Ransomware und Backups: warum unveränderliche Kopien 2026 Standard sind

Kurzantwort: Moderne Ransomware sucht gezielt nach erreichbaren Backups – angeschlossene USB-Platten, Netzlaufwerke und synchronisierte Cloud-Ordner werden mitverschlüsselt. Deshalb gilt 2026 die 3-2-1-1-Regel: Eine Backup-Kopie muss offline oder unveränderlich (immutable) sein, also für Angreifer weder erreichbar noch veränderbar. Versionierung über mehrere Wochen und getestete Wiederherstellung gehören dazu.

<div class="key-takeaways">

Das Wichtigste in Kürze

• Ransomware sucht aktiv nach Backups und verschlüsselt sie mit – ein erreichbares Backup ist 2026 kein Schutz.
• Immutable (unveränderliche) Kopien können für einen definierten Zeitraum weder gelöscht noch überschrieben werden – auch nicht vom Kontoinhaber.
• Offline-Kopien (getrennte Festplatte) sind die einfachste und günstigste Form des Ransomware-Schutzes.
• Versionierung über mehrere Wochen ist Pflicht: Angreifer verweilen oft unentdeckt, bevor sie zuschlagen.
• Sachlich, ohne Panik: Mit 3-2-1-1 sind Privathaushalte gegen die realistischen Szenarien gut aufgestellt. Stand: September 2026.

</div>

Was Ransomware mit Backups macht

Ransomware – Schadsoftware, die Daten verschlüsselt und Lösegeld fordert – ist längst kein reines Unternehmensthema mehr. Auch Privathaushalte sind betroffen, meist über infizierte E-Mail-Anhänge, kompromittierte Downloads oder Sicherheitslücken in veralteter Software.

Entscheidend für diesen Artikel ist ein Verhaltenswandel der Angreifer: Frühe Ransomware verschlüsselte, was sie auf der Festplatte fand. Moderne Varianten gehen gezielt auf Backups los, bevor sie die sichtbaren Dateien angreifen. Die Logik ist zynisch, aber rational: Wer kein funktionierendes Backup hat, zahlt eher. Deshalb durchsucht die Schadsoftware systematisch:

• Angeschlossene USB-Festplatten – das klassische „Backup", das nie abgesteckt wurde
• Eingebundene Netzlaufwerke – NAS-Freigaben, die dauerhaft verbunden sind
• Synchronisierte Cloud-Ordner – Dropbox, Google Drive oder OneDrive auf dem Rechner spiegeln die Verschlüsselung brav in die Cloud
• Backup-Software mit Standard-Zugangsdaten – schlecht geschützte Backup-Ziele werden zuerst gelöscht

Das ist keine Panikmache, sondern dokumentierte Vorgehensweise – und der Grund, warum die Backup-Strategie von 2015 heute nicht mehr ausreicht. Wer verstehen will, worauf die klassische Strategie aufbaut, liest zuerst Die 3-2-1-Regel für Einsteiger.

Warum „Backup vorhanden" nicht mehr reicht

Der Satz „Ich habe ein Backup" beantwortet 2026 drei Fragen nicht – und alle drei sind entscheidend:

1. Ist das Backup erreichbar? Ein Backup auf der dauerhaft angesteckten USB-Platte ist für Ransomware ein offenes Buch. Die Schadsoftware läuft mit Ihren Benutzerrechten – alles, was Sie beschreiben können, kann sie verschlüsseln. „Erreichbar" heißt hier: vom infizierten System aus zugreifbar, ohne zusätzliche Hürde.

2. Ist das Backup versioniert? Viele Cloud-Synchronisationen übertragen die verschlüsselten Dateien einfach in die Cloud – und überschreiben dabei die sauberen Versionen. Ohne ausreichende Versionshistorie (mehrere Wochen zurück) gibt es keinen sauberen Stand mehr, zu dem Sie zurückkehren können. Besonders tückisch: Angreifer verweilen oft Wochen unentdeckt im System, bevor sie die Verschlüsselung aktivieren – ein 30-Tage-Verlauf reicht dann unter Umständen nicht.

3. Ist das Backup wiederherstellbar? Verschlüsselte Backup-Archive mit vergessenem Passwort, beschädigte Sicherungsdateien, Backup-Software, deren Lizenz abgelaufen ist – die Liste der Gründe, warum vorhandene Backups im Ernstfall versagen, ist lang. Ein Backup, das nie testweise wiederhergestellt wurde, ist eine Hoffnung, keine Strategie.

Die Antwort auf alle drei Fragen liefert die erweiterte 3-2-1-1-Regel: drei Kopien, zwei Medien, eine extern – plus eine Kopie, die offline oder unveränderlich ist. Diese zusätzliche Kopie ist die Antwort auf die Ransomware-Bedrohung.

Unveränderlich erklärt: Immutable Backups

„Immutable" bedeutet unveränderlich – und ist einfacher, als es klingt. Bei einem immutable Backup wird technisch erzwungen, dass gespeicherte Daten für einen festgelegten Zeitraum weder gelöscht noch überschrieben werden können. Nicht von Ransomware, nicht von einem versehentlichen Klick, nicht einmal vom Kontoinhaber selbst.

Technisch funktioniert das meist über eine Objekt-Sperre (Object Lock): Beim Schreiben wird jede Backup-Version mit einer Aufbewahrungsfrist versehen – etwa 30, 90 oder 365 Tage. Versucht Ransomware, die Dateien zu überschreiben oder zu löschen, lehnt der Speicher das ab. Die Schadsoftware kann höchstens neue, verschlüsselte Versionen hinzufügen – die sauberen alten Versionen bleiben unangetastet erhalten.

Wo gibt es das für Privatanwender?

• Cloud-Speicher mit Versionierung: Viele Anbieter bewahren alte Dateiversionen automatisch auf – prüfen Sie, wie lange. 30 Tage sind das Minimum, mehr ist besser. Bei pCloud etwa ist die erweiterte Dateiversionierung ein Zusatzfeature – im Gratis- und Standardtarif ist sie begrenzt.
• Spezialisierte Backup-Dienste: Anbieter wie Backblaze oder Acronis bieten in ihren Backup-Tarifen erweiterte Versionierung und Ransomware-Erkennung als Produktmerkmale an. Details zu Acronis finden Sie in unserem Überblick Acronis Cyber Protect Home Office.
• NAS mit Snapshots: Viele NAS-Systeme unterstützen Snapshots – eingefrorene, schreibgeschützte Zustände des Dateisystems, zu denen Sie zurückkehren können. Richtig konfiguriert (Snapshots vor Ransomware-Zugriff geschützt), sind sie ein starkes Werkzeug.

Wichtiges Missverständnis: Immutable schützt vor Veränderung, nicht vor Verlust. Brennt das Rechenzentrum ab (extrem unwahrscheinlich, aber das Prinzip zählt), hilft Unveränderlichkeit nichts – dafür brauchen Sie die räumlich getrennte Kopie der 3-2-1-Regel. Die Strategien ergänzen sich, sie ersetzen sich nicht.

Offline-Kopien: die analoge Versicherung

Die einfachste immutable Kopie ist die, die gar nicht angeschlossen ist. Eine externe Festplatte, die nur für die wöchentliche Sicherung angesteckt und danach physisch getrennt und weggelegt wird, ist für Ransomware unerreichbar – ganz ohne teure Technik. Was nicht verbunden ist, kann nicht verschlüsselt werden.

Die Praxis – ehrlich betrachtet:

• Vorteile: Einmalige Kosten (2 TB ab ca. 70–80 Euro), keine laufenden Gebühren, keine Cloud-Abhängigkeit, maximaler Schutz vor Online-Angriffen.
• Nachteile: Erfordert Disziplin (wer sichert wirklich jede Woche?), schützt nicht vor Brand/Diebstahl am selben Ort, keine Automatisierung im eigentlichen Sinn.
• Der Mittelweg: Zwei externe Platten im Wechsel – eine angesteckt für die aktuelle Sicherung, eine außer Haus (Büro, Verwandte). So ist immer eine Kopie offline und räumlich getrennt.

Für Haushalte ist die Offline-Platte das beste Preis-Leistungs-Verhältnis im Ransomware-Schutz überhaupt. Sie ersetzt nicht die Cloud-Kopie (die schützt vor Brand und Diebstahl), aber sie ist die Kopie, auf die im Ransomware-Fall Verlass ist. Den Vergleich der beiden Welten finden Sie in Externe Festplatte vs. Cloud.

Versionierung: die Zeitmaschine im Backup

Angenommen, Ransomware hat zugeschlagen – oder Sie haben es erst Wochen später bemerkt. Dann entscheidet die Versionshistorie darüber, ob Sie einen sauberen Datenstand wiederherstellen können. Drei Regeln dazu:

1. Mindestens 30 Tage, besser 90. Da Angreifer oft wochenlang unentdeckt bleiben, bevor sie aktiv werden, ist ein kurzer Verlauf riskant. Prüfen Sie bei Ihrem Cloud-Anbieter, wie lange Versionen aufbewahrt werden – und was eine Verlängerung kostet.
2. Versionierung ist kein Ersatz für Offline. Eine lange Versionshistorie in der Cloud schützt vor Verschlüsselung, aber nicht vor Kontosperrung oder Anbieter-Ausfall. Beides kombinieren, nicht gegeneinander ausspielen.
3. Wiederherstellung üben. Der Ernstfall ist der falsche Zeitpunkt, um zu lernen, wie man Dateiversionen zurückholt. Spielen Sie es einmal durch: Eine Datei aus der Versionshistorie wiederherstellen dauert meist keine fünf Minuten – und gibt Ihnen die Gewissheit, dass es im Notfall klappt.

So bauen Sie 3-2-1-1 zuhause um

Konkret, schrittweise, ohne IT-Studium. Für einen Haushalt mit ca. 1 TB Daten:

Schritt 1 – Die Cloud-Kopie (extern, automatisiert). Wählen Sie einen Cloud-Tarif mit ausreichender Versionierung und – idealerweise – EU-Serverstandort. Kosten: ab 47,88 Euro/Jahr (500 GB) bzw. 95,88 Euro/Jahr (2 TB) bei pCloud; Alternativen in unserer Kostenaufstellung. Aktivieren Sie den automatischen Upload bzw. die Backup-Funktion.

Schritt 2 – Die lokale Kopie (zweites Medium). Externe Festplatte oder NAS, wöchentliche Sicherung per Backup-Software (unter Windows z. B. die integrierte Dateiversionsverwaltung, dazu kostenlose Tools wie Duplicati). Nach der Sicherung: abstecken.

Schritt 3 – Die Offline-Kopie (das zusätzliche „1"). Entweder: Die Festplatte aus Schritt 2 wird nach jeder Sicherung getrennt – dann erfüllt sie Schritt 2 und 3 in einer Person (plus Cloud als externe Kopie). Oder: Eine zweite, rotierende Platte außer Haus. Oder: Cloud-Speicher mit aktivierter Unveränderlichkeit/Objektsperre, wo verfügbar.

Schritt 4 – Der Test. Einmal pro Quartal: Je eine Datei aus jedem Backup wiederherstellen und öffnen. In den Kalender eintragen – sonst passiert es nicht.

Schritt 5 – Die Passwörter. Backup-Verschlüsselung nützt nichts, wenn das Passwort weg ist – und sie schadet, wenn Ransomware die Passwort-Datei mitverschlüsselt. Passwörter in einen Passwort-Manager und auf Papier an einem sicheren Ort.

Gesamtaufwand nach der Einrichtung: wenige Minuten pro Woche plus ein vierteljährlicher 15-Minuten-Test. Das ist der reale Preis für Ransomware-Resilienz im Haushalt.

Was Unternehmen zusätzlich beachten sollten

Für Selbstständige und kleine Unternehmen gelten schärfere Maßstäbe – hier geht es um Kunden- und Geschäftsdaten:

• Unveränderlichkeit vertraglich: Prüfen Sie, ob Ihr Backup-Dienst Object Lock oder vergleichbare Funktionen bietet und ob sie in Ihrem Tarif enthalten sind.
• Getrennte Zugangsdaten: Backup-Ziele sollten eigene, starke Zugangsdaten haben – nicht dieselben wie das Arbeitskonto. Idealerweise mit Zwei-Faktor-Authentifizierung.
• Netzwerk-Segmentierung: Backup-Server und NAS gehören nicht ins selbe Netzsegment wie die Arbeitsrechner – oder nur über streng begrenzte Freigaben erreichbar.
• Wiederherstellungsziele definieren: Wie lange darf der Ausfall dauern (RTO)? Wie alt darf der wiederhergestellte Datenstand sein (RPO)? Diese beiden Zahlen bestimmen, welche Backup-Strategie Sie brauchen.
• AV-Vertrag: Bei Cloud-Backups mit personenbezogenen Daten gehört ein Auftragsverarbeitungsvertrag (AV-Vertrag) mit dem Anbieter dazu – mehr dazu in Backup für kleine Unternehmen.

Das ist allgemeine Information, keine Rechtsberatung – bei Fragen zur DSGVO-Konformität Ihrer Backup-Strategie wenden Sie sich an eine fachkundige Stelle.

Häufig gestellte Fragen

Schützt ein Cloud-Backup vor Ransomware?

Nur, wenn es richtig konfiguriert ist. Ein synchronisierter Cloud-Ordner ohne ausreichende Versionierung spiegelt die Verschlüsselung einfach in die Cloud – dann ist auch die Cloud-Kopie wertlos. Schutz bieten: lange Versionshistorie, unveränderliche (immutable) Speicherung und eine Offline-Kopie, die Ransomware gar nicht erreichen kann.

Was bedeutet „immutable" bei Backups?

Immutable (unveränderlich) bedeutet: Einmal gespeicherte Backup-Daten können für einen festgelegten Zeitraum weder gelöscht noch überschrieben werden – technisch erzwungen, z. B. durch eine Objekt-Sperre. Selbst Ransomware mit Ihren Zugangsdaten kann diese Daten nicht verändern; sie kann nur neue Versionen hinzufügen, während die sauberen alten erhalten bleiben.

Reicht eine externe Festplatte als Ransomware-Schutz?

Ja – unter einer Bedingung: Sie darf nur für die Sicherung angeschlossen und muss danach getrennt werden. Eine dauerhaft angesteckte Platte ist für Ransomware genauso erreichbar wie die interne Festplatte. Die getrennte Platte ist die einfachste und günstigste Form der Offline-Kopie.

Wie lange sollte die Versionshistorie zurückreichen?

Mindestens 30 Tage, besser 90 Tage oder mehr. Hintergrund: Angreifer verweilen häufig Wochen unentdeckt im System, bevor sie die Verschlüsselung aktivieren. Ein kurzer Verlauf enthält dann nur noch verschlüsselte Stände. Prüfen Sie bei Ihrem Anbieter die Aufbewahrungsdauer – und was eine Verlängerung kostet.

Sollte ich Lösegeld zahlen, wenn mein Backup versagt hat?

Sicherheitsbehörden – darunter das BSI – raten grundsätzlich von Zahlungen ab: Es gibt keine Garantie für die Entschlüsselung, und Zahlungen finanzieren weitere Angriffe. Der bessere Weg ist die Prävention nach 3-2-1-1: Mit einer Offline- oder unveränderlichen Kopie brauchen Sie die Erpresser gar nicht.

Quellen und Methode

• SYNAXON Handout „Die 3-2-1-1-0-Regel": dokumentiert die erweiterte Backup-Regel mit Offline-/Immutable-Kopie als aktuellen Standard gegen Ransomware und Cyberangriffe. Verifiziert via Suchrecherche, September 2026. https://files.synaxon.de/dl/Handout_3-2-1-1-0-Regel.pdf
• digital-sicher.nrw (Landesinitiative): Backup-Guide – Ransomware-Schutz durch getrennte, regelmäßige Backups und die 3-2-1-Regel als Basis. Verifiziert via Suchrecherche, September 2026. https://www.digital-sicher.nrw/fileadmin/Ratgeber/Sicherheitskopien/2022-02_Backup-Guide_fuer_KMU_final.pdf
• BSI-Empfehlungen zur Datensicherung (allgemein bekannt, via Recherche verifiziert): Das BSI empfiehlt regelmäßige, getrennte Backups und rät von Lösegeldzahlungen bei Ransomware ab.

Methode: Dieser Artikel beschreibt dokumentierte Angriffsmuster und etablierte Schutzstrategien auf Basis öffentlich verfügbarer Quellen. Wir betreiben keine eigene Malware-Forschung und übertreiben Bedrohungen nicht – Ziel ist eine sachliche, umsetzbare Schutzstrategie für Privathaushalte. Allgemeine Information, keine Sicherheitsberatung. Stand: September 2026.