Laut der IEEE Computer Society haben sich die Ransomware-Vorfälle seit Beginn der Pandemie mehr als verdoppelt, und die Folgen reichen weit über die IT-Abteilung hinaus. Als die Bank of England den Cyberangriff auf Jaguar Land Rover (JLR) als direkten Faktor für das verlangsamte Wachstum des Bruttoinlandsprodukts (BIP) im dritten Quartal 2025 nannte, war dies das erste Mal, dass ein Cybervorfall der britischen Wirtschaft auf nationaler Ebene erheblichen Schaden zugefügt hatte. Im selben Jahr schätzte der britische Einzelhändler Marks & Spencer (M&S), dass die Kosten für die Beseitigung der Folgen eines Cyberangriffs 300 Millionen Pfund übersteigen würden. Gleichzeitig gab das britische National Cyber Security Centre (NCSC) bekannt, dass die Zahl der schwerwiegenden Cyberangriffe um 130 % gestiegen sei.
Die Bedrohungslage entwickelt sich in einem Tempo, das herkömmliche Abwehrmaßnahmen zunehmend unwirksam macht. Anthropics „Project Glasswing“ hat bereits Tausende bisher unbekannter Zero-Day-Schwachstellen in allen gängigen Betriebssystemen und Browsern identifiziert, und KI hat die Kosten für die Entdeckung und Ausnutzung dieser Schwachstellen drastisch gesenkt. Da neue Malware-Varianten schneller generiert werden können, als jede Signaturdatenbank aktualisiert werden kann, hat sich die Wirtschaftlichkeit von Angriffen dauerhaft zugunsten der Angreifer verschoben.
Was Finanzdienstleister heute tun
Die Aufsichtsbehörden in allen wichtigen Rechtsräumen stellen nicht mehr nur die Frage, ob Unternehmen über Backups verfügen, sondern wollen nun wissen, ob sie nachweisen können, dass sie sich von einem gezielten, böswilligen Cyberangriff wieder erholen können.
Artikel 12 des Europäischen Gesetzes über digitale Betriebsresilienz (DORA) verpflichtet Finanzinstitute dazu, Daten mithilfe von Systemen wiederherzustellen, die „physisch und logisch von der Quelle getrennt“ sind. Die Bank of England, die Prudential Regulation Authority (PRA) und die Financial Conduct Authority (FCA) haben gemeinsam Leitlinien veröffentlicht, wonach systemrelevante Unternehmen nachweisen müssen, dass sie über verbesserte Fähigkeiten zur Cyber-Reaktion und -Wiederherstellung verfügen.
Die Securities and Exchange Commission (SEC) schreibt nun vor, dass wesentliche Cybervorfälle innerhalb von vier Werktagen offengelegt werden müssen.
Andere regulatorische und branchenbezogene Rahmenwerke, darunter die Hong Kong Monetary Authority (HKMA), die Securities and Exchange Board of India (SEBI), die Richtlinie über Netz- und Informationssicherheit 2 (NIS2) sowie der britische „Cross Market Operational Resilience Group“ (CMORG) Leitfaden für bewährte Verfahren zur Datensicherung in der Cloud, stimmen in ihren Erwartungen überein:
Getrennte Wiederherstellungsumgebungen
Nachweisbare Datenintegrität
Dokumentierte Reaktionsfähigkeiten
Zusammengenommen gehen diese Anforderungen weit über das hinaus, wofür herkömmliche operative Backup-Lösungen konzipiert wurden.
Die meisten regulierten Unternehmen haben darauf mit einer Stärkung ihrer bestehenden Sicherungs- und Notfallwiederherstellungsstrategien reagiert. Sie haben in mehr Sicherungskopien, häufigere Replikationen, schnellere Failover und höhere Budgets für die Notfallwiederherstellung investiert. Diese Vorgehensweise ist verständlich, da sich diese Instrumente in der Branche seit Jahrzehnten bewährt haben – bei Hardwareausfällen, Naturkatastrophen und versehentlichen Löschungen.
Das Problem ist, dass Ransomware nichts davon ist. Es handelt sich um einen gezielten, feindseligen Angriff, der darauf ausgelegt ist, Ihre Wiederherstellungsmechanismen zum Scheitern zu bringen.
Warum Hochverfügbarkeit, BC/DR und Backup nie für diesen Zweck konzipiert wurden
Systeme für Hochverfügbarkeit und Geschäftskontinuität/Notfallwiederherstellung (BC/DR) replizieren Daten in Echtzeit. Wenn Ransomware Daten in der primären Umgebung verschlüsselt, wird diese Verschlüsselung häufig bereits in die sekundäre Umgebung repliziert, bevor der Angriff erkannt wird. Infolgedessen können beide Kopien der Daten kompromittiert werden.
Herkömmliche Backup-Systeme stehen vor einer anderen Herausforderung. Angreifer bleiben oft wochenlang unentdeckt in einer Umgebung, bevor sie einen Angriff starten. Wenn ein Angreifer bereits seit 30 Tagen präsent ist, können viele der in diesem Zeitraum erstellten Backups bereits Malware oder andere böswillige Veränderungen enthalten. Eine Wiederherstellung aus diesen Backups kann dazu führen, dass die Bedrohung zusammen mit den Daten erneut eingeschleust wird.
Moderne Ransomware-Betreiber kennen diese Architektur bis ins Detail. Sie zielen gezielt auf die Backup-Infrastruktur ab, löschen Schattenkopien, verschlüsseln Backup-Kataloge und kompromittieren die Anmeldedaten der Backup-Administratoren, denn sie wissen: Wenn sie Ihre Wiederherstellungsmöglichkeiten zunichte machen, zahlen Sie. Das gesamte Geschäftsmodell beruht darauf, Unternehmen keine tragfähige Alternative zu lassen.
Es gibt eine strukturelle Lücke im Sicherheits-Stack von Unternehmen, die keines dieser Tools schließt. Firewalls überprüfen den Datenverkehr am Netzwerkperimeter. Endpoint Detection and Response (EDR) überprüft laufende Prozesse auf Endgeräten. Security Information and Event Management (SIEM) analysiert Protokolle und Datenverkehrsmuster. Aber keiner von ihnen wirft einen Blick in die Dateien, die sich auf Ihrem Speicher befinden, und genau dort landet die Arbeit des Angreifers. Jede Maßnahme nach der Ausnutzung – vom Einsatz von Ransomware über die Datenzwischenablage bis hin zur Dateiverschlüsselung – hinterlässt Spuren in der Datenschicht. Wenn diese Schicht nicht überprüft wird, bleibt die Kompromittierung unentdeckt und umgeht alle Ihre Schutzmechanismen.
Wie Qumulo das Problem löst
Qumulo führt eine moderne Architektur für Cyber-Resilienz ein, die beide Aspekte der Ransomware-Problematik berücksichtigt: die Verhinderung von Datenbeschädigungen, bevor diese sich ausbreiten, und die Aufrechterhaltung einer vertrauenswürdigen, isolierten Wiederherstellungsumgebung, die für die laterale Bewegung von Angreifern unerreichbar bleibt. Durch die Kombination von aktivem Schutz mit einer architektonisch isolierten Wiederherstellungsumgebung setzt Qumulo einen neuen Standard für die Widerstandsfähigkeit gegen Ransomware, der von einer Kompromittierung ausgeht und die Wiederherstellbarkeit gewährleistet.
NeuralProtect: Erkennung auf der Speicherebene
Qumulo NeuralProtect ist eine direkt in die Qumulo-Speicherplattform integrierte Lösung zur Echtzeit-Erkennung von Ransomware und Malware. Im Gegensatz zu Ansätzen, die auf bekannten Signaturen oder Verhaltensanalysen des Netzwerkverkehrs basieren, nutzt NeuralProtect die „Deep File Inspection“, um jede Datei in dem Moment zu öffnen und zu analysieren, in dem sie auf den Speicher geschrieben wird. Die multimodale Erkennungs-Engine identifiziert sowohl bekannte Malware-Familien als auch Zero-Day-Ransomware, die noch nie katalogisiert wurde. Wenn eine Bedrohung erkannt wird, reagiert das System sofort: Es beendet die bösartige Sitzung, um die laterale Dateiverschlüsselung zu stoppen, erstellt gleichzeitig defensive Snapshots, um einen bekanntermaßen einwandfreien Zustand zu sichern, und ermöglicht eine schnelle Wiederherstellung aus verifizierten, sauberen Daten. Es handelt sich hierbei nicht um einen nachträglich installierten Agenten oder eine Integration eines Drittanbieters, die eine separate Infrastruktur erfordert. Der Schutz ist direkt in die Speicherebene eingebettet – genau dort, wo der Angreifer Schaden anrichtet.
Qumulo Cloud Data Vault: Unterbindung der lateralen Bewegung
Der Qumulo Cloud Data Vault ist ein validiertes Architekturmuster, das auf Qumulo Cloud Native-Bereitstellungen basiert und darauf ausgelegt ist, eine isolierte, unveränderliche Wiederherstellungsumgebung für geschäftskritische Daten zu schaffen. Es handelt sich dabei nicht um ein eigenständiges Produkt, sondern um eine Architektur, die bestehende Qumulo-Funktionen nutzt, um Cyber-Resilienz zu gewährleisten.
Der Tresor befindet sich in einem separaten Cloud-Konto ohne dauerhafte Verbindung zur Produktionsumgebung, was bedeutet, dass es keinen lateralen Zugriffsweg von einem kompromittierten System zum Tresor gibt. Snapshots innerhalb des Tresors sind mit kryptografischen Schlüsseln gesperrt, sodass ein gesperrter Snapshot nicht gelöscht oder seine Gültigkeitsdauer verkürzt werden kann – selbst nicht von einem kompromittierten Administrator, der nicht über den privaten Schlüssel verfügt. Eine Verbindung zum Tresor besteht nur während geplanter Replikationsfenster. Dies ahmt die physische Luftbrücke nach, die entsteht, wenn ein Band aus einer Bibliothek entnommen wird, wird jedoch über eine cloudnative Architektur bereitgestellt, die die regulatorischen Anforderungen von DORA, CMORG und den Leitlinien der Bank of England zu bewährten Praktiken erfüllt.
Der Compound-Effekt
Diese beiden Funktionen ergänzen sich, um das grundlegende Problem zu lösen, das durch Backups allein nicht bewältigt werden kann, und sie tragen direkt den regulatorischen Anforderungen Rechnung, denen die Finanzdienstleistungsbranche derzeit ausgesetzt ist. NeuralProtect überprüft die Daten bereits beim Schreiben, was bedeutet, dass die Daten, die in Ihre Backup-, Replikations- und Vault-Ebenen gelangen, bereits an der Quelle als fehlerfrei verifiziert werden. Ohne diese Überprüfung würden alle nachgelagerten Schutzebenen potenziell kompromittierte Daten bewahren und dies als Ausfallsicherheit bezeichnen.
Wenn NeuralProtect einen Angriff frühzeitig abfängt, bleiben Ihre vorhandenen Backup- und DR-Kopien unbeeinträchtigt und nutzbar. Sollte ein raffinierter Angriff die anfängliche Erkennung umgehen und erst später entdeckt werden, bietet der Qumulo Cloud Data Vault einen nachweislich unbeeinträchtigten Wiederherstellungspunkt aus der Zeit vor der Kompromittierung, der in einer Umgebung gespeichert ist, auf die der Angreifer niemals Zugriff hatte.
Artikel 12 der DORA-Verordnung schreibt vor, dass wiederhergestellte Daten „mehrere Prüfungen und Abgleiche“ durchlaufen müssen, um „ein Höchstmaß an Datenintegrität“ zu gewährleisten. Die „Deep File Inspection“ von NeuralProtect bietet genau diese Überprüfung, die kontinuierlich und nicht nur zum Zeitpunkt der Wiederherstellung durchgeführt wird.
Der CMORG-Leitfaden für bewährte Verfahren zur Cloud-basierten Datensicherung legt fest, dass gesicherte Daten in einer Umgebung gespeichert werden müssen, die keine dauerhafte Verbindung zur Produktionsumgebung aufweist, kryptografisch unveränderlich ist und über definierte Replikationsfenster verfügt. Der Qumulo Cloud Data Vault wurde gemäß dieser Spezifikation entwickelt.
Die viertägige Meldefrist der SEC beginnt nicht zum Zeitpunkt des Angriffs, sondern erst, wenn das Unternehmen feststellt, dass der Vorfall wesentlich ist – und diese Feststellung muss ohne unangemessene Verzögerung erfolgen. Die Wesentlichkeit wird danach beurteilt, ob ein vernünftiger Anleger den Vorfall als wichtig für seine Entscheidungsfindung erachten würde. Unternehmen können sich keine Unklarheiten leisten. Die Echtzeit-Erkennung von NeuralProtect verschafft Sicherheitsteams sofortigen Einblick darin, ob ein Angriff die Datenschicht erreicht hat und ob Wiederherstellungspunkte weiterhin nutzbar sind, wodurch sich das Zeitfenster für diese Beurteilung von Wochen auf Minuten verkürzt.
Gemeinsam bieten sie das, was Aufsichtsbehörden in allen Rechtsräumen mittlerweile verlangen und was eine reine Datensicherung allein nicht leisten kann: die Möglichkeit, Bedrohungen zu erkennen, bevor die Verschlüsselung abgeschlossen ist, kompromittierte Sitzungen in Echtzeit zu isolieren, kritische Daten in einer abgeschotteten, unveränderlichen Umgebung zu schützen und eine saubere Wiederherstellung ohne Zahlung eines Lösegelds durchzuführen.
Das Fazit
Ransomware ist ein Problem für das Überleben von Unternehmen, und diejenigen Organisationen, die damit erfolgreich umgehen, sind diejenigen, die erkannt haben, dass ihre bestehenden Instrumente zur operativen Widerstandsfähigkeit für eine andere Ära von Bedrohungen konzipiert wurden. Die Bank of England berücksichtigt Cyberangriffe in ihren BIP-Prognosen. DORA ist EU-weit durchsetzbar. Die PRA und die FCA veröffentlichen gemeinsame Leitlinien dazu, wie eine „wirksame“ Cyber-Wiederherstellung für systemrelevante Unternehmen aussehen sollte. Die SEC macht die Vorstände persönlich für die Cybersicherheits-Governance verantwortlich. Versicherer ziehen sich aus dem Cyber-Markt zurück, da die Schadenssummen die Prämieneinnahmen übersteigen, und diejenigen Versicherer, die verbleiben, verlangen den Nachweis getrennter Wiederherstellungsarchitekturen, bevor sie Policen zeichnen.
Backups sind kein Schutz vor Ransomware.
Notfallwiederherstellung ist kein Schutz vor Ransomware.
Geschäftskontinuität ist kein Schutz vor Ransomware.
All dies sind zwar notwendige Bestandteile der betrieblichen Widerstandsfähigkeit, doch sie wurden nie dafür konzipiert, einem gezielten Angreifer standzuhalten, dessen gesamte Strategie darauf abzielt, genau diese Komponenten zum Scheitern zu bringen. Noch wichtiger ist, dass sie die regulatorischen Anforderungen nicht mehr erfüllen. Die Aufsichtsbehörden fragen nicht nur, ob Sie Daten aus einem Backup wiederherstellen können. Sie fragen auch, ob Ihre Wiederherstellungsumgebung isoliert ist, ob die Integrität Ihrer Daten nachweisbar ist und ob Sie belegen können, dass Ihre letzte bekanntermaßen fehlerfreie Kopie tatsächlich virenfrei ist.
Qumulo NeuralProtect und der Qumulo Cloud Data Vault helfen Unternehmen dabei, die Fähigkeiten aufzubauen, die von den Aufsichtsbehörden zunehmend gefordert werden. Die Erkennung von Bedrohungen bereits beim Speichern, die Sicherung kritischer Daten in einer isolierten Wiederherstellungsumgebung und die Wiederherstellung anhand verifizierter, virenfreier Kopien stärken die Cyber-Resilienz und unterstützen eine nachweisbare Wiederherstellungsstrategie im Falle eines Ransomware-Angriffs.
Möchten Sie erfahren, wie Qumulo NeuralProtect und der Cloud Data Vault zusammenarbeiten? Fordern Sie eine Demo an unter qumulo.com/product/neural-protect oder lesen Sie den NeuralProtect – Lösungsübersicht Um mehr zu erfahren.
Über den Autor
Tom Tasker ist Principal Cloud Solutions Architect bei Qumulo und konzentriert sich auf Cloud-Datensicherheit und Ransomware-Resilienz für Finanzdienstleister und regulierte Branchen in den Regionen EMEA und APJ. Er ist Mitautor des Beitrags im AWS Storage Blog Resilienz durch konzeptionelle Gestaltung: Entwicklung einer wirksamen Strategie zur Wiederherstellung nach einem Ransomware-Angriff, sowie Vorlesungen an der Loughborough University zum Thema „Moderne Datenarchitektur“.