Immutable Backup und Sperrfristen

Was ist ein unveränderbares Backup?

Ein unveränderbares (englisch: immutable) Backup ist eine Sicherung, die nach dem Schreiben für einen definierten Zeitraum weder verändert noch gelöscht werden kann. Technisch beruht das Prinzip auf dem Gedanken „Write Once, Read Many“ (WORM): Daten dürfen einmal geschrieben und beliebig oft gelesen, aber nicht überschrieben werden. Der Zeitraum, in dem diese Sperre gilt, heißt Sperrfrist oder Aufbewahrungssperre (englisch: retention lock).

Wichtig ist die Abgrenzung zum gewöhnlichen Backup. Ein gewöhnliches Backup liegt auf einem Speicher, den ein berechtigtes Konto beschreiben und leeren kann. Wer dieses Konto kontrolliert, kontrolliert auch die Sicherungen. Bei einem unveränderbaren Backup ist diese Möglichkeit für die Dauer der Sperrfrist ausgeschlossen, und zwar unabhängig davon, welche Rechte das handelnde Konto sonst besitzt. Die Sperre wird vom Speichersystem durchgesetzt und nicht von der Backup-Software allein.

Warum Angreifer es auf Ihre Sicherungen abgesehen haben

Moderne Ransomware-Angriffe verlaufen häufig mehrstufig. Nach dem ersten Zugang verschaffen sich Angreifer erweiterte Rechte, erkunden das Netz und suchen gezielt nach Backup-Systemen. Erst danach beginnt die Verschlüsselung der Produktivdaten. Der Gedanke dahinter ist nachvollziehbar: Wer die Sicherungen löscht oder unbrauchbar macht, nimmt dem Opfer die wichtigste Alternative zur Zahlung einer Forderung.

Gefährdet sind dabei nicht nur Sicherungen auf Speichern im selben Netz. Auch ein Cloud-Speicher ist angreifbar, wenn die Zugangsdaten der Backup-Verwaltung entwendet werden oder ein Administratorkonto kompromittiert ist. Daneben gibt es harmlosere Ursachen, die denselben Schaden anrichten: ein Skript mit falschem Pfad, eine fehlerhafte Bereinigungsregel, die Sicherungsstände vorzeitig entfernt, oder ein Administrator, der versehentlich den falschen Speicher leert.

Aus Sicht eines Bedrohungsmodells ist die Sperrfrist daher eine Maßnahme gegen mehrere Ereignisse zugleich: gegen böswilliges Löschen, gegen Fehlbedienung und gegen fehlerhafte Automatisierung. Sie verändert die Ausgangslage grundlegend, denn selbst ein Angreifer mit Administratorrechten kann die gesperrten Sicherungsstände in der Regel nicht mehr entfernen.

Wie funktionieren Sperrfristen technisch?

Das Prinzip wird je nach Speichersystem unterschiedlich umgesetzt und benannt. Häufig begegnen Ihnen die Begriffe Object Lock, unveränderbarer Speicher oder Retention Lock. Allen gemeinsam ist, dass beim Schreiben eines Objekts ein Ablaufzeitpunkt hinterlegt wird. Bis zu diesem Zeitpunkt lehnt das Speichersystem jeden Versuch ab, das Objekt zu überschreiben oder zu löschen.

Bei vielen Objektspeichern lassen sich zwei Betriebsarten unterscheiden, auch wenn die Namen variieren. In der weniger strengen Variante können besonders berechtigte Konten die Sperre unter Auflagen aufheben. In der strengen Variante ist das für niemanden möglich, auch nicht für den Betreiber des Speicherkontos, bis die Frist abgelaufen ist. Die strenge Variante bietet den höheren Schutz, macht aber Fehler bei der Konfiguration unumkehrbar: Eine zu lang gewählte Frist lässt sich nicht verkürzen.

Welche Betriebsarten zur Verfügung stehen, hängt vom Speicherziel ab. Auf unterstützten Zielen können Sie mit der Plattform Backups für einen festgelegten Zeitraum vor Löschung und Änderung sperren. Ob Ihr gewünschtes Ziel dazu gehört und welche Variante dort greift, klären Sie vor dem Einsatz.

Immutable, offline, air-gapped: Was ist der Unterschied?

In der Praxis werden mehrere Begriffe vermischt, die unterschiedliche Schutzmechanismen beschreiben. Eine saubere Trennung hilft bei der Auswahl.

• Unveränderbar (immutable): Die Sicherung ist online erreichbar, aber für den Schreib- und Löschzugriff gesperrt. Die Wiederherstellung ist ohne manuelle Zwischenschritte möglich.
• Offline: Das Medium ist zum Zeitpunkt eines Angriffs nicht verbunden, etwa ein Band oder eine externe Festplatte im Schrank. Der Schutz beruht auf fehlender Erreichbarkeit. Wiederherstellung und Rotation erfordern manuellen Aufwand.
• Logisch isoliert: Die Sicherung liegt in einer getrennten Umgebung mit eigenen Zugangsdaten, sodass ein Angreifer im Produktivnetz sie nicht ohne Weiteres erreicht.
• Air-gapped: Es besteht keine dauerhafte Netzverbindung. Der Begriff wird teils sehr unterschiedlich gebraucht, daher lohnt es sich, im Einzelfall nachzufragen, was damit konkret gemeint ist.

Was eine Sperrfrist nicht leistet

Unveränderbarkeit ist ein starkes Element, aber kein Allheilmittel. Wer sie als vollständigen Schutz versteht, übersieht Lücken, die in der Praxis regelmäßig auftreten:

• Zeitliche Lücke: Gesperrt ist nur, was bereits gesichert wurde. Änderungen seit der letzten Sicherung fehlen. Das Sicherungsintervall bestimmt weiterhin den möglichen Datenverlust, siehe RPO und RTO einfach erklärt.
• Kompromittierte Quelle: Wird Schadsoftware oder ein bereits verschlüsselter Datenbestand gesichert, ist er auch im gesperrten Stand enthalten. Die Sperre bewahrt den Inhalt unverändert, ob gut oder schlecht.
• Verwaltungsebene: Die Sperre schützt die gespeicherten Daten. Sie schützt nicht automatisch vor der Löschung von Backup-Plänen, vor geänderten Einstellungen oder vor dem Entzug von Zugriffsrechten. Wer die Pläne ändert, kann zwar keine gesperrten Stände löschen, aber unter Umständen künftige Sicherungen verhindern.
• Vertraulichkeit: Unveränderbar heißt nicht vertraulich. Der Schutz vor unbefugtem Lesen ist eine andere Aufgabe und gehört in das Konzept für Verschlüsselung und Zugriffsrechte.
• Ablauf der Frist: Nach Ende der Sperrfrist gilt der Schutz nicht mehr. Wird ein Angriff erst nach Ablauf bemerkt, sind die sauberen Stände möglicherweise nicht mehr gesperrt oder bereits entfernt.

Wie lang sollte die Sperrfrist sein?

Eine allgemeingültige Zahl gibt es nicht. Die Frist ergibt sich aus der Frage, wie lange es dauern kann, bis ein Schaden bemerkt wird, und wie lange Sie zurückgehen können müssen. Ein Angriff wird nicht immer sofort sichtbar: Zwischen dem ersten Zugriff und der Verschlüsselung kann Zeit vergehen, und manche Datenfehler fallen erst bei der nächsten Auswertung auf. Die Sperrfrist muss mindestens so lang sein, dass ein sauberer Stand aus der Zeit vor dem Ereignis noch geschützt vorhanden ist.

Zur Veranschaulichung ein konstruiertes Beispiel, das keine Empfehlung für bestimmte Werte darstellt: Ein Unternehmen sichert täglich und sperrt jeden Stand für zwei Wochen. Bemerkt es eine Manipulation nach drei Wochen, ist der letzte unbeschädigte Stand zwar noch vorhanden, aber nicht mehr gesperrt. Er hätte in der Zwischenzeit gelöscht oder verändert werden können. Wäre die Frist auf sechs Wochen gesetzt, bliebe er geschützt. Dem steht der Preis gegenüber: Je länger gesperrt wird, desto mehr Speicher ist belegt und bleibt auch dann belegt, wenn Sie einen Stand nicht mehr benötigen.

Praktisch hat es sich bewährt, die Sperrfrist nicht für alle Daten einheitlich zu wählen. Geschäftskritische Systeme, deren Verlust den Betrieb gefährdet, verdienen längere Fristen als Testumgebungen. Eine Staffelung, bei der neue Stände kurz und ausgewählte Stände länger gesperrt werden, kann Kosten und Schutz ausbalancieren.

Kosten, Löschpflichten und Aufbewahrung

Gesperrte Sicherungen verursachen Speicherkosten, die sich nicht durch vorzeitiges Löschen senken lassen. Planen Sie deshalb den Speicherbedarf über die gesamte Frist und berücksichtigen Sie, dass sich bei täglichen Sicherungen mehrere Stände überlappen. Die Kosten für den Speicher richten sich nach der gültigen Preisliste.

Zusätzlich entsteht ein Spannungsfeld mit Löschpflichten. Enthalten Sicherungen personenbezogene Daten, kann es Konstellationen geben, in denen diese Daten gelöscht werden müssen, während die Sicherung noch gesperrt ist. Ob und wie das im Einzelfall zu lösen ist, etwa durch angemessen kurze Fristen und dokumentierte Verfahren, ist eine rechtliche Frage, die Sie mit Ihrer Datenschutzberatung klären. Wir geben dazu keine Rechtsberatung.

Ebenso wenig sollte Unveränderbarkeit mit Nachweisfähigkeit gleichgesetzt werden. Ein unveränderbarer Speicher kann Teil eines Konzepts für Aufbewahrung und Nachweis sein, erfüllt aber für sich genommen keine gesetzlichen oder vertraglichen Anforderungen an Archivierung. Backup und Archivierung verfolgen unterschiedliche Ziele, siehe Backup oder Archivierung?.

Der Zugang zur Backup-Verwaltung bleibt der kritische Punkt

Eine Sperrfrist ist nur so wirksam wie die Umgebung, die sie konfiguriert. Wer das Administratorkonto der Backup-Plattform übernimmt, kann zwar bei strenger Sperre keine gesperrten Stände löschen. Er kann jedoch neue Sicherungen deaktivieren, Fristen für künftige Stände verkürzen, Verschlüsselungseinstellungen ändern oder Wiederherstellungen auf unerwünschte Ziele lenken. Die Absicherung des Zugangs gehört deshalb unmittelbar zum Thema Unveränderbarkeit.

Bewährt haben sich unter anderem die folgenden Maßnahmen: Mehr-Faktor-Authentifizierung für alle Verwaltungskonten, Zugangsdaten, die von denen der Produktivumgebung getrennt sind, Rechte nach dem Minimalprinzip, sodass nur wenige Personen Pläne und Fristen ändern dürfen, sowie Benachrichtigungen bei Änderungen an Plänen und Zielen. Auch der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI) behandelt das Datensicherungskonzept in einem eigenen Baustein. Der Schutz der Sicherungen vor unbefugtem Zugriff und Manipulation ist ein selbstverständlicher Bestandteil eines solchen Konzepts.

Replikation und Georedundanz ersetzen keine Sperre

Häufig wird die Spiegelung von Daten an einen zweiten Standort mit Unveränderbarkeit verwechselt. Beides löst verschiedene Probleme. Eine Georedundanz schützt vor dem Ausfall eines Standorts, weil die Daten an einem zweiten, räumlich getrennten Ort vorliegen. Sie schützt aber nicht automatisch vor Löschung oder Fehlern, denn eine Löschung wird mitrepliziert, ebenso eine Beschädigung. Auch die optionale Spiegelung des Cloud-Speichers (in der Regel nach Berlin) ist deshalb eine Maßnahme gegen den Standortausfall und keine gegen böswilliges oder versehentliches Löschen.

Erst die Kombination beider Eigenschaften ergibt ein belastbares Bild: Eine Kopie an einem anderen Ort verringert das Standortrisiko, eine Sperrfrist verringert das Risiko durch Löschung und Manipulation. Welche von beiden Ihnen mehr nützt, hängt vom Bedrohungsmodell ab. Wer vor allem den Verlust eines Standorts fürchtet, gewichtet die Entfernung der Kopie höher. Wer sich vor Angriffen auf Konten und Verwaltung schützen will, gewichtet die Sperre höher. In den meisten Fällen sind beide Perspektiven relevant.

So setzen Sie Sperrfristen in der Praxis um

Das folgende Vorgehen hat sich für kleine und mittlere Organisationen als tragfähig erwiesen. Es lässt sich ohne tiefes Spezialwissen nachvollziehen und dokumentieren.

• Klären Sie, welche Systeme im Angriffs- oder Fehlerfall unverzichtbar sind, und beginnen Sie mit deren Sicherungen.
• Legen Sie für diese Systeme Sperrfristen fest, die zur Zeit bis zur Erkennung eines Vorfalls und zu Ihrem Aufbewahrungskonzept passen.
• Prüfen Sie, ob Ihr Speicherziel Sperrfristen unterstützt und in welcher Betriebsart. Dokumentieren Sie die Entscheidung.
• Sichern Sie die Backup-Verwaltung mit Mehr-Faktor-Authentifizierung, getrennten Zugangsdaten und minimalen Rechten ab.
• Kombinieren Sie die Sperre mit weiteren Elementen, etwa einer zweiten Kopie an einem anderen Ort nach der 3-2-1-Regel.
• Testen Sie die Wiederherstellung aus einem gesperrten Stand und halten Sie die Dauer fest, siehe Restore-Test.
• Überprüfen Sie das Konzept nach Änderungen an Systemen, Datenmengen und Anforderungen.

Umsetzung mit der Plattform

In der Plattform können Sie auf unterstützten Zielen Sicherungen für einen festgelegten Zeitraum vor Änderung und Löschung sperren. Der Cloud-Speicher liegt im Rechenzentrum in Frankfurt am Main, optional gespiegelt. Die Übertragung ist per TLS verschlüsselt, die Speicherung ebenfalls, optional zusätzlich pro Backup-Archiv. Sicherungen lassen sich außerdem validieren, damit nicht erst im Ernstfall auffällt, dass ein Stand unbrauchbar ist. Details finden Sie unter Cloud-Speicher.

Die Sperrfristen ersetzen weder Ihre Zugriffskonzepte noch die Wiederherstellungstests. Auch die Entscheidung, welche Fristen zu Ihrer Situation passen, treffen Sie. Wenn Sie dabei Unterstützung wünschen, bieten wir sie gegen Vergütung an.