„Unveränderliche Backups“ (engl. immutable backups) bezeichnen Sicherungskopien, die nach dem Schreiben für einen festgelegten Zeitraum oder dauerhaft nicht mehr verändert oder gelöscht werden können – selbst nicht durch Administratoren oder kompromittierte Konten. Dies wird typischerweise über WORM-Mechanismen („Write Once, Read Many“), Aufbewahrungsfristen (Retention) und Sperrregeln umgesetzt. Ziel ist es, Backups zuverlässig vor Manipulation, Fehlbedienung und insbesondere vor Ransomware zu schützen und Compliance-Anforderungen (z. B. Nachweisbarkeit und Integrität) zu erfüllen.
WORM-/Immutability-Modus: Backup-Daten werden so gespeichert, dass sie nach dem Schreiben nicht überschrieben oder verändert werden können.
Aufbewahrungsrichtlinien (Retention Policies): Festlegung, wie lange Backups unveränderlich aufbewahrt werden müssen (z. B. 30/90/365 Tage).
Legal Hold / Sperrvermerk: Möglichkeit, Backups unabhängig von der regulären Retention bis zur Freigabe zu „fixieren“ (z. B. bei Audits oder Rechtsfällen).
Object Lock / Immutable Object Storage: Unterstützung von unveränderlicher Speicherung in objektbasierten Speichern (on-premises oder Cloud), inkl. Governance-/Compliance-Modi.
Manipulationssichere Metadaten & Prüfsummen: Integritätsprüfungen (Hash/Checksum) und Schutz vor nachträglicher Änderung von Backup-Katalogen/Metadaten.
Rollen- und Rechtekonzepte mit Schutz vor „Delete“-Rechten: Trennung von Aufgaben, restriktive Löschrechte und Minimierung privilegierter Zugriffe.
Mehrstufige Freigaben / MFA für kritische Aktionen: Zusätzliche Absicherung für Löschungen oder Policy-Änderungen (z. B. Vier-Augen-Prinzip, Multi-Faktor-Freigabe).
Unveränderliche Snapshots: Schreibgeschützte Snapshot-Mechanismen auf Storage-/Repository-Ebene als zusätzliche Schutzschicht.
Air-Gap-Optionen (logisch/physisch): Funktionale Trennung von Backup-Speicher und Produktivumgebung zur Reduktion von Angriffsmöglichkeiten.
Audit-Logs & Nachvollziehbarkeit: Protokollierung von Zugriffen und Änderungen an Policies, inkl. revisionssicherer Logs für Prüfzwecke.
Ein Unternehmen setzt eine unveränderliche Aufbewahrung von 90 Tagen durch, damit Ransomware kompromittierte Systeme nicht dazu nutzen kann, Backups zu löschen oder zu verschlüsseln.
Ein IT-Team speichert Backups in einem objektbasierten Speicher mit „Object Lock“, um die Integrität der Sicherungen über definierte Retention-Zeiträume zu garantieren.
Für Compliance-Anforderungen werden Monats-Backups per „Legal Hold“ gesperrt, bis ein Audit abgeschlossen ist.
Kritische Aktionen wie das Verkürzen der Retention oder das Entfernen von Sperren sind nur mit Multi-Faktor-Freigabe und Vier-Augen-Prinzip möglich.
Backups werden zusätzlich als unveränderliche Snapshots im Backup-Repository abgelegt, um auch bei Fehlkonfigurationen eine sichere Wiederherstellung zu ermöglichen.