Der nützliche Punkt in VMwares aktueller Recovery-Einordnung lautet: Erfolgreiches Backup und sichere Wiederherstellung sind unterschiedliche Ergebnisse. Während eines Cybervorfalls muss das Team einen vertrauenswürdigen Stand wählen, Workloads außerhalb der Produktion starten, auf Kompromittierung prüfen und die Rückverbindung steuern. Dafür braucht es einen isolierten Clean Room und nicht nur ein schnelleres Repository.
Bedeutung für den Betrieb
Klassische Wiederherstellungspläne unterstellen oft einen Infrastrukturausfall: Kapazität ersetzen, Workload zurückspielen, Dienst validieren, Verkehr zurückgeben. Ransomware verändert diese Reihenfolge, weil Identität, Managementwerkzeuge, Netzpfade und Backup-Control-Plane verdächtig sein können. Eine schnelle Wiederherstellung in dieselbe Vertrauenszone kann den Angreifer zurückbringen oder Belege vernichten.
Eine isolierte Umgebung benötigt mehr als Netztrennung. Erforderlich sind unabhängiger administrativer Zugriff, kontrollierte DNS- und Identitätsabhängigkeiten, Malware- und EDR-Prüfung, eine nachvollziehbare Evidenzkette sowie genug Compute und Storage für priorisierte Dienste. Security definiert Sauberkeitskriterien, Anwendungen die Funktionskriterien und Infrastruktur weist die Bereitstellung unter Druck nach.
Der Test beginnt mit einem Geschäftsdienst und einem bekannten Wiederherstellungspunkt. Der Clean Room wird aufgebaut, Abhängigkeiten werden geordnet restauriert, der Workload untersucht und beobachtet, relevante Credentials werden rotiert und die Entscheidung zur Rückverbindung dokumentiert. Gemessen wird die gesamte Entscheidungszeit, nicht nur der Restore-Durchsatz.
Praktische Konsequenz
Die praktische Konsequenz: Cyber Recovery ist ein gemeinsamer Betriebsprozess. Backup-Teams liefern wiederherstellbare Daten; Security und Anwendungseigner entscheiden, ob daraus sicher wieder Produktion werden darf. Ein isolierter Clean Room macht aus dieser Entscheidung eine geübte Kontrolle mit eindeutigen Belegen und Verantwortlichkeiten.