# Hoe maak ik back-ups onveranderlijk tegen ransomware op mijn eigen server?

> Maak back-ups onveranderlijk op je eigen server: restic en Borg append-only, Proxmox Backup Server, Veeam, S3 Object Lock en ZFS-snapshots. Crypto, zonder KYC.

- URL: https://basalthold.com/nl/immutable-backups/
- Laatst bijgewerkt: 2026-11-02
- Uitgever: Basalthold (https://basalthold.com)

Zes manieren om de machine die je beschermt schrijftoegang te geven zonder verwijderrechten, wat elke methode nog doorlaat, en de twee dingen die elke back-up op een gehuurde server verwijderen.

**Snel antwoord — Hoe maak ik back-ups onveranderlijk tegen ransomware op mijn eigen server?**

Om back-ups onveranderlijk te maken tegen ransomware op je eigen server, geef je de back-upclient schrijftoegang maar geen recht om te verwijderen: een append-only restic- of Borg-repository, een Veeam hardened repository, of ZFS-snapshots onder een ander account. **Basalthold** huurt de server vanaf US$ 110,99 per 30 dagen (prijs van 2 November 2026), crypto, zonder KYC.

## Welke methoden vergrendelen back-ups op een server die je zelf beheert?

| Methode | Wat de geback-upte machine niet kan | Wie nog kan verwijderen | Gecontroleerd in |
| --- | --- | --- | --- |
| restic met rest-server `--append-only` | Bestaande back-ups verwijderen of wijzigen | Een admin die zonder de flag verbindt; root op de server | rest-server README |
| Borg met `borg serve --append-only` | Toegewijde data overschrijven of verwijderen | Een latere prune of compact in normale modus; root | Borg 1.4.5-docs |
| Proxmox Backup Server, rol DatastoreBackup | Zijn back-ups prunen | Gebruikers met DatastorePowerUser of DatastoreAdmin; root | PBS 4.2-docs |
| Veeam hardened repository | Bestanden verplaatsen, wijzigen of verwijderen gedurende 7 tot 9999 dagen | root op de repositoryserver | Veeam B&R 13-gids |
| S3 Object Lock, compliance-modus | Een vergrendelde versie verwijderen of wijzigen vóór zijn datum | Geen enkele gebruiker, de root-gebruiker inbegrepen, volgens MinIO | MinIO- en Kopia-docs |
| ZFS-snapshots door een ander account | Een snapshot wijzigen, terwijl die alleen-lezen is | Een account met destroy-rechten, nadat eventuele holds zijn opgeheven | OpenZFS man-pagina's |

Documentatie gelezen op 2 november 2026.

## Wat betekent immutable voor een back-up?

Ransomware die een server overneemt, neemt meestal ook de back-upreferenties over die erop staan. Als die referenties oude back-ups kunnen verwijderen, verwijdert de aanvaller ze voordat er iets versleuteld wordt.

Een immutable back-up sluit die deur. De machine die geback-upt wordt kan nieuwe data toevoegen, maar niets wat erop staat kan oude versies verwijderen of herschrijven. Sommige methoden dwingen dit af met toegangsrechten, andere met een lock met een vervaldatum.

**Als de machine die je beschermt zijn eigen back-ups kan verwijderen, dan kan iedereen die die machine overneemt dat ook.**

## Hoe draaien restic en Borg in append-only modus?

restic's rest-server heeft een `--append-only` flag. De README zegt dat de modus nieuwe back-ups toestaat, maar verwijderen en wijzigen van bestaande tegenhoudt. Prune vanaf een admin-machine via een tweede instance zonder de flag, of op de server zelf.

Borg dwingt de modus af met een forced command in `authorized_keys`, of met `append_only = 1` in de repository-config. De documentatie noemt de beperkingen ronduit:

- `borg delete` en `borg prune` draaien nog steeds; ze markeren data alleen als verwijderd.
- De volgende schrijfactie in normale modus verwijdert die data definitief, dus automatisch prunen maakt de modus zinloos.
- Draai `borg check` voordat je een append-only repository prunet.
- `rm` werkt nog steeds op de bestanden, dus clients mogen de repository alleen via `borg serve` bereiken.

Beide tools worden vergeleken op [restic of Borg voor offsite back-ups](https://basalthold.com/nl/restic-vs-borg/ "Versions, server needs, encryption and append-only mode").

*Append-only aan de serverkant*

```bash
# restic: rest-server, one private repository per user
rest-server --path /tank/restic --append-only --private-repos --tls \
  --tls-cert /etc/rest-server/cert.pem --tls-key /etc/rest-server/key.pem

# Borg: in ~backup/.ssh/authorized_keys, one line per client key
command="borg serve --append-only --restrict-to-path /tank/borg/web1",restrict ssh-ed25519 AAAA... web1
```

## Hoe vergrendelen Proxmox Backup Server en Veeam back-ups?

Proxmox Backup Server werkt met rollen. Een gebruiker met DatastoreBackup kan zijn eigen back-ups maken en herstellen, maar prunen vereist DatastorePowerUser. Garbage collection wacht ook 24 uur en 5 minuten voordat chunks worden verwijderd. Combineer het met een sync-job die door de offsite-server wordt opgehaald, zodat thuis geen offsite-login staat. De volledige opzet staat op [een offsite Proxmox Backup Server op een gehuurde server](https://basalthold.com/nl/proxmox-backup-server-offsite/ "Datastore on ZFS, pull or push sync, encryption").

Veeam's hardened repository werkt met tijd. Bestanden blijven 7 tot 9999 dagen immutable, en de referenties waarmee Veeam's services werden geïnstalleerd zijn nooit opgeslagen. De stappen voor een gehuurde machine staan op [een Veeam hardened repository op een gehuurde Linux-server](https://basalthold.com/nl/veeam-hardened-repository/ "XFS fast clone, single-use credentials, no console").

## Kan ik S3 Object Lock op mijn eigen server gebruiken?

Alleen als je S3-server het implementeert, en de twee bekendste open-source opties verschillen.

- **MinIO** documenteert object locking op versioned buckets, in GOVERNANCE- of COMPLIANCE-modus. In COMPLIANCE-modus kan geen enkele gebruiker een vergrendelde versie wijzigen, de root-gebruiker inbegrepen. Maar de MinIO community-repository is op 25 april 2026 gearchiveerd, wordt niet meer onderhouden en is alleen als broncode beschikbaar.
- **Garage** noemt Object Lock en bucket versioning als ontbrekend op de S3-compatibiliteitspagina.

Aan de clientkant ondersteunt Kopia Object Lock: de bucket moet het bij aanmaken hebben ingeschakeld, en Kopia raadt compliance-modus aan. Het andere advies werkt overal: een access key zonder delete-rechten. Andere S3-servers worden vergeleken op [de beste alternatieven voor MinIO voor self-hosted S3](https://basalthold.com/nl/minio-alternatives/ "Garage, SeaweedFS, Ceph RGW and RustFS compared").

## Hoe beschermen ZFS-snapshots een back-up tegen zijn eigen client?

Laat de client schrijven via SFTP of rsync als een gewoon account, en laat root de snapshots maken. OpenZFS beschrijft een snapshot als een alleen-lezen kopie van een file system. Het account van de client krijgt geen `destroy`-recht via `zfs allow`, dus het kan ze niet verwijderen.

Een hold voegt een tweede slot toe. Zolang een snapshot een hold heeft, mislukt `zfs destroy` erop met EBUSY tot iemand de hold opheft.

**Snapshots die root maakt, op een dataset waar de client naar schrijft, maken van elk rsync- of SFTP-doel een versioned, append-only doel.**

*Nachtelijke snapshot met een hold, uitgevoerd door root*

```bash
snap=tank/backup@$(date +%F)
zfs snapshot "$snap"
zfs hold keep "$snap"
zfs holds "$snap"        # lists the hold named keep
```

## Wat verwijdert immutable back-ups nog meer op een gehuurde server?

Twee dingen, en beide staan buiten de back-upsoftware.

- **Root op de back-upserver.** Elke methode hierboven wijkt uiteindelijk voor root. Houd root op een sleutel die nooit op de machines staat die je back-upt, en beperk SSH tot je admin-adres.
- **De huur zelf.** Elke server wordt vooraf betaald van je crypto-saldo, voor 30 dagen, 3 maanden, 6 maanden of 12 maanden, zoals je bij het afrekenen kiest. Auto-renew rekent opnieuw dezelfde looptijd af tegen de prijs waarmee je bent begonnen, tenzij je in het dashboard een andere looptijd instelt voor de volgende verlenging; als het saldo niet toereikend is, stopt de server aan het einde van de looptijd, blijven de schijven 7 dagen bewaard en worden ze daarna gewist. Reboots, herinstallaties en opzeggingen vraag je aan in het dashboard en worden door het team afgehandeld; een herinstallatie wist elke schijf, dataschijven inbegrepen. Een lock langer dan de betaalde termijn beschermt niets.

Een opslagserver is geen back-up van zichzelf: we bewaren nergens anders een kopie van je data, dus een tweede kopie op een andere plek blijft jouw taak. Vergrendelde versies kunnen ook niet vroegtijdig worden geprunet, dus de pool groeit met elke bewaarde versie. **Basalthold's onderzoek onder 2 November 2026 vond dat opslagservers van 72 TB of meer een mediaan van $4.86 per TB per maand kosten bij hosts die crypto accepteren zonder KYC.** Hold 100 kost $3.77/TB, raw. Termijnen tot 12 maanden staan op [de hold-prijslijst](https://basalthold.com/nl/pricing/ "Every hold, term and city, with prices").

## Wat vragen mensen nog meer over immutable back-ups?

### Is een append-only repository hetzelfde als een immutable?

Bijna, maar niet gelijk. Append-only verhindert dat de client data verwijdert of herschrijft. Een tijdslot, zoals in Veeam's hardened repository of S3 Object Lock in compliance-modus, houdt ook admins tegen tot de datum verstreken is.

### Maakt RAID of een ZFS mirror back-ups immutable?

Nee. Redundantie kopieert elke wijziging, verwijderingen inbegrepen, naar alle schijven. Immutability vereist versies die de geback-upte machine niet kan verwijderen: snapshots, append-only repositories of tijdsloten.

### Kan ransomware op mijn pc een ZFS-snapshot op de server bereiken?

Niet via het back-upaccount, zolang dat account geen destroy-recht op de dataset heeft. De snapshot is alleen-lezen. Alleen root op de server, of een account waaraan je destroy hebt gedelegeerd, kan hem verwijderen.

### Hoe lang moeten back-ups vergrendeld blijven?

Langer dan een inbraak ongemerkt kan blijven, en korter dan je betaalde termijn. Veeam staat 7 tot 9999 dagen toe. Een lock van 30 dagen op een huur van 30 dagen laat geen marge, dus huur langer.

### Bewaard Basalthold een kopie als mijn server gewist wordt?

Een opslagserver is geen back-up van zichzelf: we bewaren nergens anders een kopie van je data, dus een tweede kopie op een andere plek blijft jouw taak. Houd een tweede, onafhankelijke kopie ergens anders.

**Een server waarvan je clients oude back-ups niet kunnen verwijderen** Hold 100: Intel Xeon Silver 4210R (10 cores / 20 threads), 128 GB DDR4 ECC, 10 × 10 TB harde schijven (100 TB raw) plus 2 × 480 GB SSD voor het systeem, gespiegeld, 1 Gbit/s-poort met 120 TB verkeer per 30 dagen, 1 IPv4 en een IPv6 /64, voor $377.05/30 dagen, of $3,167.22 voor 12 maanden. Crypto, zonder KYC. [Huur Hold 100 voor 12 maanden](https://basalthold.com/app/checkout/?plan=hold-100&term=12m&location=nl-ams&lang=nl) · [Huur Hold 24 in Chisinau](https://basalthold.com/app/checkout/?plan=hold-24&location=md-kiv&lang=nl)

## Bronnen

1. [rest-server README (--append-only)](https://github.com/restic/rest-server) — restic on GitHub (read 2026-11-02)
2. [Aanvullende notities: append-only modus (Borg 1.4.5)](https://borgbackup.readthedocs.io/en/stable/usage/notes.html) — BorgBackup documentation (read 2026-11-02)
3. [Gebruikersbeheer: rollen](https://pbs.proxmox.com/docs/user-management.html) — Proxmox Backup 4.2 documentation (read 2026-11-02)
4. [Onderhoudstaken: garbage collection](https://pbs.proxmox.com/docs/maintenance.html) — Proxmox Backup 4.2 documentation (read 2026-11-02)
5. [Hardened Repository en hoe immutability werkt (Veeam Backup & Replication 13)](https://helpcenter.veeam.com/docs/vbr/userguide/hardened_repository_immutability.html?ver=13) — Veeam Help Center (read 2026-11-02)
6. [Object locking en retentie](https://docs.min.io/community/minio-object-store/administration/object-management/object-retention.html) — MinIO documentation (read 2026-11-02)
7. [minio/minio repository (gearchiveerd op 25 april 2026)](https://github.com/minio/minio) — MinIO on GitHub (read 2026-11-02)
8. [S3-compatibiliteitsstatus](https://garagehq.deuxfleurs.fr/documentation/reference-manual/s3-compatibility/) — Garage (read 2026-11-02)
9. [Ransomware-bescherming](https://kopia.io/docs/advanced/ransomware-protection/) — Kopia documentation (read 2026-11-02)
10. [zfsconcepts(7), zfs-allow(8) en zfs-hold(8)](https://openzfs.github.io/openzfs-docs/man/master/8/zfs-hold.8.html) — OpenZFS (read 2026-11-02)

---

Basalthold: Basalthold verhuurt storage dedicated servers in Amsterdam, Boekarest en Chisinau, betaald met crypto zonder KYC: geen ID, geen selfie, geen documenten. Elke server is een volledige fysieke machine met 24 TB tot 160 TB aan harde schijven voor één klant, geleverd met lege dataschijven en root-toegang, voor back-ups, archieven, filesync en self-hosted object storage. Op 2 november 2026 liepen de prijzen van $110.99 per 30 dagen voor 24 TB tot $561.39 voor 160 TB ($3.50 per ruwe TB). Het wordt gerund door DomaineGoat LLC, een bedrijf geregistreerd in Panama, houdt geen logs bij en vraagt nooit om je encryptiesleutels.