Backup ist kein Disaster Recovery: was ein grünes Dashboard nicht beweist
- Ein grüner Backup-Job belegt allein den RPO: Atlassians eigene Analyse des Ausfalls vom April 2022, 775 Kundeninstanzen über bis zu 14 Tage wiederhergestellt, bringt es in einem Satz auf den Punkt: „Wir haben unseren RTO verfehlt, aber unseren RPO eingehalten“
- AWS rechnet die Division selbst vor: 82 TB wandern bei dauerhaften 100 MB/s in 9,49 Tagen und bei 400 MB/s in 2,37 Tagen; 500 TB bei 400 MB/s sind rund 14,5 Tage reine Datenbewegung, bevor irgendetwas gestartet wird
- Einen Domänencontroller wiederherzustellen ist nicht dasselbe wie eine Gesamtstruktur: Das Verfahren des Herstellers hat fünf Hauptschritte, stellt genau einen beschreibbaren Controller je Domäne mit abgezogenem Netzwerkkabel wieder her und setzt das krbtgt-Passwort zweimal zurück, weil dessen Verlauf zwei Passwörter umfasst
- Angreifer zielen inzwischen auf den Wiederherstellungsweg: Mandiants M-Trends 2026 aus über 500.000 Stunden Untersuchungen des Jahres 2025 berichtet von Betreibern, die Backup-Infrastruktur, Identitätsdienste und Management-Ebenen der Virtualisierung angreifen, bei einer medianen Verweildauer, die von 11 auf 14 Tage gestiegen ist
- Das EU-Recht ist beim Nachweis deutlich: Die Durchführungsverordnung (EU) 2024/2690 der Kommission verlangt in Punkt 4.2.6 regelmäßige Wiederherstellungstests, die „die Kopien, Prozesse und das Wissen“ abdecken, und Punkt 4.1.4 fordert Tests „in geplanten Abständen“, nicht jährlich
Drei Pläne, und Backup ist keiner davon
Die NIST Special Publication 800-34 Revision 1 unterscheidet drei Plantypen, die die meisten Umgebungen für eine einzige Sache halten.
| PLAN | WAS DER STANDARD ABDECKT |
|---|---|
| Business Continuity Plan | die Aufrechterhaltung von „Mission- und Geschäftsprozessen während und nach einer Störung“ |
| Disaster Recovery Plan | die Wiederherstellung der „Betriebsfähigkeit des Zielsystems … an einem Ausweichstandort“ |
| System Contingency Plan | „Bewertung und Wiederherstellung eines Systems nach einer Systemstörung“ |
| Backup | gar nicht definiert; es taucht nur als operative Maßnahme auf, „Systemdaten sollten regelmäßig gesichert werden“ |
NIST SP 800-34 Rev. 1, Abschnitte 2.2 und 3.4.2. Die letzte Zeile ist die Pointe: Die Standards behandeln Backup als Bestandteil eines Plans, nicht als Fähigkeit.
Abschnitt 3.2.1 definiert die Zahlen: Der RTO ist „die maximale Zeitspanne, die eine Systemressource nicht verfügbar sein kann“, bevor die Auswirkung nicht mehr hinnehmbar ist, der RPO der Punkt, „auf den Daten von Mission- und Geschäftsprozessen wiederhergestellt werden können“. Unser Leitfaden zu RPO und RTO erklärt, wie man sie festlegt. NIST stellt Backup auch auf die Kostenkurve: „Je kürzer der RTO, desto teurer die Wiederherstellungslösungen … während ein System mit geringer Auswirkung und längerem RTO ein weniger kostspieliges einfaches Bandbackup einsetzen könnte.“
AWS teilt dasselbe Feld in vier Strategien wachsender Fähigkeit: Backup and Restore, Pilot Light, Warm Standby und Multi-Site Active/Active. Backup and Restore ist die erste, und ihr Zweck ist „die Abmilderung von Datenverlust oder Datenbeschädigung“. Nicht der Verlust eines Standorts. Ein Satz auf derselben Seite entscheidet die Frage: „Wie oft Sie Ihr Backup laufen lassen, bestimmt Ihren erreichbaren Wiederherstellungspunkt.“ Die Backup-Frequenz legt den RPO fest und sagt nichts über den RTO. ISO 22301:2019 deckt dasselbe Feld ab, der Text der Klauseln steht jedoch hinter einer Bezahlschranke, die Definitionen hier stammen daher von NIST.
Was ein Backup nicht wiederherstellt
Ein Backup-Job erfasst Daten. Eine Umgebung besteht aus Daten plus der Maschinerie, die Daten nutzbar macht: Identität, Schlüssel, Geheimnisse, die Management-Ebene und die Reihenfolge, in der Dinge starten dürfen. Jeder Punkt unten stammt aus der Dokumentation des jeweiligen Herstellers.
Identität. Der Leitfaden zur Wiederherstellung einer Active-Directory-Gesamtstruktur ist ein Verfahren aus fünf Schritten, und ein Backup liefert einen Teil von Schritt drei. Sie stellen je Domäne „einen beschreibbaren Domänencontroller aus dem Backup“ wieder her, mit „nicht angeschlossenem Netzwerkkabel“, und führen darauf zwei Wiederherstellungen gleichzeitig aus: „eine nicht autoritative Wiederherstellung von AD DS und eine autoritative Wiederherstellung von SYSVOL“. Der Rest ist Handarbeit. Übernehmen Sie die domänen- und gesamtstrukturweiten Betriebsmasterrollen, räumen Sie die Metadaten jedes Controllers auf, den Sie nicht wiederherstellen, heben Sie den verfügbaren RID-Pool um 100.000 an und setzen Sie das krbtgt-Passwort zweimal zurück, denn „der Passwortverlauf von krbtgt umfasst zwei Passwörter“, und nach einem einzelnen Zurücksetzen bleibt ein gefälschtes Ticket gültig.
Der Aufräumschritt zählt auf, was das Backup nie enthielt. Ausgehende Vertrauensstellungen: „Diese externen Vertrauensstellungen werden nicht automatisch aus Backups wiederhergestellt.“ DNS- und WINS-Einträge, von Hand neu konfiguriert. Alles nach dem Wiederherstellungspunkt, denn hinzugefügte Objekte und „Aktualisierungen (etwa Passwortänderungen) … gehen verloren“. Und zwei Details widersprechen den meisten Aufbewahrungsrichtlinien: Der Leitfaden empfiehlt, aus „Backups wiederherzustellen, die einige Tage vor … dem Ausfall erstellt wurden“, und das Backup selbst verfällt, denn seine Lebensdauer ist „der Wert deletedObjectLifetime oder der Wert tombstoneLifetime, je nachdem, welcher kleiner ist“.
Schlüssel und Geheimnisse. Das PKI-Team desselben Herstellers hat im April 2010 dokumentiert, dass auf Windows Server 2008 und 2008 R2 ein Systemstatus-Backup den privaten Schlüssel der Zertifizierungsstelle überhaupt nicht erfasst hat. Nehmen Sie das Prinzip, nicht die Version: Der Schlüssel braucht ein bewusstes, getrennt geprüftes Backup, und eine ohne ihn wiederhergestellte Zertifizierungsstelle ist eine neue Zertifizierungsstelle. Azure Key Vault hat seine eigene Variante davon. Es „bietet derzeit keine Möglichkeit, einen ganzen Key Vault in einem einzigen Vorgang zu sichern“, und das Blob muss in „dasselbe Azure-Abonnement und dieselbe Azure-Geografie“ zurückgespielt werden; ein Plan, dessen Zweck es ist, genau diese Geografie zu verlassen, kann diese Backups also nicht nutzen.
Die Management-Ebene. Ein dateibasiertes Backup des vCenter Server enthält Konfiguration, Inventar und historische Daten der Appliance, aber die Wiederherstellung ist keine Wiederherstellung. Broadcom beschreibt, dass „eine neue vCenter-Server-Appliance bereitgestellt und die Daten aus dem dateibasierten Backup“ dorthin kopiert werden, wofür zuerst ein funktionierender ESXi-Host zum Bereitstellen nötig ist; und wo vCenter High Availability im Einsatz war, kommt die Wiederherstellung ohne sie zurück: „Sie müssen den Cluster neu aufbauen.“ Die Management-Ebene muss teilweise am Leben sein, um die Management-Ebene wiederherzustellen. Für den Verlust von vCenter und allen zugehörigen ESXi-Hosts zugleich veröffentlicht Broadcom kein Verfahren, und wir erfinden keines.
Die Reihenfolge. NIST SP 800-34 hält in Abschnitt 3.2.3 fest, dass „Prioritätsstufen festgelegt werden können, um Wiederherstellungsaktivitäten in eine Abfolge zu bringen“; die Durchführungsverordnung (EU) 2024/2690 macht daraus eine Pflicht, denn Buchstabe (e) der vorgeschriebenen Planinhalte lautet wörtlich „Reihenfolge der Wiederherstellung der Betriebsabläufe“. Die Reihenfolge entscheidet, ob überhaupt etwas starten kann: Identität und Namensauflösung kommen vor den Datenbanken, die sich gegen sie authentifizieren, und die Management-Ebene kommt vor den Maschinen, die sie einplant. Netzwerkkonfiguration und Lizenzserver gehören auf dieselbe Liste, auch wenn kein Herstellerdokument das klar ausspricht; der ehrliche Anker ist daher Buchstabe (g), „erforderliche Ressourcen, einschließlich Backups und Redundanzen“.
Die Rechnung hinter der Wiederherstellungszeit
Die Wiederherstellungszeit entsteht aus drei Faktoren, die kein Dashboard zeigt: Bytes geteilt durch Durchsatz, die Zahl der Systeme und die Tiefe der Abhängigkeiten. Die erste Rechnung hat AWS für eine Übertragung von 82 TB öffentlich vorgerechnet.
| DAUERHAFTE RATE | ZEIT FÜR 82 TB |
|---|---|
| 800 MB/s | 1,22 Tage |
| 400 MB/s | 2,37 Tage |
| 200 MB/s | 4,75 Tage |
| 100 MB/s | 9,49 Tage |
| 60 MB/s | 15,53 Tage |
| 10 MB/s | 85,42 Tage |
Dokumentation der AWS Snow Family; die vollständige Tabelle führt auch 450, 300, 277 und 30 MB/s. Es ist eine Übertragungstabelle für Snow-Geräte, kein Wiederherstellungs-Benchmark für ein Backup-Produkt: die richtige Rechenart, keine Leistungsaussage.
Lesen Sie die Zeile mit 100 MB/s zweimal: eine respektable Dauerrate auf einem Pfad der 1-GbE-Klasse macht aus 82 TB 9,49 Tage, bevor eine einzige Maschine startet. Dieses Verhältnis rechnen wir selbst hoch: 500 TB bei dauerhaften 400 MB/s sind rund 14,5 Tage reine Datenbewegung; das ist unsere Rechnung, keine Angabe von AWS. Halten Sie eine Umgebung dagegen: dreihundert virtuelle Maschinen mit im Schnitt 273 GB Plattenplatz ergeben etwa 82 TB, also 2,37 Tage bei 400 MB/s und 9,49 bei 100, bevor sich jemand anmeldet. Und die Rate bestimmt das langsamste Element im Pfad: GitLabs Post-mortem von 2017 hält eine Datenbankkopie fest, die „rund 18 Stunden“ dauerte, weil die Quelle auf etwa 60 Mbit/s gedrosselt war, rund 7,5 MB/s, langsamer als die unterste Zeile oben.
Der zweite Faktor ist die Stückzahl, die Atlassian im April 2022 live gemessen hat: rund 48 Stunden für einen Stapel Instanzen und rund 12 Stunden für eine einzelne Instanz, nachdem das Team mitten im Vorfall neue Werkzeuge gebaut hatte, über 775 Instanzen hinweg. Archivstufen legen dann eine Untergrenze fest, bevor das erste Byte wandert. Amazon S3 Glacier Flexible Retrieval schließt Standardabrufe typischerweise in 3 bis 5 Stunden ab und Massenabrufe in 5 bis 12; im Deep Archive dauern Standardabrufe typischerweise bis zu 12 Stunden und Massenabrufe bis zu 48, und einen beschleunigten Abruf gibt es dort gar nicht. Liegt die einzige saubere Kopie im Deep Archive, ist kein RTO unter 12 Stunden erreichbar.
Wiederhergestellt ist auch nicht dasselbe wie ordentlich lauffähig. AWS dokumentiert, dass ein aus einem Snapshot erzeugtes Volume während der Initialisierung „erhöhte E/A-Latenz und verringerte Leistung“ zeigen kann und die volle Leistung erst erreicht, „wenn alle Speicherblöcke heruntergeladen und geschrieben sind“. Jedes größere Backup-Produkt räumt den Punkt mit Instant Recovery ein: Die Last läuft aus der deduplizierten Backup-Datei, mit verringerter Leistung, bis sie auf den Produktionsspeicher migriert ist.
Ransomware macht das Backup zum Ziel
Alles bisher Gesagte nimmt an, das Backup sei unbeteiligt. Der stärkste Beleg dagegen ist Fallarbeit, keine Umfrage. M-Trends 2026, im März 2026 von Mandiant und Google Cloud aus über 500.000 Stunden Untersuchungen des Jahres 2025 veröffentlicht: „Ransomware-Gruppen verschlüsseln nicht mehr nur Daten; sie zerstören aktiv die Fähigkeit zur Wiederherstellung.“ Beobachtet wurden Betreiber, darunter die Gruppen hinter Akira und Qilin, die „Backup-Infrastruktur, Identitätsdienste und Management-Ebenen der Virtualisierung“ angriffen und Backup-Objekte aus dem Cloud-Speicher löschten: genau die drei Dinge, die ein grünes Dashboard nicht abdeckt. Die mediane Verweildauer lag bei 14 Tagen, nach 11 im Jahr davor.
| QUELLE | ART | STICHPROBE | WAS SIE BERICHTET |
|---|---|---|---|
| M-Trends 2026 | Fallarbeit, 2025 | über 500.000 Stunden Untersuchungen | Backup-Infrastruktur, Identität und Management-Ebenen der Virtualisierung im Visier |
| Sophos 2024 | Herstellerumfrage, Vanson Bourne | 2.974 in jenem Jahr getroffene Organisationen | 94 Prozent sagten, Angreifer hätten versucht, die Backups zu kompromittieren; bei 57 Prozent gelang es |
| Sophos 2026 | Herstellerumfrage, Vanson Bourne | 2.158 Entscheider in 17 Ländern | 55 Prozent waren binnen einer Woche wieder arbeitsfähig, 83 Prozent binnen eines Monats; 2 Prozent bekamen nichts zurück |
| Veeam 2025 | Herstellerumfrage | 1.300 Organisationen, davon 900 angegriffen | 10 Prozent stellten mehr als 90 Prozent ihrer Daten wieder her; 57 Prozent weniger als die Hälfte |
| Veeam 2026 | Herstellerumfrage | über 900 leitende IT- und Risikoverantwortliche | 90 Prozent sind zuversichtlich, innerhalb ihrer RTOs wiederherstellen zu können; weniger als jeder Dritte hat vollständig wiederhergestellt |
Die Umfragezeilen geben wieder, was die Befragten über ihre eigene Erfahrung gesagt haben, keine Messungen.
Die Zeilen von Sophos und Veeam wirken widersprüchlich und sind es nicht: Sophos fragt, ob überhaupt Daten zurückkamen, Veeam wie viele. Fast alle stellen etwas wieder her; fast niemand stellt alles wieder her. In demselben Sophos-Datensatz von 2024 zahlten Organisationen mit kompromittierten Backups doppelt so oft, 67 Prozent gegen 36, und ihre medianen Wiederherstellungskosten lagen achtmal höher.
Genau dafür gibt es die erweiterte Regel. Veeam formuliert 3-2-1 als drei Kopien, zwei Medienarten und mindestens eine außer Haus, schreibt sie nur „den frühen 2000er-Jahren“ zu, ohne einen Urheber zu nennen, und erweitert sie zu 3-2-1-1-0: eine Kopie „an einem unveränderlichen oder per Air Gap getrennten Ort“ und „null Backup-Fehler dank automatischer Integritätsprüfungen und regelmäßiger Wiederherstellungstests“. Die letzte Ziffer ist eine Testanforderung, keine Speicheranforderung; 3-2-1-1-0 ohne Wiederherstellungstest ist also 3-2-1-1. Das britische National Cyber Security Centre nannte 2019 den Grund für die Kopie außer Haus: Ransomware hat „die angeschlossenen USB- und Netzwerkspeicher mit den Datensicherungen“ verschlüsselt, weshalb „niemals alle Backups gleichzeitig angeschlossen“ sein sollten.
Immutability deckt einen Teil des Rests ab, mit dokumentierten Grenzen. Bei Amazon S3 Object Lock lässt sich der Governance-Modus von jeder Identität umgehen, die das Bypass-Recht besitzt, er versagt also in genau dem Szenario, für das er gekauft wurde; der Compliance-Modus ist absolut, bis auf einen Punkt: „Die einzige Möglichkeit, ein Objekt … vor Ablauf seines Aufbewahrungsdatums zu löschen, ist, das zugehörige AWS-Konto zu löschen.“ Der Rest ist Schlussfolgerung, kein Herstellertext: Immutability bewahrt, was geschrieben wurde, einschließlich der Daten, die während einer Verweildauer von 14 Tagen bereits verschlüsselt wurden, sie läuft ab, und sie sagt nichts über den Wiederherstellungsdurchsatz oder darüber, ob es ein Ziel zum Wiederherstellen gibt. Die Mechanik steht in unserem Beitrag dazu, wovor unveränderliche Backups schützen. Es ist eine Ziffer von fünf, und die anderen vier sind keine Speichereinstellungen.
Erprobte Wiederherstellung: was die Texte wirklich verlangen
Der verbindliche EU-Text ist die Durchführungsverordnung, nicht die Richtlinie. Die Durchführungsverordnung (EU) 2024/2690 der Kommission hält in Punkt 4.1.1 fest, dass sie „für die Zwecke von Artikel 21 Absatz 2 Buchstabe c der Richtlinie (EU) 2022/2555“ gilt. Punkt 4.2.6 ist die Klausel zur erprobten Wiederherstellung: Einrichtungen „führen regelmäßige Tests der Wiederherstellung von Sicherungskopien und Redundanzen durch, um sicherzustellen, dass unter Wiederherstellungsbedingungen auf sie Verlass ist und dass sie die Kopien, Prozesse und das Wissen für eine wirksame Wiederherstellung abdecken“. Drei Substantive, und nur das erste steht auf einem Dashboard. Prozesse heißt ein Runbook, das jemand anderes als sein Verfasser ausführen kann; Wissen heißt Menschen, die Punkt 4.2.1 neben „Einrichtungen, Netz- und Informationssystemen“ nennt.
Die Backup-Anforderungen in 4.2.2 lesen sich wie eine Checkliste, die nach einem Vorfall geschrieben wurde: Wiederherstellungszeiten; vollständige und korrekte Kopien „einschließlich der Konfigurationsdaten“; Speicherung „nicht im selben Netz wie das System“ und „in ausreichender Entfernung, um Schäden durch eine Katastrophe am Hauptstandort zu entgehen“; Zugriffskontrollen; die Wiederherstellung von Daten; Aufbewahrungsfristen. Buchstabe (b) nennt Konfigurationsdaten ausdrücklich, und Buchstabe (c) ist die Außer-Haus-Hälfte von 3-2-1, geschrieben ins EU-Recht. Punkt 4.2.3 ergänzt regelmäßige Integritätsprüfungen.
Bei der Häufigkeit widersprechen sich die Texte, und wir entscheiden das nicht. Punkt 4.1.4 sagt, die Pläne „werden in geplanten Abständen sowie nach schwerwiegenden Vorfällen oder erheblichen Änderungen getestet, überprüft und gegebenenfalls aktualisiert“. Das Wort jährlich steht an anderer Stelle desselben Anhangs, in den Punkten 1.1.2, 2.1.4 und 10.1.3, aber nicht im Abschnitt zur Geschäftskontinuität. Die Technical Implementation Guidance der ENISA in Version 1.0 vom Juni 2025 liest sich an der entsprechenden Stelle als „in geplanten Abständen und mindestens jährlich“. Wir konnten beides nicht in Einklang bringen. Die Verordnung bindet, die Leitlinie empfiehlt: Zitieren Sie 4.1.4 in der Richtlinie und rechnen Sie damit, dass ein Prüfer mit dem ENISA-Dokument in der Hand nach einem jährlichen Rhythmus sucht. Wer rundheraus sagt, NIS2 verlange jährliche Disaster-Recovery-Tests, zitiert keines von beiden.
NIST SP 800-84 ist streng mit dem Vokabular: Eine Tabletop-Übung ist diskussionsbasiert, bei einer funktionalen Übung nehmen die Beteiligten „ihre Aufgaben in einer simulierten Betriebsumgebung“ wahr, und „der Begriff ‚Test‘ ist für das Prüfen von Systemen oder Systemkomponenten reserviert“, nicht für das Üben von Plänen. AWS formuliert es operativ in der Anforderung REL13: „Üben Sie den Wiederherstellungsweg, um zu prüfen, dass Sie die Wiederherstellung in der festgelegten Zeit in den festgelegten Zustand schaffen“, denn „die einzige Fehlerbehebung, die funktioniert, ist der Weg, den Sie häufig testen“. AWS Backup verkauft den Nachweis als Funktion und misst die Dauer von Wiederherstellungsjobs, was ein Beleg für den RTO ist, während ein erfolgreiches Backup keiner ist. Nach einem Einbruch ergänzt NIST SP 800-61 Revision 3 zwei Prüfungen: die Wiederherstellungsressourcen „auf Kompromittierungsindikatoren, Dateibeschädigung und andere Integritätsprobleme vor der Nutzung“ und die wiederhergestellten Ressourcen, wobei „die Ursachen vor dem Produktiveinsatz“ zu beheben sind. Keine der beiden steht auf einem Backup-Bericht, und genau das ist der Unterschied zwischen einer Backup-Landschaft und einem Design für Cyber-Resilienz.
Wo die Backups vorhanden waren und die Wiederherstellung trotzdem scheiterte
Jeder Fall unten stammt aus dem veröffentlichten Bericht der Organisation selbst oder aus der beeideten Aussage ihres Vorstandsvorsitzenden. Presseberichte werden nicht verwendet.
Die British Library bestätigt in ihrer eigenen Analyse vom März 2024, dass „brauchbare Backup-Quellen gefunden wurden, die nicht betroffen waren“, und formuliert dann die These dieses Artikels aus Sicht des Opfers: „Wir sind vorübergehend dadurch behindert, dass es keine brauchbare Infrastruktur gibt, auf der wir sie wiederherstellen könnten.“ Der Angreifer hatte es bewusst auf den Unterbau abgesehen, mit einer Vorgehensweise, die „die Zerstörung von Servern zur Behinderung der Systemwiederherstellung“ einschloss, und einige Schlüsselsysteme „können nicht in der Form zurückgebracht werden, in der sie vor dem Angriff bestanden“. Was die Uhr stellte, waren nicht die Daten: „Die Abhängigkeit von Altinfrastruktur ist der wichtigste Faktor für die Dauer“ der Wiederherstellung.
GitLab ist der Fall, den Sie lesen sollten, wenn Ihr Dashboard grün ist. Das Post-mortem zum Ausfall vom 31. Januar 2017 zählt fünf Backup- und Replikationsmechanismen auf, von denen keiner ein brauchbares aktuelles Backup hervorbrachte: „Der S3-Bucket war leer, und nirgends war ein aktuelles Backup zu finden.“ Die Ursache war ein Versionsunterschied, „pg_dump 9.2, während unsere Datenbank auf PostgreSQL 9.6 läuft“, und niemand wusste davon, weil die Fehlermeldungen des Cron-Jobs per E-Mail verschickt wurden und „DMARC nicht aktiviert“ war, sodass sie abgewiesen wurden. Rund 5.000 Projekte, 5.000 Kommentare und 700 Benutzerkonten waren endgültig verloren.
Atlassian ist der Fall, den Sie lesen sollten, wenn Ihre Backups wirklich ausgezeichnet sind. Die Analyse hält fest, dass die Datenbanken eine Wiederherstellung auf „jeden beliebigen ‚Point in Time‘ … innerhalb der Aufbewahrungsfrist der Backups (30 Tage)“ erlaubten. Die Daten waren da; die Orchestrierung nicht: „Wir hatten nicht die Möglichkeit, eine große Menge von Kundeninstanzen auszuwählen und alle ihre miteinander verbundenen Produkte wiederherzustellen.“ 775 Kunden waren über bis zu 14 Tage betroffen, und die Analyse sagt es unverblümt: „Während dieses Vorfalls haben wir unseren RTO verfehlt, aber unseren RPO eingehalten.“
Change Healthcare beantwortet die Frage „Warum nicht einfach wiederherstellen?“. In seiner Aussage vor dem Finanzausschuss des US-Senats am 1. Mai 2024 erklärte der Vorstandsvorsitzende der UnitedHealth Group, das kompromittierte Portal habe „keine Multi-Faktor-Authentifizierung“ gehabt und „Ransomware wurde neun Tage später ausgerollt“. Die Wiederherstellung war keine Rücksicherung: Das Team begann, „die Technologieinfrastruktur von Change Healthcare von Grund auf neu aufzubauen“, denn nach einer domänenweiten Kompromittierung ist das Wiederherstellungsziel selbst nicht vertrauenswürdig. Die Aussage nennt keine Ausfallzeit und geht nicht auf Backups ein.
Norsk Hydro und Maersk zeigen, dass „wiederhergestellt“ kein Datum ist. Hydros eigener Bericht zum ersten Quartal 2019 beziffert die Auswirkung des Angriffs vom März auf 300 bis 350 Millionen NOK in diesem Quartal und schätzt „rund 200 bis 250 Millionen NOK“ für das zweite. Maersks eigene Veröffentlichungen beziffern die Wirkung von NotPetya auf 250 bis 300 Millionen USD, die „Umsatzausfälle, IT-Wiederherstellungskosten und außerordentliche Kosten“ umfassen. Die vielzitierten operativen Zahlen zu diesem Wiederaufbau stammen aus Bemerkungen des Verwaltungsratsvorsitzenden auf einem Podium im Januar 2018, stehen in keiner von uns auffindbaren Veröffentlichung von Maersk und werden hier nicht gedruckt.
Was ein Wiederherstellungsplan enthält und eine Backup-Richtlinie nicht
Der Verordnungsgeber hat die Gliederung bereits geschrieben. Die Durchführungsverordnung (EU) 2024/2690 zählt in Punkt 4.1.2 auf, was der Plan enthalten muss:
- Zweck, Umfang und Adressaten
- Rollen und Verantwortlichkeiten
- wichtige Kontakte sowie interne und externe Kommunikationskanäle
- Bedingungen für die Aktivierung und Deaktivierung des Plans
- Reihenfolge der Wiederherstellung der Betriebsabläufe
- Wiederherstellungspläne für einzelne Betriebsabläufe, einschließlich der Wiederherstellungsziele
- erforderliche Ressourcen, einschließlich Backups und Redundanzen
- Wiederherstellung und Wiederaufnahme der Tätigkeiten aus vorübergehenden Maßnahmen
Prüfen Sie Ihre eigenen Unterlagen dagegen und gegen sechs Dinge, die diese Liste voraussetzt. Eine datierte, gemessene Zeit bis zum Dienst für Ihre wichtigsten Geschäftsprozesse, aus einer Übung gewonnen und nicht aus einer Erfolgsquote von Backup-Jobs. Das Ziel, in das Sie wiederherstellen, benannt: welche Hosts, in welchem Netz, und wer bestätigt, dass es sauber ist, bevor irgendetwas startet. Ein Identitäts-Runbook mit ausgeschriebenen Schritten der Gesamtstruktur-Wiederherstellung und den Personen, die sie ausführen dürfen. Die Verwahrung des privaten Schlüssels der Zertifizierungsstelle und der Geheimnisse, die das Backup nicht enthält. Ein Plan zur Neubereitstellung der Hypervisor-Management-Ebene, weil der Hersteller eine Neubereitstellung dokumentiert und keine Wiederherstellung. Und die Abhängigkeitsreihenfolge mit dem, was auf was wartet.
Enthält Ihr Plan das alles und ist er von Anfang bis Ende geübt worden, dann ist das grüne Dashboard ein nützliches Signal zu einer Ihrer beiden Zahlen. Tut er es nicht, sagt es Ihnen, dass Ihre Daten existieren, und das war nie die Frage. Eurokommerz plant und betreibt Backup- und Wiederherstellungsumgebungen EU-weit mit unserem Engineering-Partner Vixen.UNO, und das Ergebnis unserer Arbeit am Disaster Recovery ist eine gemessene Wiederherstellungszeit je Geschäftsprozess mit schriftlich festgehaltener Reihenfolge, kein Bericht darüber, dass jeder Job erfolgreich war.
FAQ
Ist Backup dasselbe wie Disaster Recovery?
Was beweist ein grünes Backup-Dashboard tatsächlich?
Wie lange dauert eine vollständige Wiederherstellung wirklich?
Können wir Active Directory aus einem normalen Backup wiederherstellen?
Verlangt NIS2 jährliche Disaster-Recovery-Tests?
Garantieren unveränderliche Backups, dass wir wiederherstellen können?
Schicken Sie uns Ihre Liste der Backup-Jobs, Ihre Wiederherstellungsziele und die fünf wichtigsten Geschäftsprozesse, und wir liefern die Wiederherstellungsrechnung, die Reihenfolge und die Lücken, die eine Backup-Richtlinie nicht abdeckt. Wir antworten innerhalb eines Werktages.
Mit einem Experten sprechenWir antworten innerhalb eines Werktages