Blog

Du betrachtest gerade Air Gap Sicherung: Schutz vor Ransomware fuer KMU

Air Gap Sicherung: Schutz vor Ransomware fuer KMU

Ransomware trifft mittelständische Unternehmen längst nicht mehr nur vereinzelt. Wer glaubt, ein regelmäßiges Backup reiche als Schutz aus, unterschätzt, wie moderne Angriffe tatsächlich ablaufen. Genau hier kommt die Air Gap Sicherung ins Spiel: eine Methode, die Ihre Backups physisch oder logisch vom Rest des Netzwerks trennt, sodass Schadsoftware sie schlicht nicht erreichen kann.

Dieser Artikel erklärt, was eine Air Gap Sicherung ist, warum sie für KMU mit 30 bis 150 Arbeitsplätzen heute keine optionale Zusatzmaßnahme mehr ist, und wie eine sinnvolle Umsetzung aussieht.

Was ist eine Air Gap Sicherung?

Der Begriff „Air Gap" beschreibt eine vollständige Trennung zwischen zwei Systemen. Bei einer Air Gap Sicherung bedeutet das konkret: Das Backup-Medium oder der Backup-Speicher ist zum Zeitpunkt eines Angriffs nicht mit dem Produktionsnetzwerk verbunden.

Ransomware sucht beim Eindringen in ein Netzwerk systematisch nach erreichbaren Speicherorten – verbundene NAS-Systeme, Cloud-Sync-Ordner, Netzlaufwerke. Findet die Schadsoftware diese, verschlüsselt sie auch Ihre Sicherungskopien. Das Ergebnis: kein funktionsfähiges Backup, kein Wiederanlauf ohne Lösegeld.

Eine Air Gap Sicherung durchbricht genau diesen Mechanismus. Das Backup existiert, ist aber zum Angriffszeitpunkt nicht angreifbar.

Physische vs. logische Air Gaps: Der Unterschied

Nicht jede Air Gap ist gleich. Es gibt zwei grundlegende Ansätze, die sich in Aufwand und Schutzwirkung deutlich unterscheiden.

Physische Air Gap

Das Backup-Medium wird nach der Sicherung vollständig vom Netzwerk getrennt. Klassische Beispiele sind Bandlaufwerke (LTO-Tapes) oder externe Festplatten, die nach dem Backup physisch ausgesteckt und an einem anderen Ort gelagert werden. Kein Netzwerkkabel, keine WLAN-Verbindung, keine Angriffsfläche.

Der Vorteil ist maximale Sicherheit. Der Nachteil: Der Prozess erfordert manuelle Eingriffe und eine konsequent eingehaltene Routine. Wird das Medium nicht zuverlässig ausgesteckt, ist die Schutzwirkung hinfällig.

Logische Air Gap

Hier bleibt das Backup-System technisch verbunden, ist aber durch strikte Zugriffskontrollen, separate Anmeldedaten und Netzwerksegmentierung vom Rest der Infrastruktur isoliert. Moderne Backup-Lösungen bieten sogenannte Immutable Backups – unveränderliche Sicherungskopien, die für einen definierten Zeitraum weder überschrieben noch gelöscht werden können, auch nicht durch einen Administrator.

Für KMU ist der logische Ansatz oft praktikabler, weil er sich weitgehend automatisieren lässt. Er setzt allerdings voraus, dass die Konfiguration korrekt umgesetzt und dauerhaft gepflegt wird.

Warum klassische Backups allein nicht mehr ausreichen

Viele Unternehmen sichern täglich auf ein NAS oder über eine Cloud-Synchronisation. Das klingt solide, hat aber eine kritische Schwachstelle: Ist das Backup-Ziel dauerhaft im Netzwerk eingebunden, kann Ransomware es genauso verschlüsseln wie die Originaldaten.

Dazu kommt die Frage der Wiederherstellungszeit. Selbst wenn ein Backup technisch vorhanden ist, entscheidet die Qualität der Backup-Strategie darüber, ob das Unternehmen in Stunden oder in Tagen wieder läuft. Ohne einen getesteten Wiederherstellungsplan bleibt das Backup ein theoretisches Sicherheitsnetz – und nichts weiter.

Die 3-2-1-1-Regel als Grundlage

Eine bewährte Orientierung für KMU ist die erweiterte 3-2-1-1-Regel:

  • 3 Kopien der Daten insgesamt
  • 2 verschiedene Speichermedien oder -technologien
  • 1 Kopie an einem externen Standort (Offsite)
  • 1 Kopie offline oder mit Air Gap gesichert

Die letzte Eins ist entscheidend. Sie stellt sicher, dass selbst ein vollständig kompromittiertes Netzwerk eine saubere, unerreichbare Datenkopie hinterlässt, von der aus der Wiederanlauf möglich ist.

Air Gap Sicherung und NIS2: Was Geschäftsführer wissen müssen

Mit dem NIS2UmsG, das im Dezember 2025 in Kraft getreten ist, gilt für viele mittelständische Unternehmen eine verschärfte Dokumentationspflicht für IT-Sicherheitsmaßnahmen. Die BSI-Registrierungsfrist ist bereits abgelaufen. Geschäftsführer haften persönlich, wenn nachweisbare Schutzmaßnahmen fehlen.

Eine Air Gap Sicherung ist keine explizite Pflicht nach NIS2, aber sie ist ein konkreter, dokumentierbarer Baustein einer belastbaren Business-Continuity-Strategie. Wer im Ernstfall nachweisen muss, dass angemessene Vorkehrungen getroffen wurden, steht mit einer funktionierenden Air Gap Sicherung deutlich besser da als ohne.

Typische Fehler bei der Umsetzung

Backup vorhanden, aber nie getestet

Ein Backup, das nie wiederhergestellt wurde, ist eine Annahme – keine Sicherheit. Regelmäßige Restore-Tests sind keine Kür, sondern Pflicht.

Air Gap wird nicht konsequent eingehalten

Wenn das externe Medium „zur Vereinfachung" dauerhaft angeschlossen bleibt, existiert kein Air Gap mehr. Die Routine muss technisch oder organisatorisch abgesichert sein, nicht dem Tagesgeschäft überlassen werden.

Nur lokale Sicherung, kein Offsite-Anteil

Ein Brand, ein Wasserschaden oder ein Einbruch kann lokale Backups genauso vernichten wie Ransomware. Mindestens eine Kopie gehört an einen anderen physischen Ort.

Backup-Software mit denselben Zugangsdaten wie das Produktivsystem

Erlangt ein Angreifer Admin-Rechte im Netzwerk, kann er Backup-Systeme mit denselben Credentials genauso erreichen wie alles andere. Separate Anmeldedaten für Backup-Umgebungen sind kein Luxus – sie sind Grundvoraussetzung.

Wie ein Managed Service Provider die Air Gap Sicherung umsetzt

Für ein Unternehmen ohne eigene IT-Abteilung ist die korrekte Konfiguration und dauerhafte Pflege einer Air Gap Sicherung kaum eigenständig zu leisten. Ein erfahrener Managed Service Provider übernimmt nicht nur die technische Einrichtung, sondern auch die regelmäßigen Restore-Tests, die Dokumentation für Compliance-Zwecke und die Anpassung der Strategie, wenn sich die Infrastruktur verändert.

BREiHOF iT betreut seit 1998 Unternehmen mit 20 bis 150 Arbeitsplätzen in Heidelberg und der Rhein-Neckar-Region. Zum Leistungsumfang gehört ein vollständig verwaltetes Backup- und Disaster-Recovery-Konzept inklusive Business-Continuity-Planung. Jeder Kunde hat einen festen, namentlich bekannten Ansprechpartner, der bei Bedarf typischerweise innerhalb von 2 Stunden vor Ort ist.

Das ist kein Callcenter-Modell. Es ist der Unterschied zwischen einem Ticket, das irgendwo in einer Warteschlange liegt, und einem Techniker, der Ihr Unternehmen kennt und handelt.

Checkliste: Air Gap Sicherung für KMU

Nutzen Sie diese Punkte als Orientierung, um Ihre aktuelle Backup-Strategie zu bewerten:

  • Mindestens eine Backup-Kopie ist zum Angriffszeitpunkt nicht mit dem Netzwerk verbunden
  • Backup-Ziele verwenden separate Zugangsdaten, die nicht im Active Directory hinterlegt sind
  • Mindestens eine Kopie befindet sich an einem externen Standort
  • Immutable Backups oder Write-Once-Medien sind im Einsatz
  • Restore-Tests finden mindestens einmal pro Quartal statt und werden dokumentiert
  • Die Backup-Strategie ist schriftlich festgehalten und entspricht der 3-2-1-1-Regel
  • Wiederherstellungszeit (RTO) und maximal akzeptabler Datenverlust (RPO) sind definiert

Fazit

Eine Air Gap Sicherung ist kein Hochsicherheitsprojekt für Konzerne. Sie ist eine strukturierte Antwort auf eine reale Bedrohung, die KMU im Mittelstand täglich trifft. Die Grundprinzipien sind überschaubar: Trennung, Unveränderlichkeit, Test. Die Umsetzung erfordert Konsequenz – und ohne eigene IT-Abteilung einen Partner, der die Verantwortung dauerhaft übernimmt.

Häufig gestellte Fragen zur Air Gap Sicherung

Was bedeutet Air Gap Sicherung genau?
Eine Air Gap Sicherung ist eine Datensicherung, bei der das Backup-Medium oder der Backup-Speicher zum Zeitpunkt eines Angriffs physisch oder logisch vom Netzwerk getrennt ist. Ransomware kann dieses Backup nicht erreichen und damit auch nicht verschlüsseln.

Ist eine Air Gap Sicherung für kleine Unternehmen sinnvoll?
Ja, besonders für Unternehmen ohne eigene IT-Abteilung. Gerade weil dort keine kontinuierliche Überwachung stattfindet, ist eine Backup-Kopie, die ein Angreifer schlicht nicht erreichen kann, eine der wirksamsten Schutzmaßnahmen überhaupt.

Was ist der Unterschied zwischen physischer und logischer Air Gap?
Bei einer physischen Air Gap wird das Speichermedium nach der Sicherung vollständig vom Netzwerk getrennt – zum Beispiel ein ausgestecktes Bandlaufwerk. Bei einer logischen Air Gap bleibt das System verbunden, ist aber durch strikte Zugriffskontrollen und unveränderliche Backup-Formate (Immutable Backups) gegen Manipulation geschützt.

Reicht ein Cloud-Backup als Air Gap Sicherung?
Nicht automatisch. Ein Cloud-Backup, das dauerhaft mit dem Produktivsystem synchronisiert wird, kann von Ransomware genauso verschlüsselt werden wie lokale Daten. Cloud-Backup gilt nur dann als Air Gap, wenn der Speicher unveränderlich konfiguriert ist und keine direkte Netzwerkverbindung vom infizierten System aus besteht.

Was schreibt NIS2 zur Datensicherung vor?
NIS2 schreibt keine spezifische Backup-Technologie vor, verlangt aber nachweisbare und angemessene technische Maßnahmen zur Aufrechterhaltung des Betriebs. Eine dokumentierte Air Gap Sicherung ist ein konkreter Beleg für diese Anforderung. Geschäftsführer haften seit dem NIS2UmsG vom Dezember 2025 persönlich für fehlende Schutzmaßnahmen.

Wie oft sollte ein Restore-Test durchgeführt werden?
Mindestens einmal pro Quartal. Viele Unternehmen sichern zuverlässig, testen aber nie, ob die Wiederherstellung tatsächlich funktioniert. Ein Backup, das im Ernstfall nicht wiederhergestellt werden kann, bietet keinen echten Schutz.

Kann ein Managed Service Provider die Air Gap Sicherung vollständig übernehmen?
Ja. Ein Managed Service Provider richtet die Backup-Strategie ein, führt regelmäßige Restore-Tests durch, dokumentiert die Maßnahmen für Compliance-Zwecke und passt das Konzept bei Änderungen der Infrastruktur an. Für Unternehmen ohne eigene IT-Abteilung ist das die praktischste und zuverlässigste Lösung.