Wie hilft Anomalieerkennung in Backups MSPs, Ransomware zu erkennen?

Warum beweist ein erfolgreicher Backup-Job kein sauberes Backup?

Weil der Job nur prüft, ob Daten kopiert wurden, nicht was in ihnen steckt. Hat Ransomware um 1:00 Uhr einen Fileserver verschlüsselt, sichert der Job um 2:00 Uhr Tausende unlesbare Dateien und meldet trotzdem Erfolg.

Ein MSP-Techniker sieht am Montagmorgen im Dashboard bei vierzig Kunden-Tenants nur Grün. Auf dem Fileserver eines Kunden hat über Nacht die Verschlüsselung begonnen, und jedes neue Backup schiebt den letzten sauberen Wiederherstellungspunkt weiter in Richtung Ende der Aufbewahrungsdauer. Wenn die Lösegeldforderung auftaucht, laufen die sauberen Kopien womöglich bald ab.

Genau diesen Fehlerfall nimmt die Anomalieerkennung ins Visier. Sie ergänzt Werkzeuge für Endgeräte wie eine EDR-Plattform, sie ersetzt sie nicht: EDR beobachtet das Verhalten auf dem Endgerät, die Erkennung auf Backup-Ebene beobachtet, wie die Daten beim Eintreffen aussehen.

Worauf achtet die Anomalieerkennung in Backups genau?

Sie lernt, wie die Backups jedes Systems normalerweise aussehen, und meldet Abweichungen, die zu der Art passen, wie Verschlüsselung Daten verändert. Einen bestimmten Ransomware-Stamm muss sie dafür nicht kennen.

Anzeichen für Ransomware in Backup-Daten

• Sprunghaft mehr Änderungen. Seit dem letzten Backup wurden weit mehr Dateien geändert als in der üblichen Tagesbasis.
• Entropie und Komprimierung. Verschlüsselte Daten wirken zufällig (hohe Entropie) und lassen sich kaum komprimieren. Ein plötzlicher Einbruch der Komprimierungs- oder Deduplizierungsrate ist ein klassisches Zeichen.
• Dateiendungen und Umbenennungen. Viele Dateien erhalten dieselbe neue Endung, oder in kurzer Zeit werden massenhaft Dateien umbenannt.
• Lösegeldforderungen. Dieselbe neue Textdatei erscheint in vielen Verzeichnissen.
• Größensprünge. Größe oder Dauer des Backups liegen weit außerhalb des Normalbereichs dieses Systems.

Das deckt sich mit den Hinweisen zur Erkennung, die MITRE ATT&CK für T1486 Data Encrypted for Impact gibt: „hochfrequente Dateischreibvorgänge mit ungewöhnlichen Dateiendungen, gefolgt vom Anlegen einer Lösegeldforderung, Manipulationen an der Registry oder dem Löschen von Schattenkopien“. Anbieter setzen statistische Modelle, Machine Learning oder einfache Schwellenwerte ein; die Signale sind dieselben.

Warum brauchen MSPs Erkennung auf der Backup-Ebene?

Weil sich bei MSPs das Risiko in beide Richtungen bündelt. Eine übersehene Infektion kann die Wiederherstellungspunkte eines Kunden vergiften, und die Werkzeuge eines MSPs sind ein attraktiver Weg zu vielen Kunden gleichzeitig.

Angreifer nehmen die Wiederherstellung gezielt ins Visier. Mandiants M-Trends 2026 beschreibt Ransomware-Gruppen, die Speicherorte kartieren, Backup-Objekte löschen, Virtualisierungshosts von Backup-Plattformen trennen und lokale Wiederherstellungspunkte verschlüsseln. MITRE führt das als T1490 Inhibit System Recovery. In Sophos' Umfrage im Gesundheitswesen 2024 gaben 95 % der von Ransomware betroffenen Organisationen an, dass Angreifer versucht hatten, ihre Backups zu kompromittieren.

Auch die Wiederherstellung aus Backups wird schwieriger. Laut Sophos' State of Ransomware 2025, das auf 3.400 von Ransomware betroffenen Organisationen beruht, lag die Datenwiederherstellung über Backups auf dem niedrigsten Stand seit sechs Jahren, und ausgenutzte Schwachstellen waren mit 32 % der Angriffe die häufigste Ursache. Die ENISA Threat Landscape 2025 nennt Ransomware in der EU weiterhin „das wirkungsvollste Instrument der Cyberkriminalität“.

EDR ist notwendig, aber nicht ausreichend. Angreifer nutzen legitime Admin-Werkzeuge, bewegen sich über Geräte ohne Agent und versuchen, Agenten zu deaktivieren. Eine Prüfung der Backup-Daten läuft auf getrennter Infrastruktur und liefert Ihnen ein unabhängiges Signal.

Was bringt eine schnellere Erkennung?

Mehr saubere Wiederherstellungspunkte und weniger Datenverlust. Jeder Backup-Zyklus, der verschlüsselte Daten erfasst, schiebt die letzte gute Kopie weiter in die Vergangenheit und näher an das Ende ihrer Aufbewahrungsdauer.

Schnellere Erkennung senkt auch die Kosten. IBMs Cost of a Data Breach Report 2026 beziffert die weltweiten Durchschnittskosten einer Datenpanne auf 4,99 Millionen USD und berichtet, dass Organisationen, die Sicherheits-KI und Automatisierung umfassend nutzen, im Schnitt 1,93 Millionen USD sparten, verglichen mit Organisationen, die beides nicht einsetzen.

Für regulierte Kunden kommt ein Compliance-Aspekt hinzu. NIS2 führt MSPs und MSSPs in Anhang I auf. Art. 21 Abs. 2 NIS2-Richtlinie verlangt die Bewältigung von Sicherheitsvorfällen (lit. b) sowie „Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement“ (lit. c). Art. 23 legt die Fristen fest, sobald ein Sicherheitsvorfall erheblich ist: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats. Protokolle zu Alarmen und Reaktionen helfen Ihnen, diese Fristen mit Fakten einzuhalten. Mehr dazu in unserer Übersicht zu Artikel 21.

Wie führen Sie Anomalieerkennung im Backup ein? Ein Fünf-Schritte-Plan für MSPs

Zuerst die Vergleichsbasis, dann die Alarme in bestehende Workflows einbinden, die Reaktion vorab festlegen, die Kopien schützen und jedes Quartal überprüfen.

1. Jeden Tenant als Basis erfassen. Lassen Sie das normale Muster pro Kunde mehrere Wochen einlaufen, bevor Sie auf Alarme reagieren. Erfassen Sie die Basis nach Migrationen oder größeren Änderungen neu.
2. Alarme in RMM und PSA einbinden. Senden Sie Backup-Alarme an das Dashboard und das Ticketsystem, das Ihre Techniker ohnehin nutzen, mit Schweregraden: Ein Entropie-Sprung auf einem Fileserver alarmiert nachts jemanden, eine leichte Abweichung wartet bis zum Morgen.
3. Die Reaktion festlegen. Definieren Sie für jeden Alarmtyp das Notfallhandbuch: das Quellsystem isolieren, die Bereinigung der Aufbewahrung pausieren, damit saubere Wiederherstellungspunkte nicht auslaufen, den letzten sauberen Snapshot finden und prüfen und den Kunden informieren.
4. Kopien unveränderlich und außer Haus halten. Die Erkennung begrenzt den Schaden, die Unveränderlichkeit deckelt ihn. Folgen Sie der 3-2-1-1-0-Regel mit einer unveränderlichen Kopie und einer Air-Gap-Kopie in Rechenzentren in der EU.
5. Quartalsweise justieren und dokumentieren. Prüfen Sie Fehlalarme, passen Sie Schwellenwerte an und archivieren Sie Alarm- und Reaktionsprotokolle je Kunde als Nachweis für Audits und Versicherer.

Worauf Sie bei Backup-Software mit Anomalie-Alarmen achten sollten

• Basiswerte pro Tenant statt eines einzigen globalen Schwellenwerts
• Alarme, die die betroffenen Wiederherstellungspunkte nennen, nicht nur den Job
• Zustellung per API oder Webhook in Ihr RMM/PSA
• Die Möglichkeit, einen Wiederherstellungspunkt vor der Wiederherstellung isoliert zu scannen oder zu starten
• Unveränderlicher Speicher, den weder ein Alarm noch ein Angreifer abschalten kann

EDR, Anomalieerkennung im Backup oder unveränderlicher Speicher: Welche Ebene erkennt was?

Keine Ebene ersetzt die andere. EDR verkürzt den Spielraum des Angreifers, die Anomalieerkennung im Backup fängt auf, was durchrutscht, und schützt Wiederherstellungspunkte, und die Unveränderlichkeit stellt sicher, dass eine saubere Kopie existiert, selbst wenn beide versagen.

Zur Prüfung lesen Sie, woran Sie erkennen, ob Ihr Backup wirklich funktioniert, und zum größeren Bild von KI im Backup, wie KI Ihr Backup unterstützen kann.

Ihre nächsten Schritte

Für einen MSP ist das gefährlichste Backup das, das in Ordnung aussieht. Anomalieerkennung macht die Backup-Ebene zu einem zusätzlichen Sensor, aber nur, wenn sie pro Kunde eine Basis hat, in Ihren Workflow eingebunden ist und durch unveränderliche Kopien und eine festgelegte Reaktion abgesichert wird.

Mindtime gibt MSPs die Grundlagen zum Weiterbauen. Jeder Backup-Job wird automatisch geprüft, Backups werden auf Malware gescannt und rund um die Uhr überwacht, und die Daten liegen ausschließlich in unseren eigenen Tier-III-Rechenzentren in Deutschland und den Niederlanden, als unveränderliche Kopien (Object Lock) plus eine Air-Gap-Kopie. Sie können VMs sofort in einer isolierten Wiederherstellungsumgebung starten, um einen Wiederherstellungspunkt zu prüfen, bevor er die Produktion berührt. Die mandantenfähige Konsole, REST-APIs und Hooks für RMM/PSA sowie die nutzungsbasierte Abrechnung passen zu Ihrem bestehenden Stack, und die EDR / RMM Platform von Mindtime deckt die Ebene der Endgeräte ab, wobei Ihr Team den Service betreibt. Mehr dazu unter unveränderliche Backups für MSPs.

Möchten Sie sehen, wie das zu Ihrem Service-Stack passt? Vereinbaren Sie eine kostenlose 15-minütige Demo oder informieren Sie sich über unser Partnerprogramm.

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung.