Mit dem Geschäftsvorgang beginnen
Wählen Sie einen Vorgang, den Ihr Unternehmen nach einem Ausfall zuerst wieder benötigt: Aufträge bearbeiten, Termine einsehen oder Waren ausliefern. Beschreiben Sie, was dafür mindestens funktionieren muss. Eine wiederhergestellte Datei allein belegt noch nicht, dass Beschäftigte diese Arbeit erledigen können.
Das im Juni 2026 veröffentlichte NIST-Ransomware-Profil verbindet technische Schutzmaßnahmen mit Zuständigkeiten und Wiederherstellungsplanung. Ein praktikabler Einstieg ist deshalb eine gemeinsame Entscheidung von Geschäftsverantwortlichen und IT: Welcher Ablauf hat Vorrang, und woran erkennen beide Seiten, dass er wieder nutzbar ist? [1]
Zwei Ziele getrennt festlegen
Die tolerierbare Ausfallzeit bestimmt, bis wann der ausgewählte Ablauf wieder funktionieren muss. Der tolerierbare Datenverlust beschreibt, wie weit Sie bei Daten zeitlich zurückfallen dürfen. Daraus entstehen Wiederanlaufziel und Sicherungsanforderung. Beides sind zunächst Vorgaben, keine gemessenen Eigenschaften Ihrer Systeme.
Notieren Sie zusätzlich, wie lange ein Ersatzverfahren tragfähig ist und welche Arbeit nachgeholt werden müsste. Rechnen Sie beim Ausfall mit entgangener Leistung, manueller Nacharbeit und zusätzlichem Betriebsaufwand, ohne dieselben Kosten doppelt zu zählen. Dafür sind eigene Geschäftsangaben nützlicher als allgemeine Schadensdurchschnitte.
Sicherung und Zugriff müssen erhalten bleiben
Das NCSC weist darauf hin, dass auch Backups gezielt zerstört werden können. Weder ein Cloudspeicher noch ein lokales Sicherungsgerät ist automatisch davor geschützt. Fragen Sie nach getrennten Zugängen, geschützten Aufbewahrungszeiten und erreichbaren Sicherungskopien. [2]
- Welche Kopie bleibt nutzbar, wenn die normale Verwaltung ausfällt?
- Wer kann Sicherungen löschen oder ihre Aufbewahrung verkürzen?
- Sind Wiederherstellungszugang und Entschlüsselungsschlüssel im Notfall erreichbar?
- Welche Anwendungen, Konfigurationen und Lizenzen werden zusätzlich benötigt?
Einen vollständigen Ablauf wiederherstellen
Planen Sie mit der zuständigen IT einen kontrollierten Test in einer getrennten Umgebung. Legen Sie Datenumfang, Verantwortliche und Abbruchbedingungen vorab fest. Verwenden Sie geeignete Testdaten oder schützen Sie notwendige Echtdaten entsprechend. Der laufende Betrieb darf nicht ungeplant zum Versuch werden.
Messen Sie die gesamte Ausfallzeit vom simulierten Ausfallbeginn bis zur fachlich bestätigten Nutzbarkeit und erfassen Sie die technische Restore-Dauer separat. So werden auch Erkennung, Entscheidungen und die Bereitstellung benötigter Personen und Zugänge sichtbar. Prüfen Sie den vereinbarten Arbeitsvorgang einschließlich Anmeldung und benötigter Verbindungen. Dokumentieren Sie Datenstand und fehlende Änderungen. NIST empfiehlt, Wiederherstellungsstrategien zu testen und Sicherungsintegrität vor der Nutzung zu prüfen. [1]
Das Ergebnis in Entscheidungen übersetzen
Ein Testprotokoll sollte eine Freigabe oder eine konkrete Korrektur ermöglichen. Unser Vorschlag ist eine Zeile pro geprüftem Ablauf: vereinbartes Ziel, gemessene Zeit, Datenstand, fehlende Abhängigkeiten, verantwortliche Person und Termin für den nächsten Test.
Trennen Sie die reine Datenübertragung von der Zeit bis zur tatsächlichen Arbeitsfähigkeit. Wenn ein fehlender Zugang den Test aufhält, gehört diese Unterbrechung in die Messung. Nach wesentlichen Änderungen an Anwendungen, Berechtigungen oder Sicherungsverfahren muss das Ergebnis erneut überprüft werden. Bewahren Sie frühere Ergebnisse auf, damit Fortschritte und wiederkehrende Hindernisse unterscheidbar bleiben.
Ein aktueller Vorfall braucht einen anderen Ablauf
Bei einem laufenden Angriff entscheidet das zuständige Incident-Response-Team über Eindämmung und Wiederanlauf. Das NCSC empfiehlt, Sicherungen nur mit nachweislich bereinigten Geräten zu verbinden und vor der Wiederherstellung auf Schadsoftware zu prüfen. Ein erfolgreiches Restore beseitigt keinen bereits erfolgten Datenabfluss. [3]
Die externe Sicherheitsanalyse als Ergänzung
Cyberkern Level 1 betrachtet die vereinbarte externe Angriffsfläche und sichtbare Konfigurationen. Damit lassen sich technische Maßnahmen für öffentlich erreichbare Systeme priorisieren. Die Funktionsfähigkeit interner Backups und der Wiederanlauf benötigen eigene Zugänge und praktische Tests durch die zuständigen Verantwortlichen. Beide Ergebnisse beantworten unterschiedliche Fragen und können gemeinsam in Ihren Maßnahmenplan einfließen.
Weiterlesen
Quellen & Vertiefung
Veröffentlicht:
Primärquellen abgeglichen am 02.10.2026.
Quellen und Geltungsgrenzen sind im Beitrag angegeben.