Lesen Sie die Garantie, nicht das Versprechen

Was vier Ransomware-Garantien tatsächlich zahlen, und was vorher wahr sein muss

Management Summary

Ausgangslage

Situation. Wiederherstellungsgarantien gegen Ransomware gehören inzwischen zum Standardrepertoire von Sicherheits- und Backup-Anbietern, mit beworbenen Obergrenzen zwischen 50.000 und 10 Millionen US-Dollar. Sie werden als Vertrauen in das eigene Produkt vermarktet und zunehmend als Risikotransfer gelesen.

Komplikation. Die beworbene Obergrenze ist in jedem untersuchten Fall ein bedingtes Maximum, und die Bedingungen stehen getrennt von der Zahl, sofern sie überhaupt veröffentlicht sind. Zwei der vier untersuchten Anbieter machen den tatsächlichen Vertrag öffentlich. Zwei nicht.

Frage. Was zahlen diese Garantien, an wen, unter welchen Bedingungen, und was sollte ein Käufer prüfen, bevor er eine davon als risikomindernde Maßnahme führt?

Kernbefunde

1. Der beworbene Höchstbetrag ist eine Funktion der Ausgaben, nicht des Schadens. Druva veröffentlicht seine Staffeltabelle: Die beworbenen 10 Millionen Dollar setzen Jahresgebühren von mindestens einer Million Dollar voraus. Wer 100.000 Dollar im Jahr zahlt, ist bei 750.000 gedeckelt. Und deshalb? Die Zahl, die im Risikoregister landet, liegt für einen mittelständischen Käufer um den Faktor 13 über der Zahl im Vertrag. Der richtige Wert ist ermittelbar, und es ist nicht der aus der Überschrift.

2. Alle vier erstatten Aufwand, nicht Verlust. Halcyon deckt „recovery services“, Rubrik „expenses related to the recovery and restoration of data“, Druva „solely (and to the exclusion of all other fees, expenses, losses, settlements and damages) the reasonable and necessary fees and expenses to restore, recover, or recreate Customer Data“. Und deshalb? Betriebsunterbrechung, Umsatzausfall, Bußgelder, Anwaltskosten und externe Berater bleiben beim Unternehmen. Das sind genau die Posten, die einen Ransomware-Vorfall teuer machen.

3. Der Anspruch hängt an Betriebsdisziplin, die durchgehend gehalten und erst nach dem Vorfall geprüft wird. NetApp verlangt den aktuellen Patch „within 60 days of availability“ und durchgehend aktiviertes AutoSupport. Druva verlangt Mehrfaktor-Authentisierung auf allen Konten, IP-Whitelisting, einen binnen 90 Tagen bestandenen Health Check, ein Zielsystem „free of any malware, bugs, back-doors“ und die Meldung „within twenty-four (24) hours of the Discovery Time“. Und deshalb? Das sind Bedingungen, die im Normalbetrieb lautlos verfallen. Der Verfall fällt niemandem auf, bis der Anspruch geltend gemacht wird, also im denkbar schlechtesten Moment.

4. Die Transparenz verläuft entgegengesetzt zur Stärke der Behauptung. NetApp macht das kühnste Versprechen, „NO DATA LOSS – GUARANTEED“, und ist der einzige Anbieter, der den widersprechenden Satz veröffentlicht: „The Guarantee is not a commitment by NetApp that Customer will experience zero data loss.“ Rubrik wirbt mit der größten Zahl und veröffentlicht den Vertrag nicht, aus dem ein Käufer seinen eigenen Betrag berechnen könnte. Und deshalb? Veröffentlichte Bedingungen machen einen Anbieter prüfbar. Unveröffentlichte sind kein Urteil über den Anbieter, aber eine Frage, die vor der Unterschrift gestellt werden muss und nicht nach dem Vorfall.

5. Keines dieser Instrumente ist eine Versicherung, und zwei sagen das ausdrücklich. Halcyon zieht die Grenze selbst; NetApps Bedingungen halten fest, die Garantie „does not constitute insurance or an insurance contract, and does not take the place of insurance“. Und deshalb? Eine Garantie als Risikotransfer zu führen überzeichnet die Restposition. Sie senkt weder die Prämie noch die Gefährdung.

Zentrale Empfehlungen

Fazit

Diese Garantien sind nicht wertlos, und die Anbieter stellen sie nicht falsch dar. Es sind Leistungszusagen mit Obergrenzen, Bedingungen und Ausschlüssen, und als solche geführt sind sie nützlich. Die zehn Minuten für die Bedingungsseite sind die ertragreichste Lektüre im gesamten Beschaffungsprozess.

Marktüberblick

Vier Anbieter, vier Instrumente, eine gemeinsame Bauform.

Die Spanne sieht nach einem Markt mit deutlich unterschiedlichen Angeboten aus. Gelesen gegen die zugrunde liegenden Dokumente schrumpfen die Unterschiede erheblich, denn drei der vier Zahlen sind Obergrenzen, die die meisten Kunden nicht erreichen, und alle vier Instrumente erstatten dieselbe enge Kostenkategorie.

Anbieter über die Werbezahl zu vergleichen vergleicht Marketingentscheidungen, nicht Deckung. Die vergleichbare Größe ist der Deckel, der für die eigenen Ausgaben und die eigene Konfiguration gilt, und für zwei dieser vier lässt er sich aus öffentlichen Dokumenten überhaupt nicht bestimmen.

Befund 1: Die Zahl hängt daran, was Sie ausgeben

Druva ist der einzige Anbieter im Feld, der die Rechnung veröffentlicht. Abschnitt 4 des Data Resiliency Guarantee Agreement (V.3, 21. Februar 2023) legt den Deckel nach annualisierten Abonnementgebühren fest:

Der beworbene Höchstbetrag setzt voraus, dass der Kunde eine Million Dollar im Jahr ausgibt. Nach unten gibt es ebenfalls eine Grenze: unter 25.000 Dollar jährlich greift die Garantie gar nicht, und das Abonnement muss mindestens 36 Monate laufen.

Rubrik formuliert dasselbe Prinzip ohne die Zahlen. Auf der Seite steht „$10M“ in großer Schrift und darunter klein: „Maximum warranty available dependent on volume of data protected. Refer to warranty agreement for more information.“ Der Vertrag ist nicht veröffentlicht. Ein Käufer kann seinen eigenen Betrag aus nichts berechnen, was Rubrik öffentlich macht.

Diese Asymmetrie verlangt Sorgfalt statt Vorwurf. Rubriks realer Betrag ist von außen nicht bestimmbar, und genau deshalb sollte er vor der Unterschrift schriftlich erfragt werden. Als niedrig unterstellen sollte man ihn nicht.

Befund 2: Aufwand, nicht Verlust

Die Formulierungen zum Deckungsumfang ähneln sich bei allen vier bemerkenswert, und sie sind enger, als das Marketing nahelegt.

Druva ist am ausdrücklichsten, und die Ausschlussliste ist der nützliche Teil. Erstattungsfähig sind „the reasonable and necessary fees and expenses to restore, recover, or recreate Customer Data“, ausdrücklich nicht: Lösegeldzahlungen, Wiederherstellungsversuche Dritter auf einer Druva-Plattform, die Kosten für den Wiederaufbau von Umgebungen, die nicht zu Druva repliziert wurden, Anwaltshonorare oder Honorare externer Berater und Gutachter.

Dazu kommt eine Verfahrensbedingung, die leicht zu übersehen und unter Vorfallbedingungen schwer einzuhalten ist: Kosten qualifizieren nur, wenn sie „incurred by Customer after obtaining Druva’s prior written approval to procure such services“ entstehen und an einen Dritten gehen, der „pre-approved in writing by Druva“ ist.

In den Stunden nach einem Vorfall ruft eine Organisation die Einsatzkräfte an, die sie unter Vertrag hat. Nach dieser Klausel kann genau das die Kosten aus der Garantie schieben, wenn die schriftliche Vorabgenehmigung fehlt. Das ist eine Änderung am Notfallhandbuch, keine Vertragsfußnote.

Befund 3: Die Bedingungen laufen durchgehend und werden erst im Anspruchsfall geprüft

NetApps Bedingungen knüpfen die Anspruchsberechtigung an Patch-Disziplin („within 60 days of availability“), an durchgehend aktiviertes AutoSupport und an einen Betrieb streng nach Dokumentation. Jede Abweichung lässt die Garantie entfallen. Die Laufzeit selbst beträgt zwölf Monate ab einem Validierungsdatum, und jedes weitere Jahr verlangt eine neue kostenpflichtige Professional-Services-Beauftragung.

Druvas Anforderungskatalog liest sich wie eine Kontrollbasislinie: Mehrfaktor-Authentisierung auf allen Benutzerkonten, SSH-Schlüsselauthentisierung mit passphrasengeschützten Schlüsseln für die Kommandozeile, Rollen nach dem Least-Privilege-Prinzip, Verschlüsselung im Transport und im Ruhezustand, IP-Whitelisting mit Beschränkung auf kundeneigene Netze, aktivierter Data Lock sowie ein in den ersten 90 Tagen bestandener Health Check. Der Kunde muss außerdem zusichern, dass die Systeme, auf die zurückgesichert wird, „free of any malware, bugs, back-doors or other malicious code“ sind.

Dann die Uhr: Meldung „within twenty-four (24) hours of the Discovery Time“ über ein bestimmtes Formular, Erstattungsantrag binnen zwei Monaten nach der Bestätigung.

Jede dieser Bedingungen kann verfallen, ohne dass es jemand bemerkt: eine MFA-Ausnahme für ein Dienstkonto, ein während eines Change Freeze verschobener Patch, eine im Rahmen einer Migration erweiterte Firewall-Regel. Geprüft wird die Garantie nicht, wenn sie verfällt. Geprüft wird sie in der schlimmsten Woche seit Jahren.

Befund 4: Der transparenteste Anbieter macht die kühnste Behauptung

NetApp titelt „NO DATA LOSS – GUARANTEED“. Die veröffentlichten Bedingungen halten fest: „The Guarantee is not a commitment by NetApp that Customer will experience zero data loss.“

Beide Sätze stammen von NetApp. Der zweite ist nicht versteckt, er steht in einem öffentlichen Dokument, das von der ersten Seite aus verlinkt ist. Dasselbe Dokument legt offen, dass nur neu gekaufte Systeme qualifizieren („Eligible Arrays do not include Customer’s existing systems or arrays“), dass SAN-Workloads vollständig aus den qualifizierenden Workloads ausgeschlossen sind und dass die Wiederherstellung „does not guarantee that data within the Snapshot may not be corrupted or encrypted prior to being vaulted“.

Der letzte Ausschluss ist der technisch entscheidende. Ransomware-Akteure halten sich regelmäßig wochenlang in einer Umgebung auf, bevor sie die Verschlüsselung auslösen. Eine Garantie, dass der Snapshot wiederherstellbar ist, ohne jede Zusage über seinen Inhalt, adressiert den Mechanismus der Wiederherstellung und nicht ihr Ergebnis.

Veröffentlichung ist damit das Unterscheidungsmerkmal, das in einer Anbieterbewertung belohnt gehört. NetApps Behauptung ist die am stärksten überzeichnete der vier und seine Offenlegung die vollständigste, weshalb sie sich beurteilen lässt. Diese Kombination ist einer bescheidenen Behauptung ohne veröffentlichte Bedingungen vorzuziehen.

Befund 5: Keine Versicherung, und zwei Anbieter sagen es

Halcyon zieht die Grenze selbst: „Cyber insurance policies provide financial protection against a wide range of cyber risks through complex underwriting and claims processes. The Halcyon Ransomware Warranty is different.“

NetApps Bedingungen sind ebenso deutlich: Die Garantie „is not intended to constitute an offer to insure, does not constitute insurance or an insurance contract, and does not take the place of insurance obtained or obtainable by the Customer“.

Druvas Vertrag erhebt keinen Versicherungsanspruch und grenzt sich auch nicht davon ab. Dieses Fehlen sollte in keine der beiden Richtungen gedeutet werden.

Eine im Risikoregister als übertragenes Risiko geführte Garantie überzeichnet die Position. Sie gehört dorthin als Leistungszusage mit bekannter Obergrenze, daneben eine ausdrücklich bezifferte Restgefährdung.

Was das für die Geschäftsleitung bedeutet

Drei Folgerungen, und keine davon lautet „meiden Sie Anbieter mit Garantien“.

Die Garantie ist ein Beschaffungsartefakt, keine Sicherheitsmaßnahme. Sie ändert, wer einen Teil des Wiederherstellungsaufwands trägt. Sie ändert weder die Eintrittswahrscheinlichkeit noch die Wiederanlaufzeit. Produkt und Garantie zu bewerten sind zwei getrennte Übungen und sollten nicht zusammen laufen.

Die Bedingungen sind eine Betriebslast, die jemand tragen muss. Durchgehende MFA-Abdeckung, Patch-Fenster, ein bestandener Health Check und ein 24-Stunden-Meldeweg sind echte Pflichten. Hat sie niemand, entfällt die Garantie stillschweigend, und der erste Beleg dafür ist ein abgelehnter Anspruch.

Die Restgefährdung hat eine Zahl, und die gehört aufgeschrieben. Nehmen Sie den geltenden Deckel, ziehen Sie ihn von realistischen Vorfallkosten einschließlich Betriebsunterbrechung und Rechtsberatung ab und halten Sie die Differenz fest. Diese Zahl ist der ehrliche Inhalt der Folie, auf der derzeit „Wiederherstellung garantiert“ steht.

Empfehlungen

Übersicht für die Geschäftsleitung

Häufige Fragen

Anhang: Methodik

Art der Untersuchung. Primärdokumentenanalyse von vier Garantieangeboten.

Angewandte Rahmen. SCQA für die Rahmung sowie ein vergleichender Dokumentenabgleich über vier Anbieter, mit der jeweiligen Vertragssprache als Beleglage.

Geprüfte und verworfene Rahmen. Porter, BCG-Matrix, Wertkette und PESTEL wurden geprüft und verworfen. Diese Untersuchung betrachtet den Inhalt vertraglicher Instrumente, nicht Branchenstruktur, Portfolioallokation, Kostenstruktur oder Makroumfeld. Die Technologieadoptionskurve wurde aus demselben Grund verworfen: Verbreitungsdaten zu diesen Garantien veröffentlicht keiner der vier Anbieter.

Quellen und Qualität. Sechs Dokumente, alle am 5. September 2026 direkt abgerufen und alle in dem hier maßgeblichen Sinn erstklassig: Es sind die Instrumente selbst, nicht Beschreibungen davon. Die Interessenlage ist in keinem Fall neutral, da alle sechs Anbieterveröffentlichungen sind. Genau darauf beruht die Methode: Jeder Befund stützt sich auf die eigenen Worte eines Anbieters gegen dessen eigene Überschrift und braucht keine Bestätigung von dritter Seite.

netapp.com, docs.netapp.com und rubrik.com beantworten automatisierte Abrufe mit HTTP 403, diese Seiten wurden daher im Browser geöffnet. Druvas Vertrag wurde als PDF abgerufen und vollständig gelesen.

Konfidenz nach Abschnitt. Befunde 1 bis 5: hoch, jeder stützt sich auf wörtliche Vertragssprache. Marktüberblick: mittel, weil zwei von vier Verträgen nicht öffentlich sind und der Vergleich damit konstruktionsbedingt unvollständig bleibt.

Grenzen.

1. Vier Anbieter sind nicht der Markt. AvePoint, Dell, Veeam, Commvault und weitere bieten vergleichbare Instrumente und wurden nicht untersucht.
2. NetApps Bedingungen datieren auf Mai 2024, Druvas Vertrag auf V.3 vom 21. Februar 2023, während beide Marketingseiten aktuell sind. Neuere Fassungen können existieren, die unter den geprüften Adressen nicht veröffentlicht sind.
3. Halcyons und Rubriks vertragliche Mechanik ließ sich überhaupt nicht beurteilen, weil beide den Vertrag nicht veröffentlichen.
4. Alle Beträge sind US-Dollar und unterliegen der Währungsumrechnung, was für einen europäischen Käufer relevant ist.

Was offen bleibt. Ob eine dieser Garantien jemals ausgezahlt hat, in welcher Höhe und wie oft Ansprüche abgelehnt werden. Kein Anbieter veröffentlicht Schadendaten, und keines der vier Dokumente verpflichtet ihn dazu.

Eine bewusst nicht verwendete Zahl. Halcyons Seite eröffnet mit „an average of 22 days to restore operations after a ransomware attack“ und nennt weder Studie noch Stichprobe noch Datum. Die Zahl mag zutreffen. Sie ist kein Beleg, solange die Quelle nicht gelesen ist, und sie zu wiederholen würde genau den Fehler reproduzieren, um den es in diesem Artikel geht. Aus demselben Grund bleiben in der Sekundärberichterstattung kursierende Terabyte-Staffeln für Rubrik ein Rechercheansatz und werden nicht verwendet.

Anlass zur Fortschreibung. Erneut prüfen, sobald ein Anbieter seine Bedingungen überarbeitet, und auf die unter Grenze 1 genannten Anbieter ausweiten.

Quellen

1. NetApp, Marketingseite zur Ransomware Recovery Guarantee. Abgerufen am 5. September 2026.
2. NetApp, Ransomware Recovery Guarantee Terms and Conditions, datiert Mai 2024. Abgerufen am 5. September 2026.
3. NetApp, Dokumentation zu ONTAP Autonomous Ransomware Protection. Abgerufen am 5. September 2026.
4. Halcyon, Seite zur Plattformgarantie. Abgerufen am 5. September 2026.
5. Rubrik, Seite zur Ransomware Recovery Warranty. Abgerufen am 5. September 2026.
6. Druva, Data Resiliency Guarantee Agreement, V.3, 21. Februar 2023. Abgerufen am 5. September 2026.