Tempo ist nicht Resilienz Ohne Benchmark keine sichere Ransomware-Recovery

Anbieter zum Thema

Cohesity GmbH

FAST LTA GmbH

Impossible Cloud GmbH

„Wie lange dauert es, bis wir wieder online sind?“ Diese Frage dominiert jede Vorstandssitzung unmittelbar nach einem Ransomware-Angriff. Der Druck ist enorm. Geschäftsbereiche warten auf die Wiederaufnahme ihrer Prozesse, Kunden erwarten Transparenz und Aufsichtsbehörden fordern fristgerechte Meldungen. In dieser Situation zählt scheinbar nur Geschwindigkeit. Doch genau dieser Reflex führt häufig zu überhasteten Wiederherstellungen – mit gravierenden Folgen: Reinfektionen, verlängerte Ausfälle und zusätzlicher Reputationsschaden.

Insbesondere Cybersecurity-Teams geraten bei Angriffen zwischen die Fronten. Einerseits müssen sie sicherstellen, dass keine Hintertüren, Persistenzmechanismen oder kompromittierten Identitäten wieder in produktive Systeme gelangen. Andererseits fordert das Management schnelle Ergebnisse. Werden Prüf-, Forensik- und Bereinigungsschritte abgekürzt, droht der erneute Angriff, oft mit noch längerer Ausfallzeit. Gerade in virtualisierten Umgebungen oder komplexen Storage-Architekturen ist die Gewährleistung technisch anspruchsvoll, dass wiederhergestellte Datenbestände tatsächlich frei von Schadcode, kompromittierten Konfigurationen oder versteckten Backdoors sind.

Wahrnehmung und Realität klaffen auseinander

Wie gravierend die Auswirkungen sind, zeigt die aktuelle Cohesity-Studie „Risk-Ready or Risk-Exposed“. Mehr als die Hälfte (52 Prozent) der Unternehmen in Deutschland hat in den vergangenen zwölf Monaten einen schwerwiegenden Cyberangriff erlebt. 31 Prozent verloren dadurch zwischen ein und zehn Prozent ihres Jahresumsatzes. 45 Prozent der börsennotierten Unternehmen verzeichneten spürbare Auswirkungen auf ihren Aktienkurs. Mehr als 80 Prozent haben im Zusammenhang mit Ransomware Lösegeld bezahlt.

Trotz dieser alarmierenden Zahlen geben 45 Prozent der Führungskräfte in Deutschland an, volles Vertrauen in ihre Resilienzstrategie zu haben. Gleichzeitig halten 54 Prozent ihre Cyber-Resilienz für verbesserungswürdig. Diese Diskrepanz deutet auf ein strukturelles Problem hin: Zwischen strategischer Selbsteinschätzung auf C-Level und operativer Realität in IT- und Security-Teams fehlt ein objektiver Referenzrahmen.

Die zentrale Forderung: ein operativer Branchenbenchmark für Recovery

Dazu genügen kein weiteres Whitepaper und keine zusätzliche Einzelstudie. Gefordert ist ein branchenweit akzeptierter, transparenter und operativ nutzbarer Benchmark für Ransomware-Response und -Recovery. Ein solcher Benchmark müsste:

• anonymisierte, aggregierte Durchschnittswerte liefern zur Verweildauer von Angreifern (Dwell-Time), Zeit bis zur Erkennung eines Angriffs, Dauer der Eindämmung (Containment), Zeit bis zur sicheren Wiederherstellung geschäftskritischer Systeme,

• qualitative Kriterien definieren, etwa zur Integrität von Backups, zur Bereinigung kompromittierter Identitäten und zur Entfernung von Persistenzmechanismen,

• branchenspezifische Vergleichswerte bieten.

Es geht hier also nicht primär um Schadenssummen oder Lösegeldhöhen, sondern um belastbare Referenzwerte für die Prozesse zur sicheren Wiederherstellung produktiver Umgebungen.

Warum bestehende Regularien das nicht leisten

In Europa existieren zwar bereits umfassende Meldepflichten – etwa durch DSGVO, NIS-2 oder DORA. Doch diese schaffen nur Transparenz gegenüber Aufsichtsbehörden und definieren Mindestanforderungen an Governance, Risikomanagement und Incident-Reporting. Sie bieten keinen öffentlich verfügbaren, operativen Branchenbenchmark für Recovery-Prozesse. Denn die Aufsichtsbehörden veröffentlichen weder tatsächliche Durchschnittswerte für die Recovery-Dauer noch standardisierte technische Kennzahlen für die Remediation-Qualität oder Vergleichswerte zur Reife von Wiederherstellungsprozessen. Die Regelungen sorgen zwar für Verantwortlichkeit, aber nicht für Vergleichbarkeit.

Wie ein solcher Benchmark entstehen könnte

Ein belastbarer Branchenbenchmark könnte aber auf Basis dieser strukturierten, standardisierten und verpflichtenden Incident-Meldungen entstehen. Denn bestehende Meldepflichten – etwa nach NIS-2 oder DORA – bieten bereits einen formalen Rahmen für zeitgebundene Vorfallberichte. Würden diese Berichte systematisch um klar definierte technische Kennzahlen zur Containment-, Remediation- und Recovery-Phase ergänzt sowie anonymisiert aggregiert ausgewertet und veröffentlicht, entstünde eine valide Datengrundlage für realistische Referenzwerte.

Entscheidend ist dabei: Es geht ausdrücklich nicht um die Offenlegung einzelner Unternehmensdaten, sondern um die anonymisierte, sektorbezogene Zusammenführung strukturierter Informationen. Ein solcher Mechanismus würde nicht in Konkurrenz zu bestehenden EU- oder nationalen Regularien stehen, sondern auf ihnen aufbauen. Ein Branchenbenchmark würde diese Daten nutzen, um operative Vergleichswerte für sichere Recovery-Prozesse zu etablieren.

Dazu sind kaum neue Berichtspflichten nötig, da eine strukturierte Auswertung und Standardisierung der bereits erhobenen Informationen weitgehend ausreichen würde – lediglich ergänzt um klar definierte technische Recovery-Metriken. Durch die Kombination einheitlicher Klassifizierungen, fester Meldefristen und strukturierter Datenerhebung würde eine belastbare Grundlage für Vergleichbarkeit entstehen. Ohne diesen Rahmen bleibt Recovery-Benchmarking fragmentiert und abhängig von Einzelstudien oder Herstellerangaben.

Resilienz ist mehr als Geschwindigkeit

Ein solcher Benchmark wäre kein Instrument zur Beschleunigung um jeden Preis. Im Gegenteil: Er würde verdeutlichen, dass sichere Recovery auch Zeit braucht. Laut der Cohesity-Studie geben 94 Prozent der deutschen Unternehmen an, dass die Wiederherstellung aus Backups länger als einen Tag dauert, in jedem zehnten Fall sogar mindestens eine Woche. Gleichzeitig fordern viele Befragte eine stärkere Automatisierung von Erkennung, Reaktion und Recovery.

Automatisierung ist wichtig – etwa für Malware-Scans, Snapshot-Validierung oder isolierte Test-Recoverys. Doch Automatisierung ersetzt keine strukturierte, überprüfbare Prozesskette. Wer Systeme zu schnell hochfährt, ohne Persistenzmechanismen vollständig zu entfernen oder privilegierte Identitäten zurückzusetzen, riskiert eine erneute Kompromittierung. Ein belastbarer Benchmark würde daher neben Zeitparametern auch qualitative Kriterien definieren – und Führungskräften verdeutlichen, dass Recovery kein „Reset-Knopf“, sondern ein mehrstufiger Validierungsprozess ist.

Warum das für Storage- und Backup-Verantwortliche entscheidend ist

Für Storage- und Backup-Teams hätte ein solcher Referenzrahmen auch eine strategische Funktion: Er liefert belastbare Argumentationsgrundlagen gegenüber dem Management. Wenn klar ist, dass sichere Recovery branchenweit anhand definierter Kennzahlen bewertet wird – etwa Dwell-Time, Time-to-Detect, Time-to-Contain, Integritätsprüfung von Backups und erfolgreiche Wiederherstellung ohne Reinfektion –, reduziert dies unrealistische Erwartungen an sofortige Wiederanlaufzeiten. Transparenz schlägt Geschwindigkeit.

Fazit

Die Forderung ist klar: Es braucht einen strukturierten, branchenweit nutzbaren Benchmark für sichere Ransomware-Recovery – nicht als Ersatz für NIS-2, DORA oder DSGVO, sondern als operative Ergänzung. Regulierung definiert Mindestanforderungen und Berichtspflichten. Ein Benchmark würde darüber hinaus Vergleichbarkeit, Reifegradtransparenz und realistische Erwartungswerte schaffen. Bis ein solcher Standard etabliert ist, sollten Unternehmen eigene strukturierte Kennzahlen erfassen und interne Benchmarks aufbauen. Denn Cyber-Resilienz entsteht durch messbare, überprüfbare und konsequent angewandte Prozesse.

* Die Autorin: Isabell Rauchenecker, Vetriebsleiterin Cohesity Deutschland

Aktuelles eBook

Ransomware-Schutz durch Object Lock und WORM

Um ein Storage-System effektiv von Ransomware-Angriffen zu schützen, bieten sich neben Backup/Disaster Recovery und Verschlüsselung vor allem Object Lock und WORM an. Das gelingt nicht nur im eigenen Haus, sondern auch in der Hybrid-Cloud.

Die Themen im Überblick:

• Ransomware-Trends
• Air-Gapping
• Amazon S3 Object Lock
• WORM mit Bandspeicher
• Schutz durch Algorithmen

eBook „Ransomware-Schutz durch Object Lock und WORM“ kostenlos downloaden

(ID:50766301)