Widerstandsfähigkeit für SaaS-Umgebungen: Backup als strategischer Resilienzfaktor

SaaS-Plattformen zu immer attraktiveren Zielen für Cyberkriminelle, da sie in fast allen Unternehmen im Einsatz sind und oft als vermeintlich sicher eingestuft werden. Populäre Plattformen wie Microsoft 365, Google Workspace oder Salesforce sind dabei besonders im Fokus der Angreifer. Eine durchdachte Backup-Strategie wird damit zur geschäftlichen Existenzfrage. [...]

Die Zahl der globalen Ransomware-Opfer ist um 70 Prozent gestiegen und 80 Prozent der Unternehmen waren in den letzten zwölf Monaten von mindestens einem Ransomware-Angriff betroffen. Social Engineering/BEC-Angriffe stiegen von 20 Prozent auf 25,6 Prozent im Vergleichszeitraum Januar-Mai 2025 zu 2024. Gleichzeitig werden SaaS-Plattformen zu immer attraktiveren Zielen für Cyberkriminelle, da sie in fast allen Unternehmen im Einsatz sind und oft als vermeintlich „sicher“ eingestuft werden. Populäre Plattformen wie Microsoft 365, Google Workspace oder Salesforce sind dabei besonders im Fokus der Angreifer.

Eine durchdachte Backup-Strategie wird damit zur geschäftlichen Existenzfrage. Die 3-2-1-Regel gilt seit Jahren als ungeschriebenes Gesetz für Datensicherung. In ihrer erweiterten Form – der 3-2-1-1-0-Regel – bildet sie heute die Grundlage für echte Cyber-Resilienz. Insbesondere in SaaS-Umgebungen wird diese Regel jedoch oft unterschätzt.

Die 3-2-1-1-0-Regel im Detail

Die 3-2-1-1-0-Regel ist fundamental, wenn es um Datenschutz geht und erweitert die klassische 3-2-1-Regel um zwei kritische Komponenten:

• Drei Kopien der Daten – das Original plus zwei Backups
• Zwei verschiedene Medientypen – die Backups beispielsweise auf lokalen Festplatten und in der Cloud
• Eine Kopie extern/offsite – geografisch getrennt vom Hauptstandort
• Eine Kopie unveränderlich (immutable) – technisch vor Manipulation geschützt
• Null Fehler im Restore-Test – regelmäßige Wiederherstellungstests ohne Probleme

Gerade die letzten beiden Punkte machen den entscheidenden Unterschied, wenn es um den Schutz vor Ransomware geht. In 93 Prozent der Angriffe versuchen die Angreifer, die Backups ihrer Opfer zu kompromittieren, was die Bedeutung unveränderlicher Kopien unterstreicht.

Warum SaaS-eigene Backup-Mechanismen allein nicht ausreichen

Moderne SaaS-Plattformen bieten meist nützliche Sicherheits- und Wiederherstellungsfunktionen: Papierkorb, Versionierung, Retention Policies und sogar eigene Backup-Lösungen. Microsoft 365 ist hier ein typisches Beispiel – doch auch in diesem System wurde Malware in 1,47 Prozent der E-Mail-Backups entdeckt, was zeigt, dass selbst die integrierten Schutzmechanismen nicht vollständig sicher sind. Das Grundproblem ist, dass alle diese Mechanismen letztlich im gleichen Plattform-Ökosystem verankert bleiben.

Das bedeutet, es gibt keine echte Unabhängigkeit. Ein Angreifer, der Zugänge kompromittiert, erreicht alle Datenquellen und Sicherungsarten gleichzeitig. Aktuelle Schwachstellen in SaaS-Plattformen verdeutlichen diese Gefahr: Erst kürzlich wurden Zero-Day-Exploits in verschiedenen Cloud-Plattformen entdeckt, die aktiv gegen Kunden ausgenutzt wurden – ein Beispiel sind die SharePoint-Schwachstellen (CVE-2025-53770), die Microsoft im Juli 2025 patchen musste.

Die Unveränderbarkeit ist zudem begrenzt. Immutable-Backups lassen sich nur außerhalb der SaaS-Plattform technisch zuverlässig garantieren. Über 90 Prozent der Ransomware-Opfer berichten, dass Angreifer ihre Backups ins Visier genommen haben. Hinzukommt, dass die eigenen Wiederherstellungsoptionen von SaaS-Anbietern oft auf Einzelobjekte beschränkt sind. Komplexe Szenarien – etwa ein kompromittierter Tenant oder eine vollständige Plattform-Wiederherstellung – lassen sich damit nur unzureichend proben. Das Risiko besteht in einem Single Point of Failure, den Cyberkriminelle gezielt ausnutzen.

Von 3-2-1-1-0 zu erweiterten Strategien

Spezialisierte Backup-Lösungen gehen bewusst über die Basis-Regel hinaus. Durch physisch getrennte Speicherorte, Hardware-basierte Unveränderbarkeit und automatisierte Restore-Tests entsteht ein Setup, das im Ernstfall wirklich trägt. Fortschrittliche Ansätze erweitern die Regel sogar weiter – beispielsweise zu 4-2-1-4-0, wo zusätzliche Redundanz und Sicherheitsschichten implementiert werden:

• Vier Kopien der Daten für erhöhte Redundanz
• Zwei verschiedene Medientypen (unverändert)
• Eine Kopie extern/offsite (unverändert)
• Vier verschiedene geografische Standorte
• Null Fehler im Restore-Test (unverändert)

Best Practices für SaaS-Backup-Strategien

Eine bewährte Faustregel ist die 3-2-1-Backup-Regel: drei Kopien der Daten vorhalten, gespeichert auf zwei verschiedenen Medientypen und eine Kopie extern gespeichert. Zusätzlich sollten Unternehmen eine Automatisierung implementieren, denn manuelle Backups sind fehleranfällig und werden oft vergessen, und regelmäßige Restore-Tests, mindestens quartalsweise vollständige Wiederherstellungstests durchführen. Immutable Storage ist zusätzlich die technische Garantie gegen Manipulation der Backup-Daten. Air-Gapped Backups ermöglichen zudem die physische Trennung vom Produktionsnetzwerk, während Monitoring und Alerting die sofortige Benachrichtigung bei Backup-Fehlern einleitet.

Unternehmen sollten sich ehrlich fragen, wie lange ihr Geschäftsbetrieb weiterlaufen könnte, wenn ihre kritischen SaaS-Plattformen durch Ransomware komplett blockiert wären. Die Antwort darauf entscheidet über die Wettbewerbsfähigkeit im Krisenfall, die Überlebensfähigkeit des Unternehmens, das Vertrauen von Kunden und Partnern sowie die Einhaltung rechtlicher Verpflichtungen.

Fazit: Backup als strategischer Resilienzfaktor

In einer Zeit zunehmender Cyberbedrohungen reicht es nicht mehr aus, Backup als „Haken auf der To-do-Liste“ zu betrachten. Die 3-2-1-1-0-Regel und ihre Weiterentwicklungen bilden das Fundament einer robusten Cyberresilienz-Strategie.

Unternehmen, die heute in professionelle, plattformunabhängige Backup-Lösungen investieren, schaffen nicht nur Schutz vor Datenverlust, sondern sichern ihre Geschäftskontinuität und damit ihre Zukunft. Die Frage ist nicht, ob ein Cyberangriff kommt, sondern wann – und ob das Unternehmen dann bereit ist.

Unternehmen sollten ihre aktuelle Backup-Strategie anhand der 3-2-1-1-0-Regel evaluieren und Schwachstellen identifizieren, insbesondere im Hinblick auf Unveränderbarkeit und Restore-Tests. Sinnvoll ist es, in spezialisierte Lösungen zu investieren, die echte Unabhängigkeit von ihrer Produktionsumgebung bieten. Die Kosten für eine professionelle Backup-Strategie sind minimal im Vergleich zu den potenziellen Schäden eines erfolgreichen Ransomware-Angriffs. Jetzt gilt es, das Backup zum strategischen Vorteil zu machen, damit es nicht zur Achillesferse wird.

* Roland Stritt ist CRO beim deutschen Hard- und Softwarehersteller FAST LTA.