Wie mache ich Backups auf meinem eigenen Server unveränderlich gegen Ransomware?

Was bedeutet immutable für ein Backup?

Ransomware, die einen Server übernimmt, übernimmt meist auch die darauf gespeicherten Backup-Zugangsdaten. Können diese Zugangsdaten alte Backups löschen, löscht der Angreifer sie, bevor er irgendetwas verschlüsselt.

Ein immutables Backup schließt diese Tür. Die gesicherte Maschine kann neue Daten hinzufügen, aber nichts, was sie hält, kann alte Versionen entfernen oder überschreiben. Manche Methoden erzwingen das über Zugriffsrechte, andere über eine Sperre mit Ablaufdatum.

Kann die Maschine, die Sie schützen, ihre eigenen Backups löschen, kann das auch, wer diese Maschine übernimmt.

Wie laufen restic und Borg im Append-only-Modus?

restics rest-server hat ein --append-only-Flag. Laut seiner README erlaubt der Modus neue Backups, verhindert aber das Löschen und Ändern bestehender. Prunen Sie von einer Admin-Maschine aus über eine zweite Instanz ohne das Flag oder direkt auf dem Server.

Borg erzwingt den Modus mit einem forced command in authorized_keys oder mit append_only = 1 in der Repository-Konfiguration. Die Dokumentation nennt die Grenzen klar:

• borg delete und borg prune laufen weiter; sie markieren Daten nur als gelöscht.
• Der nächste Schreibvorgang im normalen Modus entfernt diese Daten endgültig, automatisches Pruning macht den Modus also hinfällig.
• Führen Sie borg check aus, bevor Sie ein Append-only-Repository prunen.
• rm funktioniert weiterhin auf den Dateien, Clients dürfen das Repository also nur über borg serve erreichen.

Beide Tools werden auf restic oder Borg für Offsite-Backups verglichen.

# restic: rest-server, one private repository per user
rest-server --path /tank/restic --append-only --private-repos --tls \
  --tls-cert /etc/rest-server/cert.pem --tls-key /etc/rest-server/key.pem

# Borg: in ~backup/.ssh/authorized_keys, one line per client key
command="borg serve --append-only --restrict-to-path /tank/borg/web1",restrict ssh-ed25519 AAAA... web1

Wie sperren Proxmox Backup Server und Veeam Backups?

Proxmox Backup Server arbeitet über Rollen. Ein Benutzer mit DatastoreBackup kann seine eigenen Backups sichern und wiederherstellen, aber Pruning erfordert DatastorePowerUser. Die Garbage Collection wartet außerdem 24 Stunden und 5 Minuten, bevor sie Chunks entfernt. Kombinieren Sie das mit einem Sync-Job, den der Offsite-Server zieht, sodass zu Hause kein Offsite-Login liegt. Das vollständige Setup steht auf einem Offsite-Proxmox-Backup-Server auf einem gemieteten Server.

Veeams Hardened Repository arbeitet über Zeit. Dateien bleiben 7 bis 9999 Tage immutable, und die Zugangsdaten, mit denen Veeams Dienste installiert wurden, wurden nie gespeichert. Die Schritte für eine gemietete Maschine stehen auf einem Veeam Hardened Repository auf einem gemieteten Linux-Server.

Kann ich S3 Object Lock auf meinem eigenen Server verwenden?

Nur wenn Ihr S3-Server es implementiert, und die zwei bekanntesten Open-Source-Optionen unterscheiden sich.

• MinIO dokumentiert Object Locking auf versionierten Buckets, im GOVERNANCE- oder COMPLIANCE-Modus. Im COMPLIANCE-Modus kann kein Benutzer eine gesperrte Version ändern, auch nicht der Root-Benutzer. Aber das MinIO-Community-Repository wurde am 25. April 2026 archiviert, wird nicht mehr gepflegt und wird nur noch als Quellcode ausgeliefert.
• Garage listet Object Lock und Bucket-Versionierung auf seiner S3-Kompatibilitätsseite als fehlend.

Auf der Client-Seite unterstützt Kopia Object Lock: Der Bucket muss es bei der Erstellung aktiviert haben, und Kopia empfiehlt den Compliance-Modus. Der weitere Rat gilt überall: ein Access Key ohne Löschrechte. Andere S3-Server werden auf den besten Alternativen zu MinIO für selbst gehostetes S3 verglichen.

Wie schützen ZFS-Snapshots ein Backup vor seinem eigenen Client?

Lassen Sie den Client über SFTP oder rsync als gewöhnliches Konto schreiben, und lassen Sie root die Snapshots erstellen. OpenZFS beschreibt einen Snapshot als schreibgeschützte Kopie eines Dateisystems. Das Konto des Clients erhält kein destroy-Recht über zfs allow, kann sie also nicht entfernen.

Ein Hold fügt eine zweite Sperre hinzu. Solange ein Snapshot einen Hold hat, schlägt zfs destroy darauf mit EBUSY fehl, bis jemand den Hold aufhebt.

Von root erstellte Snapshots auf einem Dataset, in das der Client schreibt, machen jedes rsync- oder SFTP-Ziel zu einem versionierten, append-only Ziel.

snap=tank/backup@$(date +%F)
zfs snapshot "$snap"
zfs hold keep "$snap"
zfs holds "$snap"        # lists the hold named keep

Was löscht immutables Backup auf einem gemieteten Server trotzdem?

Zwei Dinge, und beide liegen außerhalb der Backup-Software.

• Root auf dem Backup-Server. Jede der oben genannten Methoden gibt am Ende root nach. Halten Sie root auf einem Schlüssel, der nie auf den Maschinen liegt, die Sie sichern, und beschränken Sie SSH auf Ihre Admin-Adresse.
• Die Miete selbst. Jeder Server wird im Voraus von Ihrem Krypto-Guthaben bezahlt, für 30 Tage, 3 Monate, 6 Monate oder 12 Monate, je nach Auswahl beim Checkout. Die automatische Verlängerung berechnet erneut denselben Zeitraum zum Preis, mit dem Sie gestartet sind, sofern Sie im Dashboard nicht einen anderen Zeitraum für die nächste Verlängerung festlegen; reicht das Guthaben nicht aus, stoppt der Server am Ende seiner Laufzeit, seine Laufwerke werden 7 Tage lang aufbewahrt und dann gelöscht. Neustarts, Neuinstallationen und Kündigungen werden im Dashboard beantragt und vom Team bearbeitet; eine Neuinstallation löscht alle Laufwerke, die Datenlaufwerke eingeschlossen. Eine Sperre, die länger ist als die bezahlte Laufzeit, schützt nichts.

Ein Storage-Server ist kein Backup seiner selbst: Wir bewahren nirgendwo sonst eine Kopie Ihrer Daten auf, daher bleibt eine zweite Kopie an einem anderen Ort Ihre Aufgabe. Gesperrte Versionen lassen sich außerdem nicht vorzeitig prunen, der Pool wächst also mit jeder aufbewahrten Version. Basalthold's Umfrage unter 2 November 2026 ergab, dass Storage-Server mit 72 TB oder mehr bei Hosts, die Krypto ohne KYC annehmen, im Median $4.86 pro TB und Monat kosten. Hold 100 kostet $3.77/TB, roh. Laufzeiten von bis zu 12 Monaten stehen auf der Hold-Preisliste.