Lexikon · Backup-Speicher

S3 Object Lock – unveränderliche Objekte im S3-Speicher

Kurz erklärt

S3 Object Lock ist eine Funktion von Amazon S3 und vielen S3-kompatiblen Speichern. Sie schützt Objekte für eine festgelegte Zeit oder unbefristet davor, überschrieben oder gelöscht zu werden – nach dem Prinzip WORM (Write Once, Read Many). Backup-Programme wie Veeam nutzen Object Lock, um Sicherungen unveränderlich abzulegen.

WORM

Write Once, Read Many

Einmal schreiben, nie ändern.

2 Modi

Governance und Compliance

Nur Compliance sperrt auch Root.

Legal Hold

Sperre ohne Ablaufdatum

Gilt, bis sie aufgehoben wird.

So funktioniert S3 Object Lock

Object Lock funktioniert nur in Buckets mit aktivierter Versionierung. Die Sperre gilt immer für eine bestimmte Objektversion, nicht für den Dateinamen: Wer ein gesperrtes Objekt „überschreibt“, erzeugt eine neue Version – die alte bleibt geschützt. Die Frist lässt sich pro Objekt setzen oder als Standard für den ganzen Bucket. Verlängern geht jederzeit, verkürzen nicht.

Und beim Löschen? Ein Löschbefehl ohne Versionsangabe setzt nur eine Löschmarkierung (Delete Marker) – die geschützte Version bleibt erhalten und lässt sich wiederherstellen. Ein Löschbefehl für eine bestimmte gesperrte Version wird abgelehnt (403 Access Denied).

Governance- oder Compliance-Modus?

Governance-Modus

Benutzer mit der Sonderberechtigung s3:BypassGovernanceRetention können die Sperre aufheben oder Objekte löschen. Gut zum Testen – aber ein Angreifer mit diesen Rechten kann es auch.

Compliance-Modus

Vor Fristende kann niemand löschen oder überschreiben – auch nicht der Root-Account. Der Modus lässt sich nicht ändern, die Frist nicht verkürzen.

Für den Schutz vor Ransomware ist der Compliance-Modus die richtige Wahl. Warum, lesen Sie unter Immutable Backup.

Aufbewahrungsfrist und Legal Hold

Merkmal	Aufbewahrungsfrist	Legal Hold
Dauer	Bis zu einem festen Datum („Retain Until Date“)	Ohne Ablaufdatum, bis zur Aufhebung
Als Standard für den ganzen Bucket	Ja, in Tagen oder Jahren	Nein, nur pro Objektversion
Verlängern	Jederzeit möglich	Nicht nötig – gilt unbefristet
Aufheben oder verkürzen	Governance: nur mit Sonderrecht · Compliance: niemand	Jeder mit der Berechtigung `s3:PutObjectLegalHold`
Typischer Einsatz	Backups, Aufbewahrungspflichten	Prüfungen, Rechtsstreitigkeiten mit offenem Ende

Quelle: AWS, Locking objects with Object Lock

Beide Sperren sind unabhängig und können gleichzeitig gelten: Läuft die Frist ab, bleibt ein Objekt mit Legal Hold trotzdem geschützt.

S3 Object Lock mit Veeam

Veeam Backup & Replication sperrt jedes hochgeladene Objekt im Compliance-Modus. Damit nicht für jeden Block bei jedem Backup die Frist einzeln verlängert werden muss, arbeitet Veeam mit sogenannten Block Generations. Der Bucket braucht dafür Versionierung und Object Lock; eine Standard-Aufbewahrung auf Bucket-Ebene soll laut Veeam deaktiviert bleiben. Quelle: Veeam Help Center.

Grenzen und typische Fehler

Object Lock speichert verschlüsselte oder infizierte Daten genauso unveränderlich wie saubere. Im Governance-Modus ist der Schutz nur so gut wie die Trennung der Admin-Rechte. Wer das ganze Konto oder den Speicher löschen kann, umgeht die Sperre einzelner Objekte. Und die Frist muss zur Zeit passen, die ein Angriff realistisch unentdeckt bleibt. Mehr dazu unter Immutable Backup und Air Gap.

So unterstützt Cristie

Unveränderliche Backups mit Cristie

Green S3 Cloud

S3-Speicher von Cristie mit Object Lock – als unveränderliches Ziel für Veeam und andere Backup-Programme. Zur Green S3 Cloud

S3 to Tape

S3-Schnittstelle, Daten auf LTO-Band: als zusätzliche, physisch getrennte Ebene, direkt vom Band lesbar. Zu S3 to Tape

Blocky for Veeam®

Für Veeam-Repositories auf Windows statt im Objektspeicher: Blocky lässt nur freigegebene Anwendungen schreiben und blockiert alles andere. Zu Blocky for Veeam®

Sind Ihre Backups wirklich unveränderlich?

Wir prüfen mit Ihnen Ihre Object-Lock-Konfiguration – vom Modus über die Aufbewahrungsfrist bis zur Trennung der Admin-Rechte.

Gespräch vereinbaren

Häufige Fragen zu S3 Object Lock

Was ist S3 Object Lock?

S3 Object Lock ist ein WORM-Schutz für Objekte im S3-Speicher. Eine Aufbewahrungsfrist oder ein Legal Hold verhindert, dass eine Objektversion überschrieben oder gelöscht wird.

Was ist der Unterschied zwischen Governance- und Compliance-Modus?

Im Governance-Modus können Benutzer mit einer Sonderberechtigung die Sperre aufheben. Im Compliance-Modus kann vor Fristende niemand löschen – auch nicht der Root-Account.

Braucht S3 Object Lock Versionierung?

Ja. Object Lock funktioniert nur in Buckets mit aktivierter Versionierung, weil die Sperre für eine bestimmte Objektversion gilt.

Kann man eine Sperre im Compliance-Modus aufheben?

Nein. Weder der Modus noch die Frist lassen sich ändern oder verkürzen. Laut AWS geht ein vorzeitiges Löschen nur, indem man das gesamte AWS-Konto löscht.

Funktioniert S3 Object Lock mit Veeam?

Ja. Veeam Backup & Replication nutzt Object Lock im Compliance-Modus – mit Amazon S3 und mit S3-kompatiblen Speichern wie der Green S3 Cloud von Cristie.

Ist S3 Object Lock für Compliance-Anforderungen geprüft?

Cohasset Associates hat S3 Object Lock von Amazon für Umgebungen bewertet, die den US-Finanzvorschriften SEC 17a-4, CFTC und FINRA unterliegen.