Warum Identity Recovery nach Cyberangriffen entscheidend ist

Oft übersehen: Ohne Identity-System gibt es keine Recovery.DC Studio / Shutterstock



Wenn nach einem Ransomware-Angriff die Systeme stillstehen, denken die meisten zuerst an verschlüsselte Dateien, ausgefallene Server und blockierte Produktionslinien. In meiner Erfahrung als CIO und Berater ist das aber nicht der eigentliche Engpass. Der entscheidende Punkt, an dem sich Stunden von Wochen trennen, liegt tiefer: beim Identitätssystem – also typischerweise Active Directory und Entra ID.



Das klingt technisch, hat aber massive geschäftliche Konsequenzen. Das Identitätssystem ist die Vertrauensbasis jeder digitalen Organisation. Es steuert, wer auf welche Systeme zugreifen darf, welche Anwendungen starten und wer mit wem kommunizieren kann. Wenn es ausfällt, kann sich kein Mitarbeiter anmelden, können keine Applikation authentifiziert werden und keine Recovery-Maßnahme sicher anlaufen. Anders ausgedrückt: Ohne Identity-System gibt es keine Wiederherstellung – von nichts.



Was klassisches Backup hier nicht leistet



Genau an dieser Stelle offenbart sich eine gefährliche Lücke, die ich in Gesprächen mit dem Top-Management immer wieder antreffe. Viele Unternehmen verfügen über solide Backup-Strategien für ihre Daten und Applikationen. Aber das Active Directory wird in der Regel als ein weiterer Server-Workload mitgesichert – typischerweise über sogenannte Bare-Metal-Recovery.



Das Problem dabei: Diese Methode sichert das gesamte Betriebssystem mit, einschließlich aller Dateien, Registry-Einträge und DLLs. Wenn ein Angreifer bereits Wochen zuvor Rootkits oder Backdoors installiert hat – was bei durchschnittlichen Dwell-Times von mehreren Wochen die Regel ist –, werden diese beim Restore mit zurückgespielt. Man stellt also das kompromittierte System wieder her und öffnet dem Angreifer die Tür erneut.



Hinzu kommt: Bare-Metal-Recovery setzt identische oder zumindest kompatible Hardware voraus. Wenn im Krisenfall die Domain Controller physisch kompromittiert oder nicht verfügbar sind, funktioniert das Verfahren schlicht nicht. In der Praxis führt das dazu, dass Unternehmen Tage oder sogar Wochen benötigen, um ihre Identitätsinfrastruktur wiederherzustellen. Die aktuellen Zahlen bestätigen das: Die durchschnittliche Ausfallzeit nach einem Ransomware-Angriff lag 2025 bei 24 Tagen. Bei Angriffen, die gezielt auf die Identitätsinfrastruktur zielten – und das betrifft laut aktuellen Erhebungen rund 70 Prozent aller Ransomware-Vorfälle –, ist dieser Zeitraum oft noch länger.



Was spezialisierte Identity Recovery anders macht



Es gibt inzwischen Werkzeuge, die das Recovery des Identitätssystems grundlegend anders angehen. Das wohl bekannteste, welches schon in dessen Konzeptionsphase mit einem Cyber-first Ansatz entwickelt wurde, ist „Active Directory Forest Recovery“, kurz ADFR, der Firma Semperis.



Andere Hersteller von spezialisierten AD-Backup-Tools – unter anderem auch Quest – sind dem Beispiel von Semperis zur Trennung der Identitätsdaten von dem Betriebssystem gefolgt. Der wesentliche Unterschied: Sie sichern nicht den gesamten Server, sondern gezielt die AD-Datenbank – also Benutzer, Gruppen, Berechtigungen, Gruppenrichtlinien und Vertrauensstellungen – und stellen diese auf eine saubere, frisch aufgesetzte Betriebssystemumgebung wieder her. Damit wird die Reinfektionsgefahr durch Malware, die sich schon in des Systemdateien eines AD Servers festgesetzt hat und durch klassische Backups mitgesichert wird, eliminiert.



Natürlich geschieht die Wiederherstellung einer AD-Gesamtstruktur über mehrere Server vollautomatisiert. Sie ist somit nicht nur weniger fehleranfällig als mit den vielen manuellen Schritten, die bei klassischen Werkzeugen notwendig sind, sondern auch deutlich schneller. Außerdem sind diese Werkzeuge hardwareunabhängig: Die Wiederherstellung kann auf beliebiger Infrastruktur erfolgen, auch in der Cloud oder in einer isolierten Umgebung.



Was weitere Lösungen dieser Hersteller, etwa der Semperis Directory Services Protector (DSP), zusätzlich leisten, ist kontinuierliches Monitoring der Identitätsebene – also die Echtzeitüberwachung von Veränderungen an privilegierten Konten, Gruppenrichtlinien und Vertrauensstellungen.



In der Praxis erkennt man damit Angriffsmuster wie DCSync, Kerberoasting oder Passwort-Spray-Attacken, bevor der Angreifer die vollständige Kontrolle erlangt hat. Veränderungen, die ein Angreifer am AD durchgeführt hat, können mit dieser Hilfe vollständig zurückgesetzt werden. Das ist ein entscheidender Zeitvorteil: Statt erst nach der Verschlüsselung zu reagieren, kann ein Angriff auf die Identitätsebene bereits in der Eskalationsphase erkannt und eingedämmt werden.



Die kritischen ersten Stunden: Ein Erfahrungswert



Aus meiner Beratungspraxis kenne ich ein wiederkehrendes Muster, das mich besorgt: Nach einem schwerwiegenden Vorfall vergehen in vielen Organisationen zwei bis fünf Tage, bis überhaupt qualifizierte Incident-Response-Spezialisten operativ eingebunden sind. In dieser Zeit bewegt sich der Angreifer ungehindert lateral durch die Infrastruktur – er weitet Privilegien aus, exfiltriert Daten und bereitet die Verschlüsselung vor. Bei einem spezialisierten Identity-Recovery-Ansatz hingegen lässt sich das Kernsystem – die Verzeichnisdienste – in Stunden wiederherstellen, nicht in Wochen. Damit werden auch alle nachgelagerten Systeme schneller verfügbar, weil die Authentifizierungsbasis steht.



Der Unterschied ist nicht theoretisch. Ich habe erlebt, wie ein Unternehmen mit vorbereiteter Identity-Recovery-Strategie nach einem Ransomware-Angriff seine Kern-Authentifizierungsdienste innerhalb von vier Stunden wiederhergestellt hat. Ohne diese Vorbereitung wären es nach Einschätzung des Incident-Response-Teams Tage bis Wochen gewesen – bei gleichzeitiger Unsicherheit, ob die restaurierte Umgebung überhaupt vertrauenswürdig ist.



Was das Top-Management jetzt tun sollte



Meine konkrete Empfehlung: Prüfen Sie, wie Ihr Unternehmen heute Active Directory und Entra ID sichert. Wenn die Antwort „als Teil des normalen Server-Backups“ lautet, haben Sie eine kritische Lücke. Evaluieren Sie spezialisierte Werkzeuge, die eine malwarefreie Wiederherstellung ermöglichen und gleichzeitig die Identitätsebene kontinuierlich auf Angriffsaktivitäten überwachen. Testen Sie die Wiederherstellung regelmäßig unter realistischen Bedingungen – nicht als Tabletop-Übung, sondern mit tatsächlichem Rebuild der Verzeichnisdienste. Und definieren Sie, welche Systeme und Zugriffsrechte zu Ihrer „Minimum Viable Company“ gehören – dem minimalen Betriebskern, der im Ernstfall in Stunden wieder funktionieren muss.



Identity Recovery ist kein Nischenthema für AD-Administratoren. Es ist die Grundvoraussetzung dafür, dass nach einem Cyberangriff überhaupt irgendetwas wiederhergestellt werden kann. Wer das nicht als strategische Priorität behandelt, riskiert im Ernstfall nicht Tage, sondern Wochen Stillstand – mit allen Konsequenzen für Umsatz, Kundenvertrauen und Reputation. (mb)