Immutable Backup gegen Gunra-Ransomware: Warum die CISA-Warnung deutsche Unternehmen betrifft
Eine internationale Behördenwarnung, ein europäischer Schwerpunkt: Seit dem 10. August 2026 warnen FBI, CISA, das Department of Defense Cyber Crime Center, die NSA, der US Secret Service und Südkoreas Nationalpolizei gemeinsam vor der Ransomware-Gruppe Gunra. Wer das Advisory allein wegen seiner US-Herkunft für eine ferne Bedrohung hält, übersieht die eigentliche Zielrichtung: Nach Auswertung der öffentlich zugänglichen Opferliste durch Ransomware.Live entfallen die meisten dokumentierten Fälle auf Südkorea, Brasilien, Spanien, Thailand und Hongkong – der geografische Schwerpunkt liegt damit ausdrücklich in Europa und im asiatisch-pazifischen Raum, nicht in Nordamerika. Für deutsche IT-Verantwortliche ist das mehr als eine Randnotiz, denn der von Gunra genutzte Einstiegsweg – Schwachstellen in Fortinet FortiOS und FortiProxy – betrifft eine Produktkategorie, die in deutschen Unternehmen jeder Größenordnung verbreitet im Einsatz ist.
Inhaltsverzeichnis
Gunra-Ransomware: Was die Warnung von CISA und FBI konkret beschreibt
Gunra ist keine neue Erscheinung, aber ihre Entwicklung ist typisch für die aktuelle Bedrohungslage. Die Ransomware-Variante wurde nach FBI-Angaben erstmals im April 2025 beobachtet und basiert auf durchgesickertem Quellcode der Conti-Gruppe. Bis Januar 2026 hat sich die Gruppe zu einem vollwertigen Ransomware-as-a-Service-Angebot entwickelt: Affiliates erhalten Zugriff auf ein Management-Panel, einen konfigurierbaren Ransomware-Builder und plattformübergreifende Verschlüsselungs-Payloads für Windows und Linux. Nach Angaben von Ransomware.Live sind mittlerweile 51 Opfer auf der Leak-Seite der Gruppe gelistet, mit Schwerpunkten bei Behörden, Gesundheitseinrichtungen, Finanzinstituten, Fertigungsbetrieben und Logistikunternehmen.
Technisch bemerkenswert ist der Einstiegsweg: Die Angreifer nutzen in der Mehrzahl der dokumentierten Fälle zwei Authentifizierungs-Schwachstellen in Fortinets FortiOS und FortiProxy – CVE-2024-55591 (CVSS 9,6) und CVE-2025-24472 (CVSS 8,1). Beide Lücken sind seit Anfang 2025 bekannt und patchbar, standen seither aber durchgehend im KEV-Katalog der CISA und werden nach übereinstimmenden Berichten mehrerer Sicherheitsforscher weiterhin aktiv ausgenutzt – teils an Geräten, die seit über 18 Monaten nicht aktualisiert wurden. Fortinet selbst hatte bereits im Februar 2025 ausdrücklich vor aktiver Ausnutzung gewarnt. Dass die Schwachstellen anderthalb Jahre später weiterhin als Haupteinstiegsweg dienen, verweist auf ein strukturelles Patch-Management-Problem, das nicht auf einzelne Länder oder Branchen beschränkt ist.
Nach dem Erstzugriff folgt ein bekanntes Muster: Auslesen von Zugangsdaten aus dem Active-Directory-Verzeichnisdienst (NTDS), Pass-the-Hash-Techniken zur lateralen Bewegung über SMB und RDP, gezielte Löschung und Manipulation von Backup- und Archivdaten am Primär- und am Ausweichstandort sowie Manipulation lokaler Volume-Shadow-Copies zur Verhinderung einer schnellen, eigenständigen Wiederherstellung. In einem dokumentierten Fall manipulierten die Angreifer sogar die Authentifizierungslogik eines Servers so, dass ein von ihnen gewähltes Einmalpasswort dauerhaft akzeptiert wurde – eine Umgehung der Multi-Faktor-Authentifizierung auf Serverebene, nicht durch klassisches Phishing. Die Gruppe verfolgt konsequent ein doppeltes Erpressungsmodell: Verschlüsselung der Produktionsdaten und gleichzeitige Drohung mit Veröffentlichung zuvor abgeflossener Daten, meist mit einer Frist von fünf bis sieben Tagen.
Gunra-Ransomware in Europa: Warum die Warnung auch deutsche Unternehmen betrifft
Drei Punkte begründen, warum eine US-Behördenwarnung für die DACH-Region unmittelbar handlungsrelevant ist. Erstens die geografische Verteilung: Die Opferdaten zeigen einen klaren Schwerpunkt in Europa und Asien-Pazifik, mit Spanien unter den am häufigsten betroffenen Ländern – ein Muster, das sich nicht auf einzelne Märkte beschränken lässt, da die Angreifer breit gestreut nach verwundbaren, internetseitig erreichbaren Systemen suchen. Zweitens die betroffene Technologie: Fortinet-Firewalls und -VPN-Gateways gehören zu den in Deutschland am weitesten verbreiteten Perimeter-Lösungen, insbesondere im Mittelstand und bei kommunalen sowie regionalen Einrichtungen, die häufig nicht über dedizierte Patch-Management-Teams verfügen. Drittens die Zielbranchen: Behörden, Gesundheitswesen, Finanzdienstleister und Fertigungsbetriebe – exakt jene Sektoren, die durch NIS2 und im Finanzbereich zusätzlich durch DORA ohnehin zu einem belastbaren Nachweis ihrer Cyber-Resilienz verpflichtet sind. Ein erfolgreicher Gunra-Angriff auf ein deutsches NIS2-pflichtiges Unternehmen wäre also nicht nur ein operatives, sondern auch ein unmittelbares Compliance-Ereignis mit Meldepflichten.
Was ein Immutable Backup technisch bedeutet: Drei Schutzebenen im Überblick
Der Begriff Immutable Backup wird in der Praxis inflationär verwendet, oft ohne technische Differenzierung. Drei Ebenen sind zu unterscheiden:
Software-basierte Unveränderlichkeit (Object Lock, WORM): Storage-Systeme mit S3-kompatiblem Object Lock oder klassischen WORM-Mechanismen (Write Once, Read Many) verhindern, dass Backup-Objekte innerhalb eines definierten Zeitfensters verändert oder gelöscht werden – auch nicht durch einen Administrator mit vollständigen Rechten. Diese Sperre wird auf Objektebene im Storage-System selbst durchgesetzt, nicht in der Backup-Software. Das ist entscheidend, denn Ransomware, die – wie im Gunra-Fall dokumentiert – Zugriff auf Backup-Server-Zugangsdaten erlangt, kann eine softwareseitige Löschsperre häufig umgehen, wenn sie administrative Rechte besitzt.
Air Gap (physische oder logische Trennung): Ein Air Gap trennt die Backup-Kopie physisch oder netzwerktechnisch von der Produktionsumgebung. Klassisch wird dies über Bandmedien (LTO-Tape) realisiert, die nach dem Schreibvorgang physisch aus dem Netzwerk entfernt werden – eine in deutschen Rechenzentren nach wie vor verbreitete Praxis. Moderne Varianten arbeiten mit temporären, zeitlich begrenzten Verbindungsfenstern zu isolierten Storage-Zielen oder mit Cloud-Zielen, bei denen Schreibzugriffe kryptografisch von Löschrechten getrennt sind.
Getestete Wiederherstellbarkeit: Unveränderlichkeit allein beantwortet nicht die Frage, ob ein Restore im Ernstfall tatsächlich funktioniert. Die CISA-Empfehlung formuliert das explizit als zweiten Halbsatz: „implementing and testing“ – nicht nur einrichten, sondern regelmäßig verifizieren.
Die häufig zitierte 3-2-1-1-Regel – drei Kopien der Daten, auf zwei unterschiedlichen Medientypen, eine Kopie extern, eine davon unveränderlich oder offline – fasst diese drei Ebenen praktisch zusammen und ist eine direkte Antwort auf die im Gunra-Advisory beschriebene Angriffskette, die gezielt auf die Zerstörung von Wiederherstellungsoptionen ausgelegt ist, bevor die eigentliche Erpressung beginnt.
Gunra-Ransomware-Risiken für deutsche Unternehmen: Betriebsausfall und Compliance
Die im Advisory beschriebene Vorgehensweise – Ausnutzung ungepatchter Edge-Systeme, gezielte Löschung von Backup- und Archivdaten an Primär- und Ausweichstandort, Manipulation lokaler Wiederherstellungsmechanismen – zeigt, dass moderne Ransomware-Gruppen die Wiederherstellungsfähigkeit eines Unternehmens als eigenständiges Angriffsziel behandeln. Für deutsche Unternehmen mit exponierten Fortinet-Gateways bedeutet das ein doppeltes Risiko: technischer Betriebsausfall durch Verschlüsselung und gleichzeitig ein Compliance-Risiko, sofern NIS2- oder DORA-Meldepflichten greifen. Wird zusätzlich die Backup-Kopie mitverschlüsselt oder gelöscht, steigt der Druck zur Lösegeldzahlung erheblich – unabhängig davon, in welchem Land das Unternehmen sitzt.
Besonders relevant ist das für Organisationen mit exponierten VPN-Gateways oder Fortinet-Infrastruktur, die im aktuellen Advisory explizit als bevorzugter Einstiegsweg genannt werden. Aber auch unabhängig vom konkreten Angreifer gilt: Wer Backup-Systeme mit denselben administrativen Konten verwaltet wie die Produktionsumgebung, hat faktisch keinen Air Gap – unabhängig davon, welche Marketingbezeichnung die eingesetzte Software trägt.
Immutable Backup umsetzen: Konsequenzen für Backup- und Recovery-Strategien
Für die Ausgestaltung von Backup-Architekturen ergeben sich aus dem aktuellen Fall mehrere konkrete Konsequenzen. Erstens sollte Unveränderlichkeit auf Speicherebene und nicht ausschließlich auf Applikationsebene durchgesetzt werden, da kompromittierte Administratorrechte sonst weiterhin ein Risiko darstellen. Zweitens braucht mindestens eine Backup-Kopie eine echte logische oder physische Trennung von der Produktionsdomäne – inklusive getrennter Identitäten, damit ein bei Gunra beobachteter Diebstahl von Active-Directory-Zugangsdaten nicht automatisch auch die Backup-Umgebung kompromittiert. Drittens gehört die Widerstandsfähigkeit gegen Manipulation von Volume-Shadow-Copies explizit auf die Prüfliste, da dieser Mechanismus in vielen Windows-Umgebungen die einzige lokale Wiederherstellungsoption darstellt. Viertens verlangt die Empfehlung zur regelmäßigen Testung, dass Recovery-Zeiten nicht nur dokumentiert, sondern unter realistischen Bedingungen gemessen werden – inklusive des Szenarios, dass sowohl der Primär- als auch der Ausweichstandort betroffen sind, wie im Advisory ausdrücklich beschrieben.
Immutable Backup in der Praxis: Häufige Fehler bei der Umsetzung
Aus Sicht erfahrener Backup- und Recovery-Spezialisten liegt der eigentliche Risikofaktor selten in der grundsätzlichen Entscheidung für oder gegen Immutable Backups, sondern in der praktischen Umsetzung. Eine verbreitete Fehlannahme ist, dass eine Cloud-Backup-Lösung mit „Immutability“-Kennzeichnung automatisch ausreichenden Schutz bietet, ohne dass geprüft wird, auf welcher Ebene die Sperre technisch durchgesetzt wird und wer sie im Zweifel administrativ aufheben kann. Eine zweite häufige Schwachstelle betrifft die Zugriffsverwaltung: Wird die Backup-Infrastruktur über dieselben Domänen-Administratorkonten verwaltet wie die Produktionssysteme, entsteht ein Single Point of Failure, der jede technische Unveränderlichkeit faktisch aushebelt, sobald diese Konten kompromittiert sind – genau das im Advisory beschriebene Muster. Drittens zeigt die Praxis, dass Restore-Tests häufig nur Teilsysteme umfassen und selten das Szenario eines vollständigen, gleichzeitigen Ausfalls von Produktions- und Ausweichstandort simulieren – exakt das Szenario, für das ein Air Gap konzipiert ist. Gerade in deutschen Mittelstandsunternehmen, in denen Backup-Administration und System-Administration häufig in denselben Händen liegen, ist dieses Muster keine Ausnahme, sondern eher die Regel.
Immutable Backup einführen: Handlungsempfehlungen für deutsche IT-Verantwortliche
Für Unternehmen, die ihre Backup-Architektur im Licht der aktuellen Warnung überprüfen wollen, sind folgende Schritte sinnvoll: Zunächst sollte geprüft werden, ob mindestens eine Backup-Kopie über eine Storage-seitige, nicht applikationsseitige Unveränderlichkeit verfügt. Anschließend empfiehlt sich eine Analyse der Zugriffswege zur Backup-Infrastruktur – insbesondere, ob dieselben Identitäten für Produktions- und Backup-Verwaltung genutzt werden. Internetexponierte Systeme, insbesondere Fortinet-Firewalls und VPN-Gateways, sollten priorisiert auf die genannten CVEs geprüft und gepatcht werden, da diese im aktuellen Fall den primären Einstiegsweg darstellten. Restore-Prozesse sollten regelmäßig unter realistischen Bedingungen getestet werden, einschließlich des Szenarios eines vollständigen Neuaufbaus aus der isolierten Kopie, wenn sowohl Primär- als auch Ausweichstandort betroffen sind. Für NIS2- oder DORA-pflichtige Unternehmen lohnt sich zusätzlich eine Prüfung, ob die eigene Backup-Dokumentation im Fall einer aufsichtsrechtlichen Anfrage die technische Umsetzung nachweisbar belegt – reine Konzeptpapiere reichen dafür in der Regel nicht aus.
Immutable Backup einführen: Handlungsempfehlungen für deutsche IT-Verantwortliche
Für Unternehmen, die ihre Backup-Architektur im Licht der aktuellen Warnung überprüfen wollen, sind folgende Schritte sinnvoll: Zunächst sollte geprüft werden, ob mindestens eine Backup-Kopie über eine Storage-seitige, nicht applikationsseitige Unveränderlichkeit verfügt. Anschließend empfiehlt sich eine Analyse der Zugriffswege zur Backup-Infrastruktur – insbesondere, ob dieselben Identitäten für Produktions- und Backup-Verwaltung genutzt werden. Internetexponierte Systeme, insbesondere Fortinet-Firewalls und VPN-Gateways, sollten priorisiert auf die genannten CVEs geprüft und gepatcht werden, da diese im aktuellen Fall den primären Einstiegsweg darstellten. Restore-Prozesse sollten regelmäßig unter realistischen Bedingungen getestet werden, einschließlich des Szenarios eines vollständigen Neuaufbaus aus der isolierten Kopie, wenn sowohl Primär- als auch Ausweichstandort betroffen sind. Für NIS2- oder DORA-pflichtige Unternehmen lohnt sich zusätzlich eine Prüfung, ob die eigene Backup-Dokumentation im Fall einer aufsichtsrechtlichen Anfrage die technische Umsetzung nachweisbar belegt – reine Konzeptpapiere reichen dafür in der Regel nicht aus.
Fazit: Immutable Backup als Antwort auf die Gunra-Ransomware-Bedrohung
Die gemeinsame Warnung von FBI, CISA und weiteren Behörden zu Gunra-Ransomware liefert wenig grundsätzlich Neues zur Bedrohungslage, aber einen präzisen aktuellen Beleg dafür, wie gezielt moderne Ransomware-Gruppen die Wiederherstellungsfähigkeit von Unternehmen angreifen – mit einem geografischen Schwerpunkt, der Europa ausdrücklich einschließt, und einem Einstiegsweg über Technologie, die auch in deutschen Unternehmen breit verbreitet ist. Immutable Backups sind damit keine zusätzliche Option in der IT-Sicherheitsarchitektur, sondern eine direkte technische Antwort auf ein dokumentiertes, auch für die DACH-Region relevantes Angriffsmuster. Entscheidend ist dabei weniger die Marketingbezeichnung eines Produkts als die konkrete technische Umsetzung: speicherseitige Unveränderlichkeit, echte logische oder physische Trennung und regelmäßig verifizierte Wiederherstellbarkeit.
Transparenzhinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt und vor Veröffentlichung redaktionell geprüft.
FAQ: Häufige Fragen zu Immutable Backup und der Gunra-Ransomware-Warnung
Betrifft die Gunra-Ransomware-Warnung von CISA auch Unternehmen außerhalb der USA?
Ja. Nach Auswertung der Opferdaten durch Ransomware.Live liegt der geografische Schwerpunkt der Angriffe in Südkorea, Brasilien, Spanien, Thailand und Hongkong – mit einem klaren Übergewicht in Europa und Asien-Pazifik. Aus den USA und Kanada sind bislang nur drei Fälle bekannt. Die Warnung stammt von US-Behörden, richtet sich inhaltlich aber an ein globales Publikum.
Warum sind gerade Fortinet-Nutzer in Deutschland betroffen?
Angreifer nutzen zwei seit Anfang 2025 bekannte Authentifizierungs-Schwachstellen in Fortinet FortiOS und FortiProxy (CVE-2024-55591, CVE-2025-24472). Fortinet-Firewalls und VPN-Gateways gehören zu den in Deutschland verbreitetsten Perimeter-Lösungen, insbesondere im Mittelstand. Unternehmen, die diese Patches noch nicht eingespielt haben, sind unabhängig vom Land einem erhöhten Risiko ausgesetzt.
Was unterscheidet ein Immutable Backup von einem klassischen Backup mit Löschschutz?
Ein klassischer Löschschutz wird meist in der Backup-Software konfiguriert und kann von einem Administrator mit ausreichenden Rechten aufgehoben werden. Ein echtes Immutable Backup setzt die Unveränderlichkeit auf Speicherebene durch – etwa über Object-Lock-Mechanismen –, sodass selbst kompromittierte administrative Zugangsdaten der Backup-Applikation die Sperre nicht umgehen können.
Was bedeutet Air Gap im Unterschied zu Immutable Backup konkret?
Air Gap beschreibt die physische oder logische Trennung der Backup-Kopie vom Produktionsnetzwerk, sodass ein Angreifer die Backup-Infrastruktur unter normalen Umständen gar nicht erreichen kann. Immutability beschreibt dagegen den Schutz vor Veränderung oder Löschung, sobald Daten bereits geschrieben wurden. Beide Konzepte ergänzen sich, sind aber technisch unterschiedlich umgesetzt.
Hat ein Gunra-Angriff Auswirkungen auf NIS2- oder DORA-Meldepflichten?
Ja, sofern das betroffene Unternehmen in den Anwendungsbereich von NIS2 oder DORA fällt. Ein erfolgreicher Ransomware-Angriff mit Datenexfiltration und Verschlüsselung löst in der Regel Meldepflichten gegenüber den zuständigen Aufsichtsbehörden aus. Eine nachweisbar getestete, unveränderliche Backup-Architektur ist dabei nicht nur technischer Schutz, sondern auch Teil einer belastbaren Compliance-Dokumentation.
Wie oft sollten Recovery-Tests für unveränderliche Backups durchgeführt werden?
Eine feste, allgemeingültige Frequenz gibt es nicht – sie hängt von der Kritikalität der Systeme und regulatorischen Vorgaben ab. Entscheidend ist, dass Tests regelmäßig und unter realistischen Bedingungen stattfinden, einschließlich des Szenarios, dass sowohl Primär- als auch Ausweichstandort kompromittiert sind.
Jetzt handeln – wir sind Ihr Partner für resiliente Backup- und Recovery-Strategien
Cristie Data unterstützt Sie mit langjähriger Expertise in den Bereichen Backup, Recovery, Cyber-Resilienz und Ransomware-Schutz – für eine geprüfte, widerstandsfähige und zukunftsfähige IT-Infrastruktur. Sprechen Sie uns an – ein Telefonkontakt oder eine Mail genügt.
