Backup-Strategie und Offline-Kopie

Warum relevant für das Underwriting

Die Backup-Qualität ist einer der stärksten Indikatoren für die letztlich eintretende Schadenhöhe bei Ransomware-Vorfällen, denn eine funktionsfähige, unverschlüsselte und wiederherstellbare Kopie der kritischen Daten entscheidet darüber, ob aus einem potenziell existenzgefährdenden Erpressungsereignis ein beherrschbarer Betriebsunterbrechungsschaden wird. Moderne Ransomware-Akteure durchsuchen verbundene Netzwerke gezielt nach Backup-Servern und Netzlaufwerken, um diese vor der eigentlichen Verschlüsselung zu löschen oder ebenfalls zu verschlüsseln und dem Opfer so die Möglichkeit einer Wiederherstellung ohne Lösegeldzahlung zu nehmen. Underwriter nutzen dieses Merkmal, um abzuschätzen, wie schnell ein Versicherungsnehmer den Betrieb nach einem Angriff realistisch wieder aufnehmen könnte, was sowohl die erwartete Dauer der Betriebsunterbrechung als auch die Verhandlungsposition gegenüber Erpressungsforderungen massgeblich beeinflusst. Die Backup-Strategie wird deshalb als primärer Schadenhöhentreiber und nicht als nachrangige Kontrolle behandelt und bei Risiken mit hoher IT-Abhängigkeit besonders eingehend geprüft.

Erfassung und Nachweise

Antragsformulare fragen nach der Sicherungshäufigkeit je Kritikalitätsstufe der Daten, der Backup-Abdeckung über geschäftskritische Anwendungen sowie – am wichtigsten – danach, ob mindestens eine Kopie offline, air-gapped, auf unveränderlichem Speicher oder anderweitig logisch und physisch vom Produktivnetzwerk und dessen Administratorkonten getrennt vorgehalten wird. Underwriter verlangen die Backup- und Recovery-Richtlinie, ein Architekturdiagramm oder eine Konfigurationsübersicht, die zeigt, wie die Offline- oder Unveränderlichkeitskopie technisch umgesetzt ist, sowie den jüngsten Restore-Testbericht, der belegt, dass Daten innerhalb einer definierten Zeit tatsächlich wiederherstellbar waren. Eine deklarierte Backup-Praxis, die noch nie einem Restore-Test unterzogen wurde, wird mit Skepsis betrachtet, da ungetestete Backups erfahrungsgemäss gerade im Bedarfsfall häufig versagen oder unvollständig sind.

Wirkung auf Deckung, Prämie und Bedingungen

Häufige, vollständige Backups mit nachweislich vorhandener Offline- oder Unveränderlichkeitskopie unterstützen günstige Prämiensätze, höhere Sublimiten für Betriebsunterbrechung und kürzere Wartefristen. Eine Backup-Praxis, die sich auf online und dauerhaft mit dem Netzwerk verbundenen Speicher beschränkt und keine Offline- oder Unveränderlichkeitskomponente vorsieht, führt häufig zu Ransomware-Sublimiten, Mitversicherungsanforderungen oder Prämienzuschlägen, da damit eine deutlich höhere Wahrscheinlichkeit einhergeht, dass die Backups bei einem Angriff gemeinsam mit den Produktivdaten zerstört werden. Fehlt eine getestete Backup- und Recovery-Fähigkeit vollständig oder deckt sie nur einen Teil der kritischen Systeme ab, kann dies je nach Zeichnungspolitik des Versicherers zum Ausschluss ransomware-bedingter Betriebsunterbrechung oder zur vollständigen Ablehnung führen.

Massnahmen

Versicherer und IT-Sicherheitsberater empfehlen in der Regel das 3-2-1-Prinzip: mindestens drei Kopien der kritischen Daten, auf zwei unterschiedlichen Speichermedien, wobei eine Kopie offline, air-gapped oder unveränderlich und damit von einem kompromittierten Produktivnetzwerk aus nicht erreichbar vorgehalten wird. Regelmässige Restore-Tests, idealerweise vierteljährlich für die kritischsten Systeme, werden empfohlen, um die tatsächliche Wiederherstellbarkeit zu bestätigen und die erreichbare Wiederherstellungszeit zu messen. Eine administrative Trennung der Backup-Infrastruktur von der Produktivumgebung, mit eigenen Zugangsdaten und, wo möglich, einer eigenen Identitätsdomäne, verringert zusätzlich die Wahrscheinlichkeit, dass ein Angreifer nach Kompromittierung der Produktivsysteme auch die Backups erreichen und zerstören kann.