Warum Ransomware-Banden Backups angreifen, bevor sie Dateien verschlüsseln

Angreifer schreiben das Ransomware-Playbook neu

Jahrelang lautete der Standardratschlag, um einen Ransomware-Angriff zu überstehen: Halte gute Backups vor, dann kannst du deine Systeme wiederherstellen, ohne Lösegeld zu zahlen. Dieser Ratschlag allein reicht nicht mehr aus. Ein neuer Bericht von Helixstorm hebt eine beunruhigende Verschiebung bei Ransomware-Backup-Angriffen hervor: Bedrohungsakteure jagen nun die Backup-Infrastruktur, bevor sie jemals eine Produktionsdatei anfassen.

Laut dem Bericht suchen Angreifer die Backup-Konsole auf, bevor sie eine einzige Datei anfassen, verkürzen Aufbewahrungsfenster, anstatt Backups komplett zu löschen, und beschädigen Wiederherstellungsdaten still und leise, sodass Opfer nicht merken, dass ihr Sicherheitsnetz verschwunden ist, bis es zu spät ist. Dies ist eine bewusste Strategie. Wenn ein Unternehmen seine Systeme aus dem Backup wiederherstellen kann, verliert die Lösegeldforderung ihre Hebelwirkung. Also haben sich Angreifer angepasst, indem sie sicherstellen, dass eine Wiederherstellung keine Option ist.

Diese Taktik ist nicht über Nacht entstanden. Ransomware-Betreiber haben Jahre damit verbracht, Double-Extortion-Methoden zu verfeinern, bei denen gestohlene Daten auch nach der Verschlüsselung als zusätzliche Hebelwirkung genutzt werden, wie in Fällen wie dem Double-Extortion-Ansatz der CRPx0-Ransomware zu sehen ist. Backups zuerst ins Visier zu nehmen, ist einfach der nächste logische Schritt: die Optionen des Opfers eliminieren, bevor der Angriff überhaupt sichtbar wird.

Warum das für den Datenschutz wichtig ist, nicht nur für die Betriebszeit

Die meiste Berichterstattung über Backup-gerichtete Ransomware konzentriert sich auf Geschäftskontinuität: Wie lange Systeme ausfallen, wie viel Lösegeld kostet, wie schnell der Betrieb wieder aufgenommen wird. Aber es gibt eine Datenschutz-Dimension, die mehr Aufmerksamkeit verdient.

Wenn Angreifer eine Backup-Konsole kompromittieren, bedrohen sie nicht nur Ihre Fähigkeit, Dateien wiederherzustellen. Sie erhalten oft Zugang zu historischen Kopien sensibler Daten, einschließlich Kundendatensätzen, Finanzdaten, Gesundheitsinformationen oder personenbezogenen Mitarbeiterdaten, die möglicherweise aus Live-Systemen gelöscht wurden, aber noch in Backup-Archiven existieren. Ein beschädigtes oder exfiltriertes Backup kann Monate oder Jahre gespeicherter personenbezogener Informationen auf einmal offenlegen – weit mehr, als auf einem einzelnen Produktionsserver liegen könnte.

Dies ist Teil eines breiteren Musters, bei dem Ransomware-Gruppen ihre Geschäftsmodelle anpassen, um die Hebelwirkung zu maximieren. Die jüngste FBI-Warnung über die Ausweitung der Gunra-Ransomware auf ein vollständiges Ransomware-as-a-Service-Modell zeigt, wie sich diese Taktiken schnell verbreiten, sobald sie sich als wirksam erweisen. Wenn eine Gruppe Erfolg damit hat, zuerst Wiederherstellungssysteme anzugreifen, wird die Technik verpackt und an Partner verkauft, was die Zahl der Organisationen vervielfacht, die mit derselben Bedrohung konfrontiert sind.

Kleinere Organisationen sind nicht ausgenommen. Forschung zu steigenden Ransomware-Erkennungen bei kleinen und mittleren Unternehmen, einschließlich Erkenntnissen aus Indien Anfang 2026, deutet darauf hin, dass Angreifer ein breites Netz auswerfen, anstatt sich nur auf große Unternehmen zu konzentrieren. Die Backup-Infrastruktur bei kleineren Unternehmen ist häufig weniger überwacht und weniger segmentiert, was sie zu einem leichteren Ziel für genau diese Taktik macht.

Das Argument für unveränderliche, air-gap-geschützte Wiederherstellung

Der Helixstorm-Bericht verweist auf unveränderliche und air-gap-geschützte Backup-Systeme als stärkste Verteidigung gegen diesen Trend. Unveränderliche Backups können für einen festgelegten Aufbewahrungszeitraum nicht geändert oder gelöscht werden, selbst nicht von jemandem mit Administrationsberechtigungen. Air-gap-geschützte Backups sind physisch oder logisch vom Hauptnetzwerk isoliert, was bedeutet, dass ein Angreifer, der Produktionssysteme kompromittiert, nicht einfach in die Backup-Umgebung wechseln kann.

Zusammen schließen diese beiden Ansätze die Lücke, die Ransomware-Gruppen gelernt haben auszunutzen. Wenn Angreifer ein Backup nicht erreichen oder ändern können, wird das Verkürzen von Aufbewahrungsfenstern oder das Beschädigen von Wiederherstellungspunkten erheblich schwieriger. Dies eliminiert das Risiko nicht vollständig, aber es entfernt den einfachsten Weg, den Angreifer derzeit nutzen, um einem Opfer seine Hebelwirkung zu entziehen.

Branchenweit ist dies ein Zeichen dafür, dass Ransomware nicht langsamer geworden ist, sondern sich einfach weiterentwickelt hat. Jüngste Analysen, die zeigen, dass sich die Ransomware-Aktivität 2025 neu sortiert und nicht zurückgegangen ist, stützen diese Idee. Angreifer verschwinden nicht; sie verfeinern, welche Teile der Infrastruktur einer Organisation sie zuerst treffen.

Was das für Sie bedeutet

Wenn Sie die IT-Infrastruktur eines Unternehmens verwalten oder auch nur Backups für ein kleines Team beaufsichtigen, ändert diese Verschiebung, wie „gute Backup-Hygiene" aussieht. Es reicht nicht mehr aus, regelmäßige Backups durchzuführen. Sie müssen verifizieren, dass diese Backups tatsächlich vor Manipulation geschützt sind, dass der Zugriff auf Backup-Konsolen streng eingeschränkt und überwacht wird, und dass Wiederherstellungspunkte regelmäßig getestet werden, anstatt anzunehmen, dass sie funktionieren.

Für normale Verbraucher ist das Fazit indirekter, aber dennoch wichtig. Wenn ein Unternehmen, mit dem Sie Geschäfte machen, einen Ransomware-Angriff erleidet, der auch seine Backups kompromittiert, kann das Ausmaß exponierter personenbezogener Daten größer sein als zunächst berichtet. Es lohnt sich, auf Datenverletzungsmeldungen zu achten, die speziell Backup- oder Archivsysteme erwähnen, da dies oft auf eine breitere Datencyposition hinweist als bei einem typischen Einzelsystem-Verstoß.

Wichtige Erkenntnisse

Ransomware-Backup-Angriffe stellen eine bedeutende Verschiebung dar, wie diese Bedrohungen operieren, und die Auswirkungen gehen über Ausfallzeiten und Lösegeldzahlungen hinaus. Organisationen sollten prüfen, ob ihre Backups wirklich unveränderlich und vom Hauptnetzwerk isoliert sind, verifizieren, wer Zugriff auf Backup-Management-Konsolen hat, und Wiederherstellungsverfahren regelmäßig testen, anstatt Backups als eine Art „einrichten und vergessen"-Sicherheitsnetz zu behandeln. Verbraucher sollten aufmerksam bleiben, wie Unternehmen den Umfang einer Datenverletzung beschreiben, insbesondere wenn Backup-Systeme erwähnt werden, da dies oft auf ein größeres Volumen exponierter personenbezogener Daten hindeutet, als die anfängliche Schlagzeile vermuten lässt.