Das fehlende Element der CIA-Triade: Warum „Verfügbarkeit“ wichtig ist

Wir sind oft besessen davon, wer unsere Daten einsehen kann (Stichwort „Vertraulichkeit“ – auf Englisch „Confidentiality“) und wie diese Daten vor Manipulation geschützt werden können (Stichwort „Integrität“ – auf Englisch „Integrity“). Obwohl diese Aspekte von entscheidender Bedeutung sind, gibt es eine dritte Säule der CIA-Triade, die derzeit unter ständigem Druck steht: die Verfügbarkeit (auf Englisch „Availability“). Woraus sich die im Sicherheitsbereich übliche Abkürzung CIA (für Confidentiality, Integrity, Availability) ergibt, die wir daher hier im Weiteren beibehalten werden.

Eine aktuelle Umfrage von Forrester zeichnet ein alarmierendes Bild: 76 % aller Datenschutzverstoße beeinträchtigen mittlerweile die Verfügbarkeit! Dagegen sind es nur 42 %, die die Vertraulichkeit und 27 %, die die Integrität beeinträchtigen.1 Obwohl die Verfügbarkeit das am häufigsten angegriffene Element der CIA-Triade ist, wird sie dennoch am meisten vernachlässigt. In einer Zeit, in der 70 % der Weltbevölkerung mit dem Internet verbunden sind, ist der Grad der Verfügbarkeit nicht nur einfach eine Kennzahl, sondern die Lebensader moderner Unternehmen.

Jede Sekunde Ausfallzeit ist ein Wettlauf mit hohem Einsatz. Untersuchungen von Oxford Economics und TechTarget bestätigen diese erschreckenden Kosten, die in Hochrisikobranchen (wie dem Finanzwesen, dem Gesundheitswesen oder in der Fertigungindustrie) schnell noch höher ausfallen können. Laut dem Bericht des ITIC für das Jahr 2024 verlieren 97 % der Großunternehmen während eines Ausfalls über 100.000 US-Dollar pro Stunde. Bei 41 % belaufen sich die Verluste sogar auf 1 bis 5 Millionen US-Dollar pro Stunde. Die Auswirkungen sind nicht nur finanzieller Natur, sondern können auch den Ruf eines Unternehmens schädigen:

• 74 % der Endverbraucher:innen achten mehr auf die Zuverlässigkeit der Website eines Unternehmens als auf fast alles andere.
• 64 % der Benutzer:innen verlieren unmittelbar nach einem solchen Website-Ausfall das Vertrauen in eine Marke.
• 53 % der gesamten Ausfallkosten sind direkt auf Umsatzverluste zurückzuführen.

Warum wird die Verfügbarkeit zunehmend als das „vernachlässigte Standbein” der Triade angesehen? Viele Führungskräfte unterschätzen diesen Aspekt, bis dann eine entsprechende Krise eintritt. Abgesehen von einfachen Hardware-Ausfällen wird die moderne Cyber-Resilienz durch folgende Faktoren bedroht:

• Ransomware: Der ultimative Verfügbarkeitskiller, der Benutzer:innen den Zugriff auf ihre eigenen Daten verwehrt.
• DDoS-Angriffe: Überflutung der Infrastruktur, um Services unzugänglich zu machen.
• Fehlkonfigurationen: Cloud-basierte Fehler, die zu kaskadierenden Ausfällen führen können.
• Shadow-IT-Aktivitäten: Wenn Anwendungen und Geräte eingesetzt werden, die nicht von der IT-Abteilung verwaltet werden, werden Sicherheitsprotokolle umgangen und können versteckte Schwachstellen entstehen.

Die Gewährleistung von Datenverfügbarkeit erfolgt meistens auf eine Weise, die wir kaum bemerken. Egal, ob es sich um Ihr Gmail-Konto, Ihre Banking-App oder ein von Ihnen gebuchtes Flugticket handelt: Diese Daten werden fast immer über mehrere globale Server hinweg repliziert und zwischengespeichert. Große SaaS-Unternehmen mit umfangreichen Backbone-Netzwerken nutzen eine Vielzahl von Techniken, um Ausfallzeiten möglichst komplett zu vermeiden und die Datenverfügbarkeit sicherzustellen.

Aber eigentlich ist es für alle Unternehmen mit geschäftskritischen Daten unerlässlich, ähnliche Methoden einzusetzen. Ein wesentlicher Eckpfeiler dabei sind unveränderliche Backups. Denn Backups müssen nicht nur regelmäßig erstellt, sondern auch zuverlässig vor Verschlüsselung und Löschung durch Ransomware geschützt werden. Zur Bemessung der Resilienz verwenden Unternehmen häufig die mittlere Wiederherstellungszeit (MTTR), womit die Zeitspanne zwischen Ausfall und Wiederherstellung gemeint ist (die natürlich möglichst klein sein sollte). In Zeiten hochentwickelter Malware verlagert die Branche ihren Fokus jedoch zunehmend auf den MTCR-Wert (Mean Time to Clean Recovery) – also die mittlere Zeit für eine „saubere“ Wiederherstellung. Denn es reicht nicht aus, die Systeme einfach nur möglichst schnell wieder online zu bringen. Es muss auch sichergestellt werden, dass diese in einen „sauberen” Zustand zurückversetzt werden. Ansonsten drohen sofortige Neuinfektionen.

Bei geschäftskritischen Systemen können aktive Workload-Replikationen (mit Hochverfügbarkeitsduplikaten und Failover-Prozessen) eine „Hot Disaster Recovery“-Fähigkeit ermöglichen. Das kann allerdings (je nach Umsetzung) kostenintensiv sein. Hier kommen cloudbasierte Disaster Recovery-Lösungen ins Spiel: Sie können Wiederherstellungszeiten von nahezu Null erzielen, aber mit einem Bruchteil der Kosten, die bei herkömmlichen Lösungen mit physischer Redundanz (am eigenen Standort) anfallen würden. Nicht jede Applikation benötigt dieses hohe Maß an Verfügbarkeit. Unternehmen sollten daher eine Klassifizierung und Kennzeichnung ihrer Assets vornehmen, um diese hochentwickelten Lösungen gezielt für ihre wichtigsten Systeme einzusetzen.

Acronis Cyber Protect wurde speziell entwickelt, um eine umfassende Ende-zu-Ende-Cyber-Resilienz zu bieten, indem es Data Protection- und Endpoint Security-Fähigkeiten nahtlos unter einer Konsole integriert. Anstatt einfach nur auf Angriffe zu reagieren, kann die Plattform Ausfallzeiten durch folgende Maßnahmen aktiv verhindern:

• Branchenweit beste RTO-Werte (Recovery Time Objectives): Mit Acronis Instant Restore können Backups als virtuelle Windows- oder Linux-Maschinen in wenigen Sekunden direkt aus dem Backup Storage heraus gestartet werden.
• Kontinuierliche Datensicherung (CDP): Die Lösung kann geschäftskritische Applikationen auf Datenänderungen überwachen und diese umgehend sichern. Dadurch wird gewährleistet, dass auch alle Arbeiten, die zwischen planmäßigen Backups stattfinden, nicht verloren gehen.
• Safe Recovery-Funktionalität: Um saubere Wiederherstellungen zu gewährleisten, hat Acronis Antimalware-Updates und -Scans in den Wiederherstellungsprozess integriert, sodass mögliche Malware-Infektionen in den Backups erkannt und entfernt werden können. Dadurch wird verhindert, dass solche Infektionen wieder in die Produktionsumgebung gelangen.
• Universal Restore: Diese Technologie ermöglicht schnelle Systemwiederherstellungen auf abweichende Hardware. Das schließt auch fabrikneue Hardware (Bare-Metal Recovery) sowie Migrationen (z.B. physische Maschinen zu virtuellen oder Cloud-Umgebungen) ein.
• Automatisiertes ausfallsicheres Patching: Um zu verhindern, dass Updates Ausfallzeiten verursachen können, kann Acronis die entsprechenden Endpunkte automatisch per Backup sichern, bevor Patches installiert werden. So kann ein betroffenes System sofort zurückgesetzt werden, falls es doch zu Problemen durch aufgespielte Updates kommt.

Durch den Einsatz eines einzigen Agenten und einer einheitlichen Management-Konsole können Unternehmen mehr Autonomie und Schutz für über 30 Workload-Typen erreichen.

Wenn Sie sicherstellen möchten, dass Ihr Unternehmen dem Thema „Verfügbarkeit“ die gebührende Priorität einräumt, sollten Sie folgende Schritte in Betracht ziehen:

1. Stufen Sie Ihre Systeme ein: Kategorisieren Sie Ihre Daten, um festzustellen, wo eine hohe Verfügbarkeit am wichtigsten ist.
2. Überwachung Ihrer RTO: Überprüfen Sie Ihre RTO-Anforderungen: Wenn Ihr aktueller Wiederherstellungsplan mehrere Tage umfasst, sollten Sie eine Lösung in Betracht ziehen, die die branchenweit besten Wiederherstellungszeiten bietet.
3. Führen Sie regelmäßige DR-Übungen durch: Ein Disaster Recovery-Prozess hat Ähnlichkeiten zu einem Muskel: Wenn man ihn nicht regelmäßig trainiert, funktioniert er nicht belastbar, wenn man ihn braucht.
4. Investieren Sie in Redundanz: Nutzen Sie flexible Storage-Optionen (wie lokale Datenträger, NAS-Systeme und die Cloud), um sicherzustellen, dass Ihre Backups jederzeit abrufbar sind.

Laden Sie das Whitepaper herunter, das einen praktischen Leitfaden für Cyber-Resilienz enthält.

Whitepaper

Mehr als Cybersicherheit: Ein praktischer Leitfaden zu mehr Cyber-Resilienz