Ein unveränderbares Backup schützt Sicherungskopien davor, nachträglich gelöscht, verschlüsselt oder manipuliert zu werden. Das ist besonders wichtig, wenn Ransomware nicht nur Dateien auf dem Arbeitsplatz oder NAS angreift, sondern auch erreichbare Backup-Ziele. Prüfe deshalb zuerst, ob deine Sicherung tatsächlich gegen Änderungen und Löschungen geschützt ist und ob eine Wiederherstellung daraus funktioniert. Deaktiviere diesen Schutz nicht testweise und binde das Backup-Ziel nicht dauerhaft mit weitreichenden Schreibrechten in das produktive Netzwerk ein.
Was ein unveränderbares Backup leistet
Bei einer unveränderbaren Sicherung werden gespeicherte Daten für einen festgelegten Zeitraum gegen nachträgliche Änderungen geschützt. Je nach Technik gilt dieser Schutz für einzelne Dateien, Snapshots, Sicherungsversionen oder ein komplettes Speichersystem. Während der Aufbewahrungsfrist kann ein berechtigter Benutzer die Daten zwar möglicherweise lesen oder eine Wiederherstellung starten, aber die geschützte Version nicht einfach überschreiben oder entfernen.
Das entscheidende Merkmal ist die Trennung zwischen normaler Administration und dem Recht, geschützte Daten vorzeitig zu verändern. Ein kompromittiertes Administratorkonto darf nicht ausreichen, um alle Sicherungsversionen sofort zu löschen. Wie streng dieser Schutz umgesetzt ist, hängt von der verwendeten Plattform, dem Speichermedium, den Konten und der Konfiguration ab.
Unveränderbarkeit ersetzt jedoch kein vollständiges Backup-Konzept. Sie schützt eine vorhandene Kopie gegen bestimmte Manipulationen, verhindert aber weder einen unbemerkten Fehler in den Quelldaten noch einen Diebstahl, einen Brand oder einen Defekt am Standort des Backup-Systems.
Warum Ransomware auch Backups angreift
Moderne Schadsoftware sucht häufig nach erreichbaren Freigaben, Backup-Servern und Verwaltungsoberflächen. Sind Sicherungen über normale Netzwerkprotokolle mit Schreib- und Löschrechten eingebunden, können Angreifer versuchen, Dateien zu verschlüsseln oder Sicherungsversionen zu entfernen. Ein Backup, das nur auf einem ständig verbundenen Ziel liegt, ist deshalb nicht automatisch eine geschützte Rückfallebene.
Besonders gefährdet sind Konten, die sowohl im Alltag als auch für Backup-Aufgaben verwendet werden. Wird ein solcher Zugang übernommen, kann die Schadsoftware unter Umständen dieselben Berechtigungen nutzen. Auch eine zu lange Aufbewahrungsfrist ohne unveränderbare Sperre hilft nicht, wenn alle Versionen vor dem Ablauf manuell gelöscht werden können.
Ein belastbares Konzept erschwert daher nicht nur den Zugriff auf die Originaldaten, sondern auch die Manipulation der Sicherungsketten. Dazu gehören getrennte Konten, eingeschränkte Netzwerkwege, Mehrfaktor-Authentifizierung und mindestens eine Kopie, die vom produktiven System getrennt ist.
Welche Verfahren Unveränderbarkeit ermöglichen
WORM-Speicher
WORM steht für „Write Once, Read Many“. Daten werden einmal geschrieben und bleiben anschließend für eine definierte Zeit unveränderbar. Diese Methode eignet sich besonders für Archive und Systeme, die eine technisch erzwungene Aufbewahrung benötigen. Vor der Aktivierung musst du prüfen, ob der Schutz wirklich auf dem verwendeten Speichermedium und in der eingesetzten Software unterstützt wird.
Immutable Snapshots
Bei unveränderbaren Snapshots wird ein gespeicherter Zustand eines Dateisystems oder Volumes gegen Löschung und Änderung geschützt. Snapshots können eine schnelle Wiederherstellung ermöglichen, liegen aber häufig auf demselben Speichersystem wie die Originaldaten. Ein schwerer Defekt, ein Diebstahl oder ein Angriff auf die gesamte Plattform kann deshalb sowohl Quelle als auch Snapshot betreffen.
Object Lock
Object Lock schützt Objekte in einem Objektspeicher für eine festgelegte Dauer. Dabei unterscheidet die Plattform meist zwischen einer zeitbasierten Aufbewahrung und einer strengeren Sperre, die auch durch privilegierte Benutzer nicht vorzeitig aufgehoben werden kann. Die genaue Bezeichnung und der verfügbare Schutz hängen vom Speicherdienst und vom gewählten Modus ab.
Offline- und Air-Gap-Kopien
Eine offline gelagerte Kopie ist während des normalen Betriebs nicht erreichbar. Sie kann beispielsweise auf einem nur für die Sicherung angeschlossenen Datenträger oder in einem räumlich getrennten System liegen. Diese Variante ist nicht automatisch unveränderbar, reduziert aber den Angriffsweg erheblich, weil Schadsoftware keinen dauerhaften Netzwerkzugriff auf das Ziel hat.
Aufbewahrungsfrist und Löschschutz richtig planen
Der Schutzzeitraum muss zur Wiederherstellungsstrategie passen. Wenn ein Angriff erst nach mehreren Tagen entdeckt wird, sollten nicht sämtliche Sicherungsversionen bereits wieder löschbar sein. Gleichzeitig benötigt ein langer Schutzzeitraum mehr Speicherplatz und kann die Verwaltung erschweren.
Berücksichtige bei der Planung mindestens diese Fragen:
- Wie lange kann ein unbemerkter Befall bestehen, bevor er auffällt?
- Wie viele tägliche, wöchentliche oder monatliche Versionen werden benötigt?
- Welche Daten müssen schnell wiederhergestellt werden?
- Welche Daten gelten aus rechtlichen oder geschäftlichen Gründen als aufbewahrungspflichtig?
- Wer darf die Aufbewahrung konfigurieren und wer darf eine Wiederherstellung durchführen?
Die Aufbewahrungsdauer darf nicht nur aus dem verfügbaren Speicherplatz abgeleitet werden. Entscheidend ist, bis zu welchem Zeitpunkt du sicher auf einen sauberen Datenstand zurückgehen können musst. Teste außerdem, ob abgelaufene Versionen tatsächlich automatisch gelöscht werden und ob diese Löschung protokolliert wird.
Immutable Backup auf einem NAS umsetzen
Auf einem NAS solltest du zunächst die Ebenen sauber trennen. Ein RAID-Verbund sorgt für Verfügbarkeit bei bestimmten Laufwerksausfällen, ist aber kein Backup. Ein Speicherpool oder Volume stellt Speicher bereit, während Snapshots und Backup-Anwendungen unterschiedliche Schutzfunktionen übernehmen. Erst die Kombination aus mehreren unabhängigen Kopien und einem geeigneten Löschschutz bildet eine belastbare Absicherung.
Prüfe zuerst, ob das NAS-Betriebssystem unveränderbare Snapshots, WORM-Funktionen oder eine kompatible Sicherung zu einem Objektspeicher unterstützt. Menübezeichnungen können sich zwischen DSM, QTS, QuTS hero, ADM, UGOS Pro und TerraMaster OS unterscheiden. Wenn der genaue Menüweg nicht sicher feststeht, suche nach Funktionen wie Aufbewahrungssperre, Immutable, WORM, Object Lock oder unveränderbaren Snapshots.
Für die Verbindung zwischen Quelle und Ziel sollte ein eigenes Backup-Konto verwendet werden. Dieses Konto benötigt nur die Rechte, die für die Sicherung erforderlich sind. Ein tägliches Administratorkonto mit vollständigem Zugriff ist dafür ungeeignet. Zusätzlich sollte die Verwaltung des Backup-Ziels über ein separates Administratorkonto mit aktivierter Mehrfaktor-Authentifizierung erfolgen.
Nach der Einrichtung prüfst du, ob eine geschützte Version vor Ablauf der Frist wirklich nicht gelöscht oder überschrieben werden kann. Führe diesen Test nur mit einer unkritischen Testdatei und innerhalb der vorgesehenen Verwaltungsfunktionen durch. Versuche nicht, Schutzmechanismen durch Shell-Befehle, direkte Dateisystemzugriffe oder das Entfernen von Laufwerken zu umgehen.
3-2-1-Regel mit Unveränderbarkeit verbinden
Die 3-2-1-Regel bedeutet: Es gibt mindestens drei Kopien der Daten, auf mindestens zwei unterschiedlichen Speichermedien, davon mindestens eine Kopie an einem anderen Ort. Eine unveränderbare Kopie kann dabei eine wichtige Rolle übernehmen, erfüllt aber nicht automatisch jede Anforderung der Regel.
Ein mögliches Konzept besteht aus den Originaldaten auf dem NAS, einer lokalen Sicherung für schnelle Wiederherstellungen und einer räumlich getrennten Kopie mit aktivierter Aufbewahrungssperre. Ergänzend kann eine offline gelagerte Kopie sinnvoll sein. Entscheidend ist, dass nicht alle Ziele mit denselben Zugangsdaten und über denselben Netzwerkpfad erreichbar sind.
Verschlüsselung schützt die Vertraulichkeit, Unveränderbarkeit die Integrität der Sicherung. Beide Eigenschaften sollten getrennt betrachtet werden. Bewahre Wiederherstellungsschlüssel und Zugangsdaten so auf, dass sie im Notfall verfügbar sind, aber nicht gemeinsam mit den normalen Backup-Daten durch einen einzigen kompromittierten Account offengelegt werden.
Wiederherstellung testen, bevor sie benötigt wird
Eine Sicherung ist erst dann belastbar, wenn sich Daten daraus wiederherstellen lassen. Prüfe zunächst einzelne Dateien und Ordner. Bei wichtigen NAS-Daten sollte zusätzlich eine Wiederherstellung ganzer Freigaben oder Anwendungen vorgesehen werden. Dokumentiere, welche Version verwendet wurde, wie lange der Vorgang dauerte und ob Berechtigungen, Dateinamen und Zeitstempel korrekt erhalten blieben.
Bei verschlüsselten Backups gehört der Zugriff auf die Schlüssel zu jedem Restore-Test. Fehlt der Schlüssel, kann eine technisch intakte Sicherung unbrauchbar sein. Auch Datenbanken, Container und virtuelle Maschinen benötigen oft anwendungsspezifische Sicherungen, weil eine bloße Dateikopie keinen konsistenten Zustand garantieren muss.
Ein Wiederherstellungstest sollte nicht auf das Öffnen einer einzelnen Datei beschränkt bleiben. Simuliere in angemessenen Abständen den Ausfall des NAS oder eines Volumes und halte fest, welche Schritte zuerst erforderlich sind. So erkennst du vor einem echten Vorfall, ob die Dokumentation, die Berechtigungen und die benötigte Ersatzhardware ausreichen.
Typische Fehlkonfigurationen vermeiden
- RAID wird als Ersatz für ein unabhängiges Backup betrachtet.
- Alle Kopien liegen auf demselben NAS oder im selben Raum.
- Das Backup-Ziel ist dauerhaft mit einem Administratorkonto verbunden.
- Snapshots werden erstellt, aber nicht gegen vorzeitiges Löschen geschützt.
- Die Aufbewahrungsfrist ist kürzer als die mögliche Erkennungszeit eines Angriffs.
- Object Lock wird aktiviert, ohne Speicherbedarf und Ablaufregeln zu prüfen.
- Wiederherstellungsschlüssel werden nicht getrennt und sicher dokumentiert.
- Es existiert kein regelmäßiger Restore-Test.
- Offene Ports oder unsichere Fernzugänge machen das Backup-System direkt erreichbar.
Bei einem Verdacht auf Ransomware solltest du betroffene Systeme möglichst isolieren, statt sofort Sicherungen zu löschen oder einen Rebuild zu starten. Sichere vorhandene Protokolle und notiere, welche Systeme, Konten und Freigaben betroffen sein könnten. Erst danach sollte die Wiederherstellung mit einer nachweislich sauberen Version geplant werden.
Der sinnvolle nächste Schritt
Beginne mit einer Bestandsaufnahme: Welche Daten werden gesichert, wo liegen die Kopien, wer kann sie ändern oder löschen und wie alt ist der letzte erfolgreiche Restore-Test? Danach lässt sich entscheiden, ob ein unveränderbarer Snapshot, Object Lock, WORM-Speicher oder eine offline gelagerte Kopie die größte Lücke schließt.
Priorität hat eine Sicherung, die auch dann erreichbar und verwendbar bleibt, wenn ein Benutzerkonto, ein NAS-Dienst oder ein kompletter Netzwerkbereich kompromittiert wurde. Erst wenn Schutzdauer, getrennte Zugänge und Wiederherstellung geprüft sind, ist die technische Umsetzung gegen Ransomware ausreichend abgesichert.
Fragen und Antworten zum Immutable Backup
Ist ein unveränderbares Backup auch vor einem kompromittierten Administratorkonto geschützt?
Das hängt vom Verfahren und vom gewählten Schutzmodus ab. Eine echte Aufbewahrungssperre muss verhindern, dass ein kompromittiertes Konto geschützte Versionen vor Ablauf der Frist löscht oder verändert; normale Dateirechte oder ungeschützte Snapshots leisten das nicht zuverlässig.
Wie erkenne ich, ob eine Sicherung tatsächlich unveränderbar ist?
Prüfe die konfigurierte Aufbewahrungsfrist, den verwendeten Schutzmodus und die protokollierten Berechtigungen. Ein kontrollierter Lösch- oder Änderungsversuch darf nur mit einer ausdrücklich dafür vorgesehenen Testversion erfolgen, niemals mit der einzigen produktiven Sicherung; zusätzlich sollte die Plattform den aktiven Sperrstatus eindeutig anzeigen.
Wie lange sollte die Aufbewahrungssperre für ein Immutable Backup gelten?
Die Frist sollte mindestens den Zeitraum abdecken, in dem ein unbemerkter Angriff erkannt und untersucht werden kann. Lege sie anhand deiner Versionierungsstrategie, der benötigten Wiederherstellungspunkte und des verfügbaren Speichers fest, statt ausschließlich nach dem Speicherplatz zu entscheiden.
Ist Object Lock für jedes NAS-Backup geeignet?
Object Lock passt vor allem zu Sicherungen, die in einem kompatiblen Objektspeicher abgelegt werden. Vor der Nutzung musst du prüfen, ob deine Backup-Software den gewünschten Sperrmodus unterstützt, wie Versionen ablaufen und ob ein vorzeitiges Löschen technisch ausgeschlossen ist.
Was passiert, wenn ein Immutable Backup mit einem falschen Datenstand erstellt wurde?
Die Unveränderbarkeit schützt auch einen fehlerhaften oder bereits beschädigten Datenstand vor nachträglicher Änderung. Deshalb brauchst du mehrere Versionen, eine ausreichende Erkennungsfrist und Prüfungen der Quelldaten; eine gesperrte Kopie ersetzt keine Malware-Erkennung und keine regelmäßige Kontrolle.
Entstehen durch unveränderbare Backups besondere Risiken bei Datenschutz oder Aufbewahrung?
Eine Sperre kann die vorzeitige Löschung personenbezogener Daten verhindern und muss deshalb mit gesetzlichen Lösch- und Aufbewahrungspflichten abgestimmt werden. Dokumentiere Zweck, Frist, Zugriff und Ablaufregeln und kläre vor der Aktivierung, ob deine Datenklassifizierung und dein Löschkonzept den technischen Schutz zulassen.