Ergänzen Sie die alte Regel um drei Punkte: mindestens eine Kopie, die sich nicht überschreiben lässt; ein Sicherungssystem mit eigenen Zugangsdaten, die nirgends sonst gelten; und eine geprüfte Rückspielung. Ohne diese drei ist die dritte Kopie im Ernstfall mitverschlüsselt.
Warum die alte Regel entstanden ist
3-2-1 wurde für andere Gefahren entwickelt: defekte Festplatten, Feuer, Wasser, versehentliches Löschen. Gegen all das wirkt sie zuverlässig, und deshalb gilt sie weiter.
Ein Angreifer verhält sich anders als ein Wasserschaden. Er sucht gezielt nach Sicherungen, weil sie der einzige Grund sind, warum ein Betrieb nicht zahlen muss. Und er nimmt sich Zeit dafür.
In den Fällen, die wir gesehen haben, lagen zwischen dem ersten Eindringen und der Verschlüsselung mehrere Wochen. Zeit genug, um Sicherungsläufe zu beobachten, Zugangsdaten mitzulesen und die Kopien zuerst zu löschen.
Die drei Ergänzungen
Unveränderbar statt nur ausgelagert
Eine Kopie muss so abgelegt sein, dass sie sich für eine festgelegte Frist nicht ändern und nicht löschen lässt – auch nicht mit gültigen Zugangsdaten. Gängige Sicherungsziele bieten das an; die Einstellung heisst je nach Anbieter Objektsperre, unveränderliche Aufbewahrung oder ähnlich.
Getrennte Zugänge
Das Konto, mit dem gesichert wird, darf nicht dasselbe sein wie das Administratorkonto der Umgebung. Wer im Netzwerk Rechte erlangt, soll damit nicht automatisch an die Sicherung kommen. Eigene Zugangsdaten, eigene Zweitfaktoren, kein gemeinsamer Passwortspeicher.
Geprüfte Rückspielung
Eine Sicherung, aus der nie zurückgespielt wurde, ist eine Vermutung. Wie eine solche Prüfung abläuft und was sie regelmässig zutage fördert, haben wir in einem eigenen Beitrag beschrieben.
Aufbewahrungsdauer: die unterschätzte Grösse
Wer nur sieben Tage aufbewahrt, hat gegen Verschlüsselung wenig in der Hand. Angreifer warten oft absichtlich, bis alle sauberen Stände überschrieben sind.
Sinnvoll ist eine gestaffelte Aufbewahrung: tägliche Stände für zwei bis vier Wochen, wöchentliche für einige Monate, monatliche für ein bis zwei Jahre. Das kostet Speicherplatz, aber Speicherplatz ist der billigste Teil der ganzen Rechnung.
Bei Buchhaltungs- und Personaldaten kommen gesetzliche Aufbewahrungsfristen dazu. Diese gehören in die Planung, sind aber etwas anderes als Sicherung – eine Sicherung ist kein Archiv.
Was das kostet
Für einen Betrieb mit vierzig Arbeitsplätzen und rund zwei Terabyte Nutzdaten liegen die zusätzlichen Kosten für unveränderbare Ablage und längere Aufbewahrung im Bereich einiger hundert Franken pro Jahr.
Dem gegenüber steht der Aufwand einer Wiederherstellung ohne brauchbare Sicherung. In den Fällen, die wir begleitet haben, waren das mehrere Wochen Arbeit und ein Datenverlust, der sich nicht beziffern liess.
Wir nennen bewusst keine Schadenssummen aus Studien. Was zählt, ist die Frage, welche Ihrer Daten Sie neu erfassen könnten und welche unwiederbringlich wären.