Den Wiederanlauf für ein angenommenes Ransomware-Szenario durchspielen
Die Annahme: Ihre produktive Umgebung darf für den Wiederaufbau nicht verwendet werden. Der Test: Wir stellen die vereinbarten Systeme aus Ihren Sicherungen auf getrennter Infrastruktur wieder her, starten sie und Sie prüfen, ob Ihr Betrieb daraus wieder anlaufen würde.
Der unangenehme Teil kommt nach dem Angriff
In der öffentlichen Wahrnehmung endet ein Ransomware-Vorfall mit der Frage, ob gezahlt wird. In der Praxis fängt die eigentliche Arbeit danach an: Eine Umgebung, deren Integrität unklar ist, taugt nicht als Fundament für den Neuaufbau. Man braucht also eine andere Grundlage — und die einzige, die dann noch bleibt, sind die Sicherungen.
Genau an dieser Stelle zeigt sich, was die Sicherungen wirklich wert sind. Nicht ob sie existieren, sondern ob sich aus ihnen ohne die gewachsene Umgebung wieder ein Betrieb herstellen lässt: mit Verzeichnisdienst, Namensauflösung, Datenbanken und Fachanwendungen, in einer Reihenfolge, die funktioniert.
Ein Ransomware-Recovery-Test nimmt diese Situation vorweg — geplant, ohne Zeitdruck und ohne Schaden. Das ist der ganze Punkt: die unangenehmen Entdeckungen zu einem Zeitpunkt machen, an dem man sie noch abarbeiten kann.
Was dieser Test leistet — und was nicht
Bei diesem Thema wird viel versprochen. Deshalb hier die Grenzen zuerst.
Kein Schutz vor Angriffen
Der Test verhindert keinen Vorfall. Prävention ist Aufgabe der Informationssicherheit — Firewall, Segmentierung, Mailfilter, geschulte Mitarbeiter.
Keine Forensik, kein Notfalleinsatz
Wir analysieren keine Angriffe und arbeiten keinen laufenden Vorfall ab. Ein Test ist eine geplante Übung.
Eine geprüfte Aussage
Sie wissen hinterher, ob Ihre Sicherungen einen Wiederaufbau außerhalb Ihrer Umgebung tragen — und wo nachgebessert werden muss.
Begriffe wie „ransomware-sicher“ verwenden wir nicht. Es gibt keinen Test und kein Produkt, das diese Zusage seriös geben kann.
Was solche Tests regelmäßig zutage bringen
Die Ergebnisse sind selten spektakulär und fast immer nützlich. Meist geht es nicht um beschädigte Sicherungen, sondern um Wissen, das nur im Kopf einzelner Personen existierte oder mit der Umgebung verschwunden wäre.
Genau deshalb ist ein Teilergebnis „hat nicht funktioniert“ kein schlechter Testausgang. Es ist der Grund, den Test überhaupt zu machen.
Server, die nach der letzten Planung dazugekommen sind und nie aufgenommen wurden.
Dienste, die ohne ein anderes System nicht starten, ohne dass es irgendwo steht.
Die Frage, was zuerst laufen muss, ist im Ernstfall genau die, die niemand beantworten kann.
Adressen, Namen und Zertifikate, die an die alte Umgebung gebunden sind.
Häufige Fragen zum Ransomware-Recovery-Test
Ist das ein Notfalleinsatz für einen laufenden Angriff?
Nein. Ein Ransomware-Recovery-Test ist eine geplante Übung für ein angenommenes Szenario — durchgeführt, bevor etwas passiert. Wenn Sie akut betroffen sind, sprechen Sie uns direkt an; das ist eine andere Situation mit anderen Prioritäten als ein geplanter Test.
Führt ITN dabei eine forensische Analyse durch?
Nein. Wir untersuchen keine Angriffswege, werten keine Spuren aus und stellen nicht fest, ob und wann eine Umgebung kompromittiert wurde. Der Test beantwortet ausschließlich die Frage, ob aus den vorhandenen Sicherungen wieder eine laufende Umgebung entstehen kann.
Kann der Test beweisen, dass meine Backups frei von Schadsoftware sind?
Nein, und diese Aussage würden wir auch nicht treffen. Der Test zeigt, ob sich die Systeme wiederherstellen und starten lassen und ob Ihre Prozesse darin laufen. Ob Sicherungsdaten unerwünschte Bestandteile enthalten, ist eine Frage der Analyse und nicht Gegenstand eines Wiederanlauftests.
Was genau ist dann der Nutzen?
Sie erfahren vor dem Ernstfall, ob Ihre Sicherungen einen Wiederaufbau tragen, wenn die eigene Umgebung nicht verwendet werden darf. Und Sie erfahren, wo es klemmt: fehlende Systeme im Sicherungsplan, unbekannte Abhängigkeiten, unklare Startreihenfolgen. Diese Erkenntnisse lassen sich in Ruhe abarbeiten — im Ernstfall hätten Sie dafür keine Zeit.
Wie realistisch ist ein solches Szenario im Test?
Realistisch ist die entscheidende Randbedingung: Der Wiederaufbau findet außerhalb Ihrer Infrastruktur statt, ohne Rückgriff auf die gewachsene Umgebung. Nicht simuliert werden Zeitdruck, Kommunikation im Krisenfall und die Entscheidungen, die eine Geschäftsführung im Ernstfall treffen muss — das gehört in eine Notfallübung, nicht in einen technischen Wiederanlauftest.
Weiter im Thema: Cyber Recovery für die grundsätzliche Einordnung und Informationssicherheit für die Prävention. Übersicht im Recovery Lab.