewartete VPN-Appliance zunutze, um unbefugten Zugang zu erlangen. 

Diese Attacke stellt die bisher folgenreichste Bedrohung für den öffentlichen Sektor dar und brachte das gesamte Netzwerk von über 70 Kommunen, die auf die Dienste der SIT angewiesen sind, zum Erliegen. Die Auswirkungen des Angriffs auf die Südwestfalen-IT und die betroffenen Kommunen waren verheerend. Trotz der dramatischen Situation entschied man sich gegen die Zahlung eines Lösegeldes, was in solchen Fällen oft als letzte Möglichkeit erwogen wird. Die Kommunen, die die SIT finanzieren und deren IT-Infrastruktur weitgehend an den Dienstleister ausgelagert haben, standen vor der Herausforderung, die durch den Angriff entstandenen Schäden zu bewältigen. 

Selbst drei Monate nach dem Angriff liefen nicht alle Systeme wieder und so war in einigen Kommunen das Ausstellen von Führerscheinen beispielsweise unmöglich und erst im Mai 2024 sollten alle Systeme wieder voll funktionsfähig sein. 

Da fehlte wohl ein gescheites Recovery-Konzept 

Gehackt werden kann wirklich jeder, aber wie kann es sein, dass ein Rechenzentrum mehr als 6 Monate benötigt alle Dienste wieder online zu bringen, mag sich der geneigte Leser an dieser Stelle fragen. Von der fehlenden bzw. unzureichenden Cybersecurity einmal abgesehen gibt es nämlich einen zweiten Faktor bei dem die Südwestfalen-IT scheiterte: Es gab kein ordentliches Back-up- und Recovery-Konzept. 

Das Sichern von Daten ist eine Sache. Es gibt ausreichend Software, um Daten und Systeme zu sichern und Prinzipien, um für eine ausreichende Datenvorhaltung zu sorgen: Kind, Vater, Großvaterprinzip beispielsweise. Aber ist das wirklich ausreichend? Denn nun kommen wir zu zahlreichen Fallstricken, die bei vielen Unternehmen und Rechenzentren überhaupt keine Beachtung finden! 

1. Sind meine Daten integer? 

Nur weil man seine Daten sichert, heißt es nicht, dass man sie auch wieder herstellen kann. Ein ganz perfider Verschlüsselungstrojaner wurde vor einigen Jahren mal einem Getränkegroßhändler zum Verhängnis. Ein Mitarbeiter öffnete wohl eine gefährliche Mail – das kann passieren – und das Verhängnis nahm seinen Lauf. Anstatt Daten zu verschlüsseln, verteilte sich der Trojaner lustig bei betroffenen Unternehmen und in dem Rechenzentrum, in dem die Rechner des Kunden standen. Und scheinbar passierte erstmal einige Zeit lang nichts. Dann auf einmal wurden alle Daten quasi zeitgleich verschlüsselt. 

Was in diesem Moment niemand ahnte, das war nicht einmal das schlimmste. Das Rechenzentrum besaß nämlich Back-Ups der letzten 14 Tage. Nur leider waren diese nicht lesbar. Ob es am Trojaner lag oder ob das Back-Up-System unabhängig davon korrupt war, konnte niemand mehr sagen. Nur eines war klar: Daten oder Systeme konnte man nicht wieder herstellen. 

Das Unternehmen beschloss dennoch nicht, die Forderung der Hacker zu bezahlen. Also rief man mit frisch installierten Laptops alle Kunden an (an die man sich erinnern konnte) und bat sie, die Verträge wieder zuzuschicken, weil man keinen Zugriff mehr darauf hatte. Insgesamt 3 Wochen war man vollständig arbeitsunfähig. 

Ein Zwischenfazit kann man daraus also ziehen: Jedes Back-Up muss auf die Konsistenz geprüft werden. 

2. Sind die Betriebssysteme und Softwareprodukte wiederherstellbar? 

Die Datenwiederherstellung nutzt nichts, wenn ich mit den Daten nichts anfangen kann, weil meine Server oder meine Software nicht mehr funktioniert. Auch alle Systeme müssen entsprechend betrachtet werden. Und eines sollte jedem klar sein: Snapshots sind keine geeigneten Sicherungen. Erstens liegen Snapshots meist auf der gleichen Hardware – ein Fehler führt also zum Totalverlust – und zweitens reicht auch das Sichern an andere Orte nicht aus. Snapshots aus dem laufenden Betrieb bedeuten nicht, dass der Server der Server wieder korrekt starten kann. 

Snapshots zum Recovery sollten das bedenken und ggf. sollte die Wiederherstellung durch Recoverytests verifiziert werden. 

Tatsächlich hatte ich mal einen Kunden, der seine Server nur mit Snapshots gesichert hatte vor einem Patch. Diese ließen sich allerdings zum Teil nicht mehr starten, weil sich ein Fehler eingeschlichen hatte. Patches mussten dann im Nachgang manuell installiert und deinstalliert werden, Konfigurationsfehler behoben. Ein Vorgang von fast drei Tagen Arbeit. 

3. Richtige Daten, falsche Version 

Manche Systeme sind sehr penibel, welche Daten sie akzeptieren und benutzen können. Das liegt manchmal daran, weil Konfigurationseinstellungen manchmal mit in den Daten gesichert werden. Das galt früher schon für SharePoint on premise Server und heutzutage auch für Nextcloud. Nur weil ich also alle Daten habe, heißt es nicht, dass diese zur gespeicherten Serverversion passen. 

4. Worstcase: Daten verbrannt 

Back-Ups lagert man nicht im gleichen Netz, wie seine Daten. Stellen Sie sich vor, sie haben Ihre Back-up-Dateien innerhalb eines Netzwerks, dass gerade verschlüsselt wird. Sie gehören aber auch nicht auf verbundene oder regelmäßig zugegriffene Dienste. Wenn ich mich auf meine Cloud-Ablage anmelde, dann hilft es nichts, dass das Back-up räumlich getrennt ist, wo ich doch gerade online bin – und die Hacker auch. Back-ups sollten immer so gelagert werden, dass man auch mit dem Masterkey, dem Adminpasswort oder der eroberten Signatur nicht an die Back-ups kommt. Da hilft also nur ein Weg: Raus aus dem Computer und dem Netz, rein in einen sicheren Schrank. Und der sollte Minimum in einem anderen Brandabschnitt – besser noch an einem anderen Ort stehen. Und natürlich gibt es da noch weitere Faktoren zu beachten: Unwahrscheinlichkeit von Elementarschäden, passendes Raumklima zum Medium, Sicherheit auch bei Stromausfall. 

5. Gut geplant ist halb gewonnen 

Aber wehe es gibt eine schlechte Planung. Das liegt schon mal an kleinen Details. Sicherungen müssen abgestimmt sein, das hatten wir eben schon betrachtet. Das heißt, für eine Tagessicherung muss ggf. die passende Serverversion gesichert oder wiederherstellbar sein. Darüber hinaus muss eine Sicherung aber sowohl zeitlich wie auch platztechnisch möglich sein. Das heißt wir brauchen Systeme, die schnell genug sind und wir benötigen ausreichend Platz für die Sicherung, sowie die Möglichkeit, Fehler im Nachhinein zu beheben, andernfalls können ganze Sicherungen unbrauchbar werden. Schlimm ist es, wenn eine solche Sicherung viele Stunden dauert und so ggf. für einen Tag entfällt. 

Platzsparen ist dabei auf jeden Fall eine Devise: Wir sichern das, was gesichert werden muss. Natürlich wollen wir nicht täglich komplette Serversicherungen einer großen Farm irgendwo archivieren. Das heißt, Sicherungen erfolgen immer zu jedem neuen Versionsstand, dann mit den passenden Datenaktualisierungen. 

Vollback-up, inkrementielles Back-up oder Differenzback-up? Auch das will geplant sein, besonders dann, wenn wir nicht permanent jede Nacht Vollback-ups durchführen können, weil die Datenmenge dafür einfach zu groß wäre. 

6. Alles richtig gemacht – nur keiner weiß es 

Jetzt kann man all diese Punkte beachtet haben und doch im Notfall aufgeschmissen sein. Wann welche Daten und Systeme gesichert werden bedarf guter Planung und die Daten inklusive aller Zugänge müssen sicher verfügbar sein. Was nutzt das Back-up, wenn man nicht weiß, wie die benötigten Teile wiederherzustellen sind? Entsprechend darf das Wissen nicht an einzelne Personen im Unternehmen gebunden sein, alle Schritte müssen genauso gesichert werden, wie Adminpasswörter und Zugänge, die im Notfall benötigt werden. 

7. Online-Sicherungen 

Nein, wir sprechen nicht von der Ablage der Back-ups in der Cloud, sondern von der Sicherung der Cloud-Daten. Nicht jeder Anbieter von SaaS-Anwendungen und Cloud-Plattformen garantiert Ihnen eine Datensicherung in dem Umfang, den Sie benötigen und hat genau die Verfahren, die im Ernstfall auch greifen. 

2017 gab es einen Ausfall von Azure SQL-Services. Das Ergebnis des Fehlers waren, dass die Server zurückgesetzt wurden. Microsoft garantiert aber erstens keine Transaktionssicherheit und zweitens keine vollständiges Back-up Ihrer Daten. Dafür sind Sie verantwortlich. Im Ergebnis bedeutete das, das alle in den letzten Minuten durchgeführten Transaktionen nicht gespeichert waren. Stellen Sie sich vor, Sie betreiben einen Webshop und wissen nicht, wer bezahlt hat und wer nicht, weil die Zuordnung fehlt, oder ob jemand etwas bestellt hat oder nicht? 

Das gleiche gilt natürlich auch für Verschlüsselungstrojaner. Microsoft sichert das eigene Rechenzentrum ab (hoffen wir jedenfalls), aber wenn in Ihrer Umgebung ein Verschlüsselungstrojaner losläuft, der fleißig auf OneDrive und SharePoint Dokumente verschlüsselt, dann ist das Ihre Sache. Und jetzt stellen Sie sich Mitarbeiter fest, die auf dem Dienstrechner spielen oder ihr Business OneDrive (mit allen SharePoint-Synchronisationen) in seinen privaten Rechner einbindet! Sie können nicht einmal den Stecker ziehen, weil sich der Rechner außerhalb ihrer Reichweite befindet.  

Sie müssen sich also genauso mit der Sicherung der Cloud-Daten befassen, wie mit der Sicherungen Ihrer eigenen Systeme. 

Das Back-up-Konzept 

Das Back-up-Konzept befasst sich mit all diesen Faktoren und mehr: 

• Was sind die möglichen Gefährdungslagen und wie geht man mit ihnen um? 

• Welche Rahmenfaktoren sind für die Sicherung vorgesehen? 

• Welche Sicherungsverfahren werden benutzt? 

• Welche Basis-Anforderungen gibt es, um für den Notfall wenigstens alle Daten und Systeme gesichert zu haben? 

• Wie sind die Sicherungszyklen? 

• Wie und wann wird geprüft? 

• Welche erweiterten Anforderungen gibt es für eine komplexe Datensicherung? 

• Welches Datensicherungssystem kann alle Anforderungen abdecken? 

• Wie funktioniert die Online-Datensicherung? 

• Wie binde ich die Mitarbeiter ein und wie schule ich sie? 

• Wie kann ich Server und Systeme wieder aufbauen, falls eine Wiederherstellung nicht gelinkt? 

• Wie und wo werden Back-ups bewahrt? 

• Gibt es einen erhöhten Schutzbedarf und wie geht man damit um? 

• Wer ist verantwortlich? 

Unser Vorgehen  

Das Back-up-Konzept ist Teil unserer IT-Governance-Strategie, bei der wir Ihnen helfen können, dass das Zusammenspiel von Ablage, Löschen, Nutzung, Back-ups und Cybersecurity passt. Wenn Sie mit uns ein Back-up entwickeln, wird es auf Ihre Bedürfnisse angepasst und sie erhalten zusätzlich OnePager mit Handlungsanweisungen für die Administratoren, Vorschläge für Mitarbeiterschulung, eine Roadmap für ein weiteres Vorgehen und die Möglichkeit zur individuellen und passgenauen Umsetzung durch unsere Partner oder andere Systemhäuser.