← Alle Funktionen

Ransomware-Erkennung bei Backups

Von Lucas Flores, IT Systeme Flores UG. Zuletzt aktualisiert am 2026-10-29

Jedes Backup sieht, was sich auf dem gesicherten System geändert hat. Verschlüsselt Ransomware einen Dateiserver, sieht das nächste Backup Tausende Dateien auf einmal sich ändern, Dateien, die zu .locked umbenannt wurden, Lösegeldforderungen in jedem Ordner und Dateiinhalte, die plötzlich wie Zufallsbytes aussehen. Seit 0.4.0 beurteilt Restow in jeder Edition jeden neuen Sicherungsstand anhand dieser Spuren, markiert die verdächtigen, meldet einmal je Angriff, weist in jeder Wiederherstellungsansicht auf den neuesten Sicherungsstand ohne Befund hin und hält die Aufbewahrung des Objekts an, bis ein Administrator den Befund klärt, damit die sauberen alten Sicherungsstände nicht weggelöscht werden, während verschlüsselte sich anhäufen.

Es ist ein Frühwarnsystem, kein Virenscanner. Es arbeitet nur mit Daten, die das Backup ohnehin hat, liest die gesicherten Daten nie ein zweites Mal, durchsucht keine Dateien nach Schadsoftware und blockiert nie ein Backup.

Worauf es schaut

Ein Sicherungsstand ist verdächtig, wenn mindestens ein Signal auslöst. Jeder Befund trägt die Zahlen, die ihn ergeben haben, sodass Sie sehen, wie weit er daneben liegt. Jedes Objekt wird mit sich selbst verglichen: Die Vergleichsbasis sind seine letzten 14 Sicherungsstände, die als unauffällig zählen, und bei weniger als 5 solchen Sicherungsständen sagt das Signal „Lernt noch“. Die Standardwerte unten lassen sich unter Installation, Ransomware-Erkennung ändern.

Seit 0.4.6 beginnt die Vergleichsbasis eines Containers mit seiner neuesten Sicherungskette. Die erste Sicherung der neuen Kette eines Containers (sein Repository fehlte oder wurde zurückgesetzt) wurde bisher an der alten Kette gemessen und als verdächtig markiert, weil in einem leeren Repository jede Datei neu ist. Ein Sicherungsstand, der vor dem Update so markiert wurde, bleibt markiert: Markieren Sie ihn als Fehlalarm.

Ein Objekt, dessen neue Daten sich immer schlecht komprimieren lassen, etwa Mediendateien, alarmiert nie beim Komprimierungssignal; seine Menge der Änderungen wird weiter beurteilt.

Welche Signale es für welches Objekt gibt

Ein Signal ohne Daten sagt „Nicht verfügbar“, nie „Kein Befund“: ein älterer Agent, der keinen Aktivitätsbericht schickt, ein erstes Backup oder eine Art, für die es solche Daten nicht gibt. Der Dialog hinter einem Sicherungsstand listet jedes Signal mit seinem Zustand: Befund, Kein Befund, Lernt noch, Nicht verfügbar oder Ausgeschaltet.

Was Sie sehen

Ein rotes Kennzeichen „Verdächtig“ am Sicherungsstand und am Objekt in jeder Wiederherstellungsansicht: auf der Rechnerseite, der Freigabenseite, der Gastseite, im Explorer eines Postfachs oder OneDrives. Ein Sicherungsstand ohne Befund bekommt kein Kennzeichen, denn kein Befund ist kein Beweis. Ist der neueste Sicherungsstand verdächtig, sagen die Wiederherstellungsansichten, seit wann Sicherungsstände Anzeichen von Ransomware zeigen, und bieten den neuesten Sicherungsstand ohne Befund an („Letzten unauffälligen Sicherungsstand wählen“). Ein Klick auf das Kennzeichen zeigt jeden Befund mit seinen Zahlen, den Zustand jedes Signals und was die Erkennung nicht sehen kann.

Fehlalarme

Eine geplante Migration bewegt viele Dateien. Techniker und Administratoren können einen Befund mit einer Notiz als Fehlalarm markieren („Als Fehlalarm markieren“) und das zurücknehmen. Der Sicherungsstand gilt dann als unauffällig, seine Zahlen gehen in die Vergleichsbasis ein, sodass dieselbe Menge an Änderungen nicht erneut alarmiert, und die Episode endet. Beide Aktionen stehen im Audit-Log.

Die Anhaltung der Aufbewahrung

Der eigentliche Schaden ist nicht der verschlüsselte Sicherungsstand. Es ist die Aufbewahrung, die die sauberen alten Sicherungsstände entfernt, während sich verschlüsselte ansammeln: Nach einer Woche täglicher verschlüsselter Backups und sieben aufbewahrten täglichen Sicherungsständen ist nichts Sauberes mehr übrig. Solange ein Objekt also einen verdächtigen Sicherungsstand hat, den niemand geklärt hat, löschen Aufbewahrung, restic forget und Prune keinen Sicherungsstand dieses Objekts. Das Objekt zeigt „Aufbewahrung angehalten“. Die Backups laufen weiter, der Speicherbedarf wächst also; Budgets und ihre Warnungen gelten weiterhin.

Nur ein Administrator beendet eine Anhaltung, nie ein späterer sauberer Sicherungsstand. Es gibt zwei Wege: „Als Fehlalarm markieren“ oder „Aufbewahrung freigeben“, wonach die Aufbewahrung mit ihrem nächsten Lauf weiterläuft und löscht, was die Regeln nicht mehr behalten, auch verdächtige Sicherungsstände. Das Freigeben braucht eine jüngere Anmeldung und wird im Audit-Log festgehalten. Eine Anhaltung, die nach 14 Tagen noch offen ist, wird erneut gemeldet, danach alle 14 Tage. Der Inhaber kann die Anhaltung unter Installation, Ransomware-Erkennung ausschalten.

Benachrichtigungen

backup.suspicious ist ein Fehler, einmal je Angriffsepisode ausgelöst, und sagt, dass die Aufbewahrung angehalten ist. backup.suspicious_hold ist eine Warnung für eine Anhaltung, die noch offen ist. Beide erreichen die Benachrichtigungsglocke, die Alarmregeln und die Webhooks über die Benachrichtigungsmatrix unter Integrationen, Benachrichtigungen. Die Alarm-Mail listet jeden Befund mit seinen Zahlen auf.

Benannte Grenzen, nicht versteckte

• Es ist ein Frühwarnsystem, kein Virenscanner. Ein Sicherungsstand ohne Befund beweist nicht, dass keine Datei verschlüsselt wurde, und ein Befund ist auch kein Beweis.
• Ransomware, die täglich nur wenige Dateien oder nur Teile großer Dateien verschlüsselt, bleibt innerhalb der Vergleichsbasis, und abschnittsweise Verschlüsselung, die die ersten und letzten 64 KiB einer Datei unversehrt lässt, ist für die Stichprobendateien unsichtbar. Unterhalb von 256 MiB neuer Daten werden Komprimierung und Deduplizierung nicht beurteilt.
• Daten, die das Backup nicht sieht, werden nicht beurteilt: ausgeschlossene Ordner, Dateien über einer Größengrenze, nach dem Backup geänderte Daten. Bei Proxmox-VE-VMs gibt es nur die Menge geänderter Blöcke, bei Postfächern nur die Menge neuer Elemente.
• Ein Angreifer, der die Erkennung kennt, kann unter den Schwellenwerten bleiben, in komprimierte Formate verschlüsseln (die Stichprobendateien beurteilen sie nie) oder zuerst den Backup-Verlauf verschlüsseln. Unveränderbarer Speicher schützt den Verlauf; die Anhaltung hindert nur Restows eigene Aufbewahrung am Löschen, und ein Administratorkonto in der Hand des Angreifers kann sie freigeben (mit jüngerer Anmeldung, im Audit-Log). Schadsoftware, die nicht verschlüsselt, etwa beim Datendiebstahl, hinterlässt keine Spur in diesen Signalen.
• Das erste Backup eines Objekts und Objekte mit kurzer Vorgeschichte haben nichts, womit sie sich vergleichen lassen: Die Menge der Änderungen wird noch gelernt.
• Der Aktivitätsbericht (Löschungen, Umbenennungen, Namen, Stichprobendateien) braucht den Endpoint-Agent 0.4.0 auf Rechnern; das Komprimierungssignal braucht Agent 0.4.0 auf Rechnern und restow-pve 0.4.0 für Container. Ältere Agenten zeigen „Nicht verfügbar“.
• Es wurde nach dem veröffentlichten Verhalten von Ransomware-Familien gebaut und mit simulierten Angriffen getestet (Zufallsbytes, umbenannte Endungen, Lösegeldforderungen in jedem Ordner), nicht mit echter Ransomware. Läufe, die älter als 72 Stunden sind, werden nachträglich nicht beurteilt, damit ein Ausfall die Alarme nicht überflutet.
• Eine Anhaltung behält Daten, die sonst ablaufen würden. Müssen Sie aus einem rechtlichen Grund etwas löschen, klären Sie zuerst den Befund, und beachten Sie, dass gesperrte Daten auf einem unveränderbaren Repository vor dem Ende ihrer Sperre nicht gelöscht werden können (siehe unveränderbare Backups).

Die Signale, Standardwerte, Episoden und das Agent-Protokoll sind in docs/RANSOMWARE.md im Produkt-Repository beschrieben (englisch).

Häufig gefragt

Unveränderbare Backups: was sich sperren lässt und was nicht →

Nachweisen, dass Backups wirklich wiederherstellbar sind →

Mehr in Wissen: unveränderliche Backups, WORM, Air Gap und Ransomware →