Neuigkeiten

Kurzfassung für Entscheider

Viele Unternehmen haben Backups. Deutlich weniger können im Ernstfall belastbar nachweisen, dass diese Backups schnell, vollständig und sauber wiederhergestellt werden können. Genau hier entscheidet sich bei Ransomware, ob aus einem Sicherheitsvorfall ein längerer Betriebsstillstand wird.

Der Sophos Ransomware Report Deutschland 2026 zeigt: 61 % der betroffenen deutschen Unternehmen stellten verschlüsselte Daten mithilfe von Backups wieder her. Gleichzeitig lagen die durchschnittlichen Wiederherstellungskosten nach einem Ransomware-Angriff bei 1,42 Mio. US-Dollar. Der Unterschied zwischen „Backup vorhanden“ und „Wiederherstellung funktioniert“ ist also kein technisches Detail, sondern ein Geschäftsrisiko.

Für Endline ist das ein Kernpunkt von Cyber-Resilienz: Resilienz statt Hoffnung, Nachweise statt Screenshots.

Was ist passiert?

Ransomware-Angriffe sind weiterhin ein relevantes Risiko für deutsche Unternehmen. Laut Sophos führten 45 % der betrachteten Ransomware-Angriffe in Deutschland zur Verschlüsselung von Daten. Bei 24 % der Fälle mit Datenverschlüsselung wurden zusätzlich Daten gestohlen. Phishing, kompromittierte Zugangsdaten und Schad-E-Mails gehören dabei zu den wichtigsten technischen Ursachen.

Backups spielen in der Wiederherstellung eine zentrale Rolle: Laut Sophos konnten 97 % der deutschen Unternehmen, deren Daten verschlüsselt wurden, ihre Daten wiederherstellen; 61 % nutzten dafür Backups. Der Report empfiehlt ausdrücklich, Backup- und Wiederherstellungsinfrastrukturen zu stärken, Backups regelmäßig zu testen, offline oder unveränderlich zu speichern und sie in einen dokumentierten Incident-Response-Plan einzubinden.

Auch die HDI Cyberstudie 2026 beschreibt Cyberangriffe als dauerhafte unternehmerische Herausforderung für kleine und mittelständische Unternehmen. 60 % der Befragten stufen Cyberschäden als relevantes Risiko ein; jedes dritte Unternehmen sieht bei einem massiven Cyberschaden sogar die eigene Existenz gefährdet.

Warum das für Unternehmen relevant ist

Ein Backup ist nur dann ein Sicherheitsanker, wenn es im Ernstfall drei Fragen beantwortet:

1. Können die Daten überhaupt wiederhergestellt werden?
2. Wie lange dauert die Wiederherstellung kritischer Systeme?
3. Gibt es einen prüfbaren Nachweis, dass der Restore regelmäßig getestet wurde?

Gerade im Mittelstand liegt das Problem oft nicht darin, dass gar keine Sicherung existiert. Das Problem ist fehlende Gewissheit: unklare Verantwortlichkeiten, nicht dokumentierte Wiederherstellungswege, fehlende Tests, ungeschützte Backup-Konten oder Backups, die im gleichen Angriff mitverschlüsselt oder gelöscht werden können.

Damit wird Backup-Management zur Management-Frage. Geschäftsführung und IT müssen nicht jede technische Einstellung kennen, aber sie brauchen ein klares Lagebild: Welche Systeme sind kritisch, welche Wiederanlaufzeiten gelten, wann wurde zuletzt erfolgreich getestet und welche Lücken sind noch offen?

Für Entscheider

Die wichtigste Kennzahl ist nicht „Backup vorhanden“, sondern „nachweislich wiederherstellbar“.

Entscheider sollten regelmäßig vier Punkte einfordern:

• Kritische Systeme: Welche Anwendungen müssen zuerst wieder laufen?
• RTO/RPO: Wie viel Ausfallzeit und Datenverlust ist geschäftlich akzeptabel?
• Restore-Nachweis: Wann wurde zuletzt erfolgreich wiederhergestellt?
• Verantwortlichkeit: Wer entscheidet im Notfall über Prioritäten, Kommunikation und externe Hilfe?

Ein sauberer Restore-Test schafft nicht nur technische Sicherheit. Er liefert auch Nachweise für Geschäftsführung, Versicherer, Auditoren und Kundenkommunikation.

Für IT

Für IT-Teams geht es um die Betriebsfähigkeit unter Druck. Ein belastbares Backup-Konzept sollte mindestens folgende Punkte abdecken:

• 3-2-1-1-0-Prinzip: mehrere Kopien, unterschiedliche Medien, eine externe oder unveränderliche Kopie und keine ungeklärten Backup-Fehler.
• Immutable oder Offline-Backups: Schutz gegen Manipulation durch kompromittierte Admin-Konten oder Ransomware.
• MFA und Rollenmodell für Backup-Konsolen: Backup-Administration darf nicht mit normalen Domain-Admin-Routinen verschwimmen.
• Isolierte Restore-Tests: Wiederherstellung in einer Testumgebung statt nur „Backup-Job erfolgreich“.
• Dokumentierte Reihenfolge: Identitätsdienste, Netzwerk, Kernanwendungen, Fachverfahren, Dateiablagen, Endgeräte.
• Monitoring und Protokollierung: fehlgeschlagene Jobs, ungewöhnliche Löschvorgänge, neue Admin-Logins und Änderungen an Retention Policies müssen auffallen.

Wichtig: Ein grüner Backup-Job ist noch kein Restore-Test. Erst wenn eine Anwendung aus dem Backup gestartet, Datenintegrität geprüft und der Ablauf dokumentiert wurde, entsteht ein belastbarer Nachweis.

Was jetzt tun

1. Diese Woche: Kritische Systeme und Datenbestände priorisieren.
Geschäftsführung und IT sollten gemeinsam festlegen, welche Systeme bei einem Ausfall zuerst wiederhergestellt werden müssen.

2. Innerhalb von 30 Tagen: Einen echten Restore-Test durchführen.
Nicht nur eine einzelne Datei zurückholen, sondern mindestens ein geschäftskritisches System in einer isolierten Umgebung wiederherstellen und dokumentieren.

3. Innerhalb von 60 Tagen: Backup-Zugänge härten.
MFA, getrennte Admin-Konten, minimale Rechte und Protokollierung für Backup-Systeme prüfen.

4. Innerhalb von 90 Tagen: Backup und Incident Response verbinden.
Der Wiederherstellungsplan gehört in den Incident-Response-Plan: Wer entscheidet, wer kommuniziert, wer dokumentiert, wer ruft externe Hilfe?

5. Laufend: Restore-Nachweise sammeln.
Für Management, Cyberversicherung, Audits und Kunden reicht „läuft schon“ nicht aus. Benötigt werden Datum, Umfang, Ergebnis, Abweichungen und nächste Maßnahmen.

Fazit

Backups sind wichtig. Aber ohne regelmäßige Wiederherstellungstests bleiben sie eine Annahme. Für mittelständische Unternehmen ist genau diese Annahme gefährlich: Im Ernstfall zählen nicht Screenshots aus der Backup-Konsole, sondern funktionierende Wiederanlaufprozesse.

Endline betrachtet Backup deshalb nicht isoliert, sondern als Teil eines kontinuierlichen Sicherheitsbetriebs: Lagebild, Priorisierung, Resilienz und Nachweise.

Quellen

• Sophos Ransomware Report Deutschland 2026 — Sophos, Juli/August 2026.
• HDI Cyberstudie 2026: Mittelstand zwischen Routine und neuen Risiken — HDI, 07.07.2026.