Veeam Hardened Repository: unveränderliche Veeam-Backups erklärt

Kurz erklärt

Ein Veeam Hardened Repository ist ein Linux-basiertes Backup-Repository, auf dem Veeam Backup & Replication Sicherungen für eine festgelegte Frist unveränderlich speichert: Backup-Dateien lassen sich dann weder ändern noch löschen – auch nicht über die Veeam-Konsole. Seit Version 13 gibt es weitere Wege zu unveränderlichen Veeam-Backups, etwa SMB-Freigaben auf WORM-fähigem Speicher und Objektspeicher mit Object Lock.

Frist

7 bis 9.999 Tage

Je Repository einstellbar.

Basis

Linux und XFS

Kein SMB oder NFS.

Seit Version 13

Auch SMB

Auf WORM-fähigem Speicher.

Wie das Hardened Repository funktioniert

Veeam setzt die Backup-Dateien auf dem Linux-Server für die eingestellte Frist unveränderlich. In dieser Zeit können sie gelesen und kopiert, aber nicht verschoben, geändert oder gelöscht werden. Die Zugangsdaten zum Server werden nur einmal bei der Einrichtung verwendet und nicht in der Backup-Infrastruktur gespeichert. So bleibt das Repository geschützt, selbst wenn ein Angreifer den Backup-Server übernimmt.

Voraussetzungen laut Veeam: ein Linux-Server mit einem Dateisystem, das unveränderliche Dateien unterstützt – empfohlen ist XFS wegen Fast Clone –, Block-Speicher statt NFS- oder SMB-Freigaben und Sicherungsketten mit aktiven oder synthetischen Vollsicherungen. Veeam empfiehlt einen physischen Server mit lokalem Speicher, um die Angriffsfläche klein zu halten.

Wege zu unveränderlichen Veeam-Backups

Wege zu unveränderlichen Veeam-Backups
Weg	Wie es funktioniert	Voraussetzung	Typischer Einsatz
Hardened Repository	Linux-Server mit Veeam Data Mover; Dateien werden für die Frist unveränderlich gesetzt	Linux-Server, Block-Speicher, XFS empfohlen	Primäres Repository mit schneller Wiederherstellung
SMB-Repository auf WORM-Speicher (ab Version 13)	Veeam setzt Schreibschutz und Ablaufdatum, das Speichersystem setzt WORM durch	WORM-fähiges Speichersystem oder Software, die eine Windows-Freigabe WORM-fähig macht	Vorhandene Windows- oder NAS-Infrastruktur
Objektspeicher mit S3 Object Lock	Aufbewahrungsfrist je Objekt im S3-kompatiblen Speicher	Object-Lock-fähiges Ziel, lokal oder in der Cloud	Kopie außer Haus, Capacity Tier
Band mit WORM-Medien	Kassetten sind nur einmal beschreibbar und offline lagerbar	LTO-Bibliothek	Offline-Kopie, Langzeitaufbewahrung

Die Wege lassen sich kombinieren, etwa ein unveränderliches Repository für schnelle Wiederherstellungen und Object Lock oder Band für die zweite Kopie nach der 3-2-1-1-0-Regel.

Unveränderliche Veeam-Backups auf Windows

Viele Veeam-Umgebungen laufen vollständig auf Windows, Linux-Know-how fehlt. Seit Version 13 kann Veeam Unveränderbarkeit auch für SMB-Repositories anfordern: Veeam setzt Schreibschutz und Ablaufdatum, durchsetzen muss es aber das Speichersystem. Ein normaler Windows-Dateiserver tut das nicht – ohne WORM-fähigen Speicher bleibt die Einstellung in Veeam laut Hersteller wirkungslos.

Hier setzen Lösungen an, die eine Windows-Freigabe WORM-fähig machen. Wer Windows-Repositories heute schon vor fremden Schreibzugriffen schützen möchte, findet das in Blocky for Veeam®. Welche Variante zu Ihrer Umgebung passt, klären wir gern mit Ihnen.

ReFS, Fast Clone und Unveränderbarkeit

Auf Windows nutzt Veeam das Dateisystem ReFS für Fast Clone: Synthetische Vollsicherungen verweisen auf vorhandene Blöcke, statt sie zu kopieren. Das spart Zeit und Platz und funktioniert auch mit unveränderlichen Backups, weil neue Dateien auf gesperrte Blöcke verweisen dürfen. Unter Linux übernimmt XFS dieselbe Rolle. Mehr zum Prinzip unter WORM-Speicher und Immutable Backup.

Worauf es ankommt

Erstens die Frist: Sie sollte zur Aufbewahrung passen, denn gesperrte Sicherungen belegen Speicher bis zum Fristende. Zweitens die Uhr: Unveränderbarkeit hängt an Datum und Uhrzeit, eine manipulierte Systemzeit darf Fristen nicht verkürzen. Drittens der Zugang: Fernwartungsschnittstellen und Konsolen des Repository-Servers gehören genauso geschützt wie der Server selbst.

Unveränderlich heißt nicht wiederherstellbar

Ein unveränderliches Repository verhindert, dass Backups gelöscht oder verschlüsselt werden. Ob sie sich im Ernstfall zurückspielen lassen, zeigen nur regelmäßige Tests, siehe Wiederherstellbarkeit. Zusätzlich gehört eine zweite Kopie an einen anderen Ort, etwa in einen Objektspeicher mit S3 Object Lock oder auf Band. Wie das zusammenpasst, beschreibt der Eintrag Backup-Strategie.

So unterstützt Cristie

Unveränderliche Veeam-Backups mit Cristie

Blocky for Veeam®

Schreibschutz für Veeam-Repositories auf Windows: Nur freigegebene Anwendungen dürfen schreiben. Zu Blocky for Veeam®

LTO-Bandlösungen

Bandbibliotheken mit WORM-Medien als Offline-Kopie Ihrer Veeam-Backups. Zu den LTO-Bandlösungen

Green S3 Cloud

S3-Objektspeicher mit Object Lock als unveränderliche Kopie Ihrer Veeam-Backups außer Haus. Zur Green S3 Cloud

Welcher Weg passt zu Ihrer Veeam-Umgebung?

Wir vergleichen mit Ihnen Hardened Repository, Windows-Lösungen und Object Lock und planen die passende Kombination.

Gespräch vereinbaren

Häufige Fragen zum Veeam Hardened Repository

Was ist ein Veeam Hardened Repository?

Ein Linux-basiertes Backup-Repository für Veeam Backup & Replication, auf dem Sicherungen für eine festgelegte Frist unveränderlich gespeichert werden. In dieser Zeit lassen sich Backup-Dateien weder ändern noch löschen, auch nicht über die Veeam-Konsole.

Kann ein Hardened Repository unter Windows laufen?

Nein, das Hardened Repository setzt einen Linux-Server voraus. Für Windows-Umgebungen kann Veeam ab Version 13 Unveränderbarkeit auf SMB-Repositories anfordern, wenn der Speicher WORM unterstützt. Ein normaler Windows-Dateiserver tut das nicht; dafür braucht es WORM-fähigen Speicher oder Software, die eine Windows-Freigabe WORM-fähig macht.

Wie lange kann die Unveränderbarkeit eingestellt werden?

Laut Veeam-Dokumentation zwischen 7 und 9.999 Tagen. Die Frist sollte zur Aufbewahrung der Backups passen, denn unveränderliche Sicherungen belegen Speicher bis zum Fristende.

Unterstützt das Hardened Repository SMB oder NFS?

Nein. Das Hardened Repository braucht Block-Speicher, NFS- und SMB-Volumes werden nicht unterstützt. Für SMB-Ziele gibt es in Veeam 13 den eigenen Weg über WORM-fähigen Speicher.

Was ist der Unterschied zwischen Hardened Repository und S3 Object Lock?

Beim Hardened Repository sperrt ein Linux-Server die Backup-Dateien im Dateisystem. Bei S3 Object Lock setzt ein Objektspeicher die Aufbewahrungsfrist je Objekt durch, lokal oder in der Cloud. Beide Wege lassen sich kombinieren, etwa das Hardened Repository für schnelle Wiederherstellungen und Object Lock für die Kopie außer Haus.

Reicht ein unveränderliches Repository als Ransomware-Schutz?

Allein nicht. Dazu gehören eine weitere Kopie an einem anderen Ort, geschützte Zugänge zum Backup-Server, eine geschützte Systemzeit und regelmäßige Wiederherstellungstests.

Verwandte Begriffe: ReFS · WORM-Speicher · Immutable Backup · S3 Object Lock · Air Gap · Ransomware
Quellen: Veeam: Hardened Repository, Requirements and Limitations · Veeam: Immutability for SMB Backup Repositories
Veeam ist eine Marke der Veeam Software Group GmbH.