Ransomware-Schutz für Unternehmen: So bleiben Sie wiederherstellbar, wenn ein Angriff erfolgreich ist

Am 19. Oktober 2025 stoppte Ransomware sämtliche Lieferungen aus den Logistikzentren von Askul, einem japanischen Anbieter für Bürobedarf und E-Commerce. Die Angreifer waren über ein Administratorkonto eingedrungen, das einem ausgelagerten Dienstleister ausgestellt worden war – das eine Konto, das das Unternehmen von der Multi-Faktor-Authentifizierung (MFA) ausgenommen hatte. Als die Angreifer Askuls Server verschlüsselten, löschten sie auch dessen Backup-Dateien, und ein Teil der gestohlenen Daten wurde später online veröffentlicht. ^[1]

Askuls eigene Untersuchung ergab, dass seine Online-Backups nicht dafür ausgelegt waren, einem Ransomware-Angriff standzuhalten, sodass Angreifer einige davon zusammen mit allem anderen verschlüsseln konnten, was die Wiederherstellung erheblich verzögerte. ^[1] Askul ist damit bei weitem nicht allein. Ransomware nimmt in 4 von 5 Angriffen Backups ins Visier, mit dem Ziel, Lösegeldzahlungen zu erzwingen, indem die Fähigkeit zur Wiederherstellung zerstört wird. ^[2]

Dieser Leitfaden behandelt, wie sich ein Unternehmensangriff entfaltet, welche Schichten ihn stoppen, warum Backup-Speicher mit Absolute Immutability Ihre ultimative Ransomware-Abwehr ist und wie man die Lösungen bewertet, die behaupten, sie bereitzustellen.

Wichtigste Erkenntnisse

• Im Unternehmensmaßstab hängt Ransomware-Schutz davon ab, ob ein gestohlener Satz Anmeldedaten alles erreichen kann, einschließlich Backups, denn in den meisten Fällen nutzen Angreifer Administratorrechte, um Wiederherstellungsoptionen zu zerstören, bevor oder während sie verschlüsseln.

• Ransomware ist inzwischen eine nahezu sichere Bedrohung: Mehr als 4 von 5 Organisationen haben in den letzten zwei Jahren mindestens einen Angriff erlitten. ^[2] Kein einzelnes Produkt reicht aus; Schutz erfordert ein mehrschichtiges Set an Kontrollen für Identität und Zugriff, E-Mail und Endpunkte, Netzwerk, Erkennung sowie Backup und Wiederherstellung.

• Standard-Immutability hat oft versteckte Ausnahmen und Schlupflöcher, die das Löschen von Backups ermöglichen könnten, aber mit Absolute Immutability kann niemand Backup-Daten verändern oder löschen, selbst mit Admin-Anmeldedaten. Während 93% der Technologieführungskräfte sagen, dass absolut Immutable Backup-Storage für Ransomware-Schutz entscheidend ist, haben es nur 16%. ^[2]

Was ist Ransomware-Schutz?

Ransomware-Schutz ist die Kombination aus technischen Kontrollen, Richtlinien und Wiederherstellungsfähigkeiten, die eine Organisation vor Ransomware-Angriffen schützt und den Schaden begrenzt, wenn diese Angriffe erfolgreich sind. Er hat zwei Aufgaben: Angreifer daran zu hindern, einzudringen und sich im Netzwerk auszubreiten, und sicherzustellen, dass sich die Organisation erholen kann, wenn ein Angriff trotzdem erfolgreich ist.

Beide Aufgaben werden im Unternehmensmaßstab schwieriger. Eine einzelne Virtualisierungskonsole kann Hunderte virtueller Maschinen betreiben; privilegierte Konten und Dienstkonten vervielfachen sich über Abteilungen und Partner hinweg; und das Backup-System hat seine eigene Administratorkonsole, bei der sich ein Angreifer mit gestohlenen Anmeldedaten genauso anmelden kann wie ein legitimer Administrator.

Wiederherstellung bedeutet wiederum Hunderte von Restores, durchgeführt in der Reihenfolge der geschäftlichen Priorität. Wenn so viel von so wenigen Konten aus erreichbar ist, läuft Unternehmensschutz darauf hinaus, ob ein einzelner gestohlener Satz Anmeldedaten alles erreichen kann, einschließlich Backups. Diesen Pfad zu schließen, sodass kein einzelnes Konto sowohl Produktionsdaten als auch deren Wiederherstellungskopien zerstören kann, ist die Grundlage der Ransomware-Resilienz.

Wie läuft ein Ransomware-Angriff innerhalb eines Unternehmens ab?

Ein einzelner Satz Anmeldedaten, der alles erreicht, ist genau das, wonach Angreifer suchen. Mehr als 4 von 5 Organisationen haben in den letzten zwei Jahren mindestens einen Ransomware-Angriff erlitten. ^[2]

Die folgende Abfolge folgt den Phasen eines Ransomware-Angriffs im schlimmsten Fall, in dem Ransomware-Schutz bei jedem Schritt versagt und die Angreifer ihr Ziel erreichen.

1. Eindringen. Die meisten Angriffe beginnen mit einer E-Mail oder einem gestohlenen Login: bösartige E-Mails, Phishing und kompromittierte Anmeldedaten sind mit 26%, 24% bzw. 23% die drei häufigsten Grundursachen von Ransomware-Angriffen. ^[3] Askuls Angreifer meldeten sich schlicht mit dem Administratorkonto eines Dienstleisters ohne MFA an. ^[1]
2. Unbemerkt bleiben. Einmal im Inneren verbringen Angreifer oft Wochen damit, das Netzwerk zu kartieren, Sicherheit-Tools zu deaktivieren und dabei Protokolle zu bereinigen. Askuls Eindringlinge taten dasselbe, deaktivierten Endpoint Detection and Response (EDR)-Software und nutzten mehrere Ransomware-Varianten, von denen einige damals an Askuls EDR-Signaturen vorbeikamen. ^[1]
3. Die Schlüssel sammeln. Jedes System, das Angreifer erreichen, liefert weitere Anmeldedaten, aber die Hauptziele sind die Konten, die die Infrastruktur kontrollieren: Domänen-, Virtualisierungs- und Backup-Systemadministratoren.
4. Seitliche Ausbreitung in der gesamten Umgebung. Mit Administratorrechten bewegen sich Angreifer lateral von Server zu Server, bis sie die Systeme kontrollieren, die alles andere verwalten – von den Hypervisoren, auf denen Hunderte virtueller Maschinen laufen, bis zu den Konsolen, die Backups verwalten.
5. Die Daten abziehen. Bevor irgendetwas verschlüsselt wird, werden sensible Daten oft aus dem Netzwerk herauskopiert. Diese Kopie ist die Grundlage der doppelten Erpressung: Das Opfer wird unter Druck gesetzt, einmal für einen Entschlüsselungsschlüssel zu zahlen und ein zweites Mal, um zu verhindern, dass die Daten veröffentlicht werden. Ein sauberes Restore löst nur das erste Problem. Askul weigerte sich zu verhandeln, und ein Teil seiner gestohlenen Daten tauchte online auf. ^[1]
6. Den Rückweg entfernen. In den meisten Fällen gehen Angreifer dazu über, Wiederherstellungsoptionen zu eliminieren, bevor oder während die Verschlüsselungs-Payload ausgeliefert wird, und nutzen dafür die in Schritt 3 gesammelten Rechte. Ein Backup-System, das einen gültigen Login akzeptiert, kann einen Eindringling nicht von seinem eigenen Administrator unterscheiden. Askuls Backup-Dateien wurden in dem Moment gelöscht, als seine Server verschlüsselt wurden. ^[1]
7. Alles auf einmal verschlüsseln. Die Verschlüsselung läuft dann gleichzeitig über viele Server, oft auf der Virtualisierungsebene, sodass Hunderte Systeme gemeinsam ausfallen statt nacheinander. Zu den bei Askul verschlüsselten Systemen gehörten diejenigen, die seine hochautomatisierten Logistikzentren betrieben, und der Versand kam vollständig zum Erliegen. ^[1]
8. Die Forderung. Die Lösegeldnotiz trifft mit zwei Bedingungen ein: zahlen für den Entschlüsselungsschlüssel und zahlen, damit die gestohlenen Daten privat bleiben. Wenn die Backups weg sind, ist der Schlüssel der einzige verbleibende Weg zu den Daten.

Die fünf Schichten des Ransomware-Schutzes für Unternehmen

Keine einzelne Kontrolle in einer Ransomware-Abwehrstrategie kann die obige Abfolge unterbrechen, weil jede Kontrolle nur einige der Angriffsschritte stoppt.

Da kein System undurchdringlich ist, folgt Ransomware-Schutz in Unternehmensumgebungen einem Unkompliziert-Modell: von einem Einbruch ausgehen, mehrere Schichten der Cybersicherheit aufbauen und die Wiederherstellung vorbereiten. ^[4]

Das National Institute of Standards and Technology (NIST) verfolgt in seinem Profil für das Management von Ransomware-Risiken denselben Ansatz, der die Wiederherstellung innerhalb eines einzigen Frameworks neben Schutz und Erkennung positioniert. ^[5]

Identität und Zugriff

Identitätskontrollen zielen auf Schritt 1 und 3 ab, weil die meisten Angriffe einen gültigen Login erfordern, bevor irgendetwas anderes passiert. MFA für jedes Remote- und Administratorkonto macht ein gestohlenes Passwort für sich genommen deutlich weniger nützlich. Zugriff nach dem Least-Privilege-Prinzip beschränkt jedes Konto auf genau die Systeme und Daten, die seine spezifische Rolle benötigt, sodass ein gestohlenes Konto nur einen kleinen Teil der Umgebung öffnet.

Privileged Access Management (PAM) ergänzt eine strengere Kontrolle über die Konten, auf die Angreifer am häufigsten abzielen. Ein PAM-Tool gewährt Administratorrechte nur dann, wenn sie benötigt werden, und zeichnet auf, wie sie genutzt werden.

Alle drei funktionieren nur, wenn keine Konten als Ausnahmen verbleiben, einschließlich derjenigen, die an Partner und Dienstleister ausgegeben wurden.

E-Mail und Endpunkte

E-Mail-Filterung hilft, einen Großteil des Phishings hinter Schritt 1 zu verhindern, indem Absender, Links und Anhänge geprüft werden, bevor Nachrichten Posteingänge erreichen.

EDR-Tools überwachen dann Server und Laptops während Schritt 2 auf bösartiges Verhalten, etwa ungewöhnliche Prozesse oder Versuche, Sicherheit-Software zu deaktivieren. Angreifer rechnen damit, dass EDR vorhanden ist, daher ist das Abschalten oft einer ihrer ersten Schritte, nachdem sie Zugriff auf das Netzwerk erlangt haben.

KI-gestützte Ransomware bringt eine zusätzliche Herausforderung. Sie kann ihren eigenen Code erzeugen oder umschreiben, sodass jede Version anders aussieht, wodurch signaturbasierte Tools kein stabiles Muster mehr haben, an dem sie sich orientieren können.

E-Mail-Filterung und EDR funktionieren am besten, wenn ihre Warnmeldungen in die Erkennungsschicht einfließen, statt isoliert zu stehen.

Netzwerk

Netzwerksegmentierung verlangsamt Schritt 4, indem sie das Netzwerk der Organisation in getrennte Zonen aufteilt, die ein Angreifer nacheinander überwinden muss.

Kritische Systeme, wie Hypervisor-Management und Identitätsserver, sollten in Zonen liegen, die Standard-Workstations nicht direkt erreichen können, sodass ein kompromittierter Laptop nie nur einen Hop von der Infrastruktur entfernt ist.

Die Überwachung des Datenverkehrs zwischen Zonen hilft, einen Angreifer zu erkennen, der sich durch das Netzwerk bewegt. Die meisten Systeme folgen vorhersehbaren Mustern, daher sticht eine ungewöhnliche Verbindung – etwa eine Remote-Desktop-Sitzung zwischen zwei Servern, die selten miteinander kommunizieren – als Warnsignal hervor.

Erkennung und Frühwarnung

Erkennung verkürzt die Zeit, die Angreifer im Netzwerk verbringen, und kann in jedem Schritt von 2 bis 6 auslösen. Verhaltensmonitoring lernt, wie sich Benutzer, Systeme und Anwendungen normalerweise verhalten, und markiert Aktivitäten, die das Muster brechen, wodurch Bedrohungen erkannt werden, die signaturbasierte Tools übersehen.

Sicherheit-Teams speisen diese Warnmeldungen typischerweise in ein Sicherheit-Information-and-Event-Management-(SIEM)-System ein, das Signale aus den Systemen der Organisation an einem Ort sammelt, sodass Analysten zusammenhängende Ereignisse verknüpfen und schneller reagieren können.

Das breitere Set an Techniken zur Ransomware-Erkennung umfasst auch Köder. Ein Netzwerk-Köder imitiert ein legitimes Backup-Ziel, um Angreifer dazu zu bringen, sich zu verraten, bevor echte Daten gefährdet sind.

Object First Honeypot ist ein Beispiel. Er stellt mit nur wenigen Klicks eine Köder-Veeam-Backup-&-Replication-(VBR)-Umgebung innerhalb der Object First-Appliance bereit und dient als Stolperfalle, um verdächtige Aktivitäten zu erkennen, die auf Backup-Infrastruktur abzielen.

Backup und Wiederherstellung

Die vier obigen Schutzschichten reduzieren die Wahrscheinlichkeit, dass ein Angriff erfolgreich ist, aber keine von ihnen bestimmt, was passiert, wenn doch einer erfolgreich ist. Das hängt von der Backup- und Wiederherstellungsschicht ab, in der sich die Ergebnisse verschlechtern: Nur 39% der Organisationen stellten nach einem Angriff mindestens 75% ihrer Daten wieder her, gegenüber 57% im Jahr 2024. ^[2]

Ein Grundpfeiler der Wiederherstellung nach Datensicherung ist die Aufrechterhaltung von unveränderlichen Backups, was bedeutet, dass während eines vordefinierten Zeitfensters ein Backup nicht verändert oder gelöscht werden kann. Hier ist jedoch Sorgfalt nötig, weil viele Systeme, die behaupten, unveränderliche Backups anzubieten, versteckte Ausnahmen und Schlupflöcher haben.

Die Lösung für diese Schlupflöcher ist Absolute Immutability, was bedeutet, dass selbst der am höchsten privilegierte Admin oder ein Angreifer mit Zugriff auf Backup-Speicher Daten nicht verändern oder löschen kann.

Absolute Immutability: Das Fundament für Ransomware-Schutz auf Enterprise-Niveau

Die Lücke zwischen dem Glauben, dass Backups geschützt sind, und dem tatsächlichen Vorhandensein dieses Schutzes ist groß: 76 % der Technologieführungskräfte sagen, dass ihre primäre Backup-Lösung Immutable Storage nutzt, aber nur 16 % sagen, dass ihr aktuelles Backup-Speicher absolut unveränderlich ist. ^[2]

Absolute Immutability kann nur mit einem Backup-Speicher-System erreicht werden, das „Secure by Design“ ist, mit Zero Access, um destruktive Aktionen auszuführen, und dieser Zero Access muss durch Tests durch Dritte verifiziert werden. ^[4]

Eine der häufigsten Schlupflöcher liegt darin, wie S3 Object Lock konfiguriert ist. Im Compliance-Modus werden Aufbewahrungszeiträume strikt durchgesetzt – selbst Administratoren können geschützte Daten erst ändern oder löschen, wenn der Aufbewahrungszeitraum abgelaufen ist. Der Governance-Modus hingegen erlaubt privilegierten Benutzern, Object-Lock-Einstellungen zu überschreiben, sodass ein Angreifer, der administrativen Zugriff erlangt, Immutability deaktivieren und Backup-Daten zerstören kann. ^[4]

Die praktische Umsetzung von Absolute Immutability erfordert drei Kernprinzipien:

• S3-Objektspeicherung: Ein vollständig dokumentierter, offener Standard mit nativer Immutability, der unabhängige Penetrationstests und Verifizierung durch Dritte ermöglicht.

• Sofortige Unveränderbarkeit: Backup-Daten werden in dem Moment unveränderlich, in dem sie geschrieben werden – ohne Lücken und ohne Landing Zones.

• Ziel-Speicher-Appliance: Eine Dediziert-Appliance trennt Backup-Speicher von Backup-Software und eliminiert die Risiken von DIY, selbstverwaltetem Storage bei Einrichtung, Updates und Wartung. Es ist keine Sicherheit-Expertise erforderlich, weil der operative Sicherheit auf den Anbieter übergeht.

Durch die Befolgung dieser drei Prinzipien können Organisationen Absolute Immutability erreichen, wodurch Backup-Daten für den definierten Aufbewahrungszeitraum geschützt und wiederherstellbar bleiben – unabhängig davon, ob die Bedrohung Ransomware, ein Insider oder gestohlene Zugangsdaten sind. ^[4]

Ransomware-Schutz mit Object First

Wenn – nicht falls – Ransomware zuschlägt, steht die Zukunft Ihres Unternehmens auf dem Spiel. In diesem Moment zählt Wiederherstellung am meisten – so schnell wie möglich wieder betriebsbereit werden, ohne unerwünschte Komplexität.

Wir machen Cyber-Resilienz Unkompliziert mit Backup-Speicher, das absolut unveränderlich und speziell für Veeam entwickelt ist. Das ist Ihre ultimative Abwehr gegen Ransomware.

Object First basiert auf Zero Trust Best Practices und ist durch Dritte getestet und verifiziert, um Sicher zu sein. Es ist Unkompliziert bereitzustellen und zu verwalten mit KEINE Sicherheitskenntnisse erforderlich und ist Leistungsstark genug für blitzschnelle Backups und turboaufgeladene Instant Recovery, um mit Ihrem Unternehmen zu skalieren.

Wenn Backup-Speicher so Sicher, Unkompliziert und Leistungsstark ist, sind Sie und Ihre Organisation Simply Resilient.

Die acht Best Practices von Object First für Ransomware-Schutz auf Enterprise-Niveau

Bei Object First arbeiten wir auf eine Welt hin, in der keine Organisation ein Lösegeld für verschlüsselte Daten zahlen muss. Das sind die acht Best Practices für Ransomware-Schutz, die wir jedem Enterprise empfehlen.

1. Erzwingen Sie MFA für jedes Remote- und Administratorkonto, beginnend mit Backup-Management-Konsolen, und machen Sie keine Ausnahmen für Partner, Auftragnehmer oder Dienstleister, denn ein einziges ausgenommenes Konto kann das gesamte Netzwerk kompromittieren.
2. Geben Sie Backup-Systemen eigene Administratorkonten, getrennt von alltäglichen Benutzer- und Domänenadministratorkonten, und wenden Sie Least-Privilege-Zugriff an, damit eine abgegriffene Domänenanmeldung nicht auch die Backup-Konsole öffnet.
3. Verlangen Sie eine Mehrpersonenfreigabe für destruktive Aktionen wie Resets, Änderungen der Aufbewahrung oder Sicherheit-Änderungen. Ein Acht-Augen-Protokoll, bei dem zwei Personen auf Kundenseite und zwei Mitarbeitende auf Anbieterseite jede Aktion freigeben, schließt die Lücke, die sonst ein einzelnes kompromittiertes Administratorkonto schaffen würde.
4. Verschlüsseln Sie Backup-Daten Ende-zu-Ende ab dem Moment ihrer Erstellung, mit Schlüsseln, die sich bei jeder Backup-Sitzung ändern. Immutability verhindert, dass Angreifer Backups verändern oder löschen, während Verschlüsselung mit rotierenden Schlüsseln alle Backup-Daten, die sie stehlen, unlesbar hält.
5. Bewahren Sie drei Kopien Ihrer Daten auf zwei unterschiedlichen Medientypen auf, mit einer Offsite-, einer unveränderlichen und null unverifizierten Backups, wie es die 3-2-1-1-0-Backup-Regel vorgibt. Diese Kopien in getrennten Resilienz-Zonen zu platzieren – ein Kernbestandteil des Ransomware-sicheres Backup-Schutzes – bedeutet, dass ein Einbruch in eine Zone die anderen nicht erreicht.
6. Alarmieren Sie bei Änderungen an Aufbewahrungsrichtlinien, ungewöhnlichen Löschversuchen und fehlgeschlagener Authentifizierung gegen das Backup-Repository, und leiten Sie diese Alarme an dasselbe Team und denselben Eskalationspfad weiter wie Produktions-Sicherheit-Alarme.
7. Testen Sie Wiederherstellungen nach einem festen Zeitplan, vierteljährlich für kritische Systeme und mindestens jährlich für die gesamte Produktionsumgebung, und protokollieren Sie, wie lange jede Wiederherstellung dauert. Ein ungetestetes Backup ist eine Annahme, und die protokollierte Zeit zeigt, ob die Wiederherstellung Ihr Recovery Time Objective (RTO) erfüllt.
8. Halten Sie genügend unveränderliche Wiederherstellungspunkte vor, um von vor der initialen Kompromittierung wiederherzustellen, nicht nur vom sichtbaren Angriff. Angreifer halten häufig über Tage oder Wochen Persistenz aufrecht, bevor sie die Verschlüsselung auslösen, sodass das aktuellste Backup bereits ihren Einstiegspunkt enthalten kann.

So bewerten Sie Ransomware-Schutzlösungen für Enterprise

Die obigen Empfehlungen gelten nur, wenn der darunterliegende Storage sie unterstützt – und viele Käufer prüfen nie, ob das der Fall ist. Während 89 % der Technologieführungskräfte zustimmen, dass Anbieterbehauptungen zu Immutability durch ein Audit durch Dritte validiert werden müssen, nutzen nur 56 % Tests und Reporting durch Dritte. ^[2]

Die folgenden Prüfungen ermöglichen es einem Enterprise, diese Behauptungen zu testen, bevor es sich zwischen Ransomware-sicheres Backup-Schutz-Lösungen entscheidet, sodass die Entscheidung auf Evidenz statt auf einer Datenblatt beruht.

• Finden Sie heraus, ob Ihr Anbieter oder der am stärksten privilegierte Administrator die Aufbewahrung verkürzen oder ein Backup löschen kann, bevor es abläuft. Wenn einer von beiden das kann, kann es auch ein Angreifer mit denselben Zugangsdaten.

• Bestätigen Sie, dass Backup-Daten in dem Moment unveränderlich werden, in dem sie geschrieben werden, nicht erst nachdem der Backup-Job abgeschlossen ist, da jede Lücke zwischen beidem ein Zeitfenster für Manipulation lässt.

• Fordern Sie veröffentlichte Ergebnisse von Penetrationstests durch Dritte an, statt sich auf eine Datenblatt-Behauptung zu verlassen. Unabhängige Tests sind nur gegen offene, dokumentierte Protokolle möglich – ein proprietäres System lässt Sie daher auf das Wort des Anbieters angewiesen.

• Schauen Sie sich an, wie der Storage mit der Backup-Software zusammenarbeitet, die Sie bereits betreiben, denn Storage, der für diese Software gebaut ist, eliminiert die Arbeit an kundenspezifischer Konfiguration, bei der selbstverwaltete Setups häufig Schwachstellen einführen.

• Klären Sie, wer für Patching, Updates und Härtung verantwortlich ist und wie viel Sicherheit-Expertise Ihr Team benötigt, um das System sicher zu betreiben. Bei selbstverwaltetem Storage verbleiben diese Tätigkeiten und ihre Risiken bei Ihrem Team.

• Testen Sie vor dem Kauf die Restore-Geschwindigkeit mit Ihren eigenen Datenvolumina und Workloads, beginnend mit den Systemen, die das Geschäft zuerst benötigt, statt sich auf Anbieter-Benchmarks zu verlassen. Das Ergebnis zeigt, wie schnell Sie Daten nach einem Ransomware-Angriff wiederherstellen können.

• Führen Sie eine Tabletop-Übung durch, die einen vollständigen Credential-Breach simuliert, bei dem ein Angreifer jedes Administratorkonto besitzt, einschließlich der Konten für die Backup-Software und den Storage. Bestätigen Sie dann praktisch, dass der Storage weiterhin Löschungen und Aufbewahrungsänderungen von diesen Konten verweigert. Erst dann können Sie sicher sein, dass Ihre Backups wirklich Schutz vor Ransomware sind.

FAQ

Was ist der beste Schutz gegen Ransomware für ein Enterprise?

Keine einzelne Maßnahme ist ausreichend; der beste Ransomware-Schutz für Enterprise ist mehrschichtig. Unter diesen Schichten ist Backup-Speicher mit Absolute Immutability diejenige, die auch dann noch funktioniert, wenn Prävention und Erkennung versagt haben, weil kein gestohlenes Konto die Aufbewahrung verkürzen kann.

Wie testen Sie, ob Ihr Ransomware-Schutz funktioniert?

Führen Sie Restore-Tests nach einem Zeitplan durch, protokollieren Sie jede Restore-Zeit und vergleichen Sie sie mit Ihrem RTO, und führen Sie Tabletop-Übungen durch, die davon ausgehen, dass ein Administratorkonto bereits kompromittiert ist. Bestätigen Sie dann, dass Ihr Backup-Speicher tatsächlich eine Löschung oder Aufbewahrungsänderung von diesem Konto verweigert, statt sich darauf zu verlassen, was der Konfigurationsbildschirm anzeigt.

Was ist das Erste, das bei einem Ransomware-Angriff zu tun ist?

Stellen Sie fest, welche Systeme betroffen sind, und isolieren Sie sie sofort vom Netzwerk; schalten Sie Geräte nur dann aus, wenn sie nicht getrennt werden können. [6] Isolation stoppt die Ausbreitung und bewahrt gleichzeitig die Beweise, die Ihr Ransomware-Reaktionsplan für Untersuchung und Wiederherstellung benötigt.

References

[1] Askul Corporation. "Report on the Results of the Investigation into the Impact of the Ransomware Attack and Initiatives to Strengthen Security (13th Report)." December 12th, 2025 (Japanese). https://pdf.irpocket.com/C0032/PDLX/O3bg/N4O3.pdf

[2] Omdia. "Recovery without Compromise: The Data-Backed Case for Backup Storage with Absolute Immutability." Commissioned by Object First, June 2026. https://objectfirst.com/recovery-without-compromise/

[3] Sophos. "The State of Ransomware 2026." 2026. https://www.sophos.com/en-us/content/state-of-ransomware

[4] Object First. "Absolute Immutability: The Ultimate Ransomware Defense." White paper, 2025. https://objectfirst.com/absolute-immutability-whitepaper/

[5] National Institute of Standards and Technology. "NIST IR 8374 Rev. 1: Ransomware Risk Management: A Cybersecurity Framework 2.0 Community Profile." June 2026. https://csrc.nist.gov/pubs/ir/8374/r1/final

[6] CISA, MS-ISAC, NSA, and FBI. "#StopRansomware Guide." September 2023. https://www.cisa.gov/stopransomware/ransomware-guide