Backup & Storage

Immutable Backup

Overview

Ein Immutable Backup ist eine Sicherung, die nach dem Schreiben für eine festgelegte Frist weder geändert noch gelöscht werden kann, auch nicht mit administrativen Rechten. Technisch beruht das auf dem WORM-Prinzip (Write Once, Read Many). Ziel ist, dass ein Angreifer, der Domänen- oder Backup-Admin-Rechte erbeutet hat, die Sicherungen nicht mehr vernichten kann.

Gängige Umsetzungen sind das gehärtete Linux-Repository von Veeam (Hardened Repository), S3 Object Lock bei AWS und S3-kompatiblen Anbietern, die Unveränderlichkeitsrichtlinien von Azure Blob Storage, der Immutable Vault von Azure Backup sowie WORM-Bänder bei LTO.

Abgrenzung: Ein Offline- oder Air-Gap-Backup ist physisch getrennt (z. B. ausgelagertes Band), ein Immutable Backup bleibt online erreichbar, ist aber gegen Veränderung gesperrt. Beide erfüllen die zusätzliche „1“ der 3-2-1-1-0-Regel. NIS2 nennt Backup-Management ausdrücklich unter den Risikomanagementmaßnahmen, wodurch unveränderliche Sicherungen für betroffene Unternehmen zum Prüfpunkt werden.

How it works

Die Sperre wird je nach Plattform unterschiedlich durchgesetzt:

  1. Veeam Hardened Repository: Ein Linux-Server mit XFS-Dateisystem. Ein lokal laufender Dienst setzt auf Backup-Dateien das Immutable-Attribut des Dateisystems und hebt es erst nach Ablauf der Frist wieder auf (Mindestdauer 7 Tage). Klassisch werden Einmal-Zugangsdaten verwendet, die Veeam Infrastructure Appliance ab v13 nutzt zertifikatsbasierte Authentifizierung ohne SSH-Zugang.
  2. S3 Object Lock: Funktioniert nur mit aktivierter Versionierung. Im Governance-Modus können berechtigte Konten die Sperre umgehen, im Compliance-Modus kann niemand die Frist verkürzen oder die Objektversion vorzeitig löschen.
  3. Azure Blob Storage: Zeitbasierte Aufbewahrungsrichtlinien (1 bis 146.000 Tage) und Legal Holds. Erst eine gesperrte (locked) Richtlinie kann nicht mehr verkürzt oder entfernt werden und gilt laut Microsoft als konform zu SEC 17a-4(f).
  4. Azure Backup Immutable Vault: Stufen „Deaktiviert“, „Aktiviert“ und „Aktiviert und gesperrt“. Im gesperrten Zustand ist die Einstellung unumkehrbar, das Verkürzen der Aufbewahrung und das Löschen von Wiederherstellungspunkten sind blockiert.

Benefits

  • Ransomware kann die Sicherungen nicht verschlüsseln oder löschen, weil das Speichersystem selbst Schreib- und Löschzugriffe ablehnt.
  • Schutz vor Innentätern und Fehlbedienung, da auch ein Administrator die Frist nicht vorzeitig aufheben kann.
  • Erfüllt regulatorische Anforderungen an revisionssichere Aufbewahrung, sofern die Plattform entsprechend validiert und richtig konfiguriert ist.
  • Online-Verfügbarkeit bleibt erhalten, sodass Wiederherstellungen schneller laufen als von ausgelagerten Bändern.

Practical example

Ein Logistikdienstleister mit 150 Mitarbeitenden wird von einer Ransomware-Gruppe angegriffen, die zuerst den Veeam-Server sucht und alle erreichbaren Repositories löscht. Weil die IT ein halbes Jahr zuvor ein Hardened Repository mit 14 Tagen Unveränderlichkeit eingerichtet hat, schlagen die Löschversuche dort fehl. Die Systeme werden aus den gesperrten Sicherungen in eine bereinigte Umgebung zurückgespielt, Lösegeldverhandlungen sind nicht nötig.

Things to keep in mind

  • Wähle die Sperrfrist länger als die typische Verweildauer eines Angreifers im Netz, sonst sind beim Entdecken des Angriffs schon kompromittierte Stände die einzig gesperrten.
  • Sichere den Zugang zur Hardware ab (BMC/iLO/iDRAC, Konsole): Wer das System neu installieren kann, umgeht jede Dateisystemsperre.
  • Teste im Unlocked- bzw. Governance-Modus, bevor Du eine Richtlinie sperrst, denn gesperrte Fristen lassen sich nicht verkürzen und erzeugen Speicherkosten.
  • Achte auf eine verlässliche Zeitquelle (NTP): Manipulierte Systemzeit ist ein bekannter Angriffsweg auf zeitbasierte Sperren.

Conclusion

Immutable Backups sind heute die wirksamste technische Antwort auf Ransomware, die gezielt Sicherungen angreift. Plane mindestens eine unveränderliche Kopie fest in Dein Backup-Konzept ein und schütze zusätzlich den Hardware-Zugang.

Further reading

Related articles