Aktuell

Nach dem Angriff: Warum das Backup allein nicht rettet

Ein Restore bringt nach Cyberangriffen oft die Lücken zurück. So gelingt ein sicherer, nachweisbarer Wiederanlauf – von Quarantäne bis Konten-Reset.

23. Oktober 2026

Backup
Security
Compliance

Wer nach einem Cyberangriff einfach das letzte Backup zurückspielt, stellt oft auch die Lücke wieder her, über die der Angreifer gekommen ist – und manchmal gleich seine Hintertür dazu. Ein sicherer Wiederanlauf braucht mehr als einen Restore. Und er muss nachweisbar sein.

„Wir haben ein Backup“ – dieser Satz fällt in fast jedem Gespräch über Ransomware. Er ist wichtig und richtig. Aber er beantwortet nur die halbe Frage. Denn ein Backup konserviert den Zustand Ihrer IT zu einem bestimmten Zeitpunkt. Und zu diesem Zeitpunkt war die Umgebung genau so angreifbar, wie sie es am Tag des Angriffs war.

Wer nach einem Vorfall unter Zeitdruck alles zurückspielt, baut deshalb häufig exakt die Umgebung nach, die der Angreifer bereits kennt: mit dem Konto, über das er hereinkam, dem Dienstkonto mit zu vielen Rechten, über das er sich ausbreitete, und dem Zugang eines Dienstleisters, der längst hätte gesperrt sein müssen. Wie ernst dieses Risiko ist, zeigt der „Ransomware Insights Report 2025“ von Barracuda: Knapp ein Drittel der betroffenen Organisationen wurde innerhalb von zwölf Monaten erneut angegriffen.

Das eigentliche Problem: Der Angreifer war schon länger da

Ein Angriff beginnt selten mit der Verschlüsselung. In vielen Fällen sind Angreifer Tage oder Wochen vorher im Netz, sehen sich um, sammeln Zugangsdaten und richten sich ein. Die Verschlüsselung ist nur der letzte, sichtbare Schritt. Ein Backup von „gestern“ oder „letzter Woche“ ist deshalb nicht automatisch sauber: Es kann bereits die Werkzeuge des Angreifers enthalten – neue Benutzerkonten, geplante Aufgaben, die regelmäßig Kontakt nach außen aufnehmen, oder ein installiertes Fernwartungsprogramm.

Die erste Frage nach einem Angriff

Nicht „Wann ist das letzte Backup?“, sondern „Seit wann war der Angreifer im Netz?“. Erst wenn das halbwegs sicher beantwortet ist, lässt sich ein Wiederherstellungspunkt wählen, dem man vertrauen kann.

Was moderne Datensicherung dabei leistet

Aktuelle Backup-Plattformen unterstützen genau diese Fragen. Am Beispiel der Veeam Data Platform, mit der wir als Veeam-Partner arbeiten:

Bausteine für einen sauberen Wiederanlauf

Den letzten sauberen Stand finden

Veeam Backup & Replication kann Wiederherstellungspunkte rückwirkend auf Schadsoftware untersuchen – signaturbasiert und mit eigenen Erkennungsregeln (YARA) – und so den letzten sauberen Stand eingrenzen. Schon während der Sicherung werden auffällige Aktivitäten wie massenhaft verschlüsselte Dateien erkannt.

Prüfen beim Zurückspielen

Mit „Secure Restore“ werden Daten beim Wiederherstellen auf Schadsoftware untersucht, bevor sie ins produktive System gelangen.

Wiederherstellung automatisch testen

Mit „SureBackup“ werden Sicherungen regelmäßig in einer abgeschotteten Testumgebung gestartet und geprüft – inklusive Malware-Scan. So wissen Sie vor dem Ernstfall, ob Ihre Backups funktionieren.

Überblick und Frühwarnung

Veeam ONE überwacht die gesamte Sicherungsumgebung und bündelt im „Threat Center“ Sicherheitsstatus, Malware-Funde, verfehlte Sicherungsziele und die Einhaltung vereinbarter Wiederherstellungszeiten.

Wiederanlauf orchestrieren und belegen

Mit dem Veeam Recovery Orchestrator lassen sich Wiederanlaufpläne festlegen, automatisiert testen und die Ergebnisse dokumentieren – ein wichtiger Baustein für Nachweise gegenüber Aufsicht, Versicherung und Prüfern.

Entscheidend ist dabei nicht das Produkt allein, sondern das Konzept dahinter: Welche Systeme müssen in welcher Reihenfolge zurück? Wie lange darf der Ausfall dauern? Wie weit müssen Sicherungen zurückreichen? Wo liegen Kopien, die ein Angreifer mit Administratorrechten nicht löschen kann? Diese Fragen klären wir gemeinsam mit unseren Kunden, bevor etwas passiert.

Wiederherstellen ja – aber erst in Quarantäne

Abgeschottete Umgebung: Systeme zunächst in einem isolierten Netz wiederherstellen, ohne Verbindung zum restlichen Netzwerk und zum Internet.
Prüfen vor dem Anbinden: Neben dem Malware-Scan lohnt der Blick auf neue Konten, Dienste, geplante Aufgaben und Autostart-Einträge.
Patchen vor dem Anbinden: Wurde der Angriff über eine bekannte Sicherheitslücke ermöglicht, muss sie geschlossen sein, bevor das System wieder erreichbar ist. Sonst steht die Tür am nächsten Tag wieder offen.
Schrittweise zurück: Erst die zentralen Dienste wie Verzeichnisdienst und Netzwerkinfrastruktur, dann Server, dann Arbeitsplätze – jeweils mit Prüfung.

Identitäten neu aufsetzen statt zurückspielen

Der wichtigste und am häufigsten vergessene Schritt betrifft die Konten. Angreifer arbeiten fast immer mit gestohlenen oder selbst angelegten Zugangsdaten. Ein Backup bringt diese Zugangsdaten unverändert zurück. Deshalb gilt nach einem Angriff:

Alle privilegierten Konten: Passwörter von Administratoren und Dienstkonten ändern – auch die, die „nie benutzt werden“.
Das Herzstück des Active Directory: Das Schlüsselkonto, mit dem Anmeldetickets signiert werden (krbtgt), muss zweimal mit zeitlichem Abstand zurückgesetzt werden. Sonst können Angreifer mit gefälschten Tickets weiter Zugriff behalten.
Verwaiste Konten: Konten ehemaliger Mitarbeiter, Testkonten und alte Dienstleisterzugänge entfernen statt wiederherstellen.
Cloud-Dienste nicht vergessen: In Microsoft 365 und anderen Cloud-Diensten müssen App-Kennwörter, Zugangsschlüssel von Anwendungen und Freigaben überprüft und erneuert werden. Sie liegen nicht im lokalen Backup – werden aber oft genauso missbraucht.
Zugangsdaten in Anwendungen: Datenbankpasswörter, Schnittstellenschlüssel und gespeicherte Zugänge in Konfigurationsdateien erneuern. Ein Restore stellt sie unverändert wieder her.

Notfallzugänge wieder schließen

Während der Bewältigung eines Vorfalls entstehen zwangsläufig neue Zugänge: Konten für externe Forensiker, erweiterte Rechte für Dienstleister, temporäre Freigaben für Versicherer oder Gutachter. Das ist notwendig – und wird nach dem Vorfall erstaunlich oft vergessen. Wir sagen das bewusst auch in eigener Sache, denn auch wir legen bei Einsätzen solche Zugänge an. Deshalb gehört zu jedem Wiederanlauf eine Liste aller Notfallzugänge mit Zuständigkeit und Ablaufdatum – und ein dokumentierter Termin, an dem sie wieder entfernt werden.

Wiederherstellbarkeit ist Pflicht – und muss belegt werden

Datensicherung ist nicht nur eine technische Frage. Je nach Organisation, Branche und Rechtsform verlangen verschiedene Vorgaben, dass Daten und Systeme nach einem Vorfall wiederhergestellt werden können, dass dies regelmäßig geprüft wird und dass Vorfälle fristgerecht gemeldet werden. Typische Beispiele:

Datenschutz: Die Datenschutz-Grundverordnung verlangt unter anderem, Verfügbarkeit und Zugang zu personenbezogenen Daten nach einem Zwischenfall rasch wiederherstellen zu können und die Wirksamkeit dieser Maßnahmen regelmäßig zu überprüfen. Bei Datenschutzverletzungen gelten zudem kurze Meldefristen gegenüber der Aufsicht.
NIS2 und BSI-Gesetz: Für betroffene Einrichtungen gehören Backup-Management, Wiederherstellung und Krisenmanagement zu den geforderten Sicherheitsmaßnahmen, erhebliche Vorfälle müssen gestuft an das BSI gemeldet werden, und die Geschäftsleitung trägt Verantwortung für die Umsetzung.
Aufbewahrungspflichten: Steuerlich relevante Daten müssen über die gesetzlichen Fristen vollständig und unverändert verfügbar bleiben – auch nach einer Wiederherstellung.
Cyberversicherung: Versicherer fragen regelmäßig nach getesteten, getrennten oder unveränderbaren Backups. Wer im Schadenfall nicht belegen kann, dass zugesagte Maßnahmen umgesetzt waren, riskiert Diskussionen über die Leistung.

Rechtslage im Einzelfall prüfen

Welche Vorgaben für Ihre Organisation konkret gelten, hängt von Branche, Größe, Rechtsform und – bei Kommunen – auch vom jeweiligen Landesrecht ab. Die geltende Rechtslage sollte deshalb vorab geprüft werden, etwa gemeinsam mit Ihrem Datenschutzbeauftragten, Informationssicherheitsbeauftragten oder einer rechtlichen Beratung. Gemeinsam ist allen Vorgaben: Es reicht nicht, Backups zu haben. Sie müssen geprüft sein – und diese Prüfungen müssen dokumentiert sein.

Dokumentieren, was Sie im Ernstfall tun

wann der Vorfall entdeckt wurde und wer wann informiert wurde – wichtig für Meldefristen,
welcher Wiederherstellungspunkt gewählt wurde und warum,
welche Systeme wiederhergestellt und welche neu aufgebaut wurden,
welche Zugangsdaten erneuert und welche Konten entfernt wurden,
welche Notfallzugänge vergeben und wann sie wieder entzogen wurden.

Das hilft gegenüber Aufsicht, Versicherung und Prüfern – und ist die Grundlage, um aus dem Vorfall zu lernen.

Warum ein Wiederanlauf so lange dauern kann

Von außen wirkt es oft unverständlich, wenn eine Organisation wochenlang nicht arbeitsfähig ist, obwohl Backups vorhanden sind. Der Angriff auf das Hochschulservicezentrum Baden-Württemberg zeigt das gerade sehr deutlich: Die Systeme gehen erst wieder in Betrieb, wenn sicher ist, dass von ihnen keine Gefahr mehr ausgeht. Genau diese Sorgfalt ist der Grund für die lange Dauer – und sie ist richtig. Wie solche Abläufe in der Praxis aussehen, haben wir in unseren Beiträgen zum Wiederanlauf beim HSZ-BW und zu den Angriffen auf Eichstätt, Cham und das HSZ-BW beschrieben.

Vorher üben, nicht im Ernstfall lernen

Wissen Sie, wie lange Ihre Backups zurückreichen – und ob das genügt, um einen sauberen Stand zu finden?
Gibt es Kopien, die ein Angreifer mit Administratorrechten nicht löschen oder verschlüsseln kann?
Werden Wiederherstellungen regelmäßig automatisch getestet – und gibt es dazu Berichte?
Gibt es eine Liste aller privilegierten Konten und Dienstkonten?
Ist im Notfallplan festgelegt, wer entscheidet, wann ein System wieder ans Netz darf – und wer die notwendigen Meldungen übernimmt?

Wer diese Fragen beantworten kann, verkürzt den Wiederanlauf im Ernstfall von Wochen auf Tage – und steht auch gegenüber Aufsicht und Versicherung auf sicherem Boden.

Fazit

Ein Backup ist die Voraussetzung für den Wiederanlauf, aber nicht der Wiederanlauf selbst. Sicher zurück kommt, wer den Einstiegsweg kennt, den letzten sauberen Stand findet, in Quarantäne wiederherstellt, Zugangsdaten konsequent erneuert, Notfallzugänge wieder schließt – und all das belegen kann. Backups lernen nicht aus Fehlern – Angreifer schon.

Wie gut ist Ihre Organisation auf einen Wiederanlauf vorbereitet?

Als Veeam-Partner erarbeiten wir mit Ihnen ein passendes Sicherungs- und Wiederanlaufkonzept – von unveränderbaren Backups über automatisierte Wiederherstellungstests bis zur Dokumentation für Aufsicht, Prüfer und Cyberversicherung. Im Ernstfall unterstützen wir bei der forensischen Aufarbeitung und beim sicheren Wiederanlauf.

Kontakt aufnehmen