Ransomware: Warum Backups Ziel Nummer 1 sind — und was hilft

Die Lage: was das BSI zählt

Der BSI-Lagebericht 2025 — Berichtszeitraum 1. Juli 2024 bis 30. Juni 2025, veröffentlicht am 11. November 2025 — nennt Ransomware weiterhin die größte Bedrohung: „Professionell organisierte Erpressergruppen, die mit Schadsoftware (Ransomware) arbeiten, bleiben die größte Bedrohung.“ Die Zahl der angezeigten Angriffe „blieb nach Erkenntnissen des BKA mit 950 weitgehend unverändert“, und 80 Prozent davon richteten sich gegen kleine und mittlere Unternehmen. Die größten Schäden entstanden laut BSI durch Ransomware in Verbindung mit Datenleaks — Angreifer kopieren Daten vor der Verschlüsselung und drohen mit Veröffentlichung, wogegen es „aufseiten der Geschädigten keine Bewältigungsstrategien gibt“. Dazu kommen im Schnitt 119 neue Schwachstellen pro Tag, 24 Prozent mehr als im Vorjahr — die Türen, durch die Angreifer hereinkommen.

Diese 950 sind Anzeigen; das Dunkelfeld beschreibt das BSI als um ein Vielfaches größer. Für Privathaushalte gibt es keine eigene Statistik, aber dieselbe Technik, denselben Anhang, denselben Klick. Und dieselbe Abhängigkeit: Ob ein Angriff ein Ärgernis oder eine Katastrophe ist, entscheidet sich fast nie an der Schadsoftware, sondern an der Sicherung.

Warum das Backup Ziel Nummer 1 ist

Die Erpressung funktioniert nur, wenn Sie die Daten nicht anders zurückbekommen. Deshalb hat sich das Vorgehen der Angreifer verändert: Statt sofort zu verschlüsseln, bewegen sie sich erst durch das Netz, sammeln Zugangsdaten, kopieren Daten für die zweite Erpressung — und suchen die Sicherung. Backup-Server, NAS-Freigaben, angesteckte USB-Platten, Cloud-Konten, deren Zugangsdaten auf dem infizierten Rechner gespeichert sind: Alles, was der Angreifer erreichen kann, wird gelöscht oder mit verschlüsselt, bevor die Lösegeldforderung erscheint.

Das BSI beschreibt in seiner Erste-Hilfe-Anleitung für schwere IT-Sicherheitsvorfälle, dass fortschrittliche Schadsoftware sich „mit ausgespähten Zugangsdaten für Benutzerkonten (ggf. mit administrativen Rechten) lateral im Netzwerk ausbreiten“ kann und rät ausdrücklich: „Prüfen Sie, ob Sie saubere, nicht kompromittierte Backups haben.“ Genau dieser Satz ist der Prüfstein für jede Sicherungsstrategie: Gibt es eine Kopie, die ein Angreifer mit den Rechten Ihres Alltagskontos — oder sogar mit Administratorrechten — nicht erreichen kann?

3-2-1-1-0: die Regel gegen Ransomware

Die klassische 3-2-1-Regel — drei Kopien, zwei Medien, eine außer Haus — stammt aus einer Zeit, in der die Gefahren Plattendefekt, Brand und Versehen hießen. Gegen einen Angreifer, der sich im Netz bewegt, hat sie eine Lücke: Alle drei Kopien können online und mit denselben Zugangsdaten erreichbar sein. Die Erweiterung 3-2-1-1-0, die der Backup-Hersteller Veeam geprägt hat, schließt sie mit zwei Ziffern:

• +1 — eine Kopie offline oder unveränderlich. Veeam begründet es so: „An immutable or air-gapped copy is essential in modern environments because ransomware increasingly targets backups.“ Das deckt sich mit der BSI-Forderung: „Die Daten müssen in einem Offline-Backup gesichert werden. Diese Backups werden nach dem Backupvorgang von den anderen Systemen des IT-Netzes getrennt und sind daher vor Angriffen und Verschlüsselung geschützt.“
• 0 — null Fehler beim Wiederherstellungstest. „A backup only matters if you can count on it to restore when it's needed“, so Veeam. Das BSI formuliert es in den Top-10-Maßnahmen als Pflicht: Die Planung zur Wiederherstellung „sollte auch einem Praxistest unterzogen werden, um Komplikationen und Herausforderungen in der Rücksicherung bereits vor einem Ernstfall zu erkennen.“

Für den Speicherbedarf heißt das: Die zusätzliche Kopie braucht Platz, und sie braucht Versionsstände. Wer nur den letzten Stand aufhebt, sichert die Verschlüsselung mit, sobald der Trojaner vor dem nächsten Backup zuschlägt. Der Planer rechnet den Aufschlag für „einige Wochen zurück“ (Faktor 1,5) und „mehrere Monate zurück“ (Faktor 2,2) ein.

Offline und unveränderlich: zwei Wege zur unerreichbaren Kopie

Weg 1: Offline — die Platte im Regal

Die einfachste Form ist die physische Trennung. Das BSI rät Verbraucherinnen und Verbrauchern, das Speichermedium außerhalb des Sicherungsvorgangs vom Rechner zu trennen; für Betriebe nennt es getrennt gelagerte Bänder oder ein separates Archiv mit physischem Zugang. Zu Hause: sichern, auswerfen, ins Regal — besser zwei Platten im Wechsel, von denen eine immer außer Haus liegt. Das erfüllt die „außer Haus“-1 und die „offline“-1 mit einem Gerät. Der Nachteil ist die Disziplin: Eine Platte, die seit drei Monaten nicht angesteckt wurde, enthält einen Stand von vor drei Monaten. Kombinieren Sie deshalb die Wechselplatte mit einer automatischen Sicherung, etwa Time Machine oder dem Dateiversionsverlauf auf eine zweite Platte oder ein NAS mit Snapshots.

Weg 2: Unveränderlich — Object Lock in der Cloud

Wer die Kopie außer Haus in der Cloud hält, hat ein anderes Problem: Die Zugangsdaten liegen auf dem Rechner, den der Angreifer kontrolliert. Er kann die Sicherung also löschen. Die Antwort heißt Unveränderlichkeit (Immutability): Objektspeicher wie Backblaze B2 bieten „Object Lock“, mit dem eine Datei bis zu einem festgelegten Datum weder geändert noch gelöscht werden kann. Laut Backblaze-Dokumentation (Stand 10.09.2026) gibt es dafür keine Zusatzkosten; die Frist reicht von 1 bis 3.000 Tagen, lässt sich verlängern, aber nicht verkürzen. Zwei Modi: Im Governance-Modus können Nutzer mit besonderen Rechten die Sperre aufheben, im Compliance-Modus niemand — auch nicht der Kontoinhaber. Für ein Ransomware-Backup ist der Compliance-Modus der richtige: Ein Angreifer mit Ihren Zugangsdaten kann die Sicherung lesen, aber nicht zerstören. Voraussetzung ist eine Backup-Software, die Object Lock unterstützt, und ein Zugangsschlüssel, der nur schreiben, aber nicht löschen darf.

Der Wiederherstellungstest als Ritual

Nur 18 Prozent der Befragten wissen laut Bitkom, wie sie Daten aus ihrem Backup wiederherstellen. Für Betriebe ist die Zahl noch bedrohlicher, weil dort nicht nur Dateien, sondern ganze Systeme zurückkommen müssen — mit Software, Lizenzen, Datenbanken und in einer Reihenfolge, die niemand aufgeschrieben hat. Deshalb ist die „0“ kein Schlusspunkt, sondern der eigentliche Beweis, dass die Sicherung existiert.

1. Quartalsweise · privat und BetriebStichprobeEine zufällige Datei aus einem Stand von vor mindestens einem Monat an einen anderen Ort zurückholen und öffnen. Aus jeder Kopie: lokal, außer Haus, offline.
2. Halbjährlich · BetriebOrdner und AnwendungEinen kompletten Projektordner und eine Datenbank oder Anwendung wiederherstellen — auf einem Testsystem, nicht in der Produktion. Dauer stoppen.
3. Jährlich · BetriebErnstfall-ProbeEin System aus dem Backup auf Ersatzhardware komplett neu aufsetzen, mit Stoppuhr und Protokoll. Das ist der Praxistest, den das BSI fordert. Wer dabei zwei Tage braucht, weiß, was ein Angriff kostet.
4. Nach jedem TestNotierenDatum, was getestet, was gefehlt hat, wie lange es dauerte. Typische Funde: abgelaufene Passwörter für verschlüsselte Sicherungen, seit Monaten volle Platten, Ordner, die nie im Umfang waren.

„Wurden die Backups jedoch ebenfalls verschlüsselt und wird daher der Versuch erwogen, durch Zahlung des Lösegelds einen Schlüssel zur Entschlüsselung der Daten zu erhalten …“Der Satz, der nie nötig werden soll — BSI, Erste Hilfe bei einem schweren IT-Sicherheitsvorfall, Kapitel 3.9 „Lösegeld bezahlen?“

Notfallplan für kleine Betriebe

Das BSI hat für schwere IT-Sicherheitsvorfälle ein Arbeitspapier „Erste Hilfe“ veröffentlicht (Version 1.2, 07.10.2022) und führt in den Top-10-Maßnahmen den „Notfallplan“ als eigenen Punkt. Die Kernaussagen, zusammengefasst für einen Betrieb mit fünf bis fünfzig Rechnern:

Vorbereitet werden muss das vor dem Vorfall: eine ausgedruckte Liste mit Kontakten (IT-Dienstleister, Versicherung, Polizei, Datenschutzbeauftragter), die Reihenfolge, in der Systeme zurückkommen müssen, und der Ort der Offline-Kopie samt Passwort. Das BSI weist zudem darauf hin, dass Cyber-Versicherungen oft Vorgaben machen, was im Schadensfall zu tun ist — die Police vorher lesen.

Meldewege: Polizei, Datenschutz, BSI

Drei Meldungen kommen bei einem Ransomware-Angriff in Betracht, und zwei davon können Pflicht sein:

• Polizei. Das BSI empfiehlt, „unverzüglich Anzeige bei der Polizei“ zu erstatten. Für Unternehmen haben die Landeskriminalämter Zentrale Ansprechstellen Cybercrime (ZAC) eingerichtet, die beraten und die Anzeige aufnehmen; die Liste steht unter polizei.de/zac. Privatpersonen nutzen die Onlinewachen der Landespolizeien. Beweise sichern, nichts löschen.
• Datenschutz-Aufsichtsbehörde. Sind personenbezogene Daten betroffen — bei einem Abfluss von E-Mail-Postfächern oder Kundendaten praktisch immer —, verlangt Art. 33 DSGVO die Meldung an die Aufsichtsbehörde „unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde“. Das BSI erinnert daran, dass in risikoträchtigen Fällen zusätzlich die betroffenen Personen nach Art. 34 DSGVO zu informieren sind.
• BSI. Unternehmen können den Vorfall über das Melde- und Informationsportal des BSI melden; für Betreiber kritischer Infrastrukturen bestehen Meldepflichten nach BSI-Gesetz. Das BSI unterstützt mit Dokumenten und Vermittlung von Forensik-Experten, weist aber darauf hin, dass es „nur in absoluten Ausnahmefällen“ selbst aktiv eingreifen kann.

Häufige Fragen