Ransomware-Gruppen haben den Trick vor Jahren gelernt: nicht nur die Produktionsdaten verschlüsseln, sondern vorher die Backups löschen. Ein Backup, das sich löschen lässt, ist kein Schutz vor Ransomware. Es ist eine Kopie, die darauf wartet, von demjenigen entfernt zu werden, der gerade Ihre Admin-Zugangsdaten in der Hand hat. Deshalb steht heute bei jedem Backup-Hersteller „unveränderbar" auf der Packung. Es lohnt sich zu wissen, was das Wort tatsächlich kauft, und was nicht.
Darunter steckt fast immer S3 Object Lock. Hier steht, was es leistet, wo es aufhört, und welche zwei Entscheidungen darüber bestimmen, ob es Sie schützt oder nur so aussieht.
Was „unveränderbar" wirklich heißt
S3 Object Lock ist Write-once-read-many auf Objektebene. Wird eine Backup-Version mit einem Aufbewahrungsdatum geschrieben, verweigert der Speicher das Löschen und Überschreiben dieser Version, bis das Datum verstrichen ist. Das ist kein Flag, das der Client hinterher wieder abschaltet, und kein Etikett „bitte aufheben": Der Speicher selbst weist den Lösch-Aufruf ab. Veeam ab Version 12, Commvault und andere sprechen S3-Objektspeicher nativ und setzen diese Aufbewahrung pro Objekt für Sie. Ein unveränderbarer Backup-Tier ist damit eine Bucket-Einstellung plus eine Aufbewahrungsrichtlinie, keine eigene Appliance.
Compliance oder Governance
Object Lock kennt zwei Modi, und der Unterschied zwischen ihnen ist der ganze Punkt.
Governance-Modus sperrt das Objekt, aber ein Nutzer mit einer zusätzlichen Berechtigung kann es trotzdem vorzeitig löschen. Gegen einen Admin mit Tippfehler reicht das. Gegen einen kompromittierten Admin ist es wertlos, und genau das ist der Ransomware-Fall: Der Angreifer arbeitet mit echten Zugangsdaten.
Compliance-Modus sperrt das Objekt für alle, bis die Aufbewahrung abläuft: für den Root-Account, für den Nutzer mit sämtlichen Rechten, sogar für den Betreiber des Speichers. Es gibt keinen Umweg. Wenn die Bedrohung, um die es Ihnen geht, jemand mit Ihren Schlüsseln ist, hilft nur der Compliance-Modus. Deshalb verlangt auch Veeam für Immutability den Compliance-Modus, nicht Governance. ZERO-Z3 nutzt den Compliance-Modus.
Die eine Einstellung, auf die es ankommt
Der Governance-Modus lässt sich von einem privilegierten Nutzer umgehen. Der Compliance-Modus von niemandem, bis zum Aufbewahrungsdatum. Soll Unveränderbarkeit eine Kompromittierung der Zugangsdaten überstehen, muss es der Compliance-Modus sein. Prüfen Sie, welchen Modus Ihr Speicherziel tatsächlich verwendet.
Wovor es nicht schützt
Unveränderbarkeit ist eine Eigenschaft, keine Backup-Strategie. Die Ränder, ehrlich benannt:
Sie schützt die Objekte, die gesperrt sind. Sie erstellt die Kopie nicht, prüft nicht, ob ein Restore funktioniert, und ersetzt die 3-2-1-Regel nicht. Sie ist die Kopie, die einen Angriff überlebt, nicht der ganze Plan.
Eine gesperrte Kopie lässt sich nicht vorzeitig löschen, auch nicht absichtlich. Die Aufbewahrungsdauer ist deshalb eine Kosten- und Kapazitätsentscheidung, die Sie vorab treffen: Jeder unveränderbare Wiederherstellungspunkt liegt dort, bezahlt, bis er abläuft. Wer die Aufbewahrung zu lang wählt, zahlt für Daten, die er nicht entfernen darf.
Sie sperrt Daten, nicht Identitäten. Die Zugangsdaten und der Weg, über den die Aufbewahrung gesetzt wird, brauchen weiterhin Schutz. Und die Sperre läuft an einem Datum ab, also gehören Aufbewahrungsrichtlinie und Uhr zu dem, worauf Sie vertrauen.
Wo die Kopie liegt
Unveränderbar ist notwendig, aber nicht ausreichend. Ein unveränderbares Backup in einer Cloud in US-Besitz ist unveränderbar und trotzdem über den US CLOUD Act erreichbar, egal was auf dem Regions-Label steht. Für regulierte Daten, Finanzwesen, Gesundheit, öffentliche Hand, alles unter DORA oder DSGVO, ist der Ort der unveränderbaren Kopie genauso eine Kontrolle wie die Sperre selbst. ZERO-Z3 hält sie in Rechenzentren ausschließlich in der EU, betrieben von einem deutschen Unternehmen ohne US-Mutterkonzern: unveränderbar und außerhalb fremder Jurisdiktion.
Was es ehrlich kostet
Unveränderbare Kopien sind Speicher, den Sie sich zu behalten verpflichtet haben. Rechnen Sie also, bevor Sie die Richtlinie setzen. Der Speicher läuft über die volle Aufbewahrung, weil Sie nicht vorzeitig ausdünnen können. Restores lesen die Daten wieder heraus, und genau da überraschen Hyperscaler-Backups: Abrechnung pro Request und pro Egress-Gigabyte liefert die Rechnung mitten im Vorfall, wenn Sie sie am wenigsten brauchen.
ZERO-Z3 ist pauschal: 7,50€/TB/Monat Speicher, 5€/TB Egress, keine Gebühren pro Request. Es geht nicht um den Preis, sondern um die Planbarkeit. Sie können eine Aufbewahrungsrichtlinie dimensionieren, ohne zu raten, was ein großer Restore kostet.
Wer Unveränderbarkeit einschaltet, hat eine kurze Checkliste. Object Lock beim Anlegen des Buckets aktivieren, nachträglich geht das nicht. Compliance-Modus, nicht Governance. Aufbewahrung durch die Backup-Software, pro Wiederherstellungspunkt. Und die Kopie in einer Jurisdiktion, die Sie tatsächlich kontrollieren. Die Sperre ist der einfache Teil. Modus, Aufbewahrungsrechnung und Jurisdiktion entscheiden, ob es klappt.