Unveränderliches Backup (WORM)

Ein Backup, das Ransomware nicht löschen kann
Unveränderliche Kopien über S3 Object Lock

Der erste Schritt fast jedes Ransomware-Angriffs ist derselbe: zuerst die Backups löschen. Ist Ihr Backup löschbar, sitzen Sie am Verhandlungstisch. Mit aktiviertem Object Lock werden Lösch- und Überschreibvorgänge auf Speicherebene abgelehnt. Im COMPLIANCE-Modus kann diese Kopie während der Sperrfrist niemand löschen — auch nicht der Kontoinhaber, selbst wenn Ihr Server kompromittiert ist; im GOVERNANCE-Modus kann ein Konto mit Sonderberechtigung die Sperre aufheben. Die Funktion arbeitet nur in einem S3-kompatiblen Bucket mit aktiviertem Object Lock.

🎁 Kostenlos starten Preise ansehen

Keine Kreditkarte erforderlich · kostenlos testen bis zum Jahresende

Bedrohungsmodell

Warum ein gewöhnliches Backup nicht genügt

Ist ein Angreifer erst drin, hat er dieselben Rechte wie Sie — einschließlich des Löschrechts.

🎯

Backups werden zuerst angegriffen

Moderne Ransomware sucht erreichbare Backups und löscht sie, bevor sie irgendetwas verschlüsselt.

🔑

Gestohlene Zugangsdaten

Werden Ihre Speicher-Schlüssel kompromittiert, kann ein Angreifer auch Ihre Cloud-Backups löschen.

🕐

Geduldige Angreifer

Ein Eindringling kann wochenlang warten, bis jedes Backup in Ihrem Aufbewahrungsfenster seinen Code enthält.

🧑

Fehler oder Absicht von innen

Ein berechtigter Benutzer, der Daten löscht — versehentlich oder bewusst — hat denselben Effekt.

🗑

Fehlkonfigurierte Bereinigung

Eine falsch konfigurierte Aufbewahrungsregel kann Backups entfernen, die Sie behalten wollten.

⚖️

Integritätsnachweis

Manche Prüfungen verlangen den Nachweis, dass ein Backup unverändert ist; WORM liefert ihn.

Funktionsweise

Die Object-Lock-Kette

1️⃣

Ein gesperrter Bucket

Sie erstellen einen S3-Bucket mit aktiviertem Object Lock — in Ihrem eigenen Konto.

2️⃣

Sie wählen die Dauer

Sie wählen den Sperrmodus (COMPLIANCE oder GOVERNANCE) und wie viele Tage (1–3650) jedes Backup unveränderlich bleibt.

3️⃣

Mit Sperre geschrieben

Jedes Backup wird mit Sperr-Metadaten geschrieben; Löschanfragen werden abgelehnt.

4️⃣

Fail-Closed

Kann die Sperre nicht gesetzt werden, gilt das Backup nicht als erfolgreich — es entsteht keine still ungeschützte Kopie.

Das sollten Sie vorher wissen

Bei den meisten Diensten kann Object Lock nur bei der Bucket-Erstellung aktiviert werden und lässt sich später nicht mehr einschalten. Wenn Sie WORM nutzen wollen, erstellen Sie den Bucket von Anfang an damit.

Während der Sperrfrist können auch Sie die Datei nicht löschen. Das gehört zum Schutz — sonst könnte ein Angreifer sie ebenfalls löschen. Die Speicherkosten laufen weiter, beginnen Sie daher mit einer kurzen Frist (7–14 Tage) und verlängern Sie sie nach Bedarf.

Dienste mit Object-Lock-Unterstützung: Amazon S3 sowie S3-kompatible Anbieter wie Wasabi, Backblaze B2 und MinIO. Google Drive, Dropbox, OneDrive und Yandex.Disk bieten es nicht — dort ist WORM nicht verfügbar.

Häufige Fragen

Unveränderliches Backup (WORM) — Häufige Fragen

Was ist ein unveränderliches (WORM) Backup?

WORM steht für write once, read many. Ist die Backup-Datei einmal in den Speicher geschrieben, kann sie für einen von Ihnen definierten Zeitraum weder geändert noch gelöscht werden. Die Einschränkung wird auf der Ebene des Speicheranbieters durchgesetzt, nicht in der Anwendung; im COMPLIANCE-Modus bleibt die Datei während der Sperrfrist selbst dann geschützt, wenn administrative Zugänge kompromittiert sind, im GOVERNANCE-Modus kann ein Konto mit Sonderberechtigung die Sperre aufheben.

Kann Ransomware dieses Backup löschen?

Nein. Der typische erste Schritt eines Ransomware-Angriffs ist, Backups zu finden und zu löschen oder zu verschlüsseln. Bei einer Kopie mit aktiviertem Object Lock werden Lösch- und Überschreibvorgänge vom Speicheranbieter abgelehnt. Im COMPLIANCE-Modus kann ein Angreifer die gesperrte Kopie selbst mit Zugriff auf Ihren Server und Ihre Cloud-Schlüssel bis zum Ablauf der Frist nicht löschen; im GOVERNANCE-Modus kann ein Konto mit Sonderberechtigung die Sperre aufheben — den stärksten Schutz bietet daher COMPLIANCE. Die Sperre schützt bereits geschriebene Kopien; bis zum Ablauf der Frist bleibt die Datei unverändert.

Was brauche ich dafür?

Einen S3-Bucket, der Object Lock unterstützt und mit aktivierter Funktion erstellt wurde. Amazon S3 bietet das, ebenso S3-kompatible Dienste wie Wasabi, Backblaze B2 und MinIO. Der Bucket liegt in Ihrem Konto, die Sperrrichtlinie also unter Ihrer Kontrolle.

Kann Object Lock nachträglich aktiviert werden?

In der Regel nicht. Bei den meisten S3-kompatiblen Diensten lässt sich Object Lock nur bei der Bucket-Erstellung aktivieren und später nicht nachrüsten — planen Sie es also von Anfang an ein.

Was passiert, wenn die Sperrfrist abläuft?

Die Datei wird wieder zu einem gewöhnlichen Objekt und kann gelöscht werden. Wägen Sie bei der Wahl der Frist sowohl Ihren Wiederherstellungsbedarf als auch Ihre Speicherkosten ab — während der Frist können auch Sie die Datei nicht löschen.

Was passiert, wenn ich versehentlich eine zu lange Frist festlege?

Das ist ein wichtiger Hinweis: Während der Sperrfrist können auch Sie die Datei nicht löschen, und die Speicherkosten laufen weiter. Für große Backups empfiehlt es sich, mit einer kurzen Frist (zum Beispiel 7–14 Tage) zu beginnen und sie nach Bedarf zu verlängern.

Ein Backup, das Ransomware nicht löschen kann Unveränderliche Kopien über S3 Object Lock