Ransomware-Schutz · Unveränderbare Backups

Immutable Backups: Kann ein Admin sie wirklich nicht löschen?

Stell dir vor, bei einem deiner Kunden geht der Admin im Streit — und er hat noch Zugriff auf die Backup-Umgebung. Was kann er löschen? Wenn deine Antwort „alles“ ist, ist diese Seite für dich.

In der 3-2-1-1-0-Regel für unseren Managed Storage Server sind wir die beiden Einsen: eine Kopie außer Haus — und diese hier, die unveränderbare. Genau darum geht es auf dieser Seite.

„Hast du als Admin die Möglichkeit, was zu löschen — oder ist das komplett zugenagelt?“ Reseller bei der Evaluierung. Die beste Frage, die man einem Backup-Anbieter stellen kann.

Die kurze Antwort: von außen zugenagelt

Jedes Backup, das bei uns ankommt, bekommt eine Sperrfrist. Innerhalb dieser Frist kann es weder gelöscht noch verändert noch verschlüsselt werden — nicht über die Veeam-Konsole und nicht auf Zuruf beim Anbieter:

Backupkommt an
Sperrfristz. B. 14 Tage — von außen weder löschbar noch änderbar
Normale Aufbewahrungnach Ablauf des Fensters

Beim flexiblen Speicher pro Terabyte sind 14 Tage Standard, beim Managed Storage Server legen wir das Fenster gemeinsam fest. Das gilt für den Admin deines Kunden und für jeden Angreifer mit erbeuteten Zugangsdaten — alle Angriffswege laufen über die Backup-Umgebung, und die ist dicht.

Und wir als Betreiber? Ehrliche Antwort: Die Sperre ist ein Immutable-Flag im Dateisystem unseres Speicherservers — wer dort Root-Zugriff hat, kann sie technisch aufheben. Das gilt für jedes Linux-basierte gehärtete Repository, bei jedem Anbieter. Wirklich unumkehrbar sind nur Speziallösungen wie Dell Data Domain mit Retention Lock im Compliance Mode oder Object First: Dort lässt sich eine Sperre selektiv gar nicht aufheben — im Zweifel hilft nur das komplette Zurücksetzen des Systems, und damit sind alle Daten weg. Der Unterschied liegt im Prozess: Bei uns wird eine Sperre ausschließlich nach ausdrücklichem, verifiziertem Auftrag des Kunden aufgehoben — nie auf Zuruf, nie für einen Anrufer, der sich als jemand ausgibt. Und dein Kunden-Admin oder ein Angreifer in seiner Umgebung hat auf diese Systemebene keinerlei Zugriff.

Governance Mode oder Compliance Mode?

Falls dir in Datenblättern diese Begriffe begegnen (sie stammen aus der Object-Lock-Welt, etwa S3): Der Unterschied entscheidet, wer eine Sperre innerhalb der Speicher-Plattform aufheben darf — unser Managed Storage Server arbeitet mit einem gehärteten Linux-Repository nach demselben Prinzip:

Governance Mode

Besonders berechtigte Konten dürfen eine Sperre vorzeitig aufheben.

Compliance Mode

Niemand. Die Antwort, die gut klingt — aber ihren Preis hat.

Unser Managed Storage Server entspricht technisch dem Governance Mode — mit dem entscheidenden Unterschied: Die Freigabe liegt nicht bei deinem Kunden-Admin, sondern bei uns als Betreiber, und sie passiert ausschließlich nach ausdrücklichem, verifiziertem Kundenauftrag. Nie auf Zuruf, nie per Mail-Einzeiler. Echten Compliance Mode ohne jede Aufhebbarkeit bieten nur Speziallösungen wie Dell Data Domain (Retention Lock Compliance) oder Object First — dort um den Preis, dass im Ernstfall nur das komplette Zurücksetzen des Systems hilft.

Die zwei Grenzen, die dir kaum jemand dazusagt

Grenze 1: Das Fenster ist endlich

Nach Ablauf der Sperrfrist gilt wieder die normale Aufbewahrung. Bleibt eine Verschlüsselung drei Wochen unentdeckt, hilft ein 14-Tage-Fenster nicht — dann brauchst du ein längeres. Das geht, kostet aber ehrlicherweise Speicher: Was gesperrt ist, kann nicht aufgeräumt werden. Ein Kunde nannte das treffend „Backup-Leichen“ — gelöschte Jobs, die noch wochenlang Platz belegen, weil die Sperre sie festhält.

Sperrfrist und Aufbewahrung immer zusammen planen — nie getrennt.

Grenze 2: Unveränderbarkeit ist kein Archiv

Eine dreißigjährige Aufbewahrungspflicht löst du nicht mit einem Immutability-Fenster. Das ist eine andere Aufgabe mit anderen Werkzeugen.

Wer dir beides als ein Produkt verkauft, hat eine Grenze weggelassen.

Für den Admin im Streit von oben heißt das: Er kann Jobs anhalten, er kann Zukünftiges verhindern — aber die letzten vierzehn Tage deiner Kunden-Backups bekommt er nicht kaputt. Und genau dafür ist das Ganze da.

Häufige Fragen

Hilft das auch gegen Ransomware mit erbeuteten Admin-Zugangsdaten?
Ja — genau dafür ist die Sperrfrist da. Auch mit vollem Admin-Zugriff lassen sich gesperrte Backups weder löschen noch verschlüsseln, weder über die Veeam-Konsole noch auf Zuruf beim Anbieter.
Reichen 14 Tage?
Für die meisten Fälle ja — vorausgesetzt, das Backup wird aktiv überwacht, damit ein Ausfall oder eine Verschlüsselung nicht wochenlang unbemerkt bleibt. Wer längere Fenster braucht, bekommt sie; das kostet Speicher und gehört in die gemeinsame Planung von Sperrfrist und Aufbewahrung.
Was ist mit einem echten Air-Gap (Band im Schrank)?
Ein Band im Schrank ist maximal offline — aber auch maximal manuell. Unveränderbarer Online-Speicher gibt dir denselben Schutz gegen Löschen und Verschlüsseln, mit täglich automatischen Copy Jobs statt Bandwechsel von Hand. Für besondere Compliance-Fälle lässt sich beides kombinieren.
Wo bekomme ich unveränderbaren Backup-Speicher?
Als dedizierten Server ab 40 TB oder flexiblen Speicher ab 5 TB, beides im deutschen Rechenzentrum: Veeam-Backups extern speichern.
Sven-Jendrik Timmermann, Geschäftsführer SJT SOLUTIONS

Sven-Jendrik Timmermann · 7× vExpert · 20 Jahre Backup & Virtualisierung

Welches Schutzfenster passt zu deinen Kunden?

Buch dir 30 Minuten — wir stimmen Sperrfrist und Aufbewahrung einmal sauber aufeinander ab, damit du im Ernstfall genug Fenster hast und nicht zu viel Speicher bezahlst.

Kostenlos und unverbindlich. Alle Antworten zum Nachlesen: FAQ Veeam Pay-per-Use