Was Immutability wirklich bedeutet — und was nicht

Der Satz „das kann niemand löschen, auch wir nicht“ ist falsch. Auch wenn er sich gut verkauft.

Immutability ist das stärkste Argument, das Backup-Anbieter derzeit haben — und das am häufigsten falsch erklärte. Wer es verkauft, sollte wissen, wo die Grenze verläuft. Sonst steht er im Ernstfall vor einem Kunden, dem er etwas versprochen hat, das nicht stimmt.

Was tatsächlich passiert

Ein unveränderbares Repository setzt für jede geschriebene Sicherung eine Sperrfrist. Solange sie läuft, kann die Datei nicht verändert und nicht gelöscht werden — auch nicht von der Backup-Software selbst, auch nicht von einem Administrator mit vollen Rechten in der Kundenumgebung, auch nicht von Schadsoftware, die genau diese Rechte übernommen hat.

Das ist der entscheidende Punkt: Der Schutz sitzt unterhalb der Ebene, die ein Angreifer typischerweise übernimmt. Wer sich Domänen-Administrator verschafft, wer die Backup-Konsole kapert, wer Anmeldedaten abgreift — an die gesperrten Daten kommt er nicht.

Wo der Satz falsch wird

„Das kann niemand löschen, auch wir nicht" ist ein Verkaufssatz, kein technischer.

Der Betreiber der Speicherplattform kann die Sperre auf Systemebene aufheben. Nicht über die Backup-Umgebung, nicht mit einem Klick, aber er kann es. Wer etwas anderes behauptet, beschreibt entweder sein eigenes System falsch oder hofft, dass niemand nachfragt.

Bei uns wird dieser Weg nur nach einem verifizierten Auftrag aus deinem Haus beschritten — und das ist die einzige ehrliche Formulierung: von außen zugenagelt, von innen nur mit belegtem Auftrag.

Es gibt Speziallösungen, bei denen auch der Betreiber nicht mehr herankommt, weil ein Compliance-Modus die Sperre hardwareseitig erzwingt. Sie kosten deutlich mehr und sind für regulierte Umgebungen gedacht. Wenn dein Kunde das braucht, sag es — dann ist das eine andere Diskussion, keine Formulierungsfrage.

Wovor Immutability nicht schützt

Nicht vor abgelaufener Sperrfrist. Nach Ablauf ist die Datei wieder normal. Wer die Frist zu kurz wählt, hat einen Schutz, der genau so lange hält, wie ein Angreifer sich gedulden muss. Ransomware-Gruppen sitzen oft wochenlang unentdeckt im Netz.

Nicht vor Lücken im Backup. Was nie gesichert wurde, ist auch unveränderbar nicht da. Der neue Server, den niemand in den Job aufgenommen hat, fehlt im Ernstfall genauso.

Nicht vor einem Restore, der nicht funktioniert. Unveränderbare Daten, die sich nicht in vertretbarer Zeit zurückholen lassen, retten niemanden. Bei einer realen Wiederherstellung kroch der Fortschritt mit rund zwei Stunden pro Prozent voran — Ursache war ein Protokoll, das nie gekürzt worden war und auf achtzehn Gigabyte angewachsen war. Die Daten waren vollständig. Nutzbar waren sie trotzdem nicht.

Nicht vor Zirkelabhängigkeit. Ein Fall aus dem Sommer: Ein ausgefallenes vCenter legte die Backup-Software lahm, die genau dieses vCenter sichern sollte. Die Sicherungen waren unversehrt — nur kam niemand an sie heran, weil das System zum Zurückholen selbst Teil des Ausfalls war. Deshalb gehört das Repository außerhalb der Umgebung, die es sichert.

Nicht vor dem eigenen Umbau. Wird ein Repository umkonfiguriert, migriert oder ersetzt, entscheidet die Sorgfalt beim Umzug, nicht das Sperrflag.

Fünf Fragen an jeden Anbieter — auch an uns

Wer kann die Sperre aufheben, und unter welchen Bedingungen? Wer „niemand" antwortet, hat die erste Frage schon falsch beantwortet.
Wie lang ist die Sperrfrist, und passt sie zur Erkennungszeit eines Angriffs?
Liegt das Repository außerhalb der Umgebung, die es sichert?
Wie oft wird eine Wiederherstellung getestet — und wird dabei die Dauer gemessen?
Was passiert, wenn ich wechseln will? Ein Schutz, der zum Gefängnis wird, ist kein Schutz. Offenes Datenformat und eine Herausgabe auf physischen Datenträgern gehören zur Antwort.

Diese fünf Fragen kannst du im Kundengespräch genauso verwenden wie im Anbietergespräch. Sie trennen zuverlässig die, die es betreiben, von denen, die es verkaufen.

Was wir daraus machen

Unsere Repositories sind mit Immutability konfiguriert, die Übertragung ist verschlüsselt, und der Speicher steht außerhalb der Kundenumgebung, in Deutschland. Wie das im Betrieb aussieht, steht auf Managed Storage Server und So arbeiten wir.

Und wenn dich jemand fragt, ob bei uns wirklich niemand löschen kann: Sag ihm die Wahrheit. Sie ist immer noch das bessere Argument.