Enterprise Storage kann Ransomware nicht verhindern. Moderne Storage-Systeme können aber entscheidend dazu beitragen, Daten vor dauerhafter Manipulation zu schützen und nach einem Angriff schneller wiederherzustellen.
Die wichtigsten Punkte sind:
Backups sind ein zentraler Bestandteil der Cyber Resilience, reichen allein aber nicht aus. Entscheidend ist, ob geschäftskritische Systeme innerhalb der erforderlichen Zeit tatsächlich wiederhergestellt werden können. Die Cybersecurity and Infrastructure Security Agency (CISA) empfiehlt unter anderem offline gehaltene, verschlüsselte Backups sowie regelmäßige Tests der Wiederherstellung. Ein Grund: Ransomware kann versuchen, erreichbare Backups ebenfalls zu verschlüsseln oder zu löschen.
Auch das National Institute of Standards and Technology (NIST) betrachtet Backups nicht isoliert. Wiederherstellungspläne, Backup-Strategie und regelmäßige Tests müssen zusammenwirken. Für eine erfolgreiche Wiederherstellung muss außerdem bekannt sein, welcher Datenstand noch vertrauenswürdig ist.
Eine Cyber-Resilience-Strategie sollte deshalb mehrere Ebenen berücksichtigen:
Die entscheidende Frage lautet damit nicht nur: „Haben wir ein Backup?“. Sie lautet vielmehr: „Können wir unsere kritischen Systeme nach einem Angriff kontrolliert, sauber und innerhalb der benötigten Zeit wiederherstellen?“.
Bei einem Ransomware-Angriff versuchen Angreifer typischerweise, Systeme zu kompromittieren, ihre Zugriffsrechte auszuweiten und Daten zu verschlüsseln oder anderweitig unbrauchbar zu machen.
Moderne Angriffe können darüber hinaus mit Datendiebstahl und Erpressung verbunden sein. Für die Recovery-Strategie ist insbesondere relevant, dass Angreifer versuchen können, nicht nur Produktivdaten, sondern auch verfügbare Sicherungs- und Wiederherstellungsmechanismen zu beeinträchtigen.
Besonders problematisch wird ein Angriff, wenn privilegierte Zugangsdaten kompromittiert wurden. Ein Angreifer kann dann unter Umständen versuchen, Snapshots, Backup-Jobs oder andere Recovery-Mechanismen zu manipulieren.
Deshalb sollten Wiederherstellungspunkte so geschützt werden, dass ein kompromittiertes Administratorkonto allein nicht ausreicht, um sie zu zerstören.
Der Primärspeicher kann eine zusätzliche Recovery-Ebene zwischen Produktivsystem und Backup bilden. Auf dem Primärspeicher liegen die aktiv verwendeten Daten. Wird beispielsweise eine virtuelle Maschine oder Datenbank verschlüsselt, können diese Änderungen auch die gespeicherten Produktivdaten betreffen.
Moderne Enterprise-Storage-Plattformen können zusätzliche Wiederherstellungspunkte über Snapshots bereitstellen. Ein Snapshot bildet einen definierten Zustand der Daten ab, zu dem bei Bedarf zurückgekehrt werden kann. Das ist insbesondere für die Recovery interessant. Befindet sich ein geeigneter und nicht kompromittierter Snapshot direkt auf dem Storage-System, kann dieser für eine schnelle Wiederherstellung genutzt werden.
Allerdings gilt auch hier: Snapshots sind kein Ersatz für ein unabhängiges Backup. Vielmehr entsteht eine mehrstufige Architektur:
Produktivdaten → geschützte Snapshots → Backup beziehungsweise weitere Recovery-Kopien
Diese Ebenen sollten technisch und organisatorisch so gestaltet sein, dass ein einzelner kompromittierter Zugang nicht sämtliche Wiederherstellungsmöglichkeiten zerstören kann.
Immutable Snapshots sind unveränderbare Datenzustände, die während ihrer Schutzdauer nicht manipuliert werden können. SafeMode erweitert diesen Ansatz um Schutzmechanismen gegen die vorzeitige Löschung solcher Wiederherstellungspunkte.
Everpure (ehemals Pure Storage) setzt dafür bei FlashArray auf SafeMode Snapshots.
Nach Herstellerangaben verhindert SafeMode während einer konfigurierten Aufbewahrungszeit die endgültige Löschung geschützter Volumes und Snapshots. Die Snapshots selbst sind unveränderbar. Dadurch sollen Wiederherstellungspunkte auch dann erhalten bleiben, wenn privilegierte Konten kompromittiert wurden.
Das ist ein wichtiger Unterschied.
Ein Snapshot, den ein Administrator jederzeit endgültig löschen kann, bietet bei einem kompromittierten Administratorkonto nur begrenzten Schutz. Ein geschützter, unveränderbarer Snapshot erhöht dagegen die Wahrscheinlichkeit, dass ein nutzbarer Recovery Point erhalten bleibt.
SafeMode adressiert damit zwei zentrale Anforderungen:
Damit wird der Storage selbst Bestandteil einer Defense-in-Depth-Strategie.
Cyber Resilience muss davon ausgehen, dass auch privilegierte Zugangsdaten kompromittiert werden können.
Ein Administrator besitzt naturgemäß weitreichende Rechte. Gelangt ein Angreifer an diese Zugangsdaten, kann er versuchen, Sicherheits- und Wiederherstellungsmechanismen abzuschalten.
Deshalb darf der Schutz kritischer Recovery Points nicht ausschließlich an einem einzelnen Administratorkonto hängen.
Everpure beschreibt für seine Resilience-Architektur unter anderem einen SafeMode-PIN sowie Multi-Party Approvals und Multi-Faktor-Authentifizierung. Dadurch soll verhindert werden, dass eine einzelne Person beziehungsweise ein einzelnes kompromittiertes Konto die gesamte Storage-Umgebung gefährden kann.
Auch außerhalb des Storage-Systems bleiben grundlegende Sicherheitsmaßnahmen notwendig. Dazu gehören beispielsweise:
Die Storage-Sicherheit ist damit Teil eines umfassenderen Identity- und Access-Management-Konzepts.
Eine Cyber-Resilience-Architektur muss davon ausgehen, dass Schutzmaßnahmen versagen können. Deshalb gehört Recovery von Beginn an zur Sicherheitsstrategie.
Firewalls, Endpoint Security, EDR/XDR, Netzwerksegmentierung und Identity Security reduzieren das Risiko eines erfolgreichen Angriffs. Keine dieser Maßnahmen garantiert jedoch, dass es niemals zu einer Kompromittierung kommt.
Cyber Resilience betrachtet deshalb den gesamten Zyklus:
Schützen → Erkennen → Reagieren → Wiederherstellen
NIST beschäftigt sich in seinen Leitlinien ausdrücklich mit der Wiederherstellung nach Ransomware und anderen destruktiven Ereignissen. Dabei geht es nicht nur darum, Daten zurückzuspielen. Unternehmen müssen auch beurteilen können, welche Daten verändert wurden und welcher Datenstand für die Wiederherstellung geeignet ist.
Für CIOs und IT-Leiter bedeutet das: Die Qualität einer Cyber-Resilience-Architektur zeigt sich nicht allein daran, wie viele Schutzmechanismen vorhanden sind.
Ebenso relevant ist die Frage:
Wie schnell können kritische Geschäftsprozesse nach einem erfolgreichen Angriff wieder in einen vertrauenswürdigen Zustand gebracht werden?
RPO und RTO definieren die geschäftlichen Anforderungen an Datenverlust und Wiederherstellungszeit. Das Recovery Point Objective (RPO) beschreibt, wie weit ein Unternehmen bei der Wiederherstellung zeitlich zurückgehen darf.
Beispiel: Bei einem RPO von einer Stunde sollte der wiederherstellbare Datenstand höchstens eine Stunde vor dem Ausfall liegen.
Das Recovery Time Objective (RTO) beschreibt dagegen die angestrebte Zeitspanne, innerhalb der ein System oder Geschäftsprozess wiederhergestellt werden soll. Beide Werte sollten nicht pauschal für die gesamte IT festgelegt werden.
Eine zentrale ERP-Datenbank kann beispielsweise andere Anforderungen haben als ein Archivsystem. Deshalb sollten Unternehmen ihre Anwendungen und Daten zunächst nach Geschäftskritikalität klassifizieren.
| Kennzahl | Leitfrage |
| RPO | Wie viel Datenverlust können wir maximal akzeptieren? |
| RTO | Wie lange darf das System maximal ausfallen? |
| Recovery Point | Welcher Datenstand ist nach dem Angriff noch vertrauenswürdig? |
| Recovery-Reihenfolge | Welche Systeme müssen zuerst wieder verfügbar sein? |
Aus diesen Anforderungen lassen sich Snapshot-Intervalle, Aufbewahrungszeiten, Backup-Strategien und Recovery-Prozesse ableiten.
Evergreen One kombiniert Enterprise Storage-as-a-Service mit definierten Service-Leveln und optionalen Leistungen für Cyber Recovery and Resilience. Evergreen One wird von Everpure angeboten. Das Unternehmen firmierte zuvor als Pure Storage. Auf unserer Evergreen One-Seite stellen wir das Modell als Storage-as-a-Service mit nutzungsorientierter Bereitstellung und definierten Service-Leveln vor.
Zu den von Everpure beschriebenen Service-Level-Bereichen gehören unter anderem Performance, Verfügbarkeit, Kapazität, Energieeffizienz und Cyber Recovery. Die konkrete Verfügbarkeit einzelner Service-Level hängt vom gebuchten Service beziehungsweise Add-on und den jeweils geltenden Vertragsbedingungen ab. Für Cyber Resilience besonders relevant ist die optionale Cyber Recovery and Resilience SLA.
Everpure beschreibt dafür unter anderem:
In der veröffentlichten Beschreibung der Advanced SLAs nennt der Hersteller für die Bereitstellung sauberer Service-Infrastruktur nach Deklaration eines abgedeckten Disaster Events einen Zeitraum von 24 Stunden. Die konkreten Voraussetzungen und Vertragsbedingungen müssen jedoch für die jeweilige Evergreen One-Konfiguration geprüft werden.
Wichtig ist die Abgrenzung: Ein solches SLA verhindert keinen Ransomware-Angriff. Es adressiert vielmehr die Frage, wie nach einem schwerwiegenden Ereignis die technische Wiederherstellung unterstützt werden kann.
Eine belastbare Cyber-Resilience-Architektur nutzt mehrere voneinander unabhängige Schutz- und Recovery-Ebenen. Keine einzelne Technologie deckt alle Anforderungen ab. Security-Lösungen sollen Angriffe verhindern oder möglichst früh erkennen. Storage-Funktionen schützen Recovery Points und können eine schnelle Wiederherstellung ermöglichen. Backup-Systeme stellen zusätzliche, getrennte Datenkopien bereit.
Eine typische Architektur kann deshalb folgende Ebenen umfassen:
Auch Everpure weist darauf hin, dass entsprechende Evergreen One-Service-Level kein Ersatz für robuste Datenschutzmaßnahmen wie Snapshots und Backups sind.
Nach einem Ransomware-Angriff sollte nicht möglichst schnell irgendein Datenstand wiederhergestellt werden, sondern ein nachweislich geeigneter und möglichst sauberer Recovery Point. Ein vereinfachtes Szenario zeigt den Ablauf. Ein Unternehmen erkennt ungewöhnliche Verschlüsselungsaktivitäten auf mehreren Servern. Die betroffenen Systeme werden zunächst isoliert. Das Security-Team analysiert den Vorfall und grenzt den Zeitraum der Kompromittierung ein. Anschließend werden vorhandene Recovery Points geprüft.
Ein möglicher Ablauf ist:
Ein vorhandener Snapshot allein beantwortet also noch nicht die Frage, welcher Snapshot tatsächlich sicher für die Wiederherstellung geeignet ist. Genau deshalb müssen Storage, Security und Incident Response zusammenarbeiten.
Als Concat betrachten wir Cyber Resilience nicht als einzelne Storage-Funktion, sondern als Zusammenspiel von Infrastruktur, Datenschutz, Security und Wiederherstellungsprozessen. Am Anfang steht deshalb die Analyse Ihrer bestehenden Umgebung.
Wir betrachten unter anderem:
Darauf aufbauend lässt sich festlegen, welche Rolle Evergreen One und Everpure Storage innerhalb der Gesamtarchitektur übernehmen sollen. Dabei geht es nicht darum, möglichst viele Sicherheitsfunktionen einzusetzen. Entscheidend ist, dass die verschiedenen Ebenen aufeinander abgestimmt sind.
Für besonders kritische Workloads kann beispielsweise eine Kombination aus häufigen SafeMode Snapshots, separaten Backup-Kopien und einem definierten Cyber-Recovery-Prozess sinnvoll sein. Bei anderen Anwendungen können längere Wiederherstellungszeiten akzeptabel sein. Als zertifizierter Everpure-Partner unterstützen wir Sie bei der Konzeption, Implementierung, Integration und Weiterentwicklung solcher Storage- und Cyber-Resilience-Umgebungen. Evergreen One kann dabei eine technische und operative Komponente der Gesamtstrategie bilden.
Enterprise Storage verhindert keinen Ransomware-Angriff. Er kann jedoch entscheidend dazu beitragen, verwertbare Wiederherstellungspunkte zu erhalten und die Recovery zu beschleunigen.
Immutable Snapshots und SafeMode schaffen dafür eine zusätzliche Schutzebene direkt am Primärspeicher. Evergreen One kann diese technischen Mechanismen um definierte Service-Level und optionale Cyber-Recovery-Leistungen ergänzen.
Entscheidend bleibt jedoch die Gesamtarchitektur. Primärspeicher, Backup, Security, Identity Management und Incident Response müssen gemeinsam geplant werden. RPO und RTO sollten dabei nicht nur dokumentiert, sondern durch regelmäßige Recovery-Tests überprüft werden.
Für CIOs und IT-Leiter verschiebt sich damit die entscheidende Frage von „Sind unsere Daten gesichert?“ hin zu:
„Können wir unsere kritischen Systeme nach einem erfolgreichen Angriff zuverlässig und innerhalb der benötigten Zeit wiederherstellen?“
Cyber Resilience bezeichnet die Fähigkeit einer Organisation, sich auf Cyberangriffe vorzubereiten, deren Auswirkungen zu begrenzen und sich anschließend davon zu erholen. Neben Prävention und Erkennung gehört deshalb insbesondere die Wiederherstellung kritischer Systeme und Daten dazu.
Enterprise Storage kann durch geschützte und unveränderbare Recovery Points zur Absicherung gegen die Folgen von Ransomware beitragen. Bei Everpure FlashArray können SafeMode Snapshots beispielsweise verhindern, dass geschützte Snapshots während ihrer Aufbewahrungszeit regulär endgültig gelöscht werden. Storage ersetzt dabei keine Endpoint-, Netzwerk- oder Identity-Security.
Immutable Snapshots sind unveränderbare Wiederherstellungspunkte. Sie ermöglichen es, einen früheren Datenzustand vorzuhalten, ohne dass der Snapshot selbst nachträglich verändert werden kann.
SafeMode schützt Snapshots und gelöschte Daten vor einer vorzeitigen endgültigen Löschung. Dadurch soll ein Angreifer auch mit weitreichenden administrativen Rechten nicht einfach sämtliche geschützten Recovery Points beseitigen können.
Backups bleiben unverzichtbar, müssen aber geschützt, verfügbar und getestet sein. Ransomware kann versuchen, erreichbare Backups ebenfalls zu löschen oder zu verschlüsseln. Deshalb sind getrennte beziehungsweise isolierte Sicherungskopien und regelmäßige Wiederherstellungstests wichtige Bestandteile einer Cyber-Resilience-Strategie.
RPO beschreibt den maximal akzeptablen Datenverlust in zeitlicher Hinsicht. RTO beschreibt die angestrebte Zeit bis zur Wiederherstellung eines Systems oder Geschäftsprozesses. Beide Werte sollten abhängig von der Kritikalität des jeweiligen Workloads definiert werden.
Evergreen One verbindet Enterprise Storage-as-a-Service mit definierten Service-Leveln. Für Cyber Recovery bietet Everpure optionale erweiterte Leistungen, die unter anderem Recovery-Planung, saubere Storage-Infrastruktur und Unterstützung bei der Wiederherstellung umfassen können. Die konkrete Leistung richtet sich nach dem gebuchten Service und den geltenden Vertragsbedingungen.
Cyber-Recovery-Prozesse sollten regelmäßig und nach wesentlichen Änderungen der Infrastruktur getestet werden. Nur durch praktische Recovery-Tests lässt sich überprüfen, ob Wiederherstellungsprozesse funktionieren und die definierten RPO- und RTO-Ziele tatsächlich erreichbar sind.
Sie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie müssen den Inhalt von Turnstile laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr Informationen