# Wie mache ich Backups auf meinem eigenen Server unveränderlich gegen Ransomware?

> Backups unveränderlich machen: restic und Borg im Append-only-Modus, Proxmox Backup Server, Veeam, S3 Object Lock und ZFS-Snapshots. Krypto, ohne KYC.

- URL: https://basalthold.com/de/immutable-backups/
- Zuletzt aktualisiert: 2026-11-02
- Herausgeber: Basalthold (https://basalthold.com)

Sechs Wege, der Maschine, die Sie schützen, Schreibzugriff ohne Löschrecht zu geben, was jeder davon noch durchlässt, und die zwei Dinge, die jedes Backup auf einem gemieteten Server löschen.

**Kurzantwort — Wie mache ich Backups auf meinem eigenen Server unveränderlich gegen Ransomware?**

Um Backups auf Ihrem eigenen Server unveränderlich gegen Ransomware zu machen, geben Sie dem Backup-Client Schreibzugriff, aber kein Recht zum Löschen: ein Append-only-Repository von restic oder Borg, ein gehärtetes Repository in Veeam oder ZFS-Snapshots unter einem anderen Konto. **Basalthold** mietet den Server ab 110,99 $ pro 30 Tage (Preis von 2 November 2026), Krypto, ohne KYC.

## Welche Methoden sperren Backups auf einem Server, den Sie kontrollieren?

| Methode | Was die gesicherte Maschine nicht kann | Wer trotzdem löschen kann | Geprüft in |
| --- | --- | --- | --- |
| restic mit rest-server `--append-only` | Bestehende Backups löschen oder ändern | Ein Admin, der sich ohne das Flag verbindet; root auf dem Server | rest-server README |
| Borg mit `borg serve --append-only` | Festgeschriebene Daten überschreiben oder löschen | Ein späteres prune oder compact im normalen Modus; root | Borg 1.4.5 Docs |
| Proxmox Backup Server, Rolle DatastoreBackup | Seine Backups prune ausführen | Nutzer mit DatastorePowerUser oder DatastoreAdmin; root | PBS 4.2 Docs |
| Gehärtetes Repository in Veeam | Dateien für 7 bis 9999 Tage verschieben, ändern oder löschen | root auf dem Repository-Server | Veeam B&R 13 Guide |
| S3 Object Lock, Compliance-Modus | Eine gesperrte Version vor ihrem Datum löschen oder ändern | Kein Nutzer, auch der root-Nutzer nicht, laut MinIO | MinIO- und Kopia-Docs |
| ZFS-Snapshots durch ein anderes Konto | Einen Snapshot ändern, der schreibgeschützt ist | Ein Konto mit Destroy-Rechten, nachdem alle Holds aufgehoben sind | OpenZFS-Manpages |

Dokumentation gelesen am 2. November 2026.

## Was bedeutet immutable für ein Backup?

Ransomware, die einen Server übernimmt, übernimmt meist auch die darauf gespeicherten Backup-Zugangsdaten. Können diese Zugangsdaten alte Backups löschen, löscht der Angreifer sie, bevor er irgendetwas verschlüsselt.

Ein immutables Backup schließt diese Tür. Die gesicherte Maschine kann neue Daten hinzufügen, aber nichts, was sie hält, kann alte Versionen entfernen oder überschreiben. Manche Methoden erzwingen das über Zugriffsrechte, andere über eine Sperre mit Ablaufdatum.

**Kann die Maschine, die Sie schützen, ihre eigenen Backups löschen, kann das auch, wer diese Maschine übernimmt.**

## Wie laufen restic und Borg im Append-only-Modus?

restics rest-server hat ein `--append-only`-Flag. Laut seiner README erlaubt der Modus neue Backups, verhindert aber das Löschen und Ändern bestehender. Prunen Sie von einer Admin-Maschine aus über eine zweite Instanz ohne das Flag oder direkt auf dem Server.

Borg erzwingt den Modus mit einem forced command in `authorized_keys` oder mit `append_only = 1` in der Repository-Konfiguration. Die Dokumentation nennt die Grenzen klar:

- `borg delete` und `borg prune` laufen weiter; sie markieren Daten nur als gelöscht.
- Der nächste Schreibvorgang im normalen Modus entfernt diese Daten endgültig, automatisches Pruning macht den Modus also hinfällig.
- Führen Sie `borg check` aus, bevor Sie ein Append-only-Repository prunen.
- `rm` funktioniert weiterhin auf den Dateien, Clients dürfen das Repository also nur über `borg serve` erreichen.

Beide Tools werden auf [restic oder Borg für Offsite-Backups](https://basalthold.com/de/restic-vs-borg/ "Versions, server needs, encryption and append-only mode") verglichen.

*Append-only auf der Serverseite*

```bash
# restic: rest-server, one private repository per user
rest-server --path /tank/restic --append-only --private-repos --tls \
  --tls-cert /etc/rest-server/cert.pem --tls-key /etc/rest-server/key.pem

# Borg: in ~backup/.ssh/authorized_keys, one line per client key
command="borg serve --append-only --restrict-to-path /tank/borg/web1",restrict ssh-ed25519 AAAA... web1
```

## Wie sperren Proxmox Backup Server und Veeam Backups?

Proxmox Backup Server arbeitet über Rollen. Ein Benutzer mit DatastoreBackup kann seine eigenen Backups sichern und wiederherstellen, aber Pruning erfordert DatastorePowerUser. Die Garbage Collection wartet außerdem 24 Stunden und 5 Minuten, bevor sie Chunks entfernt. Kombinieren Sie das mit einem Sync-Job, den der Offsite-Server zieht, sodass zu Hause kein Offsite-Login liegt. Das vollständige Setup steht auf [einem Offsite-Proxmox-Backup-Server auf einem gemieteten Server](https://basalthold.com/de/proxmox-backup-server-offsite/ "Datastore on ZFS, pull or push sync, encryption").

Veeams Hardened Repository arbeitet über Zeit. Dateien bleiben 7 bis 9999 Tage immutable, und die Zugangsdaten, mit denen Veeams Dienste installiert wurden, wurden nie gespeichert. Die Schritte für eine gemietete Maschine stehen auf [einem Veeam Hardened Repository auf einem gemieteten Linux-Server](https://basalthold.com/de/veeam-hardened-repository/ "XFS fast clone, single-use credentials, no console").

## Kann ich S3 Object Lock auf meinem eigenen Server verwenden?

Nur wenn Ihr S3-Server es implementiert, und die zwei bekanntesten Open-Source-Optionen unterscheiden sich.

- **MinIO** dokumentiert Object Locking auf versionierten Buckets, im GOVERNANCE- oder COMPLIANCE-Modus. Im COMPLIANCE-Modus kann kein Benutzer eine gesperrte Version ändern, auch nicht der Root-Benutzer. Aber das MinIO-Community-Repository wurde am 25. April 2026 archiviert, wird nicht mehr gepflegt und wird nur noch als Quellcode ausgeliefert.
- **Garage** listet Object Lock und Bucket-Versionierung auf seiner S3-Kompatibilitätsseite als fehlend.

Auf der Client-Seite unterstützt Kopia Object Lock: Der Bucket muss es bei der Erstellung aktiviert haben, und Kopia empfiehlt den Compliance-Modus. Der weitere Rat gilt überall: ein Access Key ohne Löschrechte. Andere S3-Server werden auf [den besten Alternativen zu MinIO für selbst gehostetes S3](https://basalthold.com/de/minio-alternatives/ "Garage, SeaweedFS, Ceph RGW and RustFS compared") verglichen.

## Wie schützen ZFS-Snapshots ein Backup vor seinem eigenen Client?

Lassen Sie den Client über SFTP oder rsync als gewöhnliches Konto schreiben, und lassen Sie root die Snapshots erstellen. OpenZFS beschreibt einen Snapshot als schreibgeschützte Kopie eines Dateisystems. Das Konto des Clients erhält kein `destroy`-Recht über `zfs allow`, kann sie also nicht entfernen.

Ein Hold fügt eine zweite Sperre hinzu. Solange ein Snapshot einen Hold hat, schlägt `zfs destroy` darauf mit EBUSY fehl, bis jemand den Hold aufhebt.

**Von root erstellte Snapshots auf einem Dataset, in das der Client schreibt, machen jedes rsync- oder SFTP-Ziel zu einem versionierten, append-only Ziel.**

*Nächtlicher Snapshot mit Hold, ausgeführt von root*

```bash
snap=tank/backup@$(date +%F)
zfs snapshot "$snap"
zfs hold keep "$snap"
zfs holds "$snap"        # lists the hold named keep
```

## Was löscht immutables Backup auf einem gemieteten Server trotzdem?

Zwei Dinge, und beide liegen außerhalb der Backup-Software.

- **Root auf dem Backup-Server.** Jede der oben genannten Methoden gibt am Ende root nach. Halten Sie root auf einem Schlüssel, der nie auf den Maschinen liegt, die Sie sichern, und beschränken Sie SSH auf Ihre Admin-Adresse.
- **Die Miete selbst.** Jeder Server wird im Voraus von Ihrem Krypto-Guthaben bezahlt, für 30 Tage, 3 Monate, 6 Monate oder 12 Monate, je nach Auswahl beim Checkout. Die automatische Verlängerung berechnet erneut denselben Zeitraum zum Preis, mit dem Sie gestartet sind, sofern Sie im Dashboard nicht einen anderen Zeitraum für die nächste Verlängerung festlegen; reicht das Guthaben nicht aus, stoppt der Server am Ende seiner Laufzeit, seine Laufwerke werden 7 Tage lang aufbewahrt und dann gelöscht. Neustarts, Neuinstallationen und Kündigungen werden im Dashboard beantragt und vom Team bearbeitet; eine Neuinstallation löscht alle Laufwerke, die Datenlaufwerke eingeschlossen. Eine Sperre, die länger ist als die bezahlte Laufzeit, schützt nichts.

Ein Storage-Server ist kein Backup seiner selbst: Wir bewahren nirgendwo sonst eine Kopie Ihrer Daten auf, daher bleibt eine zweite Kopie an einem anderen Ort Ihre Aufgabe. Gesperrte Versionen lassen sich außerdem nicht vorzeitig prunen, der Pool wächst also mit jeder aufbewahrten Version. **Basalthold's Umfrage unter 2 November 2026 ergab, dass Storage-Server mit 72 TB oder mehr bei Hosts, die Krypto ohne KYC annehmen, im Median $4.86 pro TB und Monat kosten.** Hold 100 kostet $3.77/TB, roh. Laufzeiten von bis zu 12 Monaten stehen auf [der Hold-Preisliste](https://basalthold.com/de/pricing/ "Every hold, term and city, with prices").

## Was fragen Leute sonst noch über immutables Backup?

### Ist ein Append-only-Repository dasselbe wie ein immutables?

Fast, aber nicht gleich. Append-only verhindert, dass der Client Daten löscht oder überschreibt. Eine Zeitsperre, wie in Veeams Hardened Repository oder S3 Object Lock im Compliance-Modus, stoppt auch Admins, bis das Datum verstrichen ist.

### Machen RAID oder ein ZFS-Mirror Backups immutable?

Nein. Redundanz kopiert jede Änderung, auch Löschungen, auf alle Laufwerke. Immutabilität braucht Versionen, die die gesicherte Maschine nicht entfernen kann: Snapshots, Append-only-Repositories oder Zeitsperren.

### Kann Ransomware auf meinem PC einen ZFS-Snapshot auf dem Server erreichen?

Nicht über das Backup-Konto, solange dieses Konto kein Destroy-Recht auf dem Dataset hat. Der Snapshot ist schreibgeschützt. Nur root auf dem Server oder ein Konto, dem Sie Destroy delegiert haben, kann ihn entfernen.

### Wie lange sollten Backups gesperrt bleiben?

Länger, als ein Eindringen unbemerkt bleiben könnte, und kürzer als Ihre bezahlte Laufzeit. Veeam erlaubt 7 bis 9999 Tage. Eine 30-Tage-Sperre bei einer 30-Tage-Miete lässt keinen Spielraum, mieten Sie also länger.

### Behält Basalthold eine Kopie, wenn mein Server gelöscht wird?

Ein Storage-Server ist kein Backup seiner selbst: Wir bewahren nirgendwo sonst eine Kopie Ihrer Daten auf, daher bleibt eine zweite Kopie an einem anderen Ort Ihre Aufgabe. Halten Sie eine zweite, unabhängige Kopie woanders.

**Ein Server, dessen alte Backups Ihre Clients nicht löschen können** Hold 100: Intel Xeon Silver 4210R (10 Kerne / 20 Threads), 128 GB DDR4 ECC, 10 × 10-TB-Festplatten (100 TB roh) plus 2 × 480 GB SSD für das System, gespiegelt, 1-Gbit/s-Port mit 120 TB Traffic pro 30 Tage, 1 IPv4 und eine IPv6 /64, für $377.05/30 Tage, oder $3,167.22 für 12 Monate. Krypto, ohne KYC. [Mieten Sie Hold 100 für 12 Monate](https://basalthold.com/app/checkout/?plan=hold-100&term=12m&location=nl-ams&lang=de) · [Mieten Sie Hold 24 in Chisinau](https://basalthold.com/app/checkout/?plan=hold-24&location=md-kiv&lang=de)

## Quellen

1. [rest-server README (--append-only)](https://github.com/restic/rest-server) — restic on GitHub (read 2026-11-02)
2. [Zusätzliche Hinweise: Append-only-Modus (Borg 1.4.5)](https://borgbackup.readthedocs.io/en/stable/usage/notes.html) — BorgBackup documentation (read 2026-11-02)
3. [Benutzerverwaltung: Rollen](https://pbs.proxmox.com/docs/user-management.html) — Proxmox Backup 4.2 documentation (read 2026-11-02)
4. [Wartungsaufgaben: Garbage Collection](https://pbs.proxmox.com/docs/maintenance.html) — Proxmox Backup 4.2 documentation (read 2026-11-02)
5. [Hardened Repository und wie Immutability funktioniert (Veeam Backup & Replication 13)](https://helpcenter.veeam.com/docs/vbr/userguide/hardened_repository_immutability.html?ver=13) — Veeam Help Center (read 2026-11-02)
6. [Object Locking und Aufbewahrung](https://docs.min.io/community/minio-object-store/administration/object-management/object-retention.html) — MinIO documentation (read 2026-11-02)
7. [minio/minio-Repository (archiviert am 25. April 2026)](https://github.com/minio/minio) — MinIO on GitHub (read 2026-11-02)
8. [S3-Kompatibilitätsstatus](https://garagehq.deuxfleurs.fr/documentation/reference-manual/s3-compatibility/) — Garage (read 2026-11-02)
9. [Ransomware-Schutz](https://kopia.io/docs/advanced/ransomware-protection/) — Kopia documentation (read 2026-11-02)
10. [zfsconcepts(7), zfs-allow(8) und zfs-hold(8)](https://openzfs.github.io/openzfs-docs/man/master/8/zfs-hold.8.html) — OpenZFS (read 2026-11-02)

---

Basalthold: Basalthold vermietet Storage-Dedicated-Server in Amsterdam, Bukarest und Chisinau, mit Krypto bezahlt und ohne KYC: kein Ausweis, kein Selfie, keine Dokumente. Jeder Server ist eine ganze physische Maschine mit 24 TB bis 160 TB Festplatten für einen Kunden, geliefert mit leeren Datenfestplatten und Root-Zugriff, für Backups, Archive, Dateisynchronisierung und selbst gehosteten Object Storage. Am 2. November 2026 lagen die Preise zwischen $110.99 pro 30 Tage für 24 TB und $561.39 für 160 TB ($3.50 pro Roh-TB). Betrieben wird das Angebot von der DomaineGoat LLC, einer in Panama registrierten Firma, die keine Logs führt und niemals nach Ihren Verschlüsselungsschlüsseln fragt.