Air-Gapped Architektur & Offline-Resilienz

Eine Air-Gapped Architektur (Luftspalt-Isolierung) bezeichnet in der IT-Sicherheit und Betriebstechnik (OT) ein Schutzkonzept, bei dem kritische Zielsysteme weder physisch noch logisch direkt aus dem produktiven Unternehmensnetzwerk oder dem öffentlichen Internet erreichbar sind. In der Praxis kommt das Prinzip vor allem bei primären Backup-Speichern, internen Zertifizierungsstellen (Offline-Root-CA) und industriellen Produktionssteuerungen zum Einsatz.

Während ein klassischer physischer Air Gap den Datentransfer ausschließlich über Wechselmedien (z. B. LTO-Magnetbänder) zulässt, nutzen moderne Rechenzentren meist einen logischen Air Gap im Pull-Verfahren: Das isolierte Backup-System lehnt sämtliche eingehenden Verbindungen aus dem Produktivnetz ab und baut nur zu definierten Zeitfenstern selbstständig eine verschlüsselte Verbindung auf, um geänderte Datenblöcke abzurufen.

Warum eine isolierte Rückfallebene über den Wiederanlauf nach Cyberangriffen entscheidet

Gezielte Ransomware-Angriffe verschlüsseln heute nicht mehr sofort das erstbeste System, sondern verschaffen sich oft zunächst Administratorrechte im zentralen Verzeichnisdienst (Active Directory) und auf den Backup-Servern. Sobald alle online erreichbaren Sicherungen gelöscht sind, wird die Verschlüsselung der Produktivsysteme ausgelöst.

Auch die technischen Risikomanagement-Anforderungen unter NIS-2 (§ 30 BSIG n.F.) und DORA** legen großen Wert auf krisenfeste Datensicherungen. Ein im Pull-Betrieb arbeitender Air-Gap-Speicher in Kombination mit unveränderbarem WORM-Speicher stellt technisch sicher, dass das Unternehmen selbst bei einem Totalausfall der primären Windows-Domäne auf saubere Wiederherstellungspunkte zurückgreifen kann.

Die Falle des „Schein-Air-Gaps“ im täglichen Betrieb

Der häufigste Konfigurationsfehler in mittelständischen IT-Umgebungen ist eine unvollständige Trennung der Verwaltungsebene: Zwar liegt der Backup-Server in einem eigenen Netzwerksegment (VLAN), doch seine Fernwartungsschnittstelle (iDRAC, iLO, IPMI) ist weiterhin aus dem normalen Administrationsnetz erreichbar oder nutzt dieselben Anmeldedaten wie das Produktivnetz.

Ebenso problematisch sind ungetestete Wiederanlaufpläne: Wenn die kryptografischen Schlüssel zum Entschlüsseln des Backups ausschließlich auf einem bereits verschlüsselten Produktionsserver gespeichert waren, hilft auch das isolierte Backup im Ernstfall nicht weiter.

3 Maßnahmen für eine belastbare Backup-Isolierung

• Pull-Prinzip statt Push-Backup einrichten: Konfigurieren Sie Ihren sekundären Backup-Standort (z. B. mit Proxmox Backup Server) so, dass der isolierte Speicher die Sicherungsdaten aktiv abholt und alle eingehenden Netzwerkports zum Backup-Tresor per Firewall blockiert sind.
• Fernwartungsschnittstellen (Out-of-Band) strikt abkoppeln: Trennen Sie Management-Interfaces (iDRAC, iLO, IPMI) physisch vom regulären Firmennetz und sichern Sie den Zugriff über separate Konten und FIDO2-Hardware-Token ab.
• WORM-Schutz mit regelmäßigen Restore-Tests verbinden: Kombinieren Sie die Netztrennung mit unveränderbaren Dateisystem-Sperren (Immutability) und proben Sie den Wiederanlauf vierteljährlich in einer isolierten Testumgebung.

**Verweise auf Gesetzestexte, Paragrafen (u. a. DSGVO, NIS-2, EU AI Act, DORA, GoBD, BetrVG) und Compliance-Normen dienen ausschließlich der unverbindlichen technischen Fachinformation für IT-Entscheider. Sie stellen keine Rechtsberatung nach dem Rechtsdienstleistungsgesetz (RDG) dar; für eine rechtsverbindliche Beurteilung Ihrer spezifischen Unternehmensorganisation konsultieren Sie bitte Ihren Rechtsbeistand oder Datenschutzbeauftragten.