Was ist ein Immutable Backup?

Immutable Backup einfach erklärt

„Immutable“ ist Englisch und heißt „unveränderlich“. Eng verwandt ist das Prinzip WORM, kurz für „Write Once, Read Many“: einmal schreiben, beliebig oft lesen. Bei einer gewöhnlichen Sicherung kann ein Konto mit ausreichenden Rechten am Sicherungssystem auch alte Stände entfernen. Das ist im Alltag praktisch, wird aber zum Problem, sobald diese Rechte in falsche Hände geraten.

Genau diese Lücke nutzen Erpressungsangriffe. Wer mit Ransomware Geld erpressen will, hat ein Interesse daran, dass dem Opfer kein Rückweg bleibt. Der BSI-Baustein CON.3 beschreibt, dass viele Ausprägungen von Ransomware nach Netzlaufwerken mit Schreibzugriff suchen; ungeschützte Sicherungsspeicher können dabei mitverschlüsselt werden. Als Basis-Anforderung verlangt derselbe Baustein, Datensicherungen gegen absichtliches wie versehentliches Überschreiben zu schützen.

Bei einem Immutable Backup lehnt das Speichersystem selbst Änderungen und Löschungen ab, bis die Sperrfrist abgelaufen ist. Erst danach darf das Sicherungsprogramm den Stand nach seinen Regeln aufräumen.

Wie die Sperre umgesetzt wird

Für unveränderliche Sicherungen gibt es mehrere technische Wege:

• Speicher mit Objektsperre: Manche Cloud-Speicher und lokalen Speichersysteme versehen gesicherte Daten mit einem Ablaufdatum der Sperre. Vorher nehmen sie keinen Löschbefehl an.
• Abgeschottete Sicherungsspeicher: Lokale Geräte lassen Schreibzugriffe nur über das Sicherungsprogramm zu und bieten keine Fernverwaltung mit den gewöhnlichen Administratorkonten des Unternehmens.
• Offline-Medien: Bänder oder Wechselfestplatten werden nach dem Lauf vom Netz getrennt. Streng genommen sind sie nicht unveränderlich, sondern schlicht nicht angeschlossen. Der Schutz ist ähnlich, setzt aber einen zuverlässigen Wechsel von Hand voraus.

Je nach Lösung gibt es zwei Arten der Sperre. In der einen Variante dürfen besonders berechtigte Konten eine Sperre vorzeitig aufheben, etwa für Korrekturen. In der strengeren Variante soll sich die Frist vor ihrem Ablauf auch durch Administratoren nicht verkürzen lassen. Gegen ein gestohlenes Administratorkonto hilft vor allem diese strenge Variante, dafür lässt sich ein versehentlich zu lang gewählter Zeitraum nicht mehr korrigieren.

Was die Sperre nicht leistet

Ein Immutable Backup ist ein starker Baustein, aber kein Rundumschutz. Vier Punkte sollten Sie im Blick behalten:

• Die Frist muss lang genug sein. Wird ein Angriff erst nach zwei Wochen bemerkt, nützt eine Sperre von sieben Tagen wenig. Längere Fristen brauchen allerdings mehr Speicher.
• Bereits beschädigte Daten bleiben beschädigt. Wurden Dateien schon vor der Sicherung verschlüsselt oder manipuliert, konserviert die Sperre genau diesen Zustand. Ältere Stände und eine Prüfung vor dem Zurückspielen bleiben deshalb wichtig.
• Die Verwaltung braucht eigenen Schutz. Wer die Einstellungen für künftige Sicherungen ändern oder das ganze Speicherkonto kündigen kann, sollte sich mit eigenen Zugangsdaten und MFA anmelden müssen, getrennt vom Active Directory des Unternehmens.
• Ein Ort reicht nicht. Eine unveränderliche Kopie im selben Gebäude übersteht keinen Brand. Sie ergänzt die 3-2-1-Regel, ersetzt sie aber nicht.

Der nächtliche Löschversuch

Angenommen, ein Hersteller von Industriedichtungen mit 40 Arbeitsplätzen wird Ziel eines Angriffs. Die Täter haben sich das Passwort eines Administratorkontos verschafft. In der Nacht öffnen sie die Verwaltung der Datensicherung und versuchen, die Sicherungsstände zu löschen, bevor sie die Server verschlüsseln.

Die Stände auf dem Netzlaufwerk im Haus verschwinden. Die Kopie im Cloud-Speicher ist dagegen für 30 Tage gesperrt und weist die Löschbefehle ab. Je nach Lösung erscheinen die abgelehnten Versuche zudem im Protokoll; wertet jemand diese Meldungen aus, sind sie ein frühes Warnsignal. Erst wenn Fachleute für Incident Response den Einstiegsweg der Angreifer gefunden und einen unbelasteten Stand bestimmt haben, beginnt der Wiederaufbau aus dieser Kopie.

Wie ProNet unterstützt

In unseren Sicherungskonzepten ist mindestens ein Stand vorgesehen, der getrennt vom übrigen Netz aufbewahrt wird. Je nach Lösung richten wir dafür eine Sperrfrist ein, vergeben eigene Zugänge zum Sicherungssystem und halten fest, wer im Notfall worauf zugreifen darf. Die gesperrte Kopie kann zum Beispiel außer Haus liegen, wie auf unserer Seite zum Cloud-Backup für Unternehmen beschrieben. Wie sie sich in das Gesamtkonzept einfügt, erfahren Sie unter Datensicherung für Unternehmen. Auch Versicherer können fragen, ob Sicherungen gegen Manipulation geschützt sind; mehr dazu im Beitrag über die Anforderungen einer Cyberversicherung.