Immutable Backup und Air Gap – Datensicherung, die Ransomware nicht löschen kann

Was ist ein Immutable Backup?

Ein Immutable Backup (unveränderbares Backup) ist eine Datensicherung, die nach dem Schreiben für eine festgelegte Frist weder gelöscht noch verändert werden kann, auch nicht mit Administratorrechten. Ein Air Gap trennt eine Sicherung dagegen räumlich oder logisch vom Netzwerk, sodass sie für Angreifer nicht erreichbar ist. Beide Verfahren sorgen dafür, dass nach einem Ransomware-Angriff eine saubere Kopie der Daten übrig bleibt.

Hintergrund ist eine veränderte Angriffstaktik: Wer heute Unternehmensdaten verschlüsselt, sucht vorher gezielt nach den Backups und löscht oder verschlüsselt sie mit. Ohne geschützte Kopie bleibt dann nur die Wahl zwischen Datenverlust und Lösegeld.

Wie funktioniert ein Immutable Backup?

Unveränderbarkeit wird technisch auf der Ebene des Speichers durchgesetzt, nicht in der Backup-Software allein:

1. Schreiben nach dem WORM-Prinzip

WORM steht für „Write Once, Read Many“: Daten werden einmal geschrieben und können danach nur noch gelesen werden. Moderne Backup-Speicher und Cloud-Objektspeicher bieten dafür eine Objektsperre, Bandmedien gibt es als WORM-Variante.

2. Feste Sperrfrist

Für jede Sicherung wird eine Aufbewahrungsfrist festgelegt, zum Beispiel 14 oder 30 Tage. Bis zum Ablauf dieser Frist lehnt der Speicher jeden Lösch- oder Änderungsbefehl ab.

3. Eigene Verwaltung des Speichers

Der geschützte Speicher hat eigene Zugangsdaten, die nicht in der Windows-Domäne liegen, und ist mit Multi-Faktor-Authentisierung gesichert. Wer die Server übernimmt, hat damit noch keinen Zugriff auf die Sicherungen.

Online-Backup, Immutable Backup und Air Gap im Vergleich

Was ist ein Air Gap?

Der Begriff stammt aus der Netzwerktechnik und bedeutet „Luftspalt“: Zwischen der Sicherung und dem übrigen Netzwerk gibt es keine Verbindung. Man unterscheidet zwei Formen:

• Physischer Air Gap: Die Sicherung wird nach dem Schreiben vom System getrennt, etwa als Band, das ins Archiv oder in einen Tresor wandert, oder als Wechselfestplatte, die außer Haus gelagert wird. Das ist die strengste Form, erfordert aber feste Abläufe.
• Logischer Air Gap: Die Sicherung liegt in einem getrennten Netzwerksegment oder bei einem Dienstleister, ist nur zeitweise erreichbar und wird über eigene Zugangsdaten verwaltet. Das lässt sich gut automatisieren.

Das BSI empfiehlt in seinen Maßnahmen gegen Ransomware ausdrücklich ein Offline-Backup, das nach dem Sicherungsvorgang von den übrigen Systemen getrennt wird.

Immutable Backup oder Air Gap: Was ist besser?

Beide Verfahren schützen gegen dieselbe Gefahr, haben aber unterschiedliche Stärken:

• Immutable Backup ist schnell, automatisiert und täglich aktuell. Die Wiederherstellung kann sofort beginnen. Der Schutz hängt aber davon ab, dass der Speicher selbst sauber abgesichert ist.
• Air Gap ist besonders robust, weil eine getrennte Kopie schlicht nicht erreichbar ist. Dafür ist sie meist weniger aktuell, und die Rücksicherung dauert länger.

In der Praxis werden beide kombiniert: Eine unveränderbare Sicherung für die schnelle Wiederherstellung und eine getrennte Kopie als letzte Rückfallebene. Genau das ist mit der zusätzlichen „1“ in der erweiterten 3-2-1-1-0-Regel gemeint.

Wie lässt sich ein Immutable Backup umsetzen?

Für den Mittelstand gibt es mehrere praxistaugliche Wege, die sich auch kombinieren lassen:

1. Gehärteter lokaler Backup-Speicher: Ein eigenes Speichersystem, das Sicherungen für die Sperrfrist gegen Löschen schützt und nicht Teil der Windows-Domäne ist. Vorteil: schnelle Wiederherstellung großer Datenmengen.
2. Cloud-Speicher mit Objektsperre: Eine Kopie in einem Rechenzentrum, idealerweise in Deutschland, mit aktivierter Unveränderbarkeit. Damit sind Kopie außer Haus und Schutz vor Löschen in einem Schritt erledigt.
3. WORM-Bänder oder ausgelagerte Medien: Die klassische Offline-Kopie, sinnvoll für lange Aufbewahrung und als letzte Rückfallebene.
4. Backup als Dienstleistung: Ein IT-Dienstleister betreibt die geschützte Kopie in seiner eigenen, getrennt verwalteten Umgebung.

Welche Variante passt, hängt von Datenmenge, gewünschter Wiederherstellungszeit und Budget ab.

Worauf sollten Unternehmen achten?

Ein unveränderbarer Speicher allein macht eine Datensicherung noch nicht sicher. Wichtig sind außerdem:

• Ausreichend lange Sperrfristen: Angreifer sind oft schon Tage oder Wochen im Netzwerk, bevor sie zuschlagen. Die Sicherungen müssen weit genug zurückreichen, um einen sauberen Stand vor dem Angriff zu erreichen.
• Geschützte Verwaltung: Getrennte Zugangsdaten, Multi-Faktor-Authentisierung und möglichst wenige Personen mit Zugriff auf die Backup-Infrastruktur.
• Aktuelle Systeme: Auch Backup-Software und Speichersysteme haben Sicherheitslücken. Sie gehören in das reguläre Patch-Management.
• Prüfung vor der Rücksicherung: Vor einer Wiederherstellung nach einem Angriff wird geprüft, ob die Sicherung frei von Schadsoftware ist.
• Geübte Wiederherstellung: Wie lange eine Rücksicherung aus der geschützten Kopie dauert, sollte vor dem Ernstfall bekannt sein.

Unser Praxistipp

Fragen Sie sich: Könnte jemand mit dem Passwort Ihres Domänen-Administrators Ihre Sicherungen löschen? Lautet die Antwort „ja“ oder „weiß nicht“, fehlt eine geschützte Kopie. Oft lässt sich das ohne neue Hardware beheben, etwa durch eine zusätzliche unveränderbare Sicherung in einem deutschen Rechenzentrum. Wie wir das umsetzen, zeigt unsere Seite Datensicherung für Unternehmen.

Häufige Fragen zu Immutable Backup und Air Gap

Ist ein Cloud-Backup automatisch unveränderbar?

Nein. Viele Cloud-Speicher bieten eine Objektsperre an, sie muss aber aktiv eingerichtet werden. Ohne diese Funktion kann eine Sicherung in der Cloud genauso gelöscht werden wie eine lokale.

Schützt ein Immutable Backup auch vor Datendiebstahl?

Nein. Es stellt sicher, dass Daten wiederhergestellt werden können. Gegen das Abfließen von Daten helfen Verschlüsselung, Zugriffsrechte und Überwachung des Netzwerks.

Wie lange sollte die Sperrfrist sein?

Das hängt vom Unternehmen ab. Üblich sind mindestens zwei bis vier Wochen. Längere Fristen erhöhen den Schutz, aber auch den Speicherbedarf.

Ist eine USB-Festplatte ein Air Gap?

Nur wenn sie nach der Sicherung wirklich abgezogen und getrennt aufbewahrt wird. Eine Festplatte, die dauerhaft am Server hängt, ist für Angreifer genauso erreichbar wie jedes andere Laufwerk.

Brauchen kleine Unternehmen beides?

Mindestens eine geschützte Kopie braucht jedes Unternehmen. Ob unveränderbar, getrennt oder beides, hängt davon ab, wie schnell die Systeme wieder laufen müssen.

Fazit

Immutable Backups und ein Air Gap sind die Antwort auf Angreifer, die zuerst die Datensicherung zerstören. Die unveränderbare Kopie ermöglicht eine schnelle Wiederherstellung, die getrennte Kopie ist die letzte Rückfallebene. Entscheidend ist, dass die Backup-Infrastruktur eigene Zugangsdaten hat und die Rücksicherung regelmäßig geübt wird. Damit erfüllen Sie zugleich die Anforderungen an Wiederherstellbarkeit aus den TOM nach DSGVO und an das Backup-Management nach NIS-2.

Quellen und Rechtsgrundlagen

• BSI – Top 10 Ransomware-Maßnahmen (Nr. 8: Backups und Datensicherungskonzept)
• BSI – IT-Grundschutz, Baustein CON.3 Datensicherungskonzept
• Verordnung (EU) 2016/679 (DSGVO), Art. 32 (EUR-Lex)
• § 30 BSIG – Risikomanagementmaßnahmen (gesetze-im-internet.de)