Clean Room, Identity Auditing und die „Minimum Viable Company“: Christian Kubik erklärt, wie Commvault die Wiederherstellung nach Angriffen verkürzen will – und was das für DACH-Unternehmen und Partner bedeutet.
Ein Backup allein beantwortet nicht die Frage, die nach einem Ransomware-Angriff entscheidet: Wie schnell kann ein Unternehmen wieder arbeiten? Commvault reagiert darauf, indem es sich als Anbieter für Cyber Resilience neu positioniert – mit Identitäten als neuem Schwerpunkt der Roadmap. Im Gespräch auf der it-sa erläuterte Christian Kubik, Director Sales Engineering DACH @ Commvault, wo der Hersteller bei DACH-Unternehmen die größten Lücken sieht.
Resilienz als dauerhafter Kreislauf
KI-gestützte Angriffe müssten nicht das gesamte Unternehmen treffen, um Schaden anzurichten, so Kubik. Commvault spricht deshalb von „Resilience Operations“ (ResOps) und von einer „Minimum Viable Company“ (MVC). Dabei geht es um dem Kern an Prozessen, der zuerst wiederhergestellt werden muss. Was dazugehört, müsse jedes Unternehmen selbst entscheiden. Resilienz sei ein ständiger Kreislauf, denn IT verändere sich laufend, eine einmalige Übung funktioniere nicht. Schon eine Migration zu Microsoft 365 verändere die Anforderungen an die Wiederherstellung.
Prävention helfe nur begrenzt, sagt Kubik. Angreifer könnten Zugänge kaufen, KI-generiertes Phishing nutzen oder sich nach Drive-by-Downloads einloggen. Zugleich vervielfachten sich die Identitäten: Das Verhältnis von KI-Agenten- zu menschlichen Identitäten bezifferte er auf 144 zu 1. Im klassischen Fall verlassen Daten das Unternehmen in weniger als einer Minute. Backup-Software könne das nicht verhindern, aber helfen zu analysieren, was passiert ist.
Identitäten rücken in den Fokus
Commvault erweitert deshalb seine Plattform. Das Auditing für Active Directory sei allgemein verfügbar, so Kubik, Entra ID, Okta und KI-gestützte Hinweise sollen folgen. Die Pressemitteilung benennt drei Bausteine: kontinuierliches Erkennen von Änderungen an Identitäten, Rechten und Konfigurationen in Active Directory, Entra ID und Okta; ein „Tier-0“-Inventar, das die am höchsten privilegierten Identitätsressourcen identifiziert und zeigt, wer sie kontrolliert; sowie KI-gestützte Vorschläge, die erklären, warum Risiken bestehen, unerwünschte Änderungen zurücksetzen und vertrauenswürdige Identitätskonfigurationen wiederherstellen. Anbieterübergreifende Identitätsaudits und die Analyse von Identitätsangriffen sollen als Teil von Commvault IDRecover in den kommenden Quartalen für den Early Access verfügbar sein.
Pranay Ahlawat, Chief Technology & AI Officer, sagt, Angreifer müssten nicht jedes System einzeln attackieren; es reiche, die Identitäten zu kompromittieren, die diese Systeme kontrollieren, und KI-Agenten sowie nicht-menschliche Identitäten verstärkten das Risiko. Commvault verweist auf eine Strata-Umfrage, wonach 80 Prozent der Großunternehmen mehrere Identity-Provider nutzen. IDC-Analyst Emanuel Figueroa zufolge haben nur 47 Prozent der Organisationen einen vollständigen Plan zur Identitätswiederherstellung. Wer die Angriffskette durchbreche, beende eine Attacke, nicht aber ihre Folgen: Geänderte Rechte, Gruppenmitgliedschaften, Richtlinien und Vertrauensbeziehungen könnten nach dem Entzug des Zugriffs fortbestehen. Wiederherstellung werde daher zunehmend zu einem eigenständigen Kaufkriterium.
Clean Room mit Air Gap
Commvault bezeichnet sich als ersten Anbieter mit einem Clean-Room-Angebot. Zunächst lag der Fokus auf der Cloud; mit der europäischen Nachfrage nach Souveränität folgten On-Premises-Optionen mit Air Gap. Als schlimmsten Fall nennt Kubik einen Firmware-Angriff. In Commvault Flex werden Daten per Replikation aus dem unsicheren Netz in die abgeschottete Umgebung gezogen und auf Schadsoftware geprüft. Threat Intelligence ist integriert, ebenso Werkzeuge von CrowdStrike, Palo Alto Networks, Microsoft Defender und Cisco; für weitere Sicherheitsanbieter stehen dokumentierte APIs bereit.
Üben ist wichtig, weil sich komplexe Landschaften nicht von Hand wiederherstellen lassen. Commvault geht davon aus, dass Großunternehmen 40 oder mehr Wiederherstellungen bewältigen müssen, im Schnitt 28 Tage, so Kubik. Anwendungen müssten oft neu aufgebaut statt nur zurückgespielt werden, und Abhängigkeiten zwischen Cloud und On-Premises-Systemen seien in der richtigen Reihenfolge aufzulösen. Runbook-basierte Automatisierung für Anwendungen wie SAP, Cloud-Workloads und On-Premises-Abhängigkeiten, einschließlich abgestimmter DNS-Wiederherstellung, soll das verkürzen. Eine Cyberversicherung allein reiche nicht, ergänzt er und verweist auf einen großen britischen Autohersteller, dessen Lieferkette über Monate gestört war.
Regulierung, Souveränität und Channel
Commvault hat nach eigenen Angaben sehr viele Kunden unter DORA, das die Dokumentation jedes Wiederherstellungsschritts verlangt. Das Reporting gehöre seit 20 Jahren zum Produkt, mit individuellen Berichten und Anbindung an externe Systeme; Anomalieerkennung und Threat-Scans speisen ein Security-Dashboard. Laut Kubik lassen sich mit durchgängiger Automatisierung die Anforderungen von NIS2 und DORA erfüllen, Tests blieben aber nötig. Ein 50-Terabyte-Fileserver sei angesichts der aktuellen Preiskrise bei Speicher eine Herausforderung, was effiziente Wiederherstellungsplanung auch zur Kostenfrage macht.
Beim Thema Souveränität unterschieden sich die Definitionen, sagt er. Datensouveränität lasse sich im eigenen Rechenzentrum oder in einer europäischen Cloud erreichen; Prozesssouveränität sei schwieriger, weil viele Internetprozesse außerhalb der EU liefen. Vielen Kunden genüge eine Partnerschaft mit AWS oder STACKIT und einem lokalen Betreiber. Commvault bleibe ein US-Unternehmen.
In DACH agiert der Hersteller ausschließlich mit Partnern. Dazu zählen die Distributoren ADN, TIM und Arrow sowie Sytemhäuser wie SVA und Bechtle. SaaS-Angebote gibt es zudem über Cloud-Marktplätze. Partner entwickeln eigene Services, setzen Projekte gemeinsam mit Commvault um oder lassen den Hersteller auf Wunsch Ende-zu-Ende liefern.
Die Zahlen unterstreichen die Richtung. Für das am 30. September beendete Quartal meldet Commvault einen Subscription-Umsatz von 269 Millionen US-Dollar, ein Plus von 21 Prozent, davon 106 Millionen Dollar SaaS (plus 33 Prozent). Die Subscription-ARR erreichte 1.104 Millionen Dollar, plus 20 Prozent, der Free Cashflow lag bei 71 Millionen Dollar. Zudem verweist das Unternehmen auf die neue Funktion Active Directory Pre Recover, die die saubere Wiederherstellung des Verzeichnisdienstes von Stunden auf Minuten verkürzen soll. Alle Zahlen sind Unternehmensangaben.
Kubik vergleicht den Markt mit einem Wettrüsten wie im Kalten Krieg: Angreifer und Verteidiger eskalieren weiter, eine einzelne Maßnahme entscheide nichts. Mehr dazu folgt auf der Konferenz Commvault SHIFT in Nashville/USA am 10. November.
Dr. Jakob Jung ist Chefredakteur Security Storage und Channel Germany. Er ist seit mehr als 20 Jahren im IT-Journalismus tätig. Zu seinen beruflichen Stationen gehören Computer Reseller News, Heise Resale, Informationweek, Techtarget (Storage und Datacenter) sowie ChannelBiz. Darüber hinaus ist er für zahlreiche IT-Publikationen freiberuflich tätig, darunter Computerwoche, Channelpartner, IT-Business, Storage-Insider und ZDnet. Seine Themenschwerpunkte sind Channel, Storage, Security, Datacenter, ERP und CRM.
Kontakt – Contact via Mail: jakob.jung@security-storage-und-channel-germany.de