Ransomware-Attacken: Wirkung von Backups oft überschätzt

Wiederherstellung nach Ransomware-Vorfall kann sehr lange dauern

[datensicherheit.de, 22.03.2022] Reinhard Zimmer, „Regional Sales Manger“ bei Zerto, betont in seiner aktuellen Stellungnahme: „Um ein mögliches Ransomware-Worst-Case-Szenario zu verhindern, ist ein schneller Wiederanlauf entscheidend. Moderne Lösungen ermöglichen die Wiederherstellung komplexer Anwendungen in sehr kurzer Zeit und senken damit die Ausfallzeit dramatisch auf nur wenige Minuten.“ Er warnt davor, sich allein auf Backup-Lösungen zu verlassen.

Foto: Zerto

Reinhard Zimmer: Erfolgreiche Ransomware-Angriffe heutzutage leider eine alltägliche Schreckensmeldung…

Für Opfer eines Ransomware-Angriffes gibt es äußerst ungünstige Zeitpunkte

Erfolgreiche Ransomware-Angriffe seien heutzutage leider eine alltägliche Schreckensmeldung. „Gefährdet sind generell alle Unternehmen, die wichtige Daten für ihre Arbeit benötigen.“ Zwar gebe es an sich keinen guten Zeitpunkt, um Opfer eines Ransomware-Angriffes zu werden, doch es gebe sehr wohl äußerst ungünstige Zeitpunkte. Zimmer erläutert: „Nämlich dann, wenn ein Unternehmen am verwundbarsten ist. Die Hauptreisezeit wäre für einen Reiseveranstalter beispielsweise ein eher schlechter Zeitpunkt, der im schlimmsten Fall das Bestehen des Unternehmens gefährden kann.“ Auch für Online-Händler gebe es den Zeitpunkt eines Ransomware-Super-GAUs: Die Vorweihnachtszeit etwa, wenn sehr viele Kunden ihre Weihnachtseinkäufe erledigten.

Zimmer betont: „Wann Unternehmen aufgrund ihres Geschäfts am verwundbarsten sind, wissen natürlich auch die Hacker – und warten mitunter auf den richtigen Moment, um ihren Angriff zu starten. Im schlimmsten Fall sind die Hacker bereits in einer Umgebung verankert und warten nur auf den besten Zeitpunkt, um die Daten zu verschlüsseln. Sind die Daten für das Unternehmen zum ungünstigsten Zeitpunkt erst einmal verschlüsselt, erhöht das die Wahrscheinlichkeit, dass das Unternehmen das erpresste Lösegeld bezahlt, um die dringend benötigten Systeme schnell wieder zum Laufen zu bringen.“

Wiederherstellung nach Ransomware-Angriff kann Tage bis Wochen dauern

„Idealerweise sind die Abwehrmaßnahmen eines Unternehmens so gut, dass es erst gar nicht Opfer einer erfolgreichen Ransomware-Attacke wird“, sagt Zimmer. Doch die tagtäglichen Meldungen über erfolgreiche Attacken lehrten uns, dass es eine hundertprozentige Abwehr gegen die gewieften Angreifer derzeit noch nicht gebe. Damit sollten Unternehmen auf die zweitbeste Abwehr setzen: „Denn Unternehmen, die ihre Systeme schnell wiederherstellen können, nehmen den Angreifer den Wind aus den Segeln.“

In der Realität sei die schnelle Wiederherstellung in vielen Unternehmen jedoch nicht so einfach. Der Hauptgrund hierfür sei, dass Unternehmen auch für ihre kritischen Anwendungen auf veraltete Backup-Technologien setzten. „Das mag bei sehr kleinen Umgebungen vielleicht noch funktionieren. Bei größeren Umgebungen kann die Wiederherstellung jedoch Tage oder Wochen dauern.“

Work Recovery Time muss bei 
Dauer der Wiederherstellung nach Ransomware-Befall berücksichtigt werden

Zimmer erläutert, wie es dazu kommt, dass gehackte Unternehmen eine derart lange Zeit benötigen, um ihre IT wieder ans Laufen zu bringen: Das grundlegende Problem bei der Wiederherstellung liege im Unterschied zwischen Anwendungen und Servern. „Legacy-Backup-Tools“ schützten nur einzelne Server. Eventuell könnten zwar Servergruppen gebildet werden, nichtsdestotrotz werde innerhalb des Backup-Jobs jeder Server einzeln zu einem anderen Zeitpunkt geschützt. Damit sei das Problem bei der Wiederherstellung schon zum Zeitpunkt des Backups vordefiniert.

„Wenn der Backup-Administrator mit dem ,Restore‘ der Server fertig ist, geht die eigentliche Arbeit erst richtig los. Denn jetzt muss man aus der Ansammlung einzelner VMs wieder eine funktionierende Anwendung schaffen“, führt Zimmer aus. Dazu seien je nach Anwendung unterschiedliche Verfahren notwendig, welche meist nur sehr wenige Personen im Unternehmen durchführen könnten beziehungsweise dürften. Der Prozess, eine komplette Anwendung wiederherzustellen umfasse die Zeitspanne „RTO + WRT“ (Recovery Time Objective + Work Recovery Time).

Problem, wenn durch Ransomware-Angriff sämtliche Applikationen lahmgelegt werden

Dieser komplette Prozess könne je nach Größe und Komplexität der wiederherzustellenden Anwendungen einige Stunden in Anspruch nehmen. Zimmer kommentiert: „Und genau hier liegt das Problem, wenn durch einen Ransomware-Angriff sämtliche Applikationen eines Unternehmens lahmgelegt werden. Die Anzahl der Mitarbeiter, die imstande sind, die Daten wiederherzustellen und die Anwendungen neu zu starten, ist sehr gering.“

Man könne sich leicht ausrechnen, wie lange es brauchen würde, 200 kritische Anwendungen wiederherzustellen, wenn die mittlere Wiederherstellungszeit pro Anwendung sechs Stunden betrage und zwei Teams mit den nötigen Kenntnissen und Berechtigungen zur Verfügung stünden, 18 Stunden am Tag arbeiten: „exakt 33 Tage“. Genau dieser Problematik seien sich erschreckend viele Unternehmen leider nicht bewusst. Diese lernten die Eigendynamik eines solchen Systems erst im Ernstfall kennen – „dann aber ist es zu spät“.

Erfahrungen mit Ausfällen im großen Stil nach Ransomware-Attacke liegen in der Praxis bei vielen noch nicht vor

Im Alltag der meisten Unternehmen sei es in den letzten Jahren meist nur zu Ausfällen einzelner Applikationen gekommen. „Für die Wiederherstellung stand dann immer die ganze Aufmerksamkeit sowohl der Backup- als auch der Applikationsfachleute zur Verfügung und die Wiederherstellung erfolgte entsprechend akzeptabler Zeit von wenigen Stunden.“ Erfahrungen mit Ausfällen im großen Stil indes gebe es aus der Praxis meist nicht.

Zimmer berichtet: „Und die sogenannten DR- oder K-Fall-Tests werden regelmäßig nach Prüfung bestanden, was Unternehmen in Sicherheit wiegt. Aber diese Tests haben kaum Aussagekraft im Falle eines groß angelegten Ransomware-Angriffs. Denn diese werden typischerweise nur auf Basis eines HA-Tests durchgeführt und die Backup-Umgebungen generell keine Recovery-Tests von mehr als 100 Applikationen erlauben.“ Also gehe man davon aus, dass die Standardmaßnahmen, welche beim normalen „Restore“ praktiziert würden, notfalls auch im großen Stil funktionierten. Dieser Irrglaube bleibe hartnäckig bestehen, weil nahezu alle namhaften Backup-Anbieter ihre Produkte auch als Lösung für „Disaster Recovery“ anpriesen.

Wiederherstellung nach Ransomware-Vorfall in wenigen Minuten mit ein paar Klicks möglich

Die Lösung dieses Problems sei sowohl theoretisch als auch praktisch relativ einfach: „Man sollte statt Server von Beginn an Anwendungen als Konsistenzgruppen schützen. Entsprechend moderne Lösungen, die kontinuierliche Datensicherung, kurz CDP, anstatt von periodischen Backups für Backup nutzen, gibt es am Markt bereits. Diese Lösungen führen ,Disaster Recovery‘, Backup, und ,Cloud‘-Mobilität in einer einzigen, einfachen und skalierbaren Lösung zusammen.“ Sie böten die Grundlage für eine kontinuierliche Datenreplikation ohne Beeinträchtigung der „Performance“ und ermöglichten die konsistente Wiederherstellung von Anwendungen von vor wenigen Sekunden bis von vor Jahren. Ein Journal vereine die kurz- als auch die langfristige Speicherung der Daten und ermögliche dank Orchestrierung die Wiederherstellung von Dateien, VMs, Anwendungen oder ganzen Rechenzentren „in einem benutzerfreundlichen ,Workflow‘ mit nur wenigen Klicks“.

Diese „Workflows“ seien plattformübergreifend konsistent und erlaubten ein einfaches „Failover“ auf einen sekundären Standort – und die einfache Wiederherstellung einer Datei, VM oder einer gesamten Anwendung. Diese Orchestrierung und Automatisierung ermögliche es Unternehmen, alles vorzudefinieren, um „Workloads“ wie Boot-Reihenfolgen, die Verknüpfung von IPs oder Netzwerk erfolgreich mit wenigen Klicks wiederherzustellen.

Ransomware-Worst-Case-Szenario nur bei schnellem Wiederanlauf zu verhindern

In der heutigen Bedrohungslandschaft wüssten Ransomware-Angreifer genau, „wann ein Angriff den größten Schaden anrichten kann“. Um den schlimmsten Fall zu verhindern, verließen sich viele Unternehmen zu sehr auf Backups und vergäßen dabei, dass es dann im Ernstfall Wochen dauern könne, um alle kritischen Anwendungen wieder herzustellen.

„Um ein mögliches Ransomware-Worst-Case-Szenario zu verhindern, ist ein schneller Wiederanlauf jedoch absolut entscheidend. Moderne Lösungen ermöglichen die Wiederherstellung komplexer Anwendungen in sehr kurzer Zeit und senken damit die Ausfallzeit dramatisch auf nur wenige Minuten“, unterstreicht Zimmer abschließend.

Weitere Informationen zum Thema:

datensicherheit.de, 23.12.2021
Backup und Disaster Recovery für die kritische Infrastruktur / Vorbereitung auf den Ernstfall

datensicherheit.de, 28.05.2021
Datenmanagement und Datensicherheit mit Backup & Replication / Datensicherung und Datenmanagement haben für Unternehmen wegen drohender Ransomware-Attacken und der Veränderung der Arbeitswelt stark zunehmende Bedeutung