Es ist Dienstag, 9:40 Uhr, und auf einem Rechner in der Buchhaltung beginnen sich Dateien umzubenennen. Erst ein Ordner, dann das Laufwerk. OneDrive tut in diesem Moment genau das, wofür es gebaut ist: Es bemerkt, dass sich Dateien geändert haben, und lädt die neuen Versionen brav in die Cloud. Zehn Minuten später sind die verschlüsselten Dateien auf allen Rechnern, die denselben Ordner teilen.
Das ist der Moment, in dem viele Unternehmen zum ersten Mal verstehen, dass sie kein Backup hatten. Sie hatten einen Sync. Und ein Sync ist ein Spiegel. Er zeigt, was jetzt ist, nicht, was gestern war.
Was ein Sync kann und was nicht
OneDrive, Google Drive, Dropbox, Nextcloud – alle machen im Kern dasselbe. Sie sorgen dafür, dass auf jedem Gerät derselbe Stand liegt. Das ist großartig für Zusammenarbeit und für den Fall, dass ein Laptop im Zug bleibt. Der Fehler passiert nur, wenn man dieses „auf jedem Gerät derselbe Stand“ für Sicherheit hält.
Denn derselbe Stand bedeutet: Wenn eine Datei gelöscht wird, ist sie überall weg. Wenn sie überschrieben wird, ist sie überall überschrieben. Wenn ein Mitarbeiter versehentlich einen Ordner durch eine leere Version ersetzt, sehen fünf Minuten später alle den leeren Ordner. Der Sync hat funktioniert. Genau das ist das Problem.
Ja, die meisten Dienste haben einen Papierkorb und eine Versionierung. Für den Alltag hilft das. Für Ransomware ist es eine Wette, und zwar auf drei Dinge gleichzeitig: dass die Versionen weit genug zurückreichen, dass der Angreifer keinen Zugriff auf das Konto hat, in dem die Versionen liegen, und dass jemand die Wiederherstellung über die Weboberfläche für einige zehntausend Dateien tatsächlich durchbekommt. Wir würden diese Wette nicht eingehen.
Die 3-2-1-Regel, ohne Fachsprache
Die Regel gibt es seit Jahrzehnten, und sie ist so schlicht, dass man sie unterschätzt.
Drei Kopien
Das Original, mit dem Sie arbeiten, plus zwei Sicherungen. Warum zwei? Weil die erste Sicherung genau dann kaputt ist, wenn Sie sie brauchen. Das ist keine Übertreibung, das ist Erfahrung.
Zwei verschiedene Medien
Nicht zweimal dieselbe Festplattenart im selben Gerät. Ein NAS und eine Cloud. Ein Server und eine Wechselfestplatte. Der Gedanke dahinter: Ein Fehler, der das eine Medium trifft, trifft das andere nicht.
Eine Kopie außer Haus
Brand, Wasserschaden, Einbruch, oder einfach ein Stromausfall, der beides gleichzeitig erwischt. Eine Kopie muss an einem anderen Ort liegen. Früher hieß das: Festplatte mit nach Hause nehmen. Heute ist es meist eine Cloud-Sicherung, aber – und hier schließt sich der Kreis – eine Sicherung, kein Sync.
Die Ergänzung, ohne die die Regel heute nicht mehr reicht
Seit Ransomware ist ein vierter Punkt dazugekommen, den man manchmal als 3-2-1-1 liest. Eine der Kopien muss unveränderbar oder offline sein. Verschlüsselungstrojaner sind nicht dumm. Sie suchen zuerst das Backup, denn ein Unternehmen ohne Backup zahlt. Ein NAS, das im Netz hängt und auf das der Server schreiben darf, ist für den Angreifer nur ein weiteres Laufwerk.
Unveränderbar heißt: Die Kopie kann für einen festgelegten Zeitraum von niemandem gelöscht oder überschrieben werden, auch nicht mit Administratorrechten. Offline heißt: Sie hängt nicht am Netz. Eine Festplatte im Schrank ist offline. Ein Band im Tresor ist offline. Ein Cloud-Speicher mit eingeschaltetem Löschschutz ist zwar online, aber unveränderbar. Beides funktioniert.
Der Punkt, den fast alle auslassen
Ein Backup, das noch nie zurückgespielt wurde, ist eine Vermutung. Wir haben Sicherungen gesehen, die zwei Jahre lang jede Nacht „erfolgreich“ gemeldet haben und beim ersten echten Rückspielen leer waren. Falscher Pfad. Datenbank im offenen Zustand gesichert. Verschlüsselungskennwort nirgends notiert.
Deshalb ist die Frage „Haben Sie ein Backup?“ ehrlich gesagt die weniger wichtige. Die wichtigere lautet: Wann haben Sie zuletzt etwas daraus wiederhergestellt, und wie lange hat es gedauert? Wenn darauf niemand ein Datum nennen kann, steht das Backup auf der Liste – ganz oben, noch vor allem anderen aus dem 15-Punkte-Selbstcheck.
Was das für ein kleines Unternehmen praktisch heißt
Für die meisten Unternehmen mit zehn bis fünfzig Arbeitsplätzen sieht eine vernünftige Lösung so aus: Die Arbeitsdaten liegen auf einem Server oder in Microsoft 365. Ein Backup-System sichert davon täglich auf ein Gerät im Haus, das mit eigenen Zugangsdaten getrennt vom normalen Netz steht. Von dort geht eine zweite Kopie verschlüsselt in eine Cloud mit Löschschutz. Und einmal im Quartal stellt jemand testweise etwas wieder her und schreibt das Datum auf.
Das ist kein Großprojekt. Es ist ein Nachmittag Einrichtung und danach vor allem Disziplin – die Disziplin, dass tatsächlich jemand hinschaut. Wenn Sie nicht sicher sind, ob Ihre Sicherung diesem Bild entspricht, schauen wir uns das im Erstgespräch an. Wir fragen als Erstes nach dem Datum der letzten Wiederherstellung. Sie wissen jetzt, warum.
Häufige Fragen
Reicht der Papierkorb oder die Versionierung in OneDrive nicht?
Für eine versehentlich gelöschte Datei: ja, meistens. Für einen Verschlüsselungstrojaner, der Tausende Dateien in Minuten überschreibt: in der Praxis nicht verlässlich. Die Versionen liegen im selben Konto, an das der Angreifer gerade herankommt, und die Wiederherstellung über die Weboberfläche ist bei großen Mengen mühsam bis unmöglich.
Wie oft sollte ein Backup laufen?
So oft, wie Sie Arbeit verlieren dürfen. Wer einen Tag Buchhaltung nachtippen kann, dem reicht nachts. Wer das nicht kann, braucht mehrmals täglich. Die Antwort kommt aus dem Betrieb, nicht aus der Technik.
Was heißt „offline“ oder „unveränderbar“ bei einer Backup-Kopie?
Eine Kopie, die vom Netz getrennt ist oder für einen festgelegten Zeitraum nicht überschrieben werden kann – auch nicht von einem Administrator. Ransomware sucht gezielt nach erreichbaren Backups und löscht sie zuerst. Was sie nicht erreicht, kann sie nicht löschen.
Wie teste ich ein Backup, ohne etwas kaputt zu machen?
Sie stellen eine Datei oder einen Ordner an einem anderen Ort wieder her, öffnen ihn und vergleichen. Einmal im Quartal, mit Datum in der Dokumentation. Einmal im Jahr sollte jemand einen ganzen Server in eine Testumgebung zurückspielen und die Zeit stoppen.