Wiederanlauf, wenn die eigene Infrastruktur nicht mehr in Frage kommt
Cyber Recovery beginnt dort, wo die gewohnte Annahme endet: Die vorhandene Umgebung steht für den Wiederaufbau nicht zur Verfügung. Im ITN Recovery Lab wird genau dieser Fall durchgespielt — auf einer Infrastruktur, die nichts mit Ihrer produktiven zu tun hat.
Warum die Wiederherstellung außerhalb stattfinden muss
Die meisten Wiederherstellungspläne setzen stillschweigend voraus, dass die eigene Umgebung im Ernstfall noch nutzbar ist. Der Hypervisor läuft, das Storage antwortet, das Netz steht, der Verzeichnisdienst ist erreichbar. Unter dieser Voraussetzung ist eine Wiederherstellung überschaubar.
Nach einem Cyberangriff gilt diese Voraussetzung nicht mehr. Eine kompromittierte Virtualisierungsumgebung darf man nicht als Fundament für den Neuaufbau verwenden. Systeme, deren Integrität unklar ist, kann man nicht guten Gewissens wieder in Betrieb nehmen. Und wer die Systeme dort wiederherstellt, wo der Vorfall stattgefunden hat, riskiert, dass die Ursache mitwandert.
Deshalb muss ein belastbarer Test außerhalb stattfinden. Nicht weil es bequemer ist, sondern weil nur dort geprüft wird, was im Ernstfall wirklich verlangt ist: aus den Sicherungen allein — ohne Rückgriff auf die gewachsene Umgebung — wieder eine laufende IT herstellen.
Lagen, in denen die eigene Umgebung ausfällt
Nicht jede dieser Lagen ist ein Angriff. Gemeinsam ist ihnen, dass die vorhandene Infrastruktur für den Wiederaufbau nicht taugt.
Ransomware
Systeme sind verschlüsselt, der Zustand der Umgebung ist unklar. Der Neuaufbau muss auf sauberer Grundlage erfolgen.
Kompromittierte Virtualisierung
Ist die Virtualisierungsschicht selbst betroffen, sind alle darauf laufenden Systeme fragwürdig — auch die, die noch funktionieren.
Storage-Ausfall
Fällt das zentrale Storage aus, fehlt nicht ein System, sondern die Grundlage aller Systeme gleichzeitig.
Hardwareverlust
Nach Feuer, Wasser oder Diebstahl steht keine Zielhardware bereit. Der Wiederanlauf braucht fremde Infrastruktur.
Fehlkonfiguration
Eine schwerwiegende Fehlkonfiguration kann eine Umgebung ähnlich unbrauchbar machen wie ein Angriff — nur ohne Angreifer.
Ausfall des Rechenzentrums
Beim Totalausfall eines Standorts zählt allein, was außerhalb dieses Standorts verfügbar ist.
Isolation ist eine Eigenschaft der Umgebung, kein Sicherheitsversprechen
Die Recovery-Umgebung wird getrennt vom produktiven Kundennetz aufgebaut. Das heißt: Der Test verändert Ihre laufende Infrastruktur nicht und greift nicht auf sie zu. Zugang erhalten ausschließlich die von Ihnen benannten Personen.
Diese Trennung ist eine bauliche Eigenschaft des Aufbaus. Sie ist kein Versprechen, dass Ihre Sicherungen frei von Schadsoftware sind, und keine Zusage, dass ein Wiederanlauf im Ernstfall gelingt. Was der Test liefert, ist eine überprüfte Aussage über den heutigen Zustand Ihrer Wiederherstellbarkeit.
Prävention bleibt Aufgabe der Informationssicherheit — eigene Firewall-Appliances, Segmentierung, Mailfilter und ein Team, das die Umgebung kennt. Cyber-Resilienz entsteht erst, wenn zur Prävention der Nachweis kommt, dass ein Wiederanlauf möglich ist.
Kein Zugriff auf Ihre produktive Umgebung während des Tests.
Der Wiederaufbau wird auf fremder Infrastruktur geprobt — genau die Ernstfall-Situation.
Nur benannte Personen erhalten Zugang zur Testumgebung.
Die Wiederherstellung läuft auf Infrastruktur in Deutschland.
Häufige Fragen zu Cyber Recovery
Was unterscheidet Cyber Recovery von klassischem Disaster Recovery?
Beim klassischen Disaster Recovery geht man davon aus, dass die eigene Infrastruktur grundsätzlich noch nutzbar ist — etwa nach einem Hardwaredefekt. Beim Cyber Recovery ist genau diese Annahme aufgehoben: Die Umgebung gilt als nicht mehr vertrauenswürdig. Der Wiederanlauf muss deshalb woanders stattfinden.
Warum kann ich nicht einfach in meiner eigenen Umgebung testen?
Weil ein Test in der Produktivumgebung genau das voraussetzt, was im Ernstfall fehlt. Wer nur dort testet, prüft den bequemen Fall: bekannte Hardware, vorhandene Netzwerkkonfiguration, laufende Verzeichnisdienste. Der Test außerhalb zwingt dazu, all diese Voraussetzungen aus den Sicherungen heraus neu herzustellen.
Ist die Recovery-Umgebung sicher, wenn möglicherweise infizierte Daten wiederhergestellt werden?
Die Umgebung ist vom produktiven Kundennetz getrennt aufgebaut, damit die Wiederherstellung Ihre laufende Infrastruktur nicht berührt. Das ist eine Aussage über die Trennung, nicht über den Inhalt Ihrer Sicherungen: Ob Sicherungsdaten kompromittierte Bestandteile enthalten, ist eine Frage der Analyse — und die ist nicht Teil eines Wiederanlauftests.
Ersetzt ein Cyber-Recovery-Test Sicherheitsmaßnahmen?
Nein. Prävention und Wiederherstellung sind zwei verschiedene Dinge. Firewalls, Netzsegmentierung, Mailfilter und Awareness verringern die Wahrscheinlichkeit eines Vorfalls. Ein Recovery-Test sagt, was passiert, wenn diese Maßnahmen nicht gereicht haben. Cyber-Resilienz braucht beides.
Können wir den Test wiederholen, wenn sich unsere Umgebung ändert?
Ja, und dafür spricht viel. Neue Systeme, geänderte Abhängigkeiten und angepasste Backup-Konfigurationen verändern das Ergebnis. Ein Test beschreibt immer den Stand zum Testzeitpunkt.
Weiter im Thema: Ransomware-Recovery-Test für das konkrete Szenario und Disaster-Recovery-Test für den geplanten Testaufbau. Übersicht im Recovery Lab.