Backup & Storage

Air Gap (Offline-Backup)

Allgemeine Infos

Ein Air Gap (Luftspalt) bezeichnet die Trennung zwischen zwei Systemen, über die keine ständige Verbindung besteht. Das NIST-Glossar definiert ihn (nach CNSSI 4009-2022 und RFC 4949) als Schnittstelle, an der die Systeme physisch nicht verbunden sind und jede logische Verbindung nicht automatisiert ist, Daten also nur manuell und unter menschlicher Kontrolle übertragen werden. Im Backup-Umfeld ist damit eine Sicherungskopie gemeint, die vom Produktivnetz aus nicht erreichbar ist, etwa ein ausgelagertes Band oder eine abgezogene Wechselplatte.

In der Praxis unterscheidet man den physischen Air Gap (Medium wird nach dem Backup getrennt und extern gelagert) vom logischen Air Gap (Ziel bleibt angeschlossen, ist aber durch Netzsegmentierung, Firewall-Regeln, getrennte Zugangsdaten und zeitlich begrenzte Verbindungsfenster abgeschottet). Der logische Air Gap erfüllt die strenge NIST-Definition nicht, weil die Übertragung automatisiert läuft, wird von Herstellern aber oft so bezeichnet.

Abgrenzung: Ein Immutable Backup bleibt online erreichbar und ist gegen Änderung und Löschung gesperrt, ein Air Gap verhindert dagegen schon den Zugriff. Beide erfüllen die zusätzliche „1“ der erweiterten 3-2-1-Regel (3-2-1-1-0). Tape Backup und Backup-Rotation sind die klassischen Wege zum physischen Air Gap, die Backup-Strategie legt fest, welche Kopie getrennt gehalten wird. Für NIS2-pflichtige Unternehmen gehört das Backup-Management zu den Risikomanagementmaßnahmen nach Art. 21 NIS2.

Funktionsweise & Details

Ein physischer Air Gap entsteht durch einen festen Ablauf:

  1. Der Backup-Job schreibt die Sicherung auf ein Wechselmedium, z. B. LTO-Band, USB-Festplatte oder einen Removable Datastore des Proxmox Backup Server.
  2. Nach Abschluss und Verifikation wird das Medium logisch ausgehängt und physisch entnommen.
  3. Das Medium wandert in einen Tresor oder an einen zweiten Standort, ein Rotationsschema legt fest, wann es zurückkommt.
  4. Eine Wiederherstellung setzt voraus, dass jemand das Medium holt und einlegt. Ohne diesen manuellen Schritt gibt es keinen Datenweg.

Ein logischer Air Gap ersetzt die physische Trennung durch technische Kontrollen: eigenes Netzsegment für das Backup-Ziel, Firewall-Regeln, die nur die nötige Replikation erlauben, getrennte Identitäten ohne Domänenmitgliedschaft und Verbindungen, die nur im Sicherungsfenster bestehen. Cloud-Anbieter bieten dafür isolierte Speicherbereiche mit eigener Zugriffskontrolle an.

Vorteile & Nutzen

  • Schutz vor Ransomware, die gezielt Backups sucht, weil ein getrenntes Medium von keinem kompromittierten Konto aus erreichbar ist.
  • Schutz vor Fehlbedienung und fehlerhaften Skripten, da ein Löschbefehl das ausgelagerte Medium nicht trifft.
  • Unabhängigkeit von der Sicherheit der Backup-Software, denn auch eine Schwachstelle im Backup-Server öffnet keinen Weg zur Offline-Kopie.
  • Belastbarer Nachweis gegenüber Versicherern und Auditoren, weil sich die Trennung über Medienlisten und Auslagerungsprotokolle dokumentieren lässt.

Praxisbeispiel

Ein Kunststoffspritzgießer mit 140 Mitarbeitenden sichert seine VMs auf ein gehärtetes Repository und kopiert jeden Freitag einen Vollstand auf LTO-Band. Die Bänder holt ein Mitarbeiter montags aus der Library und lagert sie im Tresor der Niederlassung, vier Wochenbänder rotieren. Bei einem Angriff werden sowohl der Backup-Server als auch die Zugangsdaten zum Repository kompromittiert. Die IT stellt ERP und Fileserver aus dem Band der Vorwoche in einer neu aufgebauten Umgebung wieder her und verliert dabei nur die Daten weniger Tage.

Worauf sollte man achten?

  • Plane Restore-Zeiten realistisch ein: Medien holen, einlegen und zurücklesen dauert länger als ein Restore vom Online-Repository, daher ergänzt der Air Gap schnelle Kopien, statt sie zu ersetzen.
  • Teste regelmäßig, ob sich die Offline-Kopie ohne den Produktiv-Backup-Server einlesen lässt, inklusive Verschlüsselungsschlüssel und Katalog.
  • Bewahre die Schlüssel für verschlüsselte Bänder getrennt vom Medium und außerhalb der Domäne auf.
  • Eine dauerhaft angeschlossene USB-Platte ist kein Air Gap: Erst das Trennen nach jedem Lauf schafft den Schutz.
  • Lege beim logischen Air Gap fest, dass das Ziel Daten aktiv abholt (Pull) und vom Produktivnetz aus keine Verwaltungsverbindung möglich ist.

Fazit

Der Air Gap ist die letzte Verteidigungslinie, wenn Angreifer Backup-Server und Online-Kopien unter Kontrolle haben. Halte mindestens eine Kopie physisch oder streng logisch getrennt und übe den Restore daraus.

Weiterführende Links

Verwandte Artikel