Unveränderbare Backups: Schutzgrenzen und Wiederherstellung prüfen

Ein erfolgreicher Sicherungslauf beantwortet noch nicht, ob jemand die Sicherung vorzeitig löschen kann. Unveränderbarkeit, auch Immutability genannt, beschränkt Änderungen oder Löschungen geschützter Daten nach den Regeln des Speichers. Ihr Nutzen wird besonders deutlich, wenn ein Angreifer oder ein falscher Eingriff auch die Backup-Verwaltung erreicht.

Für Unternehmen geht es nicht um den Kauf eines Etiketts „ransomware-proof“. Entscheidend ist, welche Kopien wie lange geschützt sind, wer Einstellungen ändern kann und ob sich eine Anwendung wiederherstellen lässt. Der Vergleich erläutert Prinzipien anhand von Amazon S3 und Azure Backup; deren Einstellungen sind nicht austauschbar.

Wovor die Sperre schützen soll

WORM bedeutet write once, read many: einmal schreiben und wiederholt lesen, wobei die geschützte Version während der Schutzdauer normalerweise nicht überschrieben oder entfernt werden kann. Ausnahmen und Befugnisse hängen von Produkt und Modus ab. Unveränderbarkeit ist nicht gleichbedeutend mit Verschlüsselung, Netztrennung oder geprüfter Wiederherstellbarkeit.

Wir empfehlen, mit dem zu lösenden Problem zu beginnen. Ein Administrationsfehler, ein kompromittiertes Backup-Konto und der Verlust eines Standorts sind unterschiedliche Szenarien. Eine Einstellung löst möglicherweise nicht alle. Zum Entwurf gehören deshalb getrennte Zugriffe und eine gesonderte Prüfung der Verfügbarkeit benötigter Schlüssel.

Bei S3 zählen Modus und Objektversion

Amazon S3 Object Lock schützt Objektversionen und setzt Versionierung voraus. Im Governance-Modus lässt sich der Schutz mit einer besonderen Berechtigung umgehen. Im Compliance-Modus kann während der Aufbewahrungsfrist der Schutz nicht verkürzt und die geschützte Version nicht durch gewöhnliche Benutzeroperationen gelöscht werden, auch nicht durch den Root-Benutzer des Kontos.

Das ist keine Aussage über absolute Unzerstörbarkeit, sondern die Grenze eines konkreten Mechanismus. Fragen Sie bei einer Prüfung deshalb nicht nur, ob ein Bucket „gesperrt“ ist, sondern welcher Modus und welches Schutzdatum für die tatsächliche Backup-Objektversion gelten. Eine neue Version mit demselben Namen ist nicht automatisch dieselbe geschützte Kopie.

Die betrieblichen Bedingungen von S3 müssen zusammen mit Objektlebenszyklus und Backup-Werkzeug bewertet werden. Eine ähnliche unterstützte API allein beweist keine Kompatibilität.

In Azure unterscheiden sich Aktivierung und Sperrung

Bei einem unveränderbaren Azure Backup Vault ist die bloße Aktivierung der Unveränderbarkeit reversibel. Der Zustand enabled and locked lässt sich nicht deaktivieren. Vor dem Sperren sind Auswirkungen auf Aufbewahrung und geplante Betriebsaufgaben zu prüfen.

Die Unterstützung hängt auch von Vault-Typ, Workload und regionaler WORM-Verfügbarkeit ab. Die Unveränderbarkeit des Vaults umfasst nicht sämtliche operational backups. Leiten Sie daraus nicht ab, dass jede Kopie eines beliebigen Azure-Dienstes automatisch denselben Schutz erhält.

Der separate Mechanismus Soft Delete verschiebt die endgültige Löschung und erlaubt die Wiederherstellung innerhalb der jeweiligen Schutzfrist. Er darf nicht mit einer Unveränderbarkeitssperre verwechselt werden. Verlangen Sie die genaue Schutzart statt nur eines grünen Status.

Ein Modelltest mit einer nicht produktiven Sicherung

Angenommen, ein Unternehmen möchte eine ausgewählte Testkopie 30 Tage aufbewahren. Das ist eine Beispielanforderung, keine empfohlene gesetzliche oder allgemeingültige Frist. In einer isolierten Testumgebung wird eine Sicherung ohne personenbezogene Daten erstellt; Kennung, Zeitpunkt und Schutzende werden festgehalten.

Anschließend prüft die Administration die Einstellung an der tatsächlich gespeicherten Kopie und stellt sie in einem getrennten Ziel wieder her. Erst ein geplanter Test mit eindeutig festgelegten Berechtigungen soll zeigen, ob das Produkt eine unzulässige vorzeitige Löschung ablehnt. Führen Sie dies weder an der einzigen Produktionssicherung noch ohne Zustimmung der Datenverantwortlichen durch.

Erfolg hat zwei Bestandteile: Der Schutz verhält sich gemäß gewähltem Modus, und der wiederhergestellte Inhalt ist nutzbar. Dazu gehört das Öffnen der Daten oder ein Anwendungstest, nicht nur eine Datei im Verzeichnis. Scheitert einer der Teile, löst die Sperre allein das Problem nicht.

Was teuer werden oder ungeschützt bleiben kann

Längere Aufbewahrung bedeutet, dass geschützte Kopien nicht wie temporäre Dateien behandelt werden können. Vor einer endgültigen Sperrung muss das Unternehmen Datenmenge, erwartetes Wachstum und Finanzierung des Speichers klären. Dieser Artikel nennt keinen Preis: Er hängt von Dienst, Region und Nutzung ab.

Die Betriebsvereinbarung sollte auch Zuständigkeit für Wiederherstellung und Schlüsselzugriff festlegen. Gesperrter, aber unlesbarer Inhalt hilft wenig. Der Schutz einer alten Kopie ersetzt ebenso wenig die Kontrolle, ob neue Sicherungen entstehen. Das Monitoring soll fehlgeschlagene Sicherungen, fehlenden Schutz und gescheiterte Wiederherstellungstests unterscheiden.

Die Entscheidung vor dem unumkehrbaren Schritt

Lassen Sie sich vor der Freigabe eine konkrete geschützte Kopie, Modus, Fristende und Wiederherstellungsergebnis zeigen. Vereinbaren Sie dann Berechtigungen und betriebliche Folgen. Das ist unser praktischer Entscheidungsrahmen, kein universeller Herstellerablauf für jedes Produkt.

Im Rahmen der Cloud- und Backup-Dienste kann Yenwa den Schutz vorhandener Kopien prüfen und einen isolierten Wiederherstellungstest vorbereiten. Beginnen lässt sich mit einer wichtigen Anwendung und der Frage, wer ihre Sicherung löschen oder verändern kann.