Ein valides Backup-Konzept ist für jede IT-Infrastruktur unabdingbar. Hat es früher gereicht irgendwo ein Tape-Laufwerk mit einer Datensicherung vorzuhalten oder eine externe Festplatte, so ist dies heute nicht mehr zeitgemäß. Treiber sind hier unter anderem Versicherungen, welche inzwischen die Anforderungen für den Versicherten deutlich angehoben haben.

Aber unabhängig von den organisatorischen Anforderungen sollte ein valides Backup-Konzept existieren. Die Angriffe auf IT-Infrastrukturen haben bekanntermaßen deutlich zugenommen und langfristige Ausfälle der IT-Infrastruktur sind nicht akzeptabel.

Für kleinere Umgebungen sollte das Backup-Konzept folgende Mindestkriterien erfüllen:

• schnelle Wiederherstellbarkeit bei Bedienfehlern
• Wiederherstellbarkeit bei Angriff auf die IT (z. B. bei Befall durch Rasomware)
• Wiederherstellbarkeit bei Verlust eines Standorts

Die schnelle Wiederherstellung im Falle von Bedienfehlern oder Programmfehlern wird regelmäßig durch das lokale Backup dargestellt. Viele Backup-Lösungen bieten hier Möglichkeiten auf Item-Level-Ebene (Datei/Ordner, Datensatz, Verzeichnisdienst-Objekt) einzelne Elemente wiederherzustellen. Aber auch die Wiederherstellung einer kompletten Maschine (z. B. virtuelle Maschine) ist hier möglich. Durch das lokale Vorhalten und der hierdurch hohen Datenbandbreite wird eine schnelle Wiederherstellung sichergestellt.

Totalverluste der lokalen IT sei es durch Brand- oder Wasserschäden sowie Diebstahl können durch das lokale Backup nicht abgedeckt werden, hier hilft nur ein Offsite-Backup.
Das Offsite-Backup kann entweder durch einen Cloud-Storage-Provider mit verschlüsselten Datensicherungen über die Internetleitung erfolgen oder z. B. durch ein Offsite-NAS, welches über VPN angebunden wird. Das Offsite-NAS hat gegenüber dem Cloud-Storage den Vorteil, dass es auch kurzfristig vom Remotestandort physikalisch zum ersten Sicherungstandort transportiert werden kann und somit die möglichen Bandbreitenengpässe für den Wiederherstellungsfall umgeht.

Bei Offsite-Backups ist sicherzustellen, dass z. B. im Falle eines Ransomware-Angriffs das Remote-Speichersystem nicht auch betroffen ist. Hierfür gibt es verschiedene technische Ansätze, dies wären z. B.:

• „Eingefrorene“ Sicherungen im Zielsystem (Kein schreibenden Änderungen innerhalb der Vorhaltefrist möglich)
• Unabhängige Sicherungssysteme mit versionierter Sicherung und beschränkten Lese/Schreibrechten

Die „eingefrorenen“ Sicherungen werden vom Zielspeichersystem nach dem Schreibvorgang durch das Quellsystem als nur noch lesbar verfügbar konfiguriert. Das potenziell kompromittierte Backup-System kann die so geschriebenen alten Sicherungen nicht verändern und die Löschung erfolgt nach Ablauf einer Vorhaltefrist durch einen in dem Zielspeichersystem laufenden Service.

Bei Betrieb unabhängiger Sicherungssysteme für lokale und remote-Sicherungen wird das lokale Sicherungsziel durch die lokale Backup-Lösung beschrieben und ein weiteres Backup-System sichert das lokale Backup mit nur lesenden Rechten auf das remote Sicherungsziel.

Hierbei muss allerdings sichergestellt werden, dass die vorherigen Sicherungen nicht überschrieben werden. Die Sicherungen sollten versioniert in eigene Zielordner übertragen werden, andernfalls würden im Falle eines Ransomware-Angriffs im schlimmsten Fall auch die bisherigen Sicherungen unbrauchbar gemacht werden.

Durch die fehlenden Schreibrechte des ersten Sicherungssystems auf das zweite Remote-Sicherungssystem kann eine direkte Kompromittierung des zweiten unterbunden werden. Die Kompromittierung des ersten Sicherungssystems durch das zweite Remote-Sicherungssystem wird wiederum durch dessen ausschließliche Leserechte vermieden. Firewall-seitig wird ebenfalls der Traffic immer nur in der notwendigen Richtung und für die Aufgaben notwendigen Kommunikationsprotokolle erlaubt, sodass auch ggf. vorhandene Sicherheitslücken nicht vom möglicherweise kompromitierten ersten Sicherungssystem beim zweiten Remote-Sicherungssystem ausgenutzt werden können.

Für dieses Sicherungskonzept ist zumeist keine weiteren Backup-Sofwtare zu beschaffen, da dies in der Regel bereits mit den in den NAS-Systemen vorhandenen integrierten Lösungen erreicht werden kann. Der VPN-Tunnel zum 1. Sicherungsort kann ebenfalls meistens direkt vom NAS-System aus aufgebaut werden und benötigt keine weitere Hardware.

Die gesicherten Daten im ersten Sicherungsort sollten durch die Backup-Lösung bereits verschlüsselt sein. Hierdurch ist das Risiko bei einem eventuellen physkalischen Diebstahl im zweiten Remote-Sicherungsort weniger kritisch.

Die Kosten für die Umsetzung liegen hier Hardwareseitig bei ~ 12 TB nutzbaren Speicher je NAS-System bei etwa 1000 EUR inkl. USt.  einmalig zuzüglich der Einrichtung (~ 8 Stunden mit Firewall-Konfiguration und Einrichtung von Bandbreiten-Optimierung QoS). Das zweite NAS-System kann dann an einem beliebigen Ort (bevorzugt mit hoher Downloadbandbreite und stabiler Internetverbindung) an einem beliebigen Ort aufgestellt werden.

Dieses Backup-Konzept nutzen wir bei vielen unserer KMU-Kunden wie z. B. Arztpraxen oder Handwerksbetrieben. 

Planen Sie die Einführung einer Offsite-Backup-Lösung für Ihren Betrieb? Benötigen Sie Beratung im Umfeld Backup-Strategien? Dann fragen Sie uns gerne via Chat, Kontaktformular oder rufen Sie uns an.