Immutable Backup: Wovor es wirklich schützt, wie es funktioniert und wie lange man sperren sollte

Was unveränderlich bedeutet, und was nicht

Veeams Definition ist die der Branche: ein Backup, das für einen festgelegten Zeitraum nicht geändert, gelöscht oder verschlüsselt werden kann. Das wichtige Wort ist: von niemandem. Eine sauber gebaute unveränderliche Kopie übersteht ein gestohlenes Passwort des Backup-Administrators, einen kompromittierten Backup-Server und einen Ransomware-Betreiber, der das Repository gefunden hat, weil der Löschbefehl dort verweigert wird, wo die Daten liegen, nicht dort, woher die Anfrage kommt.

Es ist kein Air Gap. Die NIST-Definition eines Air Gap verlangt keine physische Verbindung und keine automatisierte logische Verbindung; ein Bucket mit Object Lock und ein Hardened Repository sind online, erreichbar und schreiben jede Nacht. Manche Anbieter nennen ihre Online-Tresore „logisch air-gapped“; nach der NIST-Definition ist ein solcher Tresor dennoch eine Online-Kopie. Der Unterschied zählt, wenn eine Aufsichtsbehörde oder ein Auditor fragt, was „offline“ in Ihrer Backup-Richtlinie bedeutet, und er zählt in den Ausfallszenarien am Ende dieses Artikels. Immutability ist die „1“ in Veeams 3-2-1-1-0-Regel: drei Kopien, zwei Medien, eine außer Haus, eine offline oder unveränderlich, null Fehler nach der Prüfung.

Wie ein Hardened Repository die Sperre durchsetzt

Ein Veeam Hardened Repository (ein gehärtetes Repository) ist ein Linux-Server mit lokalem Blockspeicher. Zwei Dienste laufen darauf: der Transportdienst, der die Daten bewegt und als Nicht-Root-Nutzer läuft, und der Immutability-Dienst, der als dessen Kindprozess mit Root-Rechten läuft, die Dateien alle zwanzig Minuten prüft und das Attribut „immutable“ setzt oder entfernt. Das Dateisystem muss unveränderliche Dateien und erweiterte Attribute unterstützen (Veeam empfiehlt XFS), und jede Backup-Datei bekommt eine Lock-Datei und ein Attribut mit ihrem Ablaufdatum. Der Server wird mit Einmal-Zugangsdaten hinzugefügt, die nirgendwo in der Backup-Infrastruktur gespeichert werden; danach verliert das Konto sudo, und SSH wird deaktiviert, sodass ein kompromittierter Backup-Server nichts hat, womit er sich anmelden könnte. In Version 13 ist der empfohlene Aufbau die Veeam Infrastructure Appliance mit der Rolle Hardened Repository: nur Zertifikatsauthentifizierung, gar kein SSH, Multi-Faktor-Authentifizierung, die sich nicht abschalten lässt, kein Domain-Join.

Dokumentation zu Veeam Backup & Replication 13.1, September 2026; die Mechanik ist in 12.3 dieselbe.

Daraus folgen zwei Konstruktionsregeln. Wo Log-Backups von SQL, Oracle oder PostgreSQL laufen, muss der Immutability-Zeitraum die ganze Kette abdecken, weil deren Dateien nicht mit ihr verlängert werden; und Immutability hat Vorrang vor der Aufbewahrung, Dateien mit abgelaufener Aufbewahrung bleiben also auf der Platte, bis die Sperre abläuft, und das ist Kapazität, die Sie einplanen müssen.

Wie Object Lock sie durchsetzt

Auf Amazon S3 und S3-kompatiblem Speicher ist die Sperre eine Eigenschaft der Objektversion. Object Lock setzt Versionierung voraus, wird auf dem Bucket aktiviert und lässt sich danach nicht mehr deaktivieren. Jede Version trägt ein Retain-until-Datum in einem von zwei Modi. Compliance-Modus heißt, dass niemand, auch nicht der Root-Nutzer des Kontos, sie löschen oder verkürzen kann; AWS erklärt, der einzige Ausweg vor Ablauf sei das Löschen des Kontos. Governance-Modus kann von einem Principal mit der Bypass-Berechtigung umgangen werden, der einen expliziten Header sendet, und das ist genau die Berechtigung, die ein kompromittierter Cloud-Administrator nutzen würde. Veeam schreibt deshalb jedes Objekt im Compliance-Modus mit einem Zeitraum von 1 bis 999 Tagen und verwaltet die Aufbewahrung selbst; der Bucket muss Object Lock und Versionierung eingeschaltet, die Standardaufbewahrung ausgeschaltet und keine Lifecycle-Regeln haben, und diese Einstellungen dürfen nach dem Hinzufügen des Buckets nie mehr geändert werden.

Veeam sperrt Datenblöcke statt Dateien und fügt eine Block Generation hinzu, damit Inkremente, die innerhalb einer Generation geschrieben werden, das Ablaufdatum der Vollsicherung teilen, ohne einen API-Aufruf je Block: 30 Tage auf Amazon S3, IBM, Google und 11:11, 10 Tage auf allem anderen, einschließlich S3-kompatibler Appliances vor Ort und anderer Cloud-Objektspeicher. Die tatsächliche Zeit auf dem Speicher ist deshalb die Job-Aufbewahrung oder die minimale Immutability plus die Block Generation: Veeams eigenes Beispiel sind 13 Tage Aufbewahrung, 7 Tage minimale Immutability und eine Generation von 10 Tagen, gelöscht nach 23 Tagen. Seit dem ersten Patch für 13.0 sperrt der Standardmodus für die gesamte Aufbewahrungsdauer statt für das Minimum. Andere Cloud-Objektspeicher, die Veeam unterstützt, folgen demselben Muster mit ihren eigenen Einstellungen für Versionierung und Immutability; nur eine gesperrte Aufbewahrungsrichtlinie ist Compliance-tauglich, denn eine ungesperrte lässt sich entfernen.

Wogegen es nicht schützt

Die Liste ist länger als die Verkaufspräsentation.

Sophos hat 2024 gemessen, was auf dem Spiel steht: 94 Prozent der von Ransomware getroffenen Organisationen gaben an, die Angreifer hätten es auf die Backups abgesehen, und 57 Prozent dieser Versuche waren erfolgreich. Mandiants Bericht von 2026 stellt fest, dass Ransomware-Betreiber gezielt Backup-Infrastruktur, Identitätsdienste und die Management-Ebenen der Virtualisierung angegriffen haben. Die unveränderliche Kopie ist die Antwort auf den ersten Teil dieses Befunds; der Rest des Cyber-Resilienz-Designs beantwortet die übrigen.

Wie lange sperren: das Argument der Verweildauer

Die Frist muss die Zeit überdauern, die ein Eindringling im Netz verbringt, bevor es jemand bemerkt, plus die Zeit für Entscheidung und Wiederherstellung. Mandiants globale mediane Verweildauer lag bei 11 Tagen für Einbrüche 2024 und bei 14 Tagen für 2025, mit einem langen Ausläufer: 122 Tage bei Spionagefällen und rund 400 bei einer Kampagne. Ransomware-Akteure verkürzen sie selbst, fünf Tage, wenn der Angreifer die Verschlüsselung bekannt gibt, aber die Daten wurden oft lange vorher bereitgestellt und abgezogen. Auf der Wiederherstellungsseite fand die Sophos-Umfrage 2026 nur 55 Prozent der Opfer innerhalb einer Woche wieder arbeitsfähig und 83 Prozent innerhalb eines Monats.

Die letzten drei Zeilen sind Einschätzung; die Mechanik und die Zahlen zur Verweildauer sind belegt.

Auf Objektspeicher ist jeder zusätzliche Tag bezahlter Speicher, plus die Block Generation, weshalb Veeam selbst davor warnt, länger als die Job-Aufbewahrung zu sperren. Auf einem Hardened Repository sind die Kosten Platten, und Platten sind günstig verglichen mit einer Woche, in der das Unternehmen stillsteht.

Beweisen, dass die Kopie funktioniert

Die Null in 3-2-1-1-0 ist die Prüfung. SureBackup startet Maschinen aus dem Backup in einem isolierten Labor, führt Heartbeat-, Ping- und Anwendungstests aus und kann den Inhalt mit Antivirus und YARA-Regeln scannen; ein leichterer Modus prüft und scannt ohne Labor. Secure Restore scannt einen Wiederherstellungspunkt, bevor er die Produktion berührt, und bricht ab oder stellt mit Einschränkungen wieder her, wenn er Malware findet. Keines von beiden ersetzt eine geübte Wiederherstellungsreihenfolge, die unser Leitfaden zu RPO und RTO behandelt, und keines hilft, wenn das Wiederherstellungsziel dasselbe Netz ist, in dem der Angreifer noch sitzt. Veeams Umfrage 2025 fand nur 44 Prozent der Playbooks mit Verfahren zur Backup-Prüfung; diese Zahl ist der Grund, warum es diesen Abschnitt gibt.

Die regulatorischen Anker

NIS2 führt Backup-Management und Disaster Recovery in Artikel 21 unter den Mindestmaßnahmen auf. Die Durchführungsverordnung (EU) 2024/2690 der Kommission gilt nur für die in ihrem Artikel 1 genannten Einrichtungen (DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing-Diensten und Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste, Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke sowie Vertrauensdiensteanbieter); jede andere Organisation im Anwendungsbereich von NIS2 ist an das nationale Gesetz gebunden, das Artikel 21 der Richtlinie (EU) 2022/2555 umsetzt, und welcher Text für Sie gilt, ist von Ihrer Rechtsabteilung zu bestätigen. Für diese Einrichtungen konkretisiert die Durchführungsverordnung der Kommission vom Oktober 2024 die Anforderungen: Sicherungskopien an Orten, die nicht im selben Netz liegen, Aufbewahrungsfristen nach geschäftlichen und regulatorischen Anforderungen, regelmäßige Integritätsprüfungen und regelmäßige Wiederherstellungstests. Artikel 32 der DSGVO verlangt die Fähigkeit, die Verfügbarkeit personenbezogener Daten rasch wiederherzustellen, und die regelmäßige Überprüfung der Maßnahmen. Keiner dieser Texte sagt „unveränderlich“; eine unveränderliche Kopie, die planmäßig wiederhergestellt wurde, ist ein praktischer Weg, die technische Seite zu belegen. Planmäßige Testwiederherstellungen gehören zu unserem Disaster-Recovery-Service, mit einem Bericht nach jedem Test darüber, was hochgekommen ist, wie schnell und was zu beheben ist.

Was wir bauen

Im Rahmen unseres Cyber-Resilienz-Service liefert das Team unseres Engineering-Partners Vixen.UNO Backup auf Veeam-Basis unter einem Vertrag mit Eurokommerz, mit regelmäßigen Testwiederherstellungen zur Prüfung der Backup-Integrität und einem Ausweichstandort in Baltnetas Tier-3-Rechenzentren in Litauen; die unveränderliche Kopie, die Sperrfrist und der Prüfplan werden je Umgebung am Wiederherstellungsplan des Unternehmens ausgerichtet statt am Minimum des Assistenten. Schicken Sie uns die aktuelle Job-Liste und die Aufbewahrung, und wir liefern die Lücken.

FAQ