Der Stand der Wiederverwertbarkeit 2026

Die Notfallwiederherstellung als Disziplin basiert auf einer grundlegenden Annahme: Das System ist ausgefallen, und die Umgebung ist „ehrlich“. Eine Überschwemmung stiehlt keine Zugangsdaten. Ein Stromausfall macht sich nicht auf die Suche nach Backup-Repositorys. Die Wiederherstellungsinfrastruktur befindet sich in jedem traditionellen DR-Modell sicher außerhalb des Ereignisses.

Ransomware stellt jede dieser Annahmen auf den Kopf, und die Vorfalldaten zeigen, wie methodisch dies geschieht. Zwei Drittel aller Angriffe beginnen mit der Identitätsausnutzung, wie aus den globalen Vorfalldaten von Palo Alto Networks für das Jahr 2026 hervorgeht, und der Missbrauch von Anmeldedaten gilt laut der Langzeitanalyse des Cyentia Institute seit einem Jahrzehnt als häufigste Angriffstechnik. Diese Statistik hat Konsequenzen für die Wiederherstellung, die die meisten Kontinuitätspläne nicht berücksichtigen. Die Konten, Verzeichnisdienste und Verwaltungspfade, die ein Unternehmen wiederherstellen müsste, befinden sich auf derselben Identitäts-Ebene, die der Angreifer gerade eingenommen hat. Wiederherstellungsteams stehen regelmäßig vor der Aufgabe, eine Umgebung mit Anmeldedaten wiederherzustellen, denen sie nicht mehr vertrauen können – und das in einem Verzeichnis, das möglicherweise selbst kompromittiert ist. Die Praxisdaten von Fenix24 verdeutlichen diesen Zusammenhang. Active Directory spielt praktisch bei jeder Wiederherstellung eine Rolle, die unser Team von Experten für Sicherheitsverletzungen durchführt – in der Regel als erstes großes kompromittiertes System –, und die Backup-Infrastruktur ist meist mit demselben Verzeichnis verbunden. Wenn das Infrastrukturmanagement dem Identitätsanbieter des Unternehmens untersteht, beginnt die Wiederherstellung mit dem Wiederaufbau der Identität oder einer kompletten Neugestaltung der Authentifizierung, bevor das erste System sicher wieder in Betrieb genommen werden kann.

Die Identität ist die erste Einschränkung. Die Zeit ist die zweite. Laut den globalen Bedrohungsdaten von CrowdStrike sank die durchschnittliche Zeit vom ersten Zugriff bis zur lateralen Bewegung im Jahr 2025 auf 29 Minuten, wobei der schnellste beobachtete Fall 27 Sekunden betrug und die Daten bereits innerhalb von vier Minuten nach dem Eindringen aus einem Opfersystem abflossen. Jedes Wiederherstellungsmodell, das darauf angewiesen ist, eine Telefonkonferenz einzuberufen, ein Runbook zu finden und den Fall an das Management zu eskalieren, arbeitet nach einem Zeitplan, den der Angreifer bereits vor Jahren aufgegeben hat.

Die Backup-Infrastruktur wird frühzeitig und gezielt ins Visier genommen – und zwar eher aus wirtschaftlichen als aus technischen Gründen. Ein Unternehmen, das Daten wiederherstellen kann, hat keinen Grund zu zahlen. Erst die Zerstörung des Wiederherstellungspfads macht aus einem IT-Vorfall einen Erpressungsfall auf Vorstandsebene, weshalb das Vorhandensein von Backups und deren Überlebensfähigkeit mittlerweile unterschiedliche Eigenschaften darstellen. Ein Repository, das mit denselben Anmeldedaten, im selben Netzwerk und unter demselben Verzeichnis wie die Produktionsumgebung erreichbar ist, stellt aus Sicht des Angreifers lediglich ein weiteres Ziel mit einer wertvolleren Beute dar. Und die Überlebensfähigkeit ist nicht die letzte Hürde. In 38 % der Fenix24-Einsätze, bei denen Backups den Angriff unbeschadet oder nahezu unbeschadet überstanden hatten, konnten sie dennoch nicht zur Wiederherstellung führen. Die Daten waren zu alt, um den Betrieb darauf wieder aufzunehmen, bereits lange vor dem Angriff unvollständig oder beschädigt, für die jeweilige Arbeitslast ungeeignet oder ihre Wiederherstellung dauerte länger als ein kompletter Neuaufbau. Manche werden als „unveränderlich“ gekennzeichnet, laufen jedoch auf einer Infrastruktur, die keine Unveränderlichkeit gewährleisten kann. Vorhandensein, Überlebensfähigkeit und Nutzbarkeit sind drei unterschiedliche Eigenschaften, und nur die dritte ermöglicht die Wiederherstellung des Geschäftsbetriebs.

Der Angriff selbst verändert sich ständig. Laut der Schadensanalyse der Allianz trat Anfang 2025 bei 40 % der Schadensfälle mit hohem Schadensbetrag eine Datenexfiltration auf – fast doppelt so häufig wie im Vorjahr –, während die Verschlüsselungsraten auf ein Sechs-Jahres-Tief sanken. Bei einem wachsenden Anteil der Vorfälle wird der Bildschirm gar nicht erst gesperrt. Die Angreifer stehlen Daten, leiten Gelder um oder untergraben das Vertrauen in Identitätssysteme. Die Wiederherstellung nach dem Vorfall „Wir können unserem Verzeichnis nicht vertrauen“ ist ein anderes Vorhaben als die Wiederherstellung nach dem Vorfall „Unsere Dateien sind verschlüsselt“, und ein Programm zur operativen Resilienz muss beiden Situationen gewachsen sein.

Jede Lücke, die diese Analyse aufgezeigt hat, lässt sich auf dieselbe fehlende Fähigkeit zurückführen. Unternehmen sind nicht in der Lage, eine kontinuierlich validierte, faktengestützte Antwort darauf zu geben, was nach einem Ausfall geschieht. Welche Geschäftsdienste wieder verfügbar sind. In welcher Reihenfolge. In wie vielen Stunden. Mit welcher Zuverlässigkeit.

Zwanzig Jahre Investitionen in die Sicherheit haben präzise Instrumente zur Abwehr geschaffen. Die Branche kann Endgeräte zählen, Schwachstellen bewerten und Risiken in Echtzeit einstufen, weil sie entschieden hat, dass diese Zahlen wichtig sind, und Systeme entwickelt hat, um sie zu ermitteln. Für die Wiederherstellung hat sie nie etwas Vergleichbares geschaffen. Die Wiederherstellung wurde dem IT-Betrieb zugeordnet, durch Dokumente geregelt und anhand von Bescheinigungen gemessen – und so kam es, dass eine Branche, die ihre Angriffsfläche bis ins kleinste Detail beschreiben kann, letztlich nicht in der Lage war, anhand von Belegen anzugeben, wie viele Stunden zwischen einer zerstörten Umgebung und einem wieder funktionsfähigen Betrieb liegen.

Diese Asymmetrie gleicht sich nun aus, und alle Kräfte in diesem Bericht wirken in dieselbe Richtung. Versicherer bewerten die Wiederherstellungsfähigkeit, da Betriebsunterbrechungen den Großteil ihrer Auszahlungen ausmachen. Die Aufsichtsbehörden verankern bewährte Wiederherstellungsmaßnahmen gesetzlich und beginnen, reine Papierpläne abzulehnen. Die Vorstände haben ihren Fokus von der Frage, ob das Unternehmen sicher ist, hin zu der Frage verlagert, wie lange es ausfallen würde. Der Konsens der Analysten hat das Ziel neu definiert: Es geht nun darum, die Auswirkungen zu überstehen, anstatt sie zu vermeiden. Unabhängig voneinander sind die Institutionen, die Risiken bewerten, durchsetzen, regulieren und untersuchen, zu einer Schlussfolgerung gelangt, zu der Wiederherstellungsspezialisten bereits vor Jahren aus der Praxis der Vorfälle heraus gekommen waren: Widerstand ist notwendig, aber erst die Wiederherstellung hält das Unternehmen danach aufrecht. Die Sicherheitsinvestitionen des nächsten Jahrzehnts folgen dieser Erkenntnis und konzentrieren sich auf Instrumente zur Wiederherstellung, die ebenso rigoros sind wie die Instrumente, die zur Abwehr entwickelt wurden.

Der Aufbau erfordert zwei Dinge, die das aktuelle Modell voneinander trennt. Das erste ist die Messung – eine kontinuierliche, faktengestützte Erfassung dessen, was das Unternehmen tatsächlich wiederherstellen könnte und wie schnell –, die die jährliche Bescheinigung ersetzt, die lediglich einen Wirtschaftsprüfer zufriedenstellt, aber keine Vorhersagen liefert. Das zweite ist die Umsetzung, denn Messung allein verändert nichts am Ergebnis. Eine Bewertung macht ein Backup-Repository nicht sicherer. Eine Abhängigkeitskarte isoliert nicht die Identitätsschicht, von der eine Wiederherstellung abhängt. Eine Feststellung, so präzise sie auch sein mag, hat noch nie einen Unternehmensdienst wieder online gebracht. Die Unternehmen, die dies richtig umsetzen, werden die Wiederherstellbarkeit so behandeln, wie die Branche gelernt hat, die Erkennung zu behandeln: kontinuierlich instrumentiert, betrieben und geübt, als Geschäftsergebnis betrachtet und nicht als IT-Aufgabe delegiert.

Was bei dieser Messung berücksichtigt werden muss, ist kein Geheimnis. Die Fehler, die den Zeitrahmen für die Wiederherstellung bestimmen, treten regelmäßig auf und wiederholen sich branchen- und vorfallunabhängig. Es handelt sich um Umstände, die bereits vor dem Angriff bestanden und für jeden sichtbar gewesen wären, der darauf geachtet hätte.

Jeder Punkt auf dieser Liste lässt sich im Voraus ermitteln. Speicherkapazität, Nutzbarkeit von Backups, Abhängigkeitskarten, Wege zur Identitätswiederherstellung und Entscheidungsbefugnisse können vor einem Vorfall gemessen, bewertet und korrigiert werden, anstatt erst mitten in einem Vorfall entdeckt zu werden. Das ist die Disziplin, die die Branche derzeit etabliert, und sie verdient einen Namen, der noch nicht allgemein gebräuchlich ist. Fenix24 nennt sie „RecoverabilityIntelligence“ – die Disziplin, kontinuierlich und unter realen Bedingungen zu messen, was ein Unternehmen tatsächlich wiederherstellen kann und wie schnell: seine Abhängigkeiten, die Überlebensfähigkeit von Backups, die Wiederherstellungssequenz und die erreichbaren Wiederherstellungszeiten. Es handelt sich um die kontinuierliche, faktenbasierte Messung dessen, was ein Unternehmen wiederherstellen kann und wie schnell, aufgebaut nach demselben Standard, den die Branche bereits für die Messung ihrer Angriffsanfälligkeit anwendet. Die Erkennung teilte Unternehmen mit, was mit ihnen geschah. „Recoverability Intelligence“ teilt ihnen mit, was sie zurückerhalten würden – noch bevor der Tag kommt, an dem sie es herausfinden müssen.

Dieser Tag ist für niemanden mehr nur eine hypothetische Vorstellung. Die Frage, vor der jede Organisation nun steht, lautet nicht mehr, wie man den Angriff vermeiden kann. Es geht vielmehr darum, was passiert, wenn das System ausfällt. Kann der Betrieb wieder aufgenommen werden, bevor das Unternehmen untergeht? Prävention war schon immer das einfacher zu lösende Problem, während die Wiederherstellung stets darüber entschied, ob das Unternehmen überleben würde. Die derzeitige Neubewertung durch Versicherer, Aufsichtsbehörden, Vorstände und Analysten ist die Korrektur eines Messfehlers durch den Markt, der sich über Jahrzehnte hinweg aufgebaut hat.

Die Korrektur belohnt die Organisationen, die als Erste handeln, und bestraft diejenigen, die abwarten, denn Wiederherstellbarkeit lässt sich nicht in dem Moment kaufen, in dem sie benötigt wird. Sie wird im Vorfeld still und leise aufgebaut – oder sie ist gar nicht vorhanden –, und das Umfeld verändert sich ständig, ganz gleich, wer es beobachtet. Jedes Quartal, in dem ein Unternehmen die Wiederherstellung als bloßes Dokument statt als erprobte Fähigkeit behandelt, ist ein Quartal, in dem seine tatsächliche Situation weiter von dem abweicht, was sein Plan vorgibt – bis ein Angreifer diese Diskrepanz ausnutzt. Die Unternehmen, die sich dies verinnerlichen, werden den schlimmsten Tag, den ihr Geschäft jemals erleben wird, verkraften und weiterarbeiten können. Diejenigen, die dies nicht tun, werden ihm so begegnen, wie es die Vorfalldaten dieses Berichts beschreiben, und erst in dem einzigen Moment erfahren, was sie tatsächlich wiederherstellen können – nämlich dann, wenn sich daran nichts mehr ändern lässt. Widerstand bestimmt, wie oft dieser Tag kommt. Wiederherstellung entscheidet darüber, ob auf der anderen Seite noch ein Unternehmen steht. Die Branche misst endlich das Richtige.