Isolierte Wiederherstellungsumgebung: wie Sie einen Clean Room für die Wiederherstellung nach Ransomware planen

Was eine isolierte Wiederherstellungsumgebung ist

Eine isolierte Wiederherstellungsumgebung (Isolated Recovery Environment, IRE), auch Clean Room für Cyber Recovery genannt, besteht aus Rechenleistung, Speicher und Netz, die der Angreifer nie kontrolliert hat, und ist über einen einzigen kontrollierten Zugangspunkt erreichbar. Dort werden Wiederherstellungspunkte gescannt und Systeme neu aufgebaut, bevor sie in die Produktion zurückkehren. Broadcoms Dokumentation zu VMware Live Recovery Cloud, aktualisiert am 1. September 2026, beschreibt sie als „eine saubere und sichere Netzwerkumgebung, die speziell für die Wiederherstellung nach Ransomware-Angriffen genutzt wird“. Die Dokumentation von Commvault für Version 11.46 nennt dasselbe eine Cleanroom-Site.

Das Design muss festlegen, wo die IRE läuft, wie groß sie ist, wie sie angebunden ist und wer sie administriert. Es bestimmt außerdem, wie Wiederherstellungspunkte hineinkommen, welche Werkzeuge darin bereitstehen und wie ein wiederhergestelltes System sie verlässt. Die Reihenfolge der Arbeit am Tag eines Angriffs beschreibt unser Leitfaden zu den ersten 72 Stunden der Ransomware-Wiederherstellung. Dieser Artikel behandelt das Design, das vor diesem Tag stehen muss.

Designpunkte nach Broadcoms Best Practices für die IRE (17. Juni 2026), Veeams Best Practices für den Clean Room, NIST SP 1800-11 und dem #StopRansomware Guide der CISA; die mittlere Spalte ist unsere Zusammenfassung des Designs.

Wo Sie die IRE aufbauen: Standortoptionen

Der #StopRansomware Guide der CISA nennt: „Halten Sie Ersatzhardware vor, um Systeme neu aufzubauen, falls ein Neuaufbau des primären Systems nicht vorzuziehen ist.“ Ein Blogbeitrag von Veeam, aktualisiert am 5. August 2026, hält fest: „Clean Rooms lassen sich auf jeder digitalen Infrastruktur einrichten, entweder on-premises oder in der Cloud.“ Broadcoms Cloud-Dienst stellt eine IRE bei Bedarf auf einem Recovery-SDDC bereit, was die Dokumentation als Alternative zu einer physischen IRE on-premises darstellt. Für eine IRE im Eigentum des Kunden hält Broadcoms VCF-Blog vom 14. Mai 2026 fest, dass VCF 9.1 mit dem Add-on VMware Advanced Cyber Compliance es „ermöglicht, einen vollständig kundeneigenen und vom Kunden verwalteten Clean Room aufzubauen“. Commvault dokumentiert seinen Cleanroom als von Commvault verwaltet oder selbst verwaltet, mit Cloud-Sites auf AWS und einer weiteren Public Cloud oder vollständig on-premises.

Broadcoms Best Practices legen fest, dass die IRE für keinen anderen Zweck genutzt wird, und nennen Test und Entwicklung sowie Burst-Kapazität als Beispiele. Ein DR-Standort, der zugleich ein Failover der Produktion tragen muss, passt deshalb schlecht, es sei denn, seine Kapazität deckt beide Rollen gleichzeitig ab.

Optionen nach Broadcom TechDocs (1. September 2026), Broadcoms VCF-Blog (14. Mai 2026), der Commvault-Dokumentation 11.46 und dem #StopRansomware Guide der CISA; Stärken und Grenzen sind unsere Einschätzung.

Das Assessment unserer Leistung Cyber-Resilienz prüft Infrastruktur, Zugriffe und Backups und endet mit einer Risikokarte und einem priorisierten Maßnahmenplan. Schreiben Sie uns, wo Ihre Backup-Kopien und Ersatzhosts heute stehen, und wie viele Tier-0- und Tier-1-Systeme Sie haben.

Den Clean Room für Tier-0- und Tier-1-Systeme dimensionieren

Die IRE betreibt die Systeme, von denen die Wiederherstellung abhängt, und die Systeme, die das Geschäft zuerst braucht. Alles andere wird in die neu aufgebaute Produktion wiederhergestellt, sobald die Untersuchung es zulässt. Tier 0 umfasst DNS und Domänencontroller, einen neuen Backup-Server mit seinen Proxys, den Jump-Host, die Zertifizierungsstelle sowie die Konsolen für Scans und EDR. Tier 1 ist die kurze Liste der Geschäftsdienste mit der knappsten Wiederherstellungszeit.

Als Rechenbeispiel dient ein Unternehmen mit 1.500 Beschäftigten und 1.000 VMs auf 30 Hosts, also etwa 33 VMs je Host. Sein Tier 0 umfasst etwa 10 VMs, sein Tier 1, ein ERP-System mit seinen Datenbankservern, Dateidienste und eine Anwendung für die Produktionsplanung, etwa 40. Diese 50 VMs passen bei der Dichte der Produktion auf zwei Hosts. Ein dritter Host hält die Wiederherstellung in Gang, wenn einer ausfällt, und ein vierter trägt die Last der Scans und die forensische Analyse, was vier Hosts ergibt.

Der Speicher nimmt die wiederhergestellten Festplatten dieser 50 VMs auf, dazu Platz für einen zweiten Wiederherstellungspunkt jeder VM, weil sich der zuerst geprüfte als infiziert herausstellen kann, und Platz für forensische Images. Broadcoms Dokumentation zur IRE führt aus demselben Grund den Zugriff auf Snapshots auf, „um eine schnelle Iteration über Wiederherstellungspunkte zu ermöglichen“. Die Verbindung zu den Repositories setzt der Wiederherstellungsgeschwindigkeit eine Obergrenze, und die Leserate des Repositorys kann eine niedrigere setzen. Mit 10 Gbit/s überträgt die Verbindung höchstens etwa 4,5 TB pro Stunde, sodass 20 TB an Tier-0- und Tier-1-Festplatten allein für die Übertragung mehr als vier Stunden brauchen.

Netzwerkdesign: keine Route zur Produktion, ein Zugangspunkt

Broadcoms Best Practices für die IRE in VMware Live Recovery Cloud halten fest, dass „VMs, die in der IRE laufen, niemals direkten Zugriff auf die Produktionsumgebung haben sollten“ und dass „keine Benutzerrechner am Produktionsstandort direkt auf wiederhergestellte VMs in der IRE zugreifen können sollten“. Broadcom empfiehlt ausgehenden Internetzugang aus der IRE, weil die meisten EDR- und Next-Generation-Antivirus-Werkzeuge für die Bedrohungsanalyse Cloud-Zugang brauchen und Patches aus öffentlichen Repositories kommen können, und hält fest, dass er „nur über ein NSX-Tier-1-Gateway erlaubt und nicht anderswohin geroutet werden sollte“. Eine IRE, die ohne diesen Dienst aufgebaut ist, braucht für denselben Zweck ein gefiltertes Gateway an ihrem Rand. Eingehender Zugriff aus dem Internet wird nicht eingerichtet, sofern keine konkrete Anforderung besteht. Isolationsstufen des Netzes werden je VM festgelegt, und Broadcom empfiehlt, sie bei der Suche nach versteckten Angriffspunkten zu nutzen. Außerdem empfiehlt Broadcom, Änderungen während der Wiederherstellung auf ein Minimum zu beschränken: VMs behalten ihre IP-Adressen, weil eine Änderung die Analyse verzögert, und liegen hinter NAT, sodass keine Adresskonflikte entstehen.

Wiederhergestellte VMs können ihre Adressen aus der Produktion behalten, weil die IRE keine Route zur Produktion hat und ihre Segmente in Broadcoms Design hinter NAT liegen. NIST SP 1800-11 empfiehlt, die Funktionen seines Referenzdesigns, darunter Backup und Tests auf Beschädigung, in einem eigenen Teilnetz getrennt vom Produktionsnetz zu halten. Die CISA verlangt, dass ein für die Wiederherstellung angelegtes VLAN nur saubere Systeme aufnimmt. In Veeams Best Practices für einen Clean Room mit Recovery Orchestrator steuert Netzwerkausrüstung zwischen Produktion und Clean Room die Isolation und lässt Verbindungen für eine begrenzte Zeit zu, um Backup-Kopien zu übertragen. Dedizierte Schnittstellen oder Switch-Ports werden nach Zeitplan verbunden und getrennt.

Die Hosts der IRE werden in einem eigenen Netz verwaltet, von einem eigenen vCenter oder eigenständig, und nie im vCenter der Produktion registriert. Administratoren erreichen sie über einen Jump-Host in der IRE, von Arbeitsplätzen aus, die nicht zur Domäne der Produktion gehören. Unser Leitfaden zu Netzwerksegmentierung und Mikrosegmentierung behandelt die Zonen der Produktion, von denen die IRE getrennt bleibt.

Identität und Administration in der IRE

Eine IRE enthält zwei Identitäten. Die erste administriert die IRE selbst und besteht schon vor dem Vorfall. Veeams Best Practice Guide sagt, dass Backup-Komponenten für das sicherste Deployment in eine Management-Arbeitsgruppe oder eine Management-Domäne in einer separaten Gesamtstruktur gehören, mit Zwei-Faktor-Authentifizierung. Das Ziel ist eine Infrastruktur, die „nicht von der Umgebung abhängt, die sie schützen soll“. Die CISA verlangt Administratorkonten getrennt von Benutzerkonten, und NIST SP 1800-11 fordert, unnötige vordefinierte Konten zu deaktivieren und Standardpasswörter auf jeder Komponente zu ändern. Bewahren Sie die Break-Glass-Zugangsdaten der IRE offline auf und testen Sie sie bei jeder Übung.

Die zweite Identität ist das wiederhergestellte Verzeichnis der Produktion, das die wiederhergestellten Systeme brauchen. Broadcom empfiehlt, im Clean Room vor anderen Workloads eine Kopie des produktiven DNS wiederherzustellen und für Systeme, die Domänen-Zugangsdaten nutzen, eine temporäre Kopie eines Domänencontrollers. Commvault beschreibt, wie Domänencontroller in einer isolierten Umgebung wiederhergestellt und validiert werden, bevor abhängige Anwendungen zurückkommen. Verwenden Sie das wiederhergestellte Verzeichnis nie, um die IRE zu administrieren. Wie das Verzeichnis selbst wiederhergestellt wird, beschreibt unser Leitfaden zur Wiederherstellung von Domänencontrollern nach Ransomware.

Unsere Leistung Cyber-Resilienz umfasst Netzwerksegmentierung, Zero-Trust-Zugriff, Multi-Faktor-Authentifizierung und Privileged Access Management. Beschreiben Sie im Formular unten, wie Administratoren heute Ihre Backup-Server erreichen.

Wiederherstellungspunkte in den Clean Room bringen und prüfen

Im Clean-Room-Szenario von Veeam Recovery Orchestrator werden Backups regelmäßig aus dem Repository der Produktion in ein Repository im Clean Room kopiert. Die Wiederherstellung dort funktioniert nur aus vSphere-Backups, nicht aus Backups von Veeam Agents. Veeams Best Practices warnen, dass auf ein Repository „niemals gleichzeitig sowohl von der Produktion als auch vom Clean Room aus zugegriffen werden sollte“, weil „dies nicht unterstützt wird und zu Datenbeschädigung führen kann“. Derselbe Leitfaden ergänzt, dass mancher S3-kompatible Objektspeicher den Zugriff von beiden Seiten erlaubt, indem der Backup-Server des Clean Rooms eingeschränkten, schreibgeschützten Zugriff auf den Bucket erhält. Wie die Kopien selbst einer Löschung widerstehen, beschreibt unser Artikel zum unveränderlichen Backup.

Jeder Wiederherstellungspunkt wird vor der Nutzung geprüft. NIST SP 1800-11 ermittelt den letzten als gut bekannten Zustand anhand von Logs und Tests auf Beschädigung. Der Blogbeitrag von Veeam fordert „Immer auf Malware scannen“ und merkt an, dass sich Daten gegen ursprüngliche Hashes oder Signaturen validieren lassen. Nutzt der Clean Room Veeam Threat Hunter, ist laut Veeam eine Internetverbindung für die Aktivierung und für die neuesten Signaturen erforderlich, ein weiterer Grund für das gefilterte ausgehende Gateway.

Halten Sie auch das Material für den Neuaufbau in der IRE bereit. Die CISA empfiehlt, Golden Images kritischer Systeme zu pflegen und Infrastructure-as-Code-Vorlagen unter Versionskontrolle mit Offline-Backups zu halten. Forensische Images betroffener Systeme kommen auf getrennten Speicher in der IRE, sodass die Forensiker an Kopien arbeiten, während die Wiederherstellungen weiterlaufen.

Der Ablauf im Clean Room: scannen, wiederherstellen, validieren, freigeben

In Broadcoms VCF-Blog vom 14. Mai 2026 versetzt VCF 9.1 mit dem Add-on Advanced Cyber Compliance geschützte VMs zuerst in einen Validierungszustand in der IRE, in dem Snapshots mit EDR-Sensoren gescannt und bereinigt werden. Geprüfte VMs wechseln in einen Staging-Zustand, um ein sauberes Replikat zu erzeugen, und dann in einen wiederhergestellten Zustand am sekundären Standort, bevor Reprotect und Failback folgen. Eine vergleichbare Abfolge funktioniert auf anderen Plattformen, für jedes System:

1. Nehmen Sie den in Frage kommenden Wiederherstellungspunkt aus der Zeitleiste der Untersuchung und scannen Sie ihn vor der Wiederherstellung mit der Backup-Software.
2. Stellen Sie ihn in ein Quarantänesegment mit Isolation je VM wieder her, die Netzwerkadapter getrennt oder in einem eigenen Segment.
3. Untersuchen Sie ihn mit EDR, vergleichen Sie Dateien mit bekannten Hashes, entfernen Sie Konten und Dienste, die der Angreifer angelegt hat, und patchen Sie die ausgenutzte Schwachstelle.
4. Lassen Sie den Systemverantwortlichen den Dienst mit einer Testtransaktion gegen die Tier-0-Systeme in der IRE validieren.
5. Überführen Sie ihn nach der Abnahme in das Staging-Netz oder die neu aufgebaute Produktion, und dokumentieren Sie, welcher Wiederherstellungspunkt verwendet wurde.

Die IRE vor einem Vorfall testen

Die Dokumentation von Commvault schlägt vor, den Cleanroom zu nutzen, um Wiederherstellungsszenarien zu simulieren und Pläne für die Cyber Recovery zu validieren. Testen Sie die Teile, die der tägliche Betrieb nie nutzt. Prüfen Sie, ob der Jump-Host und die Break-Glass-Konten noch funktionieren und ob sich die Scan-Werkzeuge über das gefilterte Gateway aktualisieren. Stellen Sie sicher, dass sich ein Domänencontroller und der Backup-Server wiederherstellen und starten lassen und dass kein DNS-Eintrag und keine Verzeichnisänderung die Produktion erreicht. Messen Sie jeden Schritt an der Wiederherstellungszeit von Tier 1. Unser Leitfaden zu Disaster-Recovery-Tests beschreibt isolierte Testmethoden und was dabei zu messen ist.

Was wir tun

Im Rahmen der Cyber-Resilienz segmentiert unser Engineering-Partner Vixen.UNO das Netz und richtet Zero-Trust-Zugriff mit Multi-Faktor-Authentifizierung und Privileged Access Management ein. Er liefert außerdem Backup auf Veeam-Basis mit einem Ausweichstandort in Baltnetas Tier-3-Rechenzentren in Litauen, regelmäßige Testwiederherstellungen und einen Incident-Response-Plan mit Rollen, Maßnahmen und Fristen. Unser Service Cloud Disaster Recovery ergänzt Veeam-Replikation ab 15-Minuten-Intervall und planmäßige Failover-Tests in isolierter Umgebung, mit einem Bericht nach jedem Test darüber, was angelaufen ist, wie schnell und was zu beheben ist. Eurokommerz hält den Vertrag, das erste Gespräch ist kostenlos, und der Preis der technischen Bewertung wird vor Beginn der Arbeiten festgelegt.

FAQ