Backup & Storage

Backup-Verschlüsselung

Overview

Backup-Verschlüsselung schützt Sicherungsdaten vor unberechtigtem Lesen, sowohl während der Übertragung (in transit) als auch auf dem Speicherziel (at rest). Sie ist besonders wichtig für ausgelagerte Bänder, Wechselmedien, Cloud- und Object-Storage-Ziele, weil diese den eigenen Kontrollbereich verlassen. Ein verlorenes, unverschlüsseltes Band ist eine Datenpanne im Sinne der DSGVO.

Verschlüsselt werden kann auf mehreren Ebenen: in der Backup-Software (z. B. Veeam mit AES-256, Azure Backup MARS-Agent mit Passphrase), im Speichersystem (BitLocker, Azure Storage Service Encryption, selbstverschlüsselnde Laufwerke), im Bandlaufwerk (LTO-Hardwareverschlüsselung ab LTO-4) und auf dem Transportweg (TLS, SMB-Verschlüsselung).

Abgrenzung: Verschlüsselung schützt die Vertraulichkeit, nicht die Verfügbarkeit. Gegen das Löschen oder erneute Verschlüsseln durch Ransomware helfen unveränderliche Sicherungen (Immutable Backup). Der BSI-Baustein CON.3 Datensicherungskonzept behandelt Verschlüsselung als Bestandteil des Sicherungskonzepts.

How it works

Die Schlüsselverwaltung entscheidet über Sicherheit und Wiederherstellbarkeit:

  1. Verschlüsselung aktivieren: pro Job, pro Repository oder auf Laufwerksebene. Die Software leitet aus einem Kennwort oder einem externen Schlüsselverwaltungssystem (KMS) die eigentlichen Datenschlüssel ab.
  2. Reihenfolge beachten: Erst komprimieren und deduplizieren, dann verschlüsseln, weil verschlüsselte Daten sich kaum noch reduzieren lassen.
  3. Schlüssel sichern: Kennwörter, Passphrasen oder KMS-Zugänge müssen getrennt vom Backup-System und ohne Abhängigkeit von der Produktivumgebung verfügbar sein. Azure Backup erlaubt etwa, die MARS-Passphrase in Azure Key Vault abzulegen.
  4. Kritische Aktionen absichern: Azure Backup schützt bei hybriden Workloads Aktionen wie das Ändern der Passphrase mit einer Sicherheits-PIN, die fünf Minuten gültig ist.
  5. Wiederherstellung testen: Restore auf einem System ohne Zugriff auf die ursprüngliche Konfiguration, nur mit dem hinterlegten Schlüssel.

Benefits

  • Gestohlene oder verlorene Medien sind ohne Schlüssel unlesbar, was das Risiko meldepflichtiger Datenpannen deutlich senkt.
  • Ermöglicht die Nutzung externer Cloud- und Object-Storage-Ziele, auch für vertrauliche Daten.
  • Erfüllt Anforderungen aus DSGVO, NIS2-Risikomanagement und Kundenverträgen an den Schutz ausgelagerter Daten.
  • Schützt vor Mitlesen auf dem Übertragungsweg, etwa bei WAN-Kopien an einen zweiten Standort.

Practical example

Eine Steuerkanzlei mit 35 Mitarbeitenden lagert wöchentlich LTO-Bänder in ein Bankschließfach aus. Nach einem Hinweis des Datenschutzbeauftragten aktiviert die IT die Verschlüsselung in der Backup-Software und hinterlegt das Kennwort versiegelt im Notfallhandbuch sowie in einem Passwortmanager mit Notfallzugang. Ein Testrestore auf einem frisch installierten Backup-Server zeigt, dass die Bänder mit dem hinterlegten Kennwort lesbar sind.

Things to keep in mind

  • Ein verlorenes Verschlüsselungskennwort bedeutet in der Regel den Verlust der Sicherung: Hinterlege es mehrfach und getrennt vom Backup-System.
  • Doppelte Verschlüsselung (Software und Laufwerk) bringt meist wenig zusätzlichen Schutz, aber mehr Komplexität bei der Schlüsselverwaltung.
  • Rotiere Kennwörter nach Personalwechseln und dokumentiere, welcher Schlüssel für welche Sicherungsgeneration gilt.
  • Verschlüsselung ersetzt keine Unveränderlichkeit: Kombiniere beide, um Vertraulichkeit und Verfügbarkeit abzusichern.

Conclusion

Backup-Verschlüsselung ist Pflicht für alle Sicherungen, die den eigenen Serverraum verlassen. Die eigentliche Arbeit liegt in einer Schlüsselverwaltung, die auch nach einem Totalausfall noch funktioniert.

Further reading

Related articles