Wiederanlauf planen statt hoffen : Systemabbilder, dokumentierte Konfigurationen und getestete Wiederherstellung statt reiner Dateibackups

Lange stand bei der IT-Sicherheit eine Frage im Mittelpunkt: Wie lässt sich ein Cyberangriff verhindern? Unternehmen investieren in Firewalls, Endpoint-Schutz, E-Mail-Filter und Security Operations Center (SOC). Dennoch steigt die Zahl erfolgreicher Ransomware-Angriffe kontinuierlich. Nicht weil die Schutzmechanismen schlechter geworden wären – sondern weil Angreifer schneller, professioneller und zunehmend KI-gestützt agieren.

In der Industrie kommt eine Besonderheit hinzu. Produktionsanlagen bestehen häufig aus unterschiedlichen Betriebssystemen, Maschinensteuerungen und Industrie-PCs, von denen manche seit vielen Jahren laufen. Viele lassen sich nicht beliebig aktualisieren oder ersetzen, ohne Produktionsprozesse zu gefährden.

Die Frage lautet daher nicht mehr, ob ein Unternehmen angegriffen wird, sondern wie schnell es nach einem erfolgreichen Angriff wieder produzieren kann. Der Fokus verschiebt sich damit von der Abwehr hin zur Wiederherstellung, also von Cybersecurity zu Cyberrecovery.

Der Schaden beginnt oft nach der Verschlüsselung

Ransomware verschlüsselt heute nicht nur Dateien. Moderne Angriffe verändern komplette Betriebssysteme, Bootbereiche, Konfigurationen, Datenbanken und teilweise sogar Firmware-Komponenten. Der wirtschaftliche Schaden entsteht daher häufig durch den langen Stillstand der Produktion. Typische Kostenpositionen sind: Produktionsausfälle, Lieferverzögerungen, Vertragsstrafen, Stillstand von Personal und Maschinen Imageschäden und Verlust von Kundenvertrauen.

Wie hoch die Kosten pro Stunde ausfallen, hängt dabei von der Branche und der jeweiligen Anlage ab. In hochautomatisierten Fertigungen können wenige Stunden bereits erhebliche wirtschaftliche Folgen haben.

Prävention bleibt nötig, reicht aber nicht

Firewalls, Multi-Faktor-Authentifizierung, Netzwerksegmentierung, Endpoint Detection & Response (EDR), Patch-Management und Security Awareness bleiben unverzichtbar. Sie senken das Risiko deutlich, schließen es aber nicht aus. Ein Mitarbeiter kann auf einen Phishing-Link klicken, eine Zero-Day-Schwachstelle kann ausgenutzt werden, ein Dienstleister kann kompromittiert sein, und ein Insider kann unbeabsichtigt Schadsoftware einschleusen.

Deshalb muss neben der Abwehr auch die Wiederherstellung funktionieren. Cyberrecovery fragt dabei nicht nach dem Angriff, sondern danach, wie lange es dauert, bis eine Maschine nach einer Ransomware-Infektion wieder vollständig einsatzbereit ist.

Es geht dabei nicht nur um einzelne Dateien. In industriellen Umgebungen muss oft der gesamte Softwarestand wiederhergestellt werden: Betriebssystem, Treiber, Maschinenparameter, Steuerungssoftware, Lizenzinformationen, Benutzerkonten, Netzwerkkonfiguration und Applikationen. Nur wenn sämtliche Komponenten exakt reproduziert werden können, arbeitet die Maschine anschließend wieder zuverlässig.

Kennzahl: Recovery Time Objective

Viele Unternehmen messen heute ihre Cybersicherheit anhand blockierter Angriffe. Aus betriebswirtschaftlicher Sicht ist jedoch eine andere Kennzahl wesentlich aussagekräftiger: Die Recovery Time Objective (RTO) gibt an, wie lange ein System nach einem Totalausfall höchstens bis zur Wiederherstellung der Betriebsbereitschaft ausfallen darf.

Der Unterschied ist erheblich. Ein Angriff, der innerhalb weniger Minuten vollständig rückgängig gemacht werden kann, verursacht deutlich geringere Schäden als ein Angriff, dessen Folgen tagelange Wiederherstellungsarbeiten nach sich ziehen. Die Dauer der Wiederherstellung wird damit zu einem zentralen Wettbewerbsfaktor.

Grenzen dateibasierter Backups

Viele Unternehmen verlassen sich auf dateibasierte Backup-Systeme. Diese Backups funktionieren für Office-Dokumente und Datenbanken gut. In Produktionsumgebungen stoßen sie jedoch schnell an Grenzen. Nach einer vollständigen Kompromittierung müssen oft Betriebssysteme, Bootloader, Registry, Maschinenkonfigurationen, proprietäre Anwendungen und spezielle Gerätetreiber rekonstruiert werden. Das geschieht häufig manuell und verlängert den Stillstand.

Ältere oder proprietäre Betriebssysteme auf Industrie-PCs machen die Rekonstruktion zusätzlich aufwendig, wenn sie nicht oder nur lückenhaft dokumentiert sind.

Image-basierte Wiederherstellung

Immer mehr Industrieunternehmen sichern deshalb vollständige Systemabbilder. Gesichert wird nicht nur der Datenbestand, sondern der komplette Zustand eines Rechners. Im Wiederherstellungsfall wird dieser Zustand zurückgespielt. Betriebssystem, Anwendungen, Maschinenparameter, Konfigurationen und Bootfähigkeit sind danach wieder vorhanden. Die Maschine befindet sich damit im Zustand des Sicherungszeitpunkts. Nach Darstellung des Autors verkürzt sich die Wiederherstellungszeit dadurch oft erheblich. Dadurch verkürzt sich die Wiederherstellungszeit oftmals erheblich.

Regulatorische Anforderungen

Auch gesetzliche Vorgaben entwickeln sich in diese Richtung. Mit der europäischen NIS-2-Richtlinie sowie dem Cyber Resilience Act (CRA) rückt die Fähigkeit zur schnellen Wiederherstellung zunehmend in den Fokus. Unternehmen sollen Risiken nicht nur verhindern, sondern nachweisen können, dass kritische Systeme in angemessener Zeit wieder in Betrieb gehen.

Resilienz bedeutet demnach nicht allein Schutz vor Angriffen. Es ist vor allem die Fähigkeit, den Betrieb trotz eines erfolgreichen Angriffs aufrechtzuerhalten oder schnell wiederherzustellen.

Fazit

Für Geschäftsführungen verschiebt sich die Fragestellung. Nicht mehr: „Wie verhindern wir jeden Angriff?“, sondern: „Wie schnell können wir nach einem erfolgreichen Angriff wieder produzieren?“ Diese Sicht verbindet IT-Sicherheit mit Business-Continuity, Produktionssicherheit und Risikomanagement. Cyberrecovery ergänzt damit die Cybersicherheit um die Fähigkeit, nach einem Sicherheitsvorfall handlungsfähig zu bleiben.

Absolute Cybersecurity gibt es bekanntlich nicht. Auch modernste Schutzmaßnahmen können erfolgreiche Angriffe nicht vollständig ausschließen. Entscheidend ist deshalb, ihre Auswirkungen auf den Betrieb zu begrenzen. Für Industrieunternehmen gewinnt die Geschwindigkeit der Wiederherstellung an Gewicht. Wer Systeme in kurzer Zeit wieder produktionsbereit macht, verkürzt Ausfallzeiten und begrenzt wirtschaftliche Schäden. Cybersecurity soll Angriffe verhindern. Cyberrecovery sorgt dafür, dass die Produktion nach einem Angriff wieder anläuft.

Autor

Dr. Jurij Ivastsuk-Kienbaum ist Geschäftsführer bei der WAXAR Data Saving Systems GmbH & Co. KG.