Backup & Storage

Azure Backup Vault und Recovery Services Vault

Allgemeine Infos

Azure Backup speichert Wiederherstellungspunkte in Tresoren, die zugleich Sicherheits- und Verwaltungsgrenze sind. Es gibt zwei Typen, und welcher genutzt wird, hängt vom Workload ab.

Der Recovery Services Vault ist der ältere Tresor. Er sichert Azure-VMs, SQL Server und SAP HANA in VMs, Azure Files sowie lokale Quellen über MARS-Agent und MABS. Er enthält auch die Replikationsdaten von Azure Site Recovery.

Der Backup Vault ist der neuere Tresor für neuere Datenquellen, unter anderem Azure Blobs, Azure Disks, Azure Database for PostgreSQL und Azure Kubernetes Service. Laut Microsoft sollen künftige Workloads ebenfalls über den Backup Vault laufen. Beide Tresore sind Azure-Resource-Manager-Ressourcen und werden zentral im Backup Center angezeigt.

Funktionsweise & Details

Gemeinsame Bausteine beider Tresortypen:

  1. Speicherredundanz: LRS, ZRS oder GRS. Die Wahl muss vor der ersten Sicherung erfolgen. Cross Region Restore erfordert GRS.
  2. Soft Delete hält gelöschte Sicherungen für einen festgelegten Zeitraum wiederherstellbar.
  3. Immutable Vault blockiert Vorgänge, die Wiederherstellungspunkte vorzeitig entfernen. Im Zustand „Aktiviert und gesperrt“ ist das irreversibel. Zeitbasierte Unveränderlichkeit unterstützt laut Microsoft nur der Recovery Services Vault.
  4. Multi-User Authorization schützt kritische Vorgänge über einen Resource Guard.
  5. Verschlüsselung erfolgt standardmäßig mit Microsoft-verwalteten Schlüsseln, optional mit eigenen Schlüsseln aus Key Vault.
  6. Zugriff steuerst Du über Azure RBAC, beispielsweise mit den Rollen Backup Contributor, Backup Operator und Backup Reader.

Die Sicherungsdaten liegen in einem von Microsoft verwalteten Speicher außerhalb Deines Abonnements. Gastkonten oder Dritte haben keinen direkten Zugriff darauf.

Vorteile & Nutzen

  • Klare Trennung von Produktionsressourcen und Sicherungen, weil die Daten nicht in Deinem eigenen Storage Account liegen.
  • Schutzmechanismen gegen Löschung und Manipulation sind eingebaut und lassen sich per Azure Policy erzwingen.
  • Redundanzoptionen erlauben Wiederherstellung auch bei Ausfall einer Zone oder Region.
  • Rollenbasierte Rechte trennen Backup-Betrieb und Systemadministration.

Praxisbeispiel

Ein Ingenieurdienstleister mit 90 Mitarbeitenden sichert seine Azure-VMs in einem Recovery Services Vault. Mit Einführung von Premium-SSD-v2-Disks für die Simulationsserver und einem Blob-Container für Projektarchive kommt ein Backup Vault hinzu. Beide Tresore liegen in einer eigenen Ressourcengruppe mit Löschsperre, sind unveränderlich gesetzt und per Multi-User Authorization an einen Resource Guard in einem separaten Abonnement gebunden. Die Übersicht im Backup Center zeigt alle Sicherungen beider Tresore an einer Stelle.

Worauf sollte man achten?

  • Prüfe vorab in der Supportmatrix, welcher Tresortyp den gewünschten Workload unterstützt.
  • Die Redundanz lässt sich nach der ersten geschützten Instanz nur eingeschränkt ändern. Entscheide sie bewusst.
  • Lege Tresore in eigene Ressourcengruppen mit Ressourcensperre und eingeschränkten Rechten.
  • Halte den Resource Guard für Multi-User Authorization in einem anderen Abonnement oder Tenant, damit ein kompromittiertes Konto nicht beide Seiten kontrolliert.
  • Plane die Kosten nach Datenmenge und Redundanz. GRS und Cross Region Restore kosten mehr als LRS.

Lizenz & Verfügbarkeit

Die Tresore selbst kosten nichts. Abgerechnet werden über das Azure-Abonnement die geschützten Instanzen und der belegte Speicher je nach Redundanz (LRS, ZRS, GRS, bei Cross Region Restore RA-GRS-Preise). Stand: Oktober 2026.

Fazit

Wähle den Tresor nach Workload, schütze ihn mit Unveränderlichkeit, Multi-User Authorization und Löschsperre und lege die Redundanz vor der ersten Sicherung fest.

Weiterführende Links

Verwandte Artikel