Wie sollten MSPs ihren Kunden unveränderliche Backups anbieten?

Was macht ein Backup wirklich unveränderlich?

Ein Backup ist unveränderlich, wenn niemand es vor Ablauf der Aufbewahrungsdauer ändern oder löschen kann: kein Angreifer, kein Administrator des Kunden und auch nicht Ihre eigenen Techniker. Kann jemand mit den passenden Rechten die Sperre aufheben, ist es eine Einstellung und keine Unveränderlichkeit.

Die AWS-Dokumentation zu S3 Object Lock zeigt den Unterschied. Object Lock arbeitet nach dem Write-once-read-many-Prinzip (WORM). Im Governance-Modus können Benutzer mit einer Sonderberechtigung die Aufbewahrung weiterhin ändern oder Objekte löschen. Im Compliance-Modus „kann ein gesperrtes Objekt von keinem Benutzer überschrieben oder gelöscht werden, auch nicht vom Root-Benutzer“, und die Aufbewahrungsdauer lässt sich nicht verkürzen.

Für einen MSP ist diese Unterscheidung wichtig. Ein Angreifer, der das Konto eines Technikers übernimmt, erbt dessen Berechtigungen. Auf unserer Seite Backup as a Service erklären wir, wie wir unveränderlichen Speicher mit einer Air-Gap-Kopie kombinieren, damit ein gestohlenes Konto nicht ausreicht, um Kunden-Backups zu zerstören.

Warum sind MSPs ein Ziel, und was heißt das für das Backup?

Weil ein einziger kompromittierter MSP die Tür zu vielen Kunden öffnet. Angreifer, die Ihr RMM oder Ihre Administratorkonten erreichen, können Ransomware in jedes verwaltete Netzwerk verteilen, und sie suchen zuerst nach den Backups.

Der Kaseya-VSA-Angriff von 2021 ist der Referenzfall. Laut BleepingComputer nutzte REvil eine Zero-Day-Schwachstelle in Kaseyas On-Premises-Produkt VSA und traf rund 60 direkte Kunden sowie bis zu 1.500 nachgelagerte Unternehmen, die über MSPs betreut wurden. Dritte sind ein wachsender Einfallsweg: Der Data Breach Investigations Report 2025 von Verizon stellte bei 30 % der Datenpannen die Beteiligung Dritter fest, doppelt so viel wie im Jahr davor.

Auch Fernwartungs-Tools selbst werden missbraucht. NSA, CISA und MS-ISAC warnten im Januar 2023, Kriminelle hätten legitime RMM-Software genutzt, um Anti-Malware-Schutz zu umgehen und Systeme zu übernehmen. Und Backups sind ein gezieltes Ziel: In der Sophos-Umfrage 2024 sagten 94 % der Ransomware-Opfer, die Angreifer hätten versucht, ihre Backups zu kompromittieren.

Die gemeinsame Warnung zu Cyberbedrohungen für MSPs der Cyberbehörden aus Großbritannien, Australien, Kanada und den USA nennt die praktische Antwort: Pflegen Sie Offline-Backups, die mit separaten Schlüsseln verschlüsselt sind, erzwingen Sie MFA für jedes Konto, das auf Kundenumgebungen zugreift, und trennen Sie Kundendatensätze voneinander und von Ihrem internen Netzwerk.

Was gehört in einen Backup-Service für MSPs?

Vier Bausteine: unveränderlicher Speicher mit Air-Gap-Kopie, eine von Ihren übrigen Tools isolierte Steuerungsebene, automatische Prüfung und Nachweise, die Kunden an Prüfer weitergeben können. Lassen Sie einen weg, verkaufen Sie Speicher mit einem aufgesetzten Wiederherstellungsversprechen.

Die Grundsätze des britischen National Cyber Security Centre für ransomware-resistente Cloud-Backups ergeben eine brauchbare Checkliste, um jeden Anbieter zu bewerten: Widerstandsfähigkeit gegen zerstörerische Aktionen, Wiederherstellung aus unbeschädigten Versionen und Warnungen, wenn privilegierte Aktionen versucht werden.

So unterstützt Mindtime MSPs

Partner erhalten eine mandantenfähige Konsole, nutzungsbasierte Abrechnung sowie REST-APIs und Hooks für Ihre RMM- und PSA-Tools. Kunden-Backups bleiben mit Object Lock unveränderlich, dazu kommt eine Air-Gap-Kopie, in unseren eigenen Tier-III-Rechenzentren in Deutschland und den Niederlanden. Jeder Backup-Job wird automatisch geprüft, Backups werden auf Malware gescannt, administrative Aktionen erfordern MFA, und die Plattform wird rund um die Uhr überwacht. Wir sichern Microsoft 365, Google Workspace, VMware, Hyper-V, Proxmox, Linux-Server, SQL Server, NAS, AWS, Azure, Google Cloud und Endgeräte, mit unbegrenzten Backup-Jobs und unbegrenztem Speicher.

Wie schnüren Sie Backup-Tiers für Kunden?

Staffeln Sie nach Ergebnis: wie schnell ein Kunde wieder arbeitet, wie oft Wiederherstellungen getestet werden und welche Nachweise er erhält. Kunden verstehen „in vier Stunden wieder startklar“ weit besser als „500 GB“.

Die Namen und Inhalte der Tiers legen Sie selbst fest. Darunter ergänzt Mindtime: Kritische Workloads werden mit einer SLA von 4 Stunden wiederhergestellt, Instant VM Boot startet Server in einer isolierten Wiederherstellungsumgebung in einem separaten, sauberen Netzwerk, und für Disaster Recovery gibt es eine Standby-Infrastruktur mit automatischen DR-Tests jedes Quartal und Nachweisen für Prüfer. Ein zertifizierter Ingenieur validiert den ersten Test-Failover, in der Regel innerhalb von 10 Tagen.

Legen Sie die Tiers gemeinsam mit jedem Kunden anhand der Ausfallkosten fest. Unsere Anleitung zu den Kosten von Ausfallzeiten enthält eine Berechnung, die Sie gemeinsam durchgehen können.

Was ändert NIS2 beim Backup für MSPs?

Es macht Backup für viele MSPs und ihre Kunden zur gesetzlichen Pflicht. Die NIS2-Richtlinie (EU) 2022/2555 führt Managed Service Provider und Managed Security Service Provider in Anhang I auf, und Artikel 21 verlangt von Einrichtungen im Anwendungsbereich Risikomanagementmaßnahmen.

• Art. 21 Abs. 2 lit. c NIS2-Richtlinie: Aufrechterhaltung des Betriebs, etwa Backup-Management und Wiederherstellung nach einem Notfall, sowie Krisenmanagement.
• Art. 21 Abs. 2 lit. d NIS2-Richtlinie: Sicherheit der Lieferkette. Ihre Kunden bewerten Sie also als Lieferanten.
• Art. 23 NIS2-Richtlinie: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung des Vorfalls innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats.
• Art. 34 NIS2-Richtlinie: Geldbußen mit einem Höchstbetrag von mindestens 10 Mio. € oder 2 % des weltweiten Umsatzes für besonders wichtige Einrichtungen und 7 Mio. € oder 1,4 % für wichtige Einrichtungen.

Inzwischen gelten die nationalen Gesetze. In Deutschland ist am 6. Dezember 2025 das NIS-2-Umsetzungsgesetz in Kraft getreten. Als niederländisches Beispiel gilt in den Niederlanden seit dem 15. August 2026 die Cyberbeveiligingswet. Ob Sie in den Anwendungsbereich fallen, prüfen Sie in unserer Übersicht zum NIS2-Anwendungsbereich. Was Ihre Kunden Sie fragen werden, lesen Sie in unserem Ratgeber zur NIS2-Lieferkettensicherheit.

Wie führen Sie unveränderliche Backups bei all Ihren Kunden ein?

Beginnen Sie mit Ihrem eigenen Stack und holen Sie dann Ihre Kunden in Wellen nach, zuerst jene, die ein Ausfall am härtesten träfe.

1. Prüfen Sie Ihre eigenen Zugriffe. Erfassen Sie, welche Konten die Backup-Aufbewahrung ändern oder Backups löschen können, und entfernen Sie jede Verbindung zu RMM- oder Domänenzugangsdaten.
2. Definieren Sie Tiers nach Ergebnis. Vereinbaren Sie pro Tier Wiederherstellungsziele und Testhäufigkeit und halten Sie diese in Ihren Serviceverträgen fest.
3. Migrieren Sie in Wellen. Holen Sie regulierte Kunden und solche, bei denen ein Ausfall die größten Folgen hätte, zuerst, und führen Sie nach dem Onboarding für jeden einen Test-Restore durch.
4. Automatisieren Sie die Nachweise. Verbinden Sie Job- und Testergebnisse über APIs mit Ihrem PSA, damit sich die monatlichen Kundenberichte von selbst erstellen.
5. Prüfen Sie jedes Quartal. Kontrollieren Sie fehlgeschlagene Jobs, Wiederherstellungszeiten und Änderungen an Kundensystemen, die noch nicht im Backup-Umfang sind.

Unser Ratgeber Woran Sie erkennen, ob Ihr Backup wirklich funktioniert listet auf, was jeder Test-Restore belegen sollte.

Ihre nächsten Schritte

Bieten Sie unveränderliche Backups als nachweisbare Wiederherstellung an. Halten Sie Kopien vor, die kein Administrator löschen kann, trennen Sie die Backup-Konsole von Ihrem RMM, prüfen Sie jeden Job, testen Sie Wiederherstellungen nach Plan und geben Sie Kunden die Nachweise. Das schützt sie und Sie: Ein Einbruch, der in Ihren Tools beginnt, darf nicht damit enden, dass die Daten aller Kunden verloren sind.

Wie der Service aufgebaut ist, sehen Sie auf unserer Seite Backup as a Service. Das Partnerprogramm beschreiben wir auf unserer Partnerseite.

Möchten Sie die mandantenfähige Konsole mit einer echten Wiederherstellung sehen? Vereinbaren Sie eine kostenlose 15-minütige Demo mit unserem Team, auf Deutsch, Niederländisch oder Englisch.

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung.