Punkt eins der Liste betrifft die Angriffsfläche: Patch-Fristen nach Schweregrad festlegen, Mehr-Faktor-Authentifizierung für Verwaltungsportale und Fernzugriffe nachweisen und die Administration von Backup und Sicherheit trennen. Getestet werden soll, ob ein kompromittiertes Technikerkonto den Schutz verändern oder Wiederherstellungspunkte löschen kann. Acronis verweist hier auf Schwachstellenbewertung, Patch-Management, URL-Filterung und rollenbasierte Verwaltung in Cyber Protect Cloud — pro Mandant zu prüfen.
Bei der Erkennung fordert Acronis einen kontrollierten Verhaltenstest, der belegt, dass ein verwertbarer Vorfall entsteht, bevor breitflächig verschlüsselt wird. Dazu gehören Endpunkt-Isolation sowie Reaktionsmaßnahmen für Identitäten, E-Mail und Microsoft 365. Acronis Active Protection und EDR decken das Endpunktverhalten ab, XDR erweitert die Sicht auf Endpunkt, E-Mail, Identität und Microsoft 365.
Für die Reaktion außerhalb der Geschäftszeiten soll geklärt sein, wer überwacht, untersucht, eindämmt und den Kunden kontaktiert; Eskalationswege gehören getestet, genehmigungspflichtige Aktionen dokumentiert. Acronis MDR setzt mit 24/7/365-Überwachung auf EDR oder XDR auf; vollständige Gegenmaßnahmen einschließlich Wiederherstellungs- und RMM-Aktionen sind laut Anbieter der Advanced-Stufe vorbehalten.
Wiederherstellungspunkte sollen zugriffsgetrennt, unveränderlich und, wo nötig, offline vorliegen. Der Test: Löschversuch mit kompromittierten Zugangsdaten, dazu Prüfung von Aufbewahrung, Warnmeldungen und Änderungen der Speicherrichtlinie. Acronis betont ausdrücklich, dass unveränderlich, offline und Air-Gap unterschiedliche Kontrollen bezeichnen, die einzeln zu verifizieren sind.
Saubere Wiederherstellung heißt: einen bekannt guten Punkt auswählen, ihn scannen, isoliert zurückspielen, Abhängigkeiten in der richtigen Reihenfolge aufbauen und die Anwendung validieren. Zu dokumentieren sind die tatsächlich erreichten Werte für Wiederherstellungspunkt (RPO) und Wiederherstellungszeit (RTO) — nicht bloß, ob der Backup-Auftrag erfolgreich war. Acronis Cyber Protect Cloud kann Backups scannen und schadsoftwarefreie Wiederherstellung unterstützen, Acronis Disaster Recovery Failover- und Wiederherstellungsabläufe koordinieren, sofern entsprechend lizenziert. Das Incident-Team muss dennoch bestätigen, dass der gewählte Punkt vor der Kompromittierung liegt.
Der sechste Punkt zielt auf den Mehrmandantenbetrieb: Standardrichtlinien anwenden, ohne Kundenanforderungen einzuebnen, dazu Rollentrennung, mandantenübergreifende Sichtbarkeit, Berichte, API-Zugriff und Übergaben an RMM/PSA testen — bei gleichzeitigem Schutz vor mandantenübergreifender Offenlegung.
Zur Abgrenzung der Bausteine: EDR überwacht Endpunktaktivität und unterstützt Untersuchung, Isolation und Behebung. XDR verknüpft Endpunktsignale mit weiteren Angriffsflächen, sodass Analysten einen Vorfall statt einzelner Alarme sehen. MDR ergänzt Personal und Prozess durch einen rund um die Uhr besetzten Dienst. Unveränderliches Backup schützt Wiederherstellungspunkte vor Änderung und Löschung, erkennt aber keinen Datendiebstahl und ersetzt keine Incident Response.
Genau darauf zielt eine weitere Klarstellung: Unveränderlichkeit kann bereits abgeflossene Daten nicht zurückholen und keine Meldepflichten aufheben. Ein Ransomware-Schutz muss deshalb nach Exfiltration und Identitätsmissbrauch suchen, bevor die Verschlüsselung beginnt — durch Korrelation von Endpunkt-, Identitäts-, E-Mail-, Microsoft-365-, DNS-, Proxy- und Egress-Telemetrie. Nachweise zum Netzwerkabfluss stammen laut Acronis womöglich weiterhin aus Firewalls, SIEM oder anderen Kundenkontrollen; diese Übergaben seien vorab zu testen.
Die Wiederherstellungszeit ergibt sich aus Erkennung, Triage, Eindämmung, Auswahl eines sauberen Punkts, Rücksicherung und Validierung. Automatisierung soll wiederkehrende Wartezeiten beseitigen, folgenschwere Schritte wie Massenisolation, Passwortrücksetzungen oder Failover sollte jedoch ein Incident Commander freigeben. Nach jeder Übung seien erreichte RPO/RTO und jede Verzögerung festzuhalten und das Runbook anhand der Belege zu überarbeiten. Vor der Standardisierung einer Plattform empfiehlt Acronis einen Live-Test von Vorfall und Wiederherstellung in der Produktionskonfiguration. Der Beitrag ist von Acronis gesponsert und verfasst.