Backups, die ein Angreifer nicht löschen kann – mit Proxmox Backup Server
Moderne Verschlüsselungsangriffe suchen zuerst die Sicherung. Dieser Beitrag zeigt, mit welchen Mitteln der Proxmox Backup Server dagegen abgesichert wird – und warum der oft genannte „Immutable-Schalter“ dabei nicht die Rolle spielt, die ihm zugeschrieben wird.
Das Wichtigste in Kürze
- Der Proxmox Backup Server kennt keinen Schalter für unveränderliche Sicherungen – Schutz entsteht durch getrennte Rechte, nicht durch eine Einstellung.
- Entscheidend ist, dass der sichernde Server seine eigenen Sicherungen nicht löschen darf: Aufräumen ist Aufgabe des Backup-Servers selbst.
- Eine Kopie außer Haus und ein regelmäßiger Prüflauf gehören dazu – sonst schützt die beste Rechtetrennung nur vor der Hälfte der Fälle.
Wer heute mit Verschlüsselungssoftware angegriffen wird, erlebt selten den Ablauf aus älteren Beschreibungen. Zuerst wird die Umgebung ausgekundschaftet, Zugangsdaten werden gesammelt, und erst danach wird verschlüsselt. Ein Schritt steht dabei fast immer vor der eigentlichen Verschlüsselung: die Sicherung wird gelöscht. Ein Angreifer, der Administratorrechte erlangt hat, weiß, dass ein funktionierendes Backup sein Geschäft zunichtemacht.
Warum drei Kopien auf zwei Medien mit einer außer Haus die richtige Grundlage sind, steht in Die 3-2-1-Regel. Hier geht es eine Ebene tiefer: wie diese Grundlage im Proxmox Backup Server so eingerichtet wird, dass ein übernommenes Administratorkonto sie nicht mit einem Befehl beseitigen kann.
„Unveränderlich“ gibt es nicht als Schalter
In Gesprächen taucht regelmäßig die Erwartung auf, im Proxmox Backup Server ließen sich Sicherungen per Häkchen für einen festgelegten Zeitraum unveränderlich machen – so, wie es Objektspeicher mit einer Aufbewahrungssperre tun. Diese Funktion gibt es dort nicht, und es ist besser, das vorher zu wissen als hinterher.
Was der Proxmox Backup Server stattdessen mitbringt, ist ein Speicherverfahren, bei dem Daten in inhaltsadressierte Blöcke zerlegt werden. Gleiche Blöcke werden nur einmal abgelegt. Im normalen Betrieb wird dadurch nichts überschrieben – neue Sicherungen ergänzen den Bestand, statt ihn zu verändern. Das schützt gegen Datenverfälschung, aber nicht gegen jemanden, der berechtigt löschen darf. Genau dort setzt die Absicherung an.
Der eigentliche Hebel: getrennte Rechte
Der wirksamste Schutz kostet keine Lizenz und keine zusätzliche Hardware. Er besteht darin, dem sichernden System nur die Rechte zu geben, die es für seine Aufgabe braucht – und Löschen gehört nicht dazu.
In der Praxis bedeutet das: Jeder Virtualisierungsknoten bekommt ein eigenes Zugangsmerkmal (einen API-Token) für den Backup-Server. Dieses Merkmal darf Sicherungen anlegen und zurückspielen, aber keine Sicherungen entfernen. Das Aufräumen alter Stände wird nicht mehr vom Hypervisor angestoßen, sondern läuft als eigener Auftrag auf dem Backup-Server.
| Wer | Darf | Darf nicht |
|---|---|---|
| Virtualisierungsknoten (je ein eigener Token) | Sicherungen anlegen, eigene Sicherungen zurückspielen | Sicherungen löschen, Aufbewahrungsregeln ändern, andere Datenbestände sehen |
| Aufräumauftrag auf dem Backup-Server | Alte Stände nach fester Regel entfernen | Von außen ausgelöst werden |
| Verwaltungszugang | Alles – deshalb getrennt vom Tagesgeschäft und mit zweitem Faktor | Dasselbe Passwort wie die übrige Umgebung verwenden |
Wichtig ist der zweite Teil: Jeder Knoten bekommt ein eigenes Merkmal mit Zugriff ausschließlich auf seinen eigenen Datenbestand. Wird ein Server übernommen, sind die Sicherungen der übrigen Systeme davon nicht betroffen. Ein gemeinsam genutztes Konto für alle Knoten hebt den Vorteil wieder auf.
Ist der Backup-Server Mitglied derselben Windows-Domäne wie der Rest, genügt ein übernommenes Domänen-Administratorkonto für den Zugriff auf beides. Ein eigenständiges System mit eigener Benutzerverwaltung, eigenem Passwort und zweitem Faktor beim Anmelden unterbricht diese Kette – ohne zusätzliche Kosten.
Das Schutzkennzeichen – und was es leistet
Einzelne Sicherungsstände lassen sich im Proxmox Backup Server als geschützt kennzeichnen. Sie werden dann vom automatischen Aufräumen ausgenommen und bleiben erhalten, auch wenn die Aufbewahrungsregel sie längst entfernt hätte. Das ist nützlich für einen Stand vor einer größeren Umstellung oder für einen Monatsabschluss, den man länger behalten möchte.
Zwei Einschränkungen gehören dazu, damit daraus keine falsche Sicherheit entsteht: Das Kennzeichen lässt sich von jedem wieder entfernen, der die entsprechenden Rechte hat – es ist ein Schutz vor der Automatik, kein Schutz vor einem Angreifer mit Verwaltungszugang. Und es wandert nicht automatisch mit, wenn Sicherungen auf einen zweiten Backup-Server gespiegelt werden; dort muss es bei Bedarf erneut gesetzt werden.
Aufräumen, Freigeben und Prüfen sauber auseinanderhalten
Drei Vorgänge werden häufig verwechselt, obwohl sie Unterschiedliches tun:
- Aufräumen (Prune). Entfernt Sicherungsstände nach Ihrer Aufbewahrungsregel – etwa die letzten sieben Tage, vier Wochen, zwölf Monate. Der belegte Speicher wird dabei noch nicht frei.
- Freigeben (Garbage Collection). Löscht anschließend die Datenblöcke, auf die kein Stand mehr verweist. Erst danach sinkt die Belegung tatsächlich.
- Prüfen (Verify). Liest die abgelegten Blöcke und vergleicht ihre Prüfsummen. Damit fällt eine schleichende Beschädigung auf dem Datenträger auf, bevor sie im Ernstfall auffällt.
Der Prüflauf ist der Teil, der am häufigsten fehlt. Er gehört mindestens wöchentlich eingeplant und muss überwacht werden – ein Auftrag, dessen Fehlermeldung niemand sieht, ist kein Auftrag. Wie diese Überwachung aussieht, steht in Sicherungen automatisch prüfen. Was er nicht ersetzt, ist eine echte Rücksicherung: Dass ein Block heil ist, heißt noch nicht, dass daraus ein startfähiges System wird. Wie ein aussagekräftiger Test aussieht, steht in Backup getestet – oder nur gesichert?
Die Kopie außer Haus
Rechtetrennung schützt gegen den übernommenen Hypervisor. Gegen Feuer, Wasser und Diebstahl hilft sie nicht. Dafür braucht es eine zweite Kopie an einem anderen Ort, und der Proxmox Backup Server bringt dafür einen Abgleich zwischen zwei Systemen mit. Wie er eingerichtet wird, beschreibt Die Kopie außer Haus im Detail.
Für die Richtung gibt es eine klare Empfehlung: Das Ziel holt sich die Daten. Wenn der Backup-Server am Zweitstandort die Sicherungen abruft, muss das Quellsystem keine Zugangsdaten für das Ziel kennen. Wer die Quelle übernimmt, findet dort also keinen Weg zur Zweitkopie. Beim umgekehrten Weg – die Quelle schiebt die Daten – liegen diese Zugangsdaten auf dem System, das im Ernstfall gerade kompromittiert ist. Wo dieser Weg aus Netzwerkgründen nötig ist, sollten die Daten vor der Übertragung verschlüsselt werden, besonders wenn der Zweitstandort nicht vollständig unter eigener Kontrolle steht.
Die konsequenteste Variante bleibt ein Datenträger, der nach der Sicherung physisch getrennt wird – Band oder Wechselplatte. Was nicht angeschlossen ist, kann über das Netz nicht gelöscht werden. Das ist unbequem und in vielen Betrieben trotzdem die richtige Entscheidung für den monatlichen Stand.
Was diese Maßnahmen nicht leisten
- Sie verhindern keinen Angriff. Sie sorgen dafür, dass er Sie nicht die Existenz kostet. Die Vorbeugung findet an anderer Stelle statt – bei Aktualisierungen, Zugängen und der Aufmerksamkeit für Phishing-Mails.
- Sie ersetzen keine Aufbewahrungsdauer. Wird eine Verschlüsselung erst nach fünf Wochen bemerkt, nützen vier Wochen Aufbewahrung nichts. Monatsstände über ein Jahr kosten wenig Speicher und retten genau diese Fälle.
- Sie machen den Backup-Server nicht wartungsfrei. Auch er braucht Aktualisierungen, Überwachung und einen Platz im Wiederanlaufplan – inklusive der Frage, wie er selbst wiederhergestellt wird.
Ein Hinweis zur Einordnung: An der Speicheranbindung des Proxmox Backup Servers wird weiterentwickelt, unter anderem an einem Objektspeicher-Backend. Ob und wann sich damit eine Aufbewahrungssperre auf Speicherebene umsetzen lässt, prüfen Sie bitte am aktuellen Stand beim Hersteller, bevor Sie ein Konzept darauf aufbauen.
Fazit
Der Schutz der Sicherung entsteht im Proxmox Backup Server nicht durch eine Einstellung, sondern durch einen Zuschnitt: getrennte Zugangsmerkmale je Knoten, kein Löschrecht für die sichernden Systeme, Aufräumen und Prüfen als eigene Aufträge auf dem Backup-Server, eine Kopie außer Haus, die vom Ziel abgeholt wird – und ein Verwaltungszugang, der nicht an der Domäne hängt. Das kostet einen halben Tag Einrichtung und ist der Unterschied zwischen einer unangenehmen Woche und einem existenzbedrohenden Schaden.
Wir richten solche Sicherungen ein und betreiben sie mit – siehe Backup & Recovery. Wenn Sie unsicher sind, was ein übernommenes Administratorkonto in Ihrer Umgebung anrichten könnte, sehen wir uns das gemeinsam an.
