8 Ransomware-Akteure nehmen zunehmend zuerst die Backup-Infrastruktur ins Visier. Werden Wiederherstellungspunkte gelöscht oder verschlüsselt, verliert das Unternehmen seinen Handlungsspielraum und muss unter Zeitdruck schwierige Entscheidungen treffen. Für CISOs und Sicherheitsarchitekten lautet die Frage nicht mehr, ob Backups existieren. Entscheidend ist, ob Backups eine vollständige administrative Kompromittierung überstehen. Air-Gap-Backup-Speicher begegnet diesem Problem, indem er Wiederherstellungsdaten von Produktionssystemen isoliert und den Blast Radius eines Angriffs begrenzt. Dieser Artikel erläutert, was Air-Gap-Backup-Speicher in modernen Architekturen bedeutet und warum er nach wie vor ein grundlegendes Kontrollinstrument ist – im Rahmen einer Cyberresilienz-Strategie für Unternehmen. Was ist Air-Gap-Backup-Speicher? Air-Gap-Backup-Speicher ist ein Architekturansatz, der Backup-Daten von der primären Produktions- und Identitätsumgebung isoliert. Ziel ist sicherzustellen, dass eine Kompromittierung von: Active Directory Hypervisoren Backup-Management-Servern privilegierten Anmeldedaten Automatisierungspipelines sich nicht automatisch auf die gespeicherten Wiederherstellungsdaten ausweitet. Es gibt zwei grundlegende Modelle: Physische IsolationBackup-Medien sind vollständig vom Netzwerkzugriff getrennt. Klassisches Beispiel ist das Offline-Band. Logische IsolationDer Backup-Speicher bleibt online, ist aber durch strenge Kontrollen geschützt, die Änderungen oder Löschungen verhindern – selbst wenn Anmeldedaten kompromittiert werden. Die meisten modernen Unternehmen setzen logische Air Gaps um, damit sie operativ agil bleiben und die Isolationseigenschaften dennoch erhalten. Das Sicherheitsproblem, das Air-Gap-Architekturen lösen Backup-Systeme teilen sich oft dieselbe administrative Domäne wie die Produktions-Workloads. Erlangen Angreifer privilegierten Zugriff, können sie: Backup-Jobs deaktivieren Aufbewahrungsfristen verkürzen Backup-Repositorys löschen gespeicherte Wiederherstellungspunkte verschlüsseln Backup-Daten exfiltrieren So entsteht ein gemeinsamer Blast Radius über Produktion und Wiederherstellung hinweg. Eine Air-Gap-Architektur durchbricht diese Abhängigkeitskette. Isolation geht davon aus, dass eine Kompromittierung möglich ist, und trennt das, was überdauern muss, von dem, was wahrscheinlich angegriffen wird. Strategischer Nutzen für CISOs Air-Gap-Backup-Speicher liefert mehrere Ergebnisse, die auf der Ebene des Managementrisikos zählen. 1. Eindämmung administrativer Kompromittierung Moderne Ransomware-Kampagnen eskalieren häufig Berechtigungen, bevor sie zuschlagen. Ist der Backup-Speicher über dieselbe Identitätsinfrastruktur erreichbar, können Angreifer Wiederherstellungspunkte zerstören, bevor die Verschlüsselung beginnt. Isolation schafft eine Trennung zwischen: Identitätsebenen administrativen Rollen Management-Netzwerken Steuerungsschnittstellen des Speichers Das verringert die systemische Angriffsfläche. 2. Erhalt des Entscheidungsspielraums Wenn saubere Backups überdauern, behalten Unternehmen ihre Optionen: Wiederherstellung ohne Lösegeld Validierung des Ausmaßes der Kompromittierung Durchführung forensischer Analysen Gezielter Wiederaufbau Ohne Isolation können Wiederherstellungspläne zusammen mit den Produktionssystemen zusammenbrechen. Air-Gap-Backup-Speicher erhöht die Wahrscheinlichkeit, dass die Wiederherstellung auch nach einem erheblichen Eindringen möglich bleibt. 3. Verringerung des Risikos korrelierter Ausfälle Sicherheitsarchitekten konzentrieren sich oft darauf, Single Points of Failure in der Infrastruktur zu beseitigen. Dasselbe Denken gilt für Sicherheitskontrollen. Wenn Backup-Systeme auf dieselben Authentifizierungsanbieter Netzwerksegmente administrativen Anmeldedaten anfälligen Betriebssysteme angewiesen sind, kann eine einzige Kompromittierung einen kaskadierenden Ausfall auslösen. Isolation verringert korrelierte Risiken über Kontrolldomänen hinweg. 4. Unterstützung regulatorischer und Governance-Anforderungen Regulierte Branchen verlangen häufig die Gewissheit, dass gespeicherte Aufzeichnungen innerhalb festgelegter Aufbewahrungszeiträume nicht verändert werden können. Air-Gap-Architekturen in Kombination mit erzwungener Unveränderlichkeit bieten technische Kontrollen, die Folgendes unterstützen: Write-Once-Aufbewahrungsanforderungen Durchsetzung von Legal Holds Belastbarkeit bei Audits Vorgaben zur Datenaufbewahrung Damit verlagert sich Compliance von einer rein richtlinienbasierten zu einer architektonischen Durchsetzung. Logischer Air Gap in modernen Unternehmensumgebungen Air Gaps erfordern keine getrennte Hardware mehr. Moderne Designs setzen auf mehrschichtige Kontrollen, um vergleichbare Isolationsergebnisse zu erzielen. Zu den zentralen Architekturkomponenten zählen typischerweise: Erzwungene unveränderliche Aufbewahrung Aufbewahrungsrichtlinien auf Objektebene verhindern das Löschen oder Ändern innerhalb festgelegter Zeiträume – unabhängig von administrativen Absichten. Segmentierte Control Planes Der Backup-Speicher befindet sich in einem dedizierten Netzwerksegment mit eingeschränktem Routing und eng begrenztem API-Zugriff. Gehärtete Speichersysteme Speicherplattformen werden minimiert, um die Anfälligkeit für gängige Schwachstellen zu verringern und unnötige Dienste zu begrenzen. Strikte Identitätstrennung Konten für die Backup-Administration sind von den administrativen Domänen der Produktion getrennt – mit strengen Berechtigungsgrenzen und Multi-Faktor-Authentifizierung. Einzeln verringern diese Kontrollen das Risiko. Zusammen bilden sie einen praxistauglichen Air Gap. Air Gap und Unveränderlichkeit im Vergleich Unveränderlichkeit verhindert, dass gespeicherte Daten verändert werden.Ein Air Gap verhindert, dass kompromittierte Systeme die gespeicherten Daten erreichen. Für Sicherheitsarchitekten ist diese Unterscheidung wichtig. Ein unveränderliches Repository innerhalb einer vollständig kompromittierten administrativen Domäne kann dennoch gefährdet sein, wenn Angreifer Aufbewahrungsrichtlinien ändern oder Container löschen können, bevor die Sperre greift. Isolation stellt sicher, dass sich Unveränderlichkeitskontrollen nicht einfach durch die Kompromittierung einer Domäne umgehen lassen. Die Kombination dieser Kontrollen erhöht die Resilienz. Einklang mit Zero-Trust-Prinzipien Zero Trust geht von einer Kompromittierung aus und minimiert implizites Vertrauen zwischen Systemen. Air-Gap-Backup-Speicher steht im Einklang mit diesem Ansatz durch: Beseitigung impliziten Vertrauens zwischen Produktions- und Wiederherstellungssystemen Einschränkung der Wege für laterale Bewegungen Durchsetzung von Zugriffen nach dem Least-Privilege-Prinzip Reduzierung des administrativen Blast Radius Statt anzunehmen, dass Backups sicher sind, weil sie intern liegen, behandelt Isolation die Wiederherstellungsinfrastruktur als eigene Vertrauensdomäne. Architektonische Aspekte für Sicherheitsarchitekten Bei der Bewertung von Strategien für Air-Gap-Backup-Speicher sollten CISOs und Architekten prüfen: Nutzt der Backup-Speicher denselben Identitätsanbieter wie die Produktion? Kann ein kompromittierter Domänenadministrator die Aufbewahrungseinstellungen ändern? Sind Schnittstellen zur Speicherverwaltung aus Produktionsnetzwerken erreichbar? Sind Audit-Protokolle manipulationssicher und unabhängig gespeichert? Werden Wiederherstellungsdaten über unabhängige Standorte hinweg repliziert? Diese Fragen zielen auf die architektonische Trennung, nicht nur auf Funktions-Checklisten. Isolation über geografische Grenzen hinweg Die Isolation wird gestärkt, wenn Wiederherstellungsdaten auf mehrere Standorte verteilt sind. Multi-Site-Replikation mit erzwungenen Aufbewahrungsrichtlinien verringert das Risiko durch: regionale Ausfälle physische Zugriffsbedrohungen Kompromittierung auf Standortebene Sabotage der Infrastruktur Geografische Trennung ergänzt die administrative Trennung. Für große Unternehmen kann dies den Unterschied zwischen einer teilweisen Störung und einem langen Ausfall ausmachen. Häufige Fallstricke Air-Gap-Backup-Speicher kann scheitern, wenn er nur oberflächlich umgesetzt wird. Typische Probleme sind: gemeinsame administrative Anmeldedaten über Domänen hinweg Backup-Server, die in das Active Directory der Produktion eingebunden sind unzureichende Durchsetzung der Aufbewahrung Zu weit gefasste IAM-Richtlinien keine regelmäßigen Tests der Wiederherstellungsverfahren Isolation muss bewusst gestaltet und durch Szenariotests validiert werden. Wann Air-Gap-Backup-Speicher besonders wichtig ist Isolation ist grundsätzlich von Vorteil, besonders wichtig aber für: Finanzdienstleister Gesundheitswesen und Kliniksysteme kritische Infrastrukturen Öffentlicher Sektor und Behörden Unternehmen mit geringer Toleranz für Ausfallzeiten In diesen Umgebungen hat ein Scheitern der Wiederherstellung operative, rechtliche und reputationsbezogene Folgen. Abschließende Einordnung Air-Gap-Backup-Speicher ist kein Relikt aus der Bandära. Er ist eine architektonische Kontrolle, die die Wiederherstellbarkeit auch bei vollständiger administrativer Kompromittierung sicherstellen soll. CISOs gibt er die Gewissheit, dass ein einzelner Angriff nicht gleichzeitig Produktion und Wiederherstellung auslöschen kann. Für Sicherheitsarchitekten schafft er eine Trennung über Identitäts-, Netzwerk- und Speicherdomänen hinweg – das verringert das Risiko korrelierter Ausfälle und stärkt die Resilienz. Während sich Ransomware-Taktiken weiterentwickeln, bleibt Isolation eine der wenigen Kontrollen, die direkt beim Kernziel moderner Angriffe ansetzt: der Zerstörung der Wiederherstellungsfähigkeit.
