Die Ransomware-Kill-Chain Wie Angreifer gezielt Backups aushebeln

Anbieter zum Thema

FAST LTA GmbH

Impossible Cloud GmbH

Ransomware-Angriffe wirken oft chaotisch, sind es aber selten. Fast jeder erfolgreiche Vorfall folgt einer klaren Abfolge von Phasen – bekannt als „Cyber-Kill-Chain“, ein Modell, das ursprünglich beim Militär entstand und später auf die IT-Sicherheit übertragen wurde. Was sich in den vergangenen Jahren entscheidend verändert hat: Backups sind kein neutraler Rettungsanker mehr, den Angreifer links liegen lassen. Sie sind selbst zum Ziel geworden.

Warum Backups zum bevorzugten Ziel geworden sind

Eine Studie der Enterprise Strategy Group (ESG) zeigt, dass bei 96 Prozent der Unternehmen, die in den vergangenen zwei Jahren von Ransomware betroffen waren, mindestens einmal auch die Backup-Systeme angegriffen wurden. Bei über der Hälfte der Fälle zielten sogar alle oder fast alle Angriffsversuche zusätzlich auf die Datensicherung ab. Der Grund ist naheliegend: Ein Unternehmen, das seine Daten aus einem intakten Backup wiederherstellen kann, hat keinen Anreiz, ein Lösegeld zu zahlen. Angreifer wissen das – und haben ihre Vorgehensweise entsprechend angepasst.

Die Phasen der Kill-Chain im Überblick

Reconnaissance und Initial Access. Der Angriff beginnt meist mit Phishing, gestohlenen Zugangsdaten oder öffentlich erreichbaren RDP-Zugängen. Schon in dieser frühen Phase suchen erfahrene Angreifer gezielt nach Hinweisen auf die eingesetzte Backup-Infrastruktur, etwa über Netzwerk-Scans, die Server mit Diensten wie Veeam, Backup Exec oder Commvault verraten.

Lateral Movement und Privilege-Escalation. Sobald ein erster Zugang gesichert ist, bewegen sich Angreifer horizontal durchs Netzwerk, um administrative Rechte zu erlangen. Backup-Server sind dabei ein bevorzugtes Zwischenziel: Sie sind häufig domänenverbunden, besitzen weitreichende Zugriffsrechte auf Speicherinfrastruktur und werden in der Praxis nicht selten schwächer gehärtet als Produktivsysteme. Laut dem aktuellen „CrowdStrike Global Threat Report“ ist die durchschnittliche „Breakout-Time“ – die Zeit zwischen Erstzugriff und erster lateraler Bewegung – 2025 auf 29 Minuten gesunken, gegenüber 48 Minuten im Vorjahr. Ein derart enges Zeitfenster lässt kaum Raum für manuelle Reaktion. Es zeigt, wie schnell ein kompromittierter Backup-Server zum Sprungbrett für den Rest der Infrastruktur werden kann.

Command & Control. Ist die Position im Netzwerk gesichert, bauen die Angreifer einen verdeckten Kommunikationskanal zu ihrer Infrastruktur auf, um weitere Anweisungen zu erhalten oder Daten abzuziehen.

Vorbereitung der Verschlüsselung – der kritische Punkt für Backups. Bevor die eigentliche Verschlüsselung beginnt, versuchen moderne Ransomware-Familien systematisch, jede Wiederherstellungsmöglichkeit zu zerstören. Dokumentierte Fälle wie die Ransomware-Familie „Dire Wolf“ zeigen exemplarisch, wie das technisch abläuft: Über integrierte, legitime Windows-Bordmittel werden Schattenkopien gelöscht („vssadmin delete shadows /all /quiet)“, Backup-Jobs gestoppt und vorhandene Sicherungen entfernt („wbadmin delete backup“), die Windows-Wiederherstellungsumgebung deaktiviert („bcdedit“) und Ereignisprotokolle geleert („wevtutil“). Zusätzlich werden gezielt Prozesse und Dienste von Backup- und Sicherheitslösungen – etwa von Veeam, Veritas Backup Exec oder Sicherheitsagenten – beendet, um eine Erkennung oder Gegenmaßnahme zu verhindern.

Bemerkenswert daran: Es braucht keine klassische Schadsoftware. Alle genannten Befehle sind reguläre, von Microsoft signierte Windows-Bordmittel – im MITRE-ATT&CK-Framework als Technik T1490 „Inhibit System Recovery“ katalogisiert. Die Sicherheitsbranche kennt diesen Ansatz auch als Living-off-the-Land-Technik. Weil diese Werkzeuge auch im normalen Admin-Alltag laufen, ist reine Signaturerkennung hier machtlos. Entscheidend ist der Kontext: welches Konto „vssadmin“ aufruft, und ob das außerhalb der geplanten Backup-Fenster passiert.

Impact. Erst nachdem Wiederherstellungswege blockiert wurden, folgt die eigentliche Verschlüsselung – häufig kombiniert mit vorheriger Datenexfiltration für zusätzlichen Erpressungsdruck (doppelte Erpressung).

Wenn Angreifer nicht nur löschen, sondern sabotieren

Neben der reinen Löschung von Sicherungen beobachten Analysten zunehmend subtilere Taktiken: Statt ganze Backups zu verschlüsseln oder zu entfernen, verändern manche Angreifer gezielt nur wenige Bits in den Sicherungsdateien. Das Resultat ist unauffälliger und deutlich schwerer zu erkennen als eine vollständige Löschung – das Unternehmen bemerkt die Beschädigung häufig erst im Ernstfall, wenn die Wiederherstellung fehlschlägt.

Ein weiteres beobachtetes Muster betrifft Schwachstellen in Backup-Software selbst. Werden Sicherheitslücken in Backup-Plattformen bekannt, sind Backup-Server – sofern sie ungepatcht und aus dem internen Netz erreichbar sind – ein attraktives Einfallstor, da ein kompromittierter Backup-Server oft mit privilegiertem Zugriff auf die gesamte Speicherinfrastruktur ausgestattet ist.

Warum klassische Schutzmaßnahmen an Grenzen stoßen

Lange galt die Faustregel: Wer über funktionierende Backups verfügt, ist gegen Ransomware abgesichert. Diese Annahme ist überholt. Ein einzelnes, im Produktivnetz erreichbares Backup ist heute selbst Teil der Angriffsfläche. Sicherheitsverantwortliche sollten daher grundsätzlich davon ausgehen, dass ein Angreifer, der administrative Rechte im Netzwerk erlangt, auch Zugriff auf klassische Backup-Infrastruktur erhalten kann.

Ansätze für eine widerstandsfähigere Datensicherung

Aus den beobachteten Angriffsmustern lassen sich mehrere Konsequenzen für die Backup-Strategie ableiten:

• Unveränderlichkeit (Immutability): Speicherlösungen mit Retention-Lock oder Object-Lock verhindern, dass einmal geschriebene Daten innerhalb eines definierten Zeitraums verändert oder gelöscht werden können – unabhängig davon, welche Rechte ein Angreifer im Netzwerk erlangt hat.

• Air-Gap und Cyber-Vaults: Physisch oder logisch getrennte Speicherbereiche, die nur zu definierten Zeitfenstern für die Datenübertragung erreichbar sind, entziehen sich der lateralen Bewegung eines Angreifers.

• Konsequente 3-2-1-Regel: Mindestens drei Kopien der Daten auf zwei unterschiedlichen Medientypen, davon eine Kopie außerhalb des Produktivnetzes.

• Härtung der Backup-Infrastruktur: Netzwerksegmentierung, restriktive Firewall-Regeln und separate, nicht mit der Produktivdomäne geteilte administrative Konten für Backup-Systeme reduzieren die Angriffsfläche erheblich.

• Verhaltensbasierte Erkennung: Da die eingesetzten Werkzeuge oft legitime Bordmittel sind, hilft signaturbasierte Erkennung wenig. Sinnvoll ist eine Baseline für normales VSS- und Backup-Verhalten im eigenen Netzwerk, um Abweichungen frühzeitig zu erkennen.

• Regelmäßige Restore-Tests: Ein ungetestetes Backup ist im Ernstfall oft wertlos. Nur durch regelmäßige, dokumentierte Wiederherstellungstests lässt sich die tatsächliche Recovery-Fähigkeit im Krisenfall verifizieren.

Fazit

Die Kill-Chain-Betrachtung macht deutlich, dass der Schutz von Backups nicht am Ende, sondern von Beginn an mitgedacht werden muss. Angreifer planen die Zerstörung von Wiederherstellungsmöglichkeiten heute als festen Bestandteil ihrer Vorgehensweise ein – lange bevor die eigentliche Verschlüsselung beginnt. Unternehmen, die ihre Datensicherung ausschließlich als letzten Rettungsanker betrachten, statt sie als eigenständiges, aktiv zu verteidigendes Ziel zu behandeln, laufen Gefahr, im Ernstfall vor einem leeren Tresor zu stehen.

* Der Autor: Canio Campaniello ist Gründer von HackIta, einer italienischen Plattform für Ethical Hacking und Cybersecurity.

Aktuelles E-Book

Ransomware-Schutz durch Object Lock und WORM

Um ein Storage-System effektiv von Ransomware-Angriffen zu schützen, bieten sich neben Backup/Disaster Recovery und Verschlüsselung vor allem Object Lock und WORM an. Das gelingt nicht nur im eigenen Haus, sondern auch in der Hybrid-Cloud.

Die Themen im Überblick:

• Ransomware-Trends
• Air-Gapping
• Amazon S3 Object Lock
• WORM mit Bandspeicher
• Schutz durch Algorithmen

E-Book „Ransomware-Schutz durch Object Lock und WORM“ kostenlos downloaden

(ID:50896851)