Immutable Backup: unveränderbare Sicherung erklärt

Kurz gesagt: Ein Immutable Backup ist eine Sicherung, die für einen festgelegten Zeitraum weder verändert noch gelöscht werden kann, auch nicht von einem Administrator. Das Prinzip heißt WORM: einmal schreiben, beliebig oft lesen. Gegen Ransomware ist das ein starker Schutz, ersetzt aber nicht das, was das BSI als wichtigste Maßnahme nennt: ein vom Netz getrenntes Offline-Backup und getestete Wiederherstellung.

Stand: 03.11.2026

Was bedeutet „immutable“ bei Backups?

„Immutable“ heißt unveränderbar. Daten werden in einem Zustand gespeichert, in dem sie gelesen, aber nicht überschrieben oder gelöscht werden können. Microsoft beschreibt das am Beispiel von Azure Blob Storage so: Im WORM-Zustand (Write Once, Read Many) lassen sich Daten für einen vom Nutzer festgelegten Zeitraum weder ändern noch löschen. Neue Objekte können angelegt und gelesen werden, bestehende bleiben unangetastet.

Der entscheidende Punkt für die IT-Sicherheit: Diese Sperre gilt laut Microsoft für alle Benutzer, auch für solche mit administrativen Rechten auf das Speicherkonto. Genau das macht den Unterschied zu einer normalen Sicherung, bei der ein Angreifer mit gestohlenen Admin-Zugangsdaten die Backups einfach löschen kann, bevor er die Systeme verschlüsselt.

Warum ist das gegen Ransomware so wichtig?

Erpressungstrojaner verschlüsseln nicht nur Arbeitsplätze und Server. Angreifer haben es deshalb oft auch auf die Sicherungen abgesehen, denn ohne funktionierendes Backup steigt der Druck, Lösegeld zu zahlen. Ein Backup, das im Netz erreichbar und mit Admin-Rechten löschbar ist, schützt in diesem Szenario nur begrenzt.

Das BSI nennt in seinen Top-10-Maßnahmen gegen Ransomware das Offline-Backup als wichtigste präventive Maßnahme, um die Verfügbarkeit der Daten im Ernstfall zu sichern. Die Backups sollen nach dem Sicherungsvorgang von den anderen Systemen des Netzes getrennt werden. Eine unveränderbare Sicherung ist eine technische Möglichkeit, einen ähnlichen Schutz zu erreichen, wenn die Daten zwar online liegen, aber gegen Löschen und Überschreiben gesperrt sind. Am besten kombinierst du beides.

Welche Arten von Sperren gibt es?

Am Beispiel von Azure lassen sich die gängigen Mechanismen gut erklären. Es gibt zwei Arten von Unveränderbarkeitsrichtlinien:

• Zeitbasierte Aufbewahrung: Daten bleiben für einen festgelegten Zeitraum gesperrt. Danach dürfen sie gelöscht, aber weiterhin nicht überschrieben werden. In Azure liegt der Zeitraum zwischen einem Tag und 146.000 Tagen (400 Jahre).
• Legal Hold: Daten bleiben gesperrt, bis die Sperre ausdrücklich aufgehoben wird. Das ist sinnvoll, wenn unklar ist, wie lange etwas aufbewahrt werden muss, etwa bei einem laufenden Rechtsstreit oder einer Untersuchung.

Beide Richtlinien lassen sich gleichzeitig setzen. Gelöscht werden kann nur, wenn weder eine zeitbasierte Sperre noch ein Legal Hold aktiv ist.

Was ist der Unterschied zwischen gesperrter und ungesperrter Richtlinie?

Eine zeitbasierte Richtlinie ist nach dem Anlegen zunächst „unlocked“, also zum Testen gedacht. In diesem Zustand schützt sie zwar schon vor Löschen und Überschreiben, du kannst die Frist aber noch verkürzen, verlängern oder die Richtlinie ganz löschen.

Erst wenn du die Richtlinie sperrst („locked“), ist sie wirklich verbindlich. Eine gesperrte Richtlinie kann nicht mehr gelöscht werden. Die Frist lässt sich verlängern, aber nicht verkürzen. Bei Richtlinien auf Containerebene sind über die gesamte Lebensdauer höchstens fünf Verlängerungen erlaubt. Microsoft empfiehlt, die Richtlinie nach dem Testen zeitnah zu sperren, typischerweise innerhalb von 24 Stunden, und den ungesperrten Zustand nur kurzfristig zum Testen zu nutzen.

Für die Praxis heißt das: Eine ungesperrte Richtlinie hilft nur bedingt gegen einen Angreifer, der Admin-Rechte erbeutet hat, denn er könnte sie löschen. Erst die gesperrte Variante bringt den eigentlichen Schutz. Gleichzeitig musst du die Frist sorgfältig wählen, weil du sie nicht mehr zurücknehmen kannst.

Was solltest du bei der Planung beachten?

• Aufbewahrungsdauer bewusst wählen: Zu kurz, und eine Verschlüsselung, die erst spät bemerkt wird, erreicht auch ältere Sicherungen. Zu lang, und der Speicher wächst. Bei gesperrten Richtlinien gibt es kein Zurück.
• Kosten: Laut Microsoft kostet unveränderbarer Speicher in Azure keinen Aufpreis gegenüber normalem Speicher. Wer die Versionierung nutzt, zahlt aber für die zusätzlichen Versionen.
• Vorläufiges Löschen ergänzen: Microsoft empfiehlt, vorläufiges Löschen (Soft Delete) für Blobs zu aktivieren, bevor Unveränderbarkeitsrichtlinien gesetzt werden.
• Nicht für alles geeignet: Für virtuelle Festplatten aktiver VMs rät Microsoft von solchen Richtlinien ab, weil Schreibvorgänge blockiert würden. Auch manche Programme, die Dateien nach dem Anlegen weiter beschreiben, scheitern an aktiven Sperren.
• Wiederherstellung testen: Das BSI betont, dass zu einem Backup die Planung von Wiederanlauf und Rücksicherung gehört und dass diese Planung einem Praxistest unterzogen werden sollte. Ein unveränderbares Backup, das sich nicht zurückspielen lässt, nützt nichts.
• Datensicherungskonzept: Leg schriftlich fest, was gesichert wird, wie lange, wohin und wie die Rücksicherung abläuft.

Reicht ein Immutable Backup allein?

Nein. Es schützt die Sicherung vor Veränderung, aber nicht davor, dass Fehler oder bereits verschlüsselte Daten mitgesichert werden. Deshalb brauchst du mehrere Versionen über einen ausreichend langen Zeitraum. Und es ersetzt nicht die Trennung vom Netz, die das BSI empfiehlt. Wir empfehlen deshalb eine Kombination: lokale Sicherung für schnelle Wiederherstellung, eine unveränderbare oder vom Netz getrennte Kopie für den Ernstfall und regelmäßige Rücksicherungstests.

So unterstützen wir dich

Wir planen für Unternehmen, Praxen und Kanzleien in Osnabrück und Umgebung Backup-Konzepte, in denen eine unveränderbare oder getrennte Kopie fester Bestandteil ist, und testen die Wiederherstellung mit dir. Weiter entfernte Kunden betreuen wir per Fernwartung. Mehr dazu auf unserer Seite zu Backup und Wiederherstellung.

Häufige Fragen

Kann ein Administrator ein Immutable Backup löschen?

Nicht, solange eine gesperrte Aufbewahrungsrichtlinie oder ein Legal Hold aktiv ist. Microsoft betont, dass das auch für Benutzer mit administrativen Rechten gilt.

Was ist der Unterschied zwischen Immutable Backup und Offline-Backup?

Ein Offline-Backup ist physisch oder logisch vom Netz getrennt. Ein Immutable Backup kann online erreichbar sein, ist aber gegen Ändern und Löschen gesperrt. Das BSI nennt das Offline-Backup als wichtigste Maßnahme gegen Ransomware.

Wie lange sollte die Sperrfrist sein?

Das hängt davon ab, wie schnell ihr einen Angriff bemerkt und welche Aufbewahrungspflichten gelten. Wichtig ist, dass eine gesperrte Frist nur verlängert, nicht verkürzt werden kann.

Kostet unveränderbarer Speicher mehr?

In Azure nicht, laut Microsoft wird er wie normaler Speicher abgerechnet. Zusätzliche Versionen bei aktivierter Versionierung kosten aber Speicherplatz.

Quellen

• Store business-critical blob data with immutable storage in a write once, read many (WORM) state (Microsoft Learn, abgerufen am 03.11.2026)
• Top 10 Ransomware-Maßnahmen: Backups, Datensicherungskonzept und zentrale Datenhaltung (Bundesamt für Sicherheit in der Informationstechnik, abgerufen am 03.11.2026)