Resilienz auf dem Prüfstand:

DORA reicht nicht mehr aus

Digitale Resilienz hat sich von einem erstrebenswerten Konzept zu einer messbaren Anforderung entwickelt, doch die Lücke zwischen Gefahrenbewusstsein und Schutzniveau bleibt erheblich: Laut Bitkom-Studie hält sich kein deutsches Unternehmen für sehr gut auf Cyber-Angriffe vorbereitet. Und auch 95 Prozent der befragten deutschen Finanzdienstleister sehen noch Verbesserungsbedarf bei der Umsetzung von DORA, dem Digital Operational Resilience Act. DORA ist eine EU-Verordnung, die die Fähigkeit von Finanzunternehmen stärken soll, IKT-bedingte Störungen zu verkraften, darauf zu reagieren und sich davon zu erholen. Dazu zählen auch Cyberangriffe, Systemausfälle und Ausfälle bei Drittanbietern. Die Aufsichtsbehörden in diesem stark regulierten Sektor ergreifen bereits Maßnahmen, um die Lücke zwischen dem, was erwartet wird, und dem, was sich tatsächlich umsetzen lässt, zu schließen. Doch im Rahmen von Regulierungen wie DORA reicht es nicht mehr aus, Wiederherstellungspläne auf dem Papier zu haben.

Wiederherstellung unter verschärfter Beobachtung

Organisationen müssen mit belastbaren Nachweisen zeigen, dass diese Pläne im Ernstfall funktionieren. DORA schreibt regelmäßige Tests der Reaktions- und Wiederherstellungspläne vor, einschließlich realistischer Simulationen von Cyberangriffen. Recovery Point Objectives (RPO) und Recovery Time Objectives (RTO) müssen unter realen Bedingungen validiert werden.

Allerdings bleibt die Definition von „realen Bedingungen“ recht vage. Im schlimmsten Fall könnte ein Angreifer beispielsweise Zugriff auf Administratorrechte mit der höchsten Berechtigungsstufe erhalten. Die Folgen wären katastrophal. In vielen Fällen würde das, was dokumentiert ist, einer echten Krisensituation nicht standhalten, wenn sie die Geschäftskontinuität bedroht.

Backups im Visier

Bei den meisten Ransomware-Angriffen gehören Backups zu den ersten Zielen. Der Grund liegt auf der Hand: Wenn Angreifer eine Wiederherstellung verhindern, steigt die Wahrscheinlichkeit, dass das Opfer zahlt. Noch schwerer wiegt, dass selbst die Zahlung eines Lösegelds keine Wiederherstellung garantiert. Ein Ransomware-Angriff ist deshalb nicht nur ein IT-Problem. Die Produktion kann stillstehen, Umsätze können wegbrechen, Kundenservice und Lieferketten können ausfallen, und der Reputationsschaden kann sich schnell verschärfen. In einer solchen Lage entscheidet die Fähigkeit zur Wiederherstellung darüber, ob ein Vorfall begrenzt bleibt oder sich zu einer unternehmensweiten Krise ausweitet. Genau diesen Punkt unterschätzen noch immer viele Organisationen.

Fast alle Organisationen verfügen heute über irgendeine Form von Backup-System. Systeme auf Basis veralteter Technologien können jedoch ein trügerisches Sicherheitsgefühl erzeugen. Bei Audits wirken sie oft ausreichend, unter realen Bedingungen scheitern sie jedoch gerade bei schweren Angriffen häufig. Das Problem ist nicht nur technischer Natur, sondern strukturell. Zudem werden Backups in vielen Organisationen nach wie vor nicht als aktiver Bestandteil der Cyber-Resilienz betrachtet. Viele Organisationen, besonders solche mit Altsystemen oder wenig IT-Fachwissen, betrachten Backups als statische Ressource und aktualisieren sie nur in Krisen. Backups sollten stattdessen ein dynamischer und fester Bestandteil einer sicheren und widerstandsfähigen Sicherheitsstrategie sein.

Immutability ist keine Option mehr

Theoretisch lässt sich ein sogenanntes immutables (unveränderbares) Backup weder überschreiben noch manipulieren oder löschen. In der Praxis gibt es jedoch oft Ausnahmen und Schwachstellen, vor allem dann, wenn Unveränderbarkeit nur eine Zusatzfunktion ist und kein nativer Bestandteil der Backup-Architektur. Manche Systeme setzen die Unveränderbarkeit erst um, nachdem das Backup geschrieben wurde, verhindern keine Ende-zu-Ende-Verschlüsselung oder erlauben jeder Person mit erweiterten Rechten einen Werksreset. Solche Einschränkungen schaffen Zeitfenster, die Angreifer ausnutzen können. Backups mit absoluter Immutability garantieren dagegen, dass niemand, auch keine privilegierten Administratoren, die Backup-Daten nach dem Schreiben verändern oder löschen kann.

Dabei geht es nicht nur um eine technische, sondern um eine strukturelle Anforderung. Systeme, die sich bei der Steuerung der Unveränderbarkeit auf privilegierte Zugriffe stützen, schaffen einen Single Point of Failure. In einer kompromittierten Umgebung reicht das bereits aus, um eine Wiederherstellung unmöglich zu machen. Unternehmen sollten daher ihre Backup-Daten von ihren Management-Systemen trennen, damit ein kompromittiertes Backup-System nicht automatisch auch die gespeicherten Daten gefährdet. Sie sollten nach Speicherarchitekturen suchen, die Zero Access für destruktive Aktionen technisch erzwingen, statt ihn nur per Richtlinie festzulegen, und deren Wirksamkeit sich durch unabhängige Tests Dritter belegen lässt.

Wenn Komplexität zum Risikoverstärker wird

Mit steigenden regulatorischen Anforderungen wächst oft auch die operative Komplexität. Größere Organisationen können das häufig mit spezialisierten Teams und geeigneten Werkzeugen auffangen. Für viele andere steigt jedoch das Risiko von Fehlkonfigurationen, operativen Lücken und Ausfällen, sobald zusätzliche Systeme, Kontrollen und Prozesse hinzukommen.

Diese Komplexität erschwert es außerdem, Resilienz nachzuweisen. Mehr Werkzeuge bedeuten mehr Administrationsaufwand, mehr Dokumentation und mehr Ressourcen für regelmäßige, prüfbare Tests. Die richtige Backup-Architektur verringert diese Last Die Widerstandsfähigkeit eines Systems darf sich jedoch nicht auf die Backup-Infrastruktur beschränken, sondern muss das gesamte Zusammenspiel aus Werkzeugen, Technologien und Prozessen erfassen. Sie sollte einfach genug für den Betrieb, robust genug gegenüber realen Bedrohungen und leistungsfähig genug sein, um Tests zu ermöglichen, ohne den laufenden Betrieb zu beeinträchtigen.

Von der Theorie zur Praxis

Die eigentliche Herausforderung besteht längst nicht mehr nur darin, Vorschriften einzuhalten. Organisationen müssen belegen, dass ihre Wiederherstellungsprozesse eine schnelle Wiederaufnahme ermöglichen, regelmäßige und prüfbare Tests standhalten und auch unter Druck verlässlich funktionieren. Denn Resilienz zeigt sich am Ende nicht im Audit, sondern in der Fähigkeit, sich zu erholen, wenn alles ausfällt.

Heute stecken viele Organisationen in einem Paradox. Einerseits müssen sie klare Richtlinien für die Datensicherung festlegen – also, was gesichert wird, wie oft und wie dabei vorgegangen wird. Andererseits werden diese Prozesse ohne die richtige Lösung schnell komplex, nehmen viel Zeit in Anspruch und scheitern oft genau dann, wenn sie am dringendsten benötigt werden. Je stärker sie versuchen, regulatorische Anforderungen zu erfüllen, desto komplexer werden sie und desto schlechter sind sie oft auf eine wirksame Reaktion vorbereitet. Die Lücke zwischen dem, was Organisationen in ihrer Compliance-Dokumentation zusagen, und dem, was Teams und Systeme unter Druck tatsächlich leisten können, zu verkleinern, ist ohne Zweifel die größte Resilienz-Herausforderung im DORA-Zeitalter.