myveeam.cloud Logo
Angebot einholen

Ratgeber

Unveränderbare Backups - so schützen Sie Sicherungen vor Ransomware

Angreifer löschen oder verschlüsseln gezielt Backups. Wie unveränderbare Sicherungen mit Veeam funktionieren, welche Wege es gibt und welche Fallstricke Sie kennen sollten.

Lennart von myveeam.cloud · Veröffentlicht am 6. Oktober 2026 · 10 Min. Lesezeit

Unveränderbare Backups (Immutability) sind Sicherungen, die für einen festgelegten Zeitraum weder geändert noch gelöscht werden können, auch nicht mit gestohlenen Administratorrechten in der Backup-Software. Damit bleiben sie nach einem Ransomware-Angriff nutzbar, selbst wenn die Angreifer gezielt nach den Sicherungen suchen. Wirksam wird das aber erst zusammen mit getrennten Zugangsdaten, gehärteten Systemen, einer externen oder Offline-Kopie und getesteten Wiederherstellungen.

Wir erklären, was „unveränderbar“ technisch bedeutet, welche Wege Veeam Backup & Replication bietet (Stand: Version 13.1, Oktober 2026), wo der Schutz in der Praxis scheitert - und geben Ihnen eine Checkliste für KMU an die Hand.

Warum greifen Angreifer gezielt die Backups an?

Erpressung funktioniert nur, wenn das Opfer nicht einfach aus der Sicherung wiederherstellen kann. Das BSI schreibt in seinem Maßnahmenkatalog Ransomware: Es ist inzwischen üblich, dass Angreifende mit zuvor erlangten Administrationsrechten gezielt nach allen Backups suchen und diese ebenso verschlüsseln wie die Produktivsysteme. Veeam berichtet unter Berufung auf seinen Ransomware-Report 2025, dass bei 89 % der betroffenen Organisationen auch die Backup-Repositories angegriffen wurden.

Kleine und mittlere Unternehmen sind dabei keine Randerscheinung. Laut BSI-Lagebericht 2025 blieb die Zahl der angezeigten Ransomware-Angriffe nach Erkenntnissen des BKA mit 950 weitgehend unverändert, 80 % davon trafen KMU. Das BSI hält fest: Backups bleiben essenziell gegen Ransomware, helfen aber nicht gegen Datenleaks. Auch der IT-Grundschutz verlangt in CON.3.A14 als Basis-Anforderung, dass Datensicherungen nicht absichtlich oder unbeabsichtigt überschrieben werden können.

Was bedeutet „unveränderbar“ - und was nicht?

Bei einer unveränderbaren Sicherung setzt das Speichersystem selbst eine Sperre mit Ablaufdatum. Bis dahin lässt sich die Datei lesen und kopieren, aber nicht ändern, verschieben oder löschen, und zwar unabhängig davon, welche Befehle die Backup-Software erhält. Das unterscheidet Immutability von verwandten Begriffen:

AnsatzWas er leistetWas er nicht leistet
UnveränderbarkeitSicherungen sind für einen festen Zeitraum gegen Ändern und Löschen gesperrt, auch bei kompromittierter Backup-KonsoleSchützt nicht, wenn Angreifer die Speicherebene selbst kontrollieren, etwa über Root-Rechte, Hardware-Management oder die Zeitquelle
Offline/Air-GapZur Kopie gibt es keinen Netzwerkpfad, Fernangriffe laufen ins LeereDaten sind nicht sofort verfügbar, die Trennung muss organisatorisch eingehalten werden
Löschschutz/PapierkorbGelöschte Sicherungen werden für eine Frist zurückgehaltenDie Dateien sind technisch nicht gesperrt, der Löschbefehl wird nur verzögert
VerschlüsselungSchützt die Vertraulichkeit, wenn Sicherungen in falsche Hände geratenVerhindert weder Löschen noch erneutes Verschlüsseln durch Angreifer

Das BSI empfiehlt, mindestens eine Kopie offline zu halten, etwa auf getrennten Bändern oder in einem vollständig vom eigenen Netz getrennten Cloud-Speicher, und diese Trennung regelmäßig zu prüfen: Ein Domänen-Administrator sollte testweise versuchen, auf die getrennten Kopien zuzugreifen - das darf nicht gelingen. Unveränderbarkeit und Offline-Kopie ergänzen sich also, sie ersetzen sich nicht.

Wichtig: Unveränderbar heißt nicht automatisch wiederherstellbar. Eine Sicherung kann bereits Schadsoftware enthalten oder unvollständig sein. Wie Sie das regelmäßig prüfen, beschreiben wir im Ratgeber Wiederherstellung testen.

Welche Wege gibt es, Immutability mit Veeam umzusetzen?

WegFunktionsweiseVorteileNachteile
Linux Hardened RepositoryLinux-Server mit XFS, Veeam setzt das Immutable-Attribut für 7 bis 9.999 TageSchnelle Wiederherstellung vor Ort, platzsparende Fast-Clone-Technik, keine laufenden SpeichergebührenHärtung, physischer Schutz und Linux-Kenntnisse nötig, steht meist am selben Standort
Objektspeicher mit S3 Object LockVeeam sperrt jedes Objekt im Compliance-Modus, 1 bis 999 TageAuch extern nutzbar, flexibel skalierbarSperre verlängert sich um 10 bzw. 30 Tage (Kosten), Bucket-Einstellungen müssen exakt passen
Band: WORM oder ausgelagertWORM-Kassetten sind nicht überschreibbar, ausgelagerte Bänder sind offlineEchte Trennung vom Netz, günstig für lange AufbewahrungHandarbeit, langsamere Wiederherstellung, Bandhardware nötig
Kopie beim Cloud-Connect-ProviderBackup-Copy-Job ins Cloud Repository, der Provider aktiviert Immutability und/oder Insider ProtectionExtern, eigene Administrationsumgebung des Providers, keine eigene SpeicherhardwareGroße Wiederherstellungen über die Internetleitung dauern, GFS-Aufbewahrung nötig

Linux Hardened Repository

Das Hardened Repository ist ein Linux-Server mit Blockspeicher (keine NFS- oder SMB-Freigabe), Veeam empfiehlt XFS und einen physischen Server mit lokalen Platten. Ein Veeam-Dienst setzt die Sperre über das Immutable-Attribut des Dateisystems. Die Anmeldung erfolgt mit Einmal-Zugangsdaten, die Veeam nicht speichert, oder per Zertifikat. In Version 13 empfiehlt Veeam die Veeam Infrastructure Appliance: Dort ist kein SSH möglich, und sie kann keiner Domäne beitreten. Bei selbst installierten Servern sollten Sie SSH nach der Einrichtung dauerhaft abschalten. Backup-Jobs müssen vorwärts-inkrementell mit regelmäßigen Vollsicherungen laufen, Backup-Copy-Jobs benötigen die GFS-Aufbewahrung.

Objektspeicher mit S3 Object Lock: Governance oder Compliance?

S3 Object Lock kennt zwei Modi. Im Governance-Modus dürfen Benutzer mit einer besonderen Berechtigung die Sperre aufheben oder Objekte löschen. Im Compliance-Modus kann niemand ein gesperrtes Objekt vor Ablauf löschen, auch nicht der Root-Benutzer; laut AWS bleibt dann nur das Löschen des gesamten Kontos. Veeam setzt für jedes hochgeladene Objekt den Compliance-Modus. Object Lock und Versionierung müssen Sie meist schon beim Anlegen des Buckets aktivieren, Standard-Aufbewahrung und Lifecycle-Regeln dürfen nicht gesetzt sein. Seit Version 13.1 bietet Veeam auch für normale Linux-Repositories einen Governance-Modus an, bei dem Systemadministratoren weiterhin löschen können - gegen Angreifer mit Administratorrechten entsprechend schwächer.

Band: WORM-Medien und ausgelagerte Kassetten

WORM-Bänder lassen sich nur einmal beschreiben. Veeam verwaltet sie in eigenen Medienpools ohne Aufbewahrungsfristen. Die Bandbibliothek muss WORM unterstützen. Ebenso wirksam sind normale Bänder, die nach dem Schreiben ausgeworfen und getrennt gelagert werden: Sie sind offline und damit für Fernangriffe unerreichbar.

Kopie beim Cloud-Connect-Provider

Veeam beschreibt das Risiko in der Cloud-Connect-Dokumentation selbst: Wer die Backup-Konsole des Kunden übernimmt, kann dort auch die externen Kopien im Cloud Repository löschen. Dagegen gibt es zwei Funktionen. Bei Immutability betreibt der Provider das Cloud Repository zum Beispiel als Hardened Repository; Sicherungen lassen sich dann vor Fristablauf auch aus der Kundenkonsole nicht löschen. Bei Insider Protection verschiebt Veeam gelöschte Sicherungen für eine festgelegte Zahl von Tagen in einen Papierkorb beim Provider, für den Kunden unsichtbar und über den Provider wiederherstellbar. Aktivieren Sie bei Backup-Copy-Jobs die GFS-Aufbewahrung. Und: Ihre Veeam-Konfigurationssicherung wird laut Veeam in einem solchen Cloud Repository nicht unveränderbar - halten Sie davon eine weitere Kopie vor.

Typische Fallstricke in der Praxis

  • Immutability-Zeitraum und Aufbewahrung passen nicht zusammen: Die Sperre hat Vorrang vor der Job-Aufbewahrung. Auf dem Hardened Repository bleiben GFS-Vollsicherungen für ihre gesamte GFS-Frist gesperrt, Jahres-Backups also unter Umständen über Jahre; beim Objektspeicher kommen 10 oder 30 Tage hinzu. Planen Sie Speicher und Kosten mit Reserve, denn vor Fristablauf lässt sich kein Platz freigeben.
  • Hardware-Management bleibt offen: Wer iDRAC, iLO oder eine vergleichbare Fernverwaltung kontrolliert, kann das System neu installieren oder die Platten löschen. Deaktivieren Sie diesen Zugang, oder trennen Sie ihn vom übrigen Netz und schützen Sie ihn mit MFA.
  • Root-Zugang zum Repository: Das Immutable-Attribut unter Linux kann jeder Benutzer mit Root-Rechten wieder entfernen. Daher: kein SSH, keine sudo-Rechte für das Dienstkonto, Root-Konto sperren.
  • Unsichere Zeitquelle: Die Sperre hängt an der Systemzeit. Veeam erkennt Zeitsprünge und blockiert die Bereinigung alter Sicherungen, wenn die Zeit um mehr als 24 Stunden springt. Nutzen Sie dennoch eine verlässliche NTP-Quelle.
  • Backup-Server in der Produktivdomäne: Veeam empfiehlt für kleine und mittlere Umgebungen eine separate Arbeitsgruppe, für große eine eigene Management-Domäne in einer separaten Active-Directory-Gesamtstruktur.
  • Gemeinsame Zugangsdaten: Gleiche Kennwörter für Domäne, Backup-Konsole, Speicher, Cloud-Konto und Hardware-Management heben jede Trennung auf.
  • Fehlende MFA: Ohne zweiten Faktor reicht ein abgegriffenes Kennwort für Backup-Konsole oder Cloud-Konto. Gerade das Cloud-Konto braucht Schutz, denn im Compliance-Modus ist seine Löschung der verbleibende Hebel.

Welche weiteren Schutzfunktionen bietet Veeam?

  • Multi-Faktor-Authentifizierung (seit Version 12, Februar 2023): Einmalcodes aus einer Authenticator-App für Konsole und Web-Oberfläche. Seit 13.1 verlangen Änderungen an Benutzern und Rollen bei aktiver MFA eine zusätzliche Bestätigung.
  • Vier-Augen-Prinzip (seit 12.1, Dezember 2023): Das Löschen von Sicherungen, das Entfernen von Repositories oder Änderungen an Benutzern und MFA erfordern die Freigabe eines zweiten Administrators. Seit 13.1 gilt das auch für das Abschalten oder Verkürzen der Unveränderbarkeit. Die Verfügbarkeit hängt von der Lizenz ab, und laut Veeam schützt die Funktion nicht, wenn der Backup-Server selbst kompromittiert ist.
  • Malware-Erkennung beim Sichern (seit 12.1): Veeam analysiert den Datenstrom auf Verschlüsselungsmuster (Entropie) und die Dateisystem-Indizes auf verdächtige Aktivitäten und markiert betroffene Wiederherstellungspunkte.
  • Secure Restore: Vor dem Zurückspielen prüft Veeam den Wiederherstellungspunkt mit einem Virenscanner, mit YARA-Regeln (seit 12.1) oder mit dem eigenen Scanner Veeam Threat Hunter (seit 12.3). Das BSI empfiehlt genau diese Prüfung vor einer Wiederherstellung.
  • Security & Compliance Analyzer (in 13.1): Prüft unter anderem, ob MFA aktiv ist, ob unveränderbare oder Offline-Medien genutzt werden, ob das Hardened Repository auf physischer Hardware läuft und ob der Backup-Server außerhalb der Produktivdomäne steht.

Checkliste für KMU

  1. Mindestens eine Kopie unveränderbar und eine extern oder offline halten.
  2. Unveränderbarkeitszeitraum an die realistische Zeit bis zur Entdeckung eines Angriffs anpassen, Speicherbedarf inklusive GFS durchrechnen.
  3. Backup-Server und Repositories aus der Produktivdomäne herausnehmen.
  4. Für jede Ebene eigene, starke Zugangsdaten verwenden.
  5. MFA für Backup-Konsole, Cloud-Konten und Hardware-Management aktivieren.
  6. Am Hardened Repository SSH abschalten, Root sperren, iDRAC oder iLO deaktivieren oder isolieren.
  7. Verlässliche Zeitquelle einrichten und Warnungen zu Zeitsprüngen überwachen.
  8. Vier-Augen-Prinzip und Malware-Erkennung aktivieren, sofern lizenziert.
  9. Konfigurationssicherung verschlüsselt außerhalb des Backup-Servers ablegen.
  10. Security & Compliance Analyzer regelmäßig ausführen.
  11. Wiederherstellung regelmäßig testen, auch aus der externen Kopie.

Häufige Fragen

Ersetzt eine unveränderbare Kopie das Offline-Backup?

Nicht vollständig. Eine unveränderbare Kopie ist weiterhin über das Netz erreichbar und kann über Fehler in Härtung, Zeitquelle oder Hardware-Management angreifbar sein. Das BSI empfiehlt zusätzlich mindestens eine Offline-Kopie.

Wie lange sollte der Unveränderbarkeitszeitraum sein?

Eine allgemeingültige Zahl gibt es nicht. Der Zeitraum sollte abdecken, wie lange ein Angriff unbemerkt bleiben könnte. Bei Veeam liegt das Minimum beim Hardened Repository bei 7 Tagen, beim Objektspeicher bei einem Tag. Bedenken Sie: Was gesperrt ist, lässt sich vor Fristablauf nicht löschen, längere Zeiträume brauchen also mehr Speicher.

Schützt Immutability auch vor Datendiebstahl?

Nein. Unveränderbare Backups sichern die Wiederherstellung, verhindern aber nicht, dass Angreifer Daten abziehen und mit einer Veröffentlichung drohen. Dafür sind Verschlüsselung, Zugriffsschutz und Netzwerküberwachung zuständig.

Fazit

Unveränderbare Backups sind heute eine Grundvoraussetzung, um nach einem Ransomware-Angriff handlungsfähig zu bleiben. Ob Sie dafür ein Hardened Repository, Objektspeicher mit Object Lock, Bänder oder eine Kopie beim Provider einsetzen, hängt von Datenmenge, Know-how und Wiederherstellungszielen ab. Oft ist eine Kombination sinnvoll. Entscheidend ist, dass Zugangsdaten, Hardware-Management und Zeitquelle ebenso geschützt sind wie die Sicherungen selbst und dass Sie die Wiederherstellung regelmäßig testen.

Wir unterstützen Sie dabei als Veeam Cloud & Service Provider mit Veeam Cloud Connect: Ihre Backup-Kopien werden verschlüsselt in unser Cloud Repository in einem nach ISO/IEC 27001 zertifizierten Rechenzentrum in Deutschland übertragen, auf Wunsch zusätzlich mit Ihrem eigenen Schlüssel verschlüsselt. Unser Cloud Repository ist ein Veeam Hardened Repository: Unveränderbarkeit und Insider Protection sind buchbar, die Aufbewahrungsdauer wählen Sie frei. Einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO stellen wir bereit. Sie können den Dienst bis zu 30 Tage kostenlos testen, die Testphase endet jeweils zum Monatsende. Fragen beantworten wir gern unter hello@myveeam.cloud oder +49 8106 928 9493.

Quellen

Weitere Ratgeber