Eine unveränderbare Sicherung, oft Immutable Backup genannt, bedeutet, dass ein Stand für eine gesetzte Frist nicht verändert und nicht gelöscht werden kann. Genau das fehlt, wenn die Sicherung eine gewöhnliche Freigabe ist und das Konto, das die Dateien verschlüsselt, auch die Sicherung löschen darf. Unveränderbarkeit ist damit eine Eigenschaft des Repositorys und der Rechte, kein Aufkleber auf einem beliebigen NAS. Sie macht die Kopie nicht unverwundbar und ersetzt keinen Restore-Test.

Die Sicherung, die dasselbe Konto löschen kann

Wer das Alltagskonto oder die Domänenverwaltung auch am Sicherungsziel zum Verwalter macht, kann die Sperre oft selbst aufheben oder das Ziel formatieren. Dann ist die Eigenschaft nur so stark wie dieses eine Konto. Ebenso schützt die Sperre nicht vor einem Stand, der schon beschädigt oder unvollständig gesichert wurde. Sie hält fest, was angekommen ist, einschließlich eines leeren oder falschen Laufs, wenn niemand die Aufträge prüft. Die Frist der Sperre muss lang genug sein, dass ein Schaden entdeckt wird, bevor der letzte gute Stand frei wird.

Technisch heißt das: eigenes Konto für das Repository, nicht dasselbe Kennwort wie an der Freigabe, Aufbewahrungssperre oder ein Verfahren des Produkts, das Löschen vor Fristende verweigert, und eine Uhrzeit am Repository, die nicht nebenbei verstellt werden kann. Die Personen, die diese Sperre verwalten, sind wenige und benannt. Wie lange die Sperre dauern soll, ist eine Betriebsentscheidung entlang der Frage, nach welcher Zeit ein Schaden spätestens auffiele. Eine gesetzliche Frist erfinden wir dafür nicht. Die rechtliche Bewertung einer Aufbewahrung bleibt bei Ihrer Beratung.

Getrenntes Recht, gesetzte Frist, trotzdem Restore

  1. Recht. Geben Sie dem Repository ein eigenes Verwaltungskonto, das nicht die Dateien im Alltag verändert.
  2. Sperre. Aktivieren Sie die Unveränderbarkeit für eine benannte Frist und prüfen Sie, dass das Alltagskonto nicht löschen kann.
  3. Uhr. Schränken Sie ein, wer die Uhrzeit des Repositorys ändert, und protokollieren Sie solche Änderungen.
  4. Qualität. Lassen Sie die Sperre nicht den einzigen Nachweis sein, dass der Inhalt brauchbar ist. Der Auftrag muss stimmen.
  5. Probe. Holen Sie einen gesperrten Stand zurück und versuchen Sie außerdem, ihn vor Fristende zu löschen. Nur eines davon darf gelingen.

Unveränderbarkeit gehört in die erste Stunde eines Verschlüsselungsfalls, weil sie entscheidet, ob überhaupt ein alter Stand überlebt. Sie gehört genauso in den gewöhnlichen Betrieb, weil eine zu kurze Frist oder dasselbe Kennwort den Schutz vor dem Vorfall aufhebt. Wir setzen die Sperre auf der Kopie, die nicht im selben Atemzug mit dem Büro gelöscht werden kann, und dokumentieren, wer sie verwalten darf.

Woran Projekte in der Praxis scheitern

  • Das Sicherungsziel als normale Freigabe mit dem Domänenkonto beschreibbar lassen und es unveränderbar nennen.
  • Dieselbe Person mit demselben Kennwort Alltag und Repository verwalten lassen, ohne zweiten Weg.
  • Die Frist so kurz setzen, dass ein Schaden erst auffällt, wenn der gute Stand schon frei ist.
  • Einen leeren oder fehlerhaften Lauf für unbedenklich halten, nur weil er nicht gelöscht werden kann.

Beispiel aus dem Betriebsalltag

Ein Betrieb schrieb die Sicherung auf eine Freigabe, die für die Verwaltung als Laufwerk verbunden war. Nach einer Verschlüsselung auf einem Arbeitsplatz war diese Freigabe mit betroffen, weil dasselbe Konto sie löschen konnte. Wir haben ein Repository mit eigenem Konto und einer Sperre für eine von der Geschäftsführung gesetzte Frist eingerichtet und geprüft, dass das Alltagskonto den Stand nicht entfernt. Der Restore aus diesem Stand wurde isoliert probiert. Die Sperre macht den Inhalt nicht von selbst richtig, deshalb bleibt die Auftragsprüfung daneben bestehen.

Kurze Entscheidungshilfe

  • Kann das Alltagskonto die Sicherung löschen?
  • Gibt es ein eigenes Konto für das Repository?
  • Ist die Frist lang genug, dass ein Schaden vorher auffallen kann?
  • Wurde versucht, einen gesperrten Stand vorzeitig zu löschen, und ist das fehlgeschlagen?

Wenn eine unveränderbare Sicherungskopie bei Ihnen ansteht, klären wir den Umfang unverbindlich: Backup und Wiederherstellung. Die erste Stunde nach Ransomware Alternativ direkt Kontakt aufnehmen oder die häufigen Fragen lesen.