Der Anstieg der Cyberkriminalität scheint ein höheres Risikobewusstsein zu schaffen: Österreichische Unternehmen und Führungskräfte wollen 2024 ihre Cybersecurity deutlich ausbauen. Der Grundstein jeder soliden IT-Sicherheitsstrategie sollten dabei Backups sein. Von Stefan Schröder
Foto: Schmitz
Stefan Schröder ist Geschäftsführer und CTO bei Schmitz RZ Consult und Entwickler von BACKUP EAGLE. Schmitz RZ Consult ist Teil der accompio Unternehmensgruppe.
Österreichs Entscheider investieren in diesem Jahr vermehrt in ihre Cybersecurity. Das ergab die aktuelle „Digital Trust Insights“-Studie von der Wirtschaftsprüfungs- und Beratungsgesellschaft PwC. Rund 60 % der Unternehmen in Österreich planen, ihre Budgets für Cybersicherheit im Jahr 2024 zu erhöhen, denn österreichische Führungskräfte stufen Cyberrisiken als die größte aktuelle Gefahr ein – fast doppelt so hoch wie Umweltrisiken. Das Bewusstsein für Cybersicherheit wächst häufig erst, nachdem kostspielige Sicherheitsvorfälle im eigenen Unternehmen oder in der Branche auftreten, die erhebliche finanzielle Verluste bedeuten. Auch gesetzliche Richtlinien wie die Network and Information Security 2, kurz NIS2, stellen Unternehmen vor neue Herausforderungen in der Compliance. Wer also frühzeitig in eine umfängliche IT-Sicherheitsstrategie investiert, spart im Ernstfall finanzielle und zeitliche Ressourcen.
Ransomware-Angriffe sind eine der häufigsten Methoden von Cyberkriminellen. Dabei verschaffen sich die Hacker Zugang zum Unternehmensnetzwerk, um Daten mit Hilfe von Schadsoftware gezielt zu verschlüsseln. Administratoren und Nutzer haben dadurch keinen Zugriff mehr auf das Netzwerk. Die Folge: Der Betrieb steht still. Das nutzen die Hacker, um von dem betroffenen Unternehmen ein Lösegeld, auf Englisch „ransom“, zu fordern. Wird das Lösegeld gezahlt, soll der Zugriff wieder freigegeben werden. Doch bei Nichteinhaltung der Forderungen droht die komplette Löschung der Daten. Zum Schutz vor solchen Cyberangriffen stellt der Bereich Data-Security und Backup eine wichtige Komponente dar, denn wenn der Ernstfall eines Ransomware-Angriffs eintritt, sind Backups die letzte Verteidigungslinie. Um möglichst viel Schaden anzurichten und die bestmögliche Ausgangsposition für den Erhalt eines Lösegeldes zu erreichen, haben Hacker dementsprechend ebenfalls Backups im Blick. Deshalb sind bei der Data-Security einige Vorgehensweisen zu berücksichtigen.
Jede Backup-Strategie sollte von zwei Faktoren bestimmt werden: von dem Recovery Point Objective (RPO) und dem Recovery Time Objective (RTO). RPO ist die Menge an Daten, die verloren gehen kann, ohne dass für das Unternehmen ein Schaden eintritt. RTO ist die Zeit, die maximal für die Wiederherstellung von Daten vergehen darf, ohne dass dem Unternehmen ein signifikanter Schaden entsteht. Mit RPO ist die Zeitspanne zwischen zwei Datensicherungen eines IT-Systems gemeint, wobei von Bedeutung ist, wie groß die Menge an Daten zwischen einem erfolgten Backup und einem Systemausfall wäre. RTOs bezeichnen die Zeitspanne, die eine IT-Abteilung nach einer Störung für die Wiederherstellung der Daten benötigt. Für jede Anwendung müssen RTO und RPO optimal bestimmt werden. Eine Bewertung des möglichen Schadens bei Datenverlust oder Systemstillstand kann zur Bestimmung des RTO und RPO verwendet werden. Außerdem dürfen auch die Basics des Backups nicht vernachlässigt werden. Mehrere Backup-Kopien müssen vorhanden sein, idealerweise auf verschiedenen Medien und zusätzlich auch ausgelagert an einem anderen Standort.
Neben der ständigen äußeren Bedrohung aus dem Cyberraum können ebenfalls interne Probleme auftreten und Daten gefährden. Dazu zählen unter anderem Serverausfälle oder Hardwareschäden. Viele Störfälle werden durch Techniken wie Replikation und redundante Hardware an mehreren Standorten abgefangen. Allerdings treten auch logische Fehler auf. Auch dann muss die Verfügbarkeit sensibler Daten gewährleistet bleiben. Dafür müssen täglich Backups erstellt werden. Das Must-have für eine verlässliche Datensicherung ist eine reibungslos funktionierende Backup-Infrastruktur. IT-Administratoren benötigen die volle Kontrolle und eine umfassende Übersicht über alle erstellten Backups sowie über die gesamten Server und Devices. Konfigurationsdetails und -änderungen sind dabei ebenfalls von Bedeutung und Vorgaben zur Datensicherung müssen regelmäßig in Soll-Ist-Vergleichen verifiziert werden. Zur Erstellung von Sicherungskopien kommt Backup-Software zum Einsatz, die unter Umständen jedoch nur einen ungenügenden Überblick bietet und nicht die gesamte Backup-Umgebung umfasst. Hinzu kommt, dass für Datenbanken, Server oder Applikationen in manchen Fällen unterschiedliche Programme verwendet werden. Diese Faktoren können dazu führen, dass IT-Admins viel Zeit für die Prüfung der Datensicherung benötigen. Doch die personellen Ressourcen für den Bereich Backup sind begrenzt. Die Lösung findet sich in der Automatisierung.
Um sicherzustellen, dass alle Backup-Tools reibungslos funktionieren und der Überblick über sämtliche Backups, Server und Server-Devices kontinuierlich gewährleistet ist, ist der unabhängige Blick von außen durch ein separates Tool hilfreich. Dies ist besonders bei größeren IT-Umgebungen notwendig, die beispielsweise tausende virtuelle Server Datenbanken, Container und weitere zu sichernde Objekte umfassen und dementsprechend äußerst lebendig sind. In solch einer Umgebung müssen regelmäßig Systeme gepatcht werden. In der Folge treten Veränderungen und damit einhergehend auch Fehler auf. Eine Änderung kann dazu führen, dass ein Backup aufgrund eines technischen Fehlers oder eines Konfigurationsfehlers nicht richtig läuft. Ein separates automatisiertes Tool leistet an dieser Stelle mittels eines umfassenden Monitorings Abhilfe. Durch hochautomatisiertes Monitoring und Reporting der gesamten Backup-Infrastruktur können individuell konfigurierbare Berichte und Nachweise innerhalb kürzester Zeit zusammengestellt werden. Dies ist vor allem bei einem Audit wichtig.
Ein Auditor wird bei einem Prüftermin immer die Frage stellen, wie die Daten im Betrieb gesichert werden. In der Regel kommt es vor, dass IT-Abteilungen mit mehreren Datensicherungstools arbeiten und regelmäßig, teilweise täglich, automatisch Recovery-Tests durchführen. Bei diesen Tests wird geprüft, ob das System und die Software in der Lage sind, bei Abstürzen, Hardwarefehlern oder anderen Problemen mit der IT die Anwendungen und verlorene Daten wiederherzustellen. Die Durchführung dieser Tests ist Pflicht, ebenso die dazugehörende Dokumentation. Denn in der Realität kann jederzeit der IT-Betrieb gestört werden, weshalb stets nach dem jüngsten Backup gefragt wird – im besten Fall noch vom gleichen Tag. Denn in einem Audit geht es darum, zu prüfen, ob ein Unternehmen im Ernstfall gewappnet ist. Deshalb ist der Einsatz einer automatisierten Software für Unternehmen wertvoll: Sie arbeitet schnell, akkurat und gewährleistet einen guten Überblick über alle erfolgten Backups und Restores, die per Knopfdruck in einem Report zusammengefasst werden können. Wenn IT-Admins die Reports manuell erstellen, kostet das Zeit- und Arbeitsaufwand. Der Report einer automatisierten Backup-Monitoring-Software erfasst dagegen alle angewendeten Systeme und stellt visualisiert sämtliche Sicherungen im zu prüfenden Zeitraum zusammen. Somit kann im Audit und bei Zertifizierungen der Nachweis über regelmäßige Backups jederzeit erbracht werden. In Bezug auf Richtlinien wie die NIS2 gibt es außerdem Checklisten, sodass Unternehmen sichergehen können, sich Compliance-gerecht zu verhalten. Dadurch sind Unternehmen nicht nur auf Audits vorbereitet, sondern haben eine gesicherte Basis ihrer IT-Sicherheitsstrategie. Denn wenn Cyberkriminelle alle Sicherheitsmauern durchbrechen, bieten lückenlose und fehlerfreie Backups den letzten Schutz vor Datendiebstahl.
