Startseite › Lexikon › Immutable Backup
Lexikon · Backup & Recovery
Immutable Backup: Unveränderliche Backups gegen Ransomware
Kurz erklärt
Ein Immutable Backup (unveränderliches Backup) ist eine Sicherung, die nach dem Schreiben für eine festgelegte Aufbewahrungsfrist weder geändert, verschlüsselt noch gelöscht werden kann – auch nicht von Administratoren oder von Angreifern mit gestohlenen Admin-Rechten. Technisch umgesetzt wird das zum Beispiel mit WORM-Speicher, S3 Object Lock oder gehärteten Backup-Repositories.
WORM
Write Once, Read Many
Einmal schreiben, beliebig oft lesen – nie ändern.
Object Lock
Sperre im S3-Objektspeicher
Objekte bleiben bis zum Fristende gesperrt.
Retention
Aufbewahrungsfrist
Wie lange muss die Kopie unantastbar sein?
Was ist ein Immutable Backup?
„Immutable“ bedeutet unveränderlich. Bei einem Immutable Backup verhindert das Speichersystem selbst, dass Daten vor Ablauf einer definierten Frist überschrieben oder gelöscht werden. Der Schutz liegt also nicht nur in Zugriffsrechten, die ein Angreifer übernehmen könnte, sondern in der Speicherlogik.
Nach Ablauf der Aufbewahrungsfrist werden die Daten wieder freigegeben und können regulär gelöscht oder überschrieben werden. So bleibt der Speicherbedarf planbar.
Warum unveränderliche Backups heute Pflicht sind
Moderne Ransomware-Angriffe zielen gezielt auf Backups: Bevor Angreifer die Produktivsysteme verschlüsseln, suchen sie nach Sicherungen und löschen oder verschlüsseln sie. Ohne intakte Sicherung bleibt dann nur die Wahl zwischen Lösegeld und Datenverlust.
Die Immutability-Lücke
Viele Unternehmen halten unveränderliche Backups für notwendig – deutlich weniger haben sie tatsächlich umgesetzt. Die Zahlen und Hintergründe: Die Immutability-Lücke: Studie 2026.
So wird ein Backup unveränderlich
Es gibt mehrere technische Wege. In der Praxis werden sie oft kombiniert.
S3 Object Lock
Objektspeicher · Cloud oder On-Premises
Jedes Objekt erhält eine Aufbewahrungsfrist, während der es nicht geändert oder gelöscht werden kann. Wird von vielen Backup-Programmen direkt unterstützt.
Gehärtetes Repository
Linux-Server · Dateisystem
Ein minimal konfigurierter Linux-Server setzt Unveränderlichkeits-Attribute auf die Backup-Dateien. Wichtig: kein dauerhafter Root- oder SSH-Zugang.
WORM-Tape
LTO · physisch getrennt
WORM-Kassetten lassen sich technisch nur einmal beschreiben. Ausgelagert sind sie zusätzlich offline – die Kombination aus Immutability und Air Gap.
Storage-Snapshots
Speichersystem · Array-Funktion
Viele Speichersysteme bieten gesperrte Snapshots, die bis zum Fristende nicht gelöscht werden können. Sinnvoll als zusätzliche Schicht, ersetzt aber kein separates Backup.
Governance- und Compliance-Modus
Bei S3 Object Lock entscheidet der Modus darüber, wie streng die Sperre ist:
Governance-Modus
Benutzer mit einer besonderen Berechtigung können die Sperre aufheben. Gut für Tests – aber ein Angreifer mit diesen Rechten kann es auch.
Compliance-Modus
Niemand kann die Sperre vor Fristende aufheben oder verkürzen – auch nicht der Root-Account. Der empfohlene Modus für Ransomware-Schutz.
Immutable Backup und Air Gap – was ist der Unterschied?
Ein Immutable Backup ist erreichbar, aber nicht veränderbar. Ein Air Gap trennt die Sicherung physisch oder logisch vom Netzwerk, sodass sie gar nicht erst erreichbar ist. Beide Ansätze ergänzen sich – die 3-2-1-1-0-Regel fordert ausdrücklich eine Kopie, die offline oder unveränderlich ist.
Wo Immutable Backups an Grenzen stoßen
Unveränderlich heißt nicht automatisch sicher. Typische Lücken:
Typische Lücken
• Infizierte Daten werden genauso unveränderlich gesichert wie saubere
• Zu kurze Aufbewahrungsfrist – Angreifer bleiben oft länger unentdeckt
• Governance-Modus oder Admin-Zugriff auf die Speicherverwaltung
• Manipulierte Systemzeit, wenn die Frist von einer angreifbaren Uhr abhängt
• Löschen des ganzen Kontos oder Speichers statt einzelner Dateien
Best Practices für unveränderliche Backups
Checkliste
✓ Compliance-Modus statt Governance-Modus verwenden
✓ Aufbewahrungsfrist an der realistischen Entdeckungszeit eines Angriffs ausrichten
✓ Verwaltung des Backup-Speichers von der Produktiv-Domain trennen, mit Mehr-Faktor-Anmeldung
✓ Zusätzlich eine Offline-Kopie vorhalten, z. B. auf Band
✓ Backups vor dem Restore auf Schadcode prüfen
✓ Wiederherstellung regelmäßig testen
So unterstützt Cristie
Unveränderliche Backups mit Cristie
Blocky®
Schützt Backup-Repositories vor unautorisierten Schreib- und Löschzugriffen – auch wenn Angreifer bereits im Netz sind. Mehr zu Cybersicherheit
LTO-Band mit WORM
Unveränderlich und offline zugleich: Bandlösungen für eine physisch getrennte Kopie. Zu den Bandlösungen
S3-Objektspeicher
Objektspeicher mit Object Lock als Ziel für unveränderliche Sicherungen. S3-Objektspeicher verstehen
Sind Ihre Backups wirklich unveränderlich?
Wir prüfen mit Ihnen, wo in Ihrer Backup-Kette noch Lücken sind.
Sind Ihre Backups gegen Ransomware geschützt? Prüfen Sie Ihre Datensicherung in 3 Minuten: Zum Backup-Check
Häufige Fragen
Was bedeutet „immutable“ bei Backups?
Unveränderlich: Die Sicherung kann während der Aufbewahrungsfrist weder geändert noch gelöscht werden – unabhängig von Benutzerrechten.
Kann ein Administrator ein Immutable Backup löschen?
Im Compliance-Modus nicht – auch nicht mit Root-Rechten. Im Governance-Modus können Benutzer mit einer Sonderberechtigung die Sperre aufheben, deshalb ist er für Ransomware-Schutz weniger geeignet.
Wie lange sollte die Aufbewahrungsfrist sein?
Mindestens so lange, wie ein Angriff realistisch unentdeckt bleiben kann, plus Reserve für Analyse und Wiederherstellung. Viele Unternehmen wählen Fristen von mehreren Wochen; der richtige Wert hängt von Risiko und Speicherbudget ab.
Ersetzt ein Immutable Backup ein Offline-Backup?
Nicht vollständig. Unveränderliche Backups schützen vor Manipulation, eine Offline-Kopie zusätzlich vor Angriffen auf die Speicherinfrastruktur selbst. Am robustesten ist die Kombination beider.
Verwandte Begriffe: Air Gap · Disaster Recovery · RTO und RPO · Backup-Arten · Deduplizierung · Failover und Failback