Immer mehr Unternehmen setzen auf Cloud-Services – und gehen davon aus, dass ihre Daten damit automatisch ausreichend geschützt sind. Doch im Ernstfall zeigt sich: Entscheidend ist nicht, ob ein Backup existiert, sondern ob es sich schnell, vollständig und zuverlässig wiederherstellen lässt.
Blogserie: Cyberresilienz und Backup-Strategien
In dieser Artikelserie zeigen wir, wie Unternehmen ihre Datensicherung gegen moderne Bedrohungen absichern können – von Schutzlevels über Cloud-Backups bis hin zur Wiederherstellungsstrategie.
Diese Blogserie umfasst vier Teile.
Dies ist Teil 4 von 4 der Serie über Ransomware-Schutz und Datensicherung.
Nachdem wir im ersten Teil die Risiken von Ransomware für Backups beleuchtet und im zweiten Teil konkrete Schutzlevels für Cloud-Dienste wie Microsoft 365, Azure und AWS vorgestellt haben, haben wir im dritten Teil verschiedene Cloud-Backup-Modelle und deren Schutzwirkung analysiert.
Im vierten und letzten Teil richten wir den Fokus auf einen oft unterschätzten Aspekt: die Wiederherstellung im Ernstfall. Warum kommt es trotz vorhandener Backups häufig zu erheblichen Datenverlusten (RPO) und langen Wiederherstellungszeiten (RTO) – und wie können Unternehmen diese Risiken gezielt reduzieren?
Teil 1: Einführung ins Thema, Problemverständnis (Ransomware trifft Backups)
Teil 2: Detaillierte Schutzmassnahmen (vier Levels, Cloud-Plattformen)
Teil 3: Cloud-Backup-Modelle und deren Schutzwirkung
Warum Standard-Cloud-Funktionen nicht ausreichen
Bevor konkrete Modelle betrachtet werden, lohnt sich ein Blick auf typische Eigenschaften von Cloud-Anbietern:
- Keine echten Backups per Default: Stattdessen existieren meist nur Papierkorb-Funktionen mit begrenzter Aufbewahrungsdauer (z. B. 30 Tage)
- Eingeschränkte Versionierung: Nur eine definierte Anzahl von Versionen wird vorgehalten
- SLA-Fokus auf Verfügbarkeit: Ein Datenverlust ist in vielen Fällen nicht ausgeschlossen
Diese Rahmenbedingungen zeigen klar: Standardfunktionen ersetzen keine professionelle Backup- und Recovery-Strategie.
«One-size doesn’t fit all»
Die oben beschriebenen Spezifikationen von Cloud-Anbietern zeigen deutlich: Standard-Backup-Funktionen decken die Anforderungen in der Praxis nur teilweise ab.
Unternehmen stehen heute vor einer Vielzahl an technischen, regulatorischen und sicherheitsrelevanten Anforderungen, die individuell berücksichtigt werden müssen. Eine pauschale Lösung existiert nicht – Backup-Strategien müssen gezielt auf die jeweilige Organisation abgestimmt werden.
Typische Anforderungen aus der Praxis sind:
- Echte Backup-Lösungen statt Basisfunktionen Unternehmen benötigen Backups, die über Versionierung und Papierkorb hinausgehen und vollständige, konsistente Wiederherstellungen ermöglichen.
- Individuelle Backup-Policies Anforderungen an Sicherungszeitpunkte, Sicherungshäufigkeit, Backup-Typen (z. B. Full, Incremental) sowie Aufbewahrungsfristen unterscheiden sich je nach Business-Anforderung und Risikoexposition erheblich.
- Hybrid-Ansätze (Cloud und On-Premise) In vielen Fällen müssen Daten zusätzlich lokal vorgehalten werden – etwa aufgrund regulatorischer Vorgaben oder um im Ernstfall unabhängig vom Cloud-Anbieter agieren zu können.
- Unabhängigkeit vom Cloud-Provider Backups sollen bewusst ausserhalb der Infrastruktur des Primäranbieters gespeichert werden, um Risiken wie grossflächige Ausfälle oder Anbieter-spezifische Sicherheitsvorfälle zu mitigieren.
- Schutz vor Cyber-Angriffen und internen Risiken Moderne Bedrohungen wie Ransomware oder kompromittierte Admin-Konten („Bad Admin“) erfordern zusätzliche Schutzmechanismen, darunter:
- Immutable Backups (Schreibschutz gegen nachträgliche Manipulation)
- Anomalieerkennung zur frühzeitigen Identifikation von Angriffen
- Segregation of Duties zur Trennung kritischer Administrationsrollen
- Isolierte Backup-Kopien als letzte Verteidigungslinie
Cloud Backup Modelle
C2OC: Cloud-to-other-Cloud Backup
Cloud-to-other-Cloud Backups (C2OC) sichern Backups zu einem anderen Cloud Provider und gewährleisten somit eine zusätzliche Unabhängigkeit vom eigentlichen Cloud Provider, der die primären Daten verwaltet. Damit sind auch SaaS basierte Services von Backup Anbietern gemeint, die nicht beim gleichen Anbieter aufbewahrt werden. Nachteil: Für den Transport der Daten fallen teilweise signifikante Transportgebühren an.
C2OP: Cloud-to-On-Premise Backup
Cloud-to-On-Premise Backups (C2OP) sichern die cloudbasierten Daten zum On-Premise Standort der Kunden. Dies gewährleistet einen weiteren Schutz und der Kunde erhält die Kontrolle über die Sicherungs- und Aufbewahrungspolicies, um beispielsweise aus regulatorischen Gründen die Daten jederzeit lokal zugreifbar zu haben. Nachteil: Für den Transport der Daten fallen teilweise signifikante Transportgebühren an.
C2CxR: Cloud-to-Cloud cross Region
Cloud-to-Cloud cross Region Backups (C2CxR) sichern die Cloud basierten Daten auf eine Backupumgebung des gleichen Cloudanbieters, die sich in einer anderen Region befindet. Dies ermöglich einen Zugriff auf die Backupdaten, sollte die erste Region von einem Ausfall stark betroffen sein. Dabei kann der Kunde auch ein Cloud basiertes eigenes Backupwerkzeug einsetzen und die Sicherungs- und Aufbewahrungspolicies frei wählen. Je nach Lösung sind die Transportgebühren für die Backupdaten gering oder entfallen.
C2CxA: Cloud-to-Cloud cross Account
Bei Cloud-to-Cloud cross Account Backups (C2CxA) werden die Cloud basierten Daten auf eine Backupumgebung gesichert, die durch andere Accounts verwaltet wird. Durch diese Segregation-of-Duty wird insbesondere das erwähnte Szenario des Bad-Admins adressiert. Auch hier kann der Kunde ein Cloud basiertes eigenes Backupwerkzeug einsetzen und die Sicherungs- und Aufbewahrungspolicies frei wählen. Je nach Lösung sind die Transportgebühren für die Backupdaten gering oder entfallen.
C2CI: Cloud-to-Cloud Internal Backup
Cloud-to-Cloud Internal Backups (C2CI) sichern die Cloud basierten Daten auf eine Backupumgebung des gleichen Cloudanbieters. Dabei kann der Kunde auch ein Cloud basiertes eigenes Backup Werkzeug einsetzen und die Sicherungs- und Aufbewahrungspolicies frei wählen. Bei dieser Lösung fallen in der Regel keine oder sehr geringe Transportgebühren an. Dafür sind in der Regel die Kosten für die Datenhaltung im Backup deutlich höher.
Cloud Versioning & Trash Bin
Ergänzend sei an dieser Stelle noch die Versionsverwaltung mit Papierkorb aufgeführt, welches oft ein Standardservice der Cloudanbieter ist und nicht als eigentliches Backup gilt. Mit der Versionsverwaltung und dem Papierkorb können Daten, i.d.R. einzelne Dateien, rasch auch durch Anwender selbst auf eine frühere Version zurück- oder aus dem Papierkorb wiederhergestellt werden. In dieser Variante fallen keine zusätzlichen Gebühren für Datentransport oder Datenhaltung an, es handelt sich hier aber auch um keine echte Backuplösung
Wie gut schützen die einzelnen Verfahren?
Ein zentrales Prinzip der IT-Security lautet:
Je stärker die Trennung zwischen Originaldaten und Backup, desto höher der Schutz.
| Trennung Daten / Backup | Cloud Backup Verfahren | Schutzlevel |
|---|---|---|
| Schutz in anderer Lokation | C2OC oder C2OP | Hoch |
| Schutz in gleicher Cloud mit Trennung von Region oder Account | C2CxR / C2CxA | Mittel |
| Interne Sicherung | C2CI | Mittel–gering |
| Papierkorb / Versioning | Cloud Versioning & Trash Bin | Gering |
Eine Anmerkung zum Schluss
Bei Evaluationen von Backup Tools sollen verschiedene Backup Szenarien auch in der Cloud oder zwischen Cloud und On-Prem Installationen möglich sein. Dabei sollte das Backup Tool zum Einsatz kommen, welches möglichst viele, resp. alle Anforderungen abdeckt. Die aktuellen, gängigen On-Premise Backup Tools bieten heute mehr oder weniger ausgeprägte Cloud Backup Funktionen, die oft auch applikationsspezifisch sind (z.B. Office 365, Sharepoint, etc.).
Bei den Cloud Backup Möglichkeiten ist die Wahl des oder der Backupwerkzeuge entscheidend, denn erst sie ermöglichen sichere und Cloud-übergreifende Backups.
Fazit
Cloud-Backups sind ein zentraler Bestandteil moderner Cybersecurity- und Ransomware-Schutzstrategien.
Entscheidend ist jedoch nicht nur die Wahl des richtigen Modells, sondern:
- die Kombination geeigneter Backup-Ansätze
- die klare Trennung von Daten und Backup
- und vor allem die geübte Wiederherstellung im Ernstfall
Denn ein Backup ist nur dann etwas wert, wenn es im entscheidenden Moment auch funktioniert.
Weiterlesen in dieser Serie:
Teil 1: Einführung ins Thema, Problemverständnis (Ransomware trifft Backups)
Teil 2: Detaillierte Schutzmassnahmen (vier Levels, Cloud-Plattformen)
Teil 3: Cloud-Backup-Modelle und deren Schutzwirkung
