Team Data GmbH - IT-Systemhaus Osnabrück Logo
WhatsApp
0541 50798808
Fernwartung

Unveränderbare Backups mit S3 Object Lock erklärt

Kurz gesagt: S3 Object Lock sperrt Backup-Daten im Objektspeicher für eine festgelegte Zeit gegen Löschen und Überschreiben. Selbst ein Angreifer mit gestohlenen Zugangsdaten oder ein Verschlüsselungstrojaner kann die gesperrten Sicherungen dann nicht mehr zerstören. In der TERRA CLOUD gibt es dafür den Bucket-Typ für Anwendungen wie Veeam, bei dem Object Lock und Versionierung bereits aktiv sind.

Stand: 03.11.2026

Was ist S3 Object Lock?

S3 ist ein Speicherprotokoll für Objektspeicher, das ursprünglich von Amazon stammt und heute von vielen Anbietern unterstützt wird. Object Lock ist eine Funktion dieses Protokolls. Sie arbeitet nach dem Prinzip WORM (Write Once, Read Many): Ein Objekt wird einmal geschrieben und kann danach für eine bestimmte Dauer weder überschrieben noch gelöscht werden.

Zwei Mechanismen stehen dafür zur Verfügung. Eine Aufbewahrungsfrist (Retention Period) schützt eine Objektversion bis zu einem festen Datum. Ein Legal Hold schützt sie ohne Ablaufdatum, bis er wieder entfernt wird. Für Backups ist die Aufbewahrungsfrist der übliche Weg.

Wichtig: Object Lock funktioniert nur in Buckets, bei denen die Versionierung eingeschaltet ist. Wird ein geschütztes Objekt mit demselben Namen erneut geschrieben, entsteht eine neue Version. Die gesperrte alte Version bleibt erhalten.

Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.

Warum schützt das vor Ransomware?

Moderne Verschlüsselungstrojaner suchen gezielt nach Backups und löschen oder verschlüsseln sie, bevor die eigentlichen Daten verschlüsselt werden. Wer dann keine saubere Sicherung mehr hat, steht vor der Wahl zwischen Datenverlust und Lösegeld.

Ein Backup mit Object Lock ist dagegen für die Dauer der Aufbewahrungsfrist unveränderbar. Ein Löschbefehl auf eine gesperrte Objektversion wird vom Speicher mit einer Fehlermeldung abgewiesen. Auch gestohlene Zugangsdaten helfen dem Angreifer nicht weiter, weil die Sperre auf Speicherebene greift und nicht in der Backup-Software. Die Backup-Software kann also kompromittiert sein, und die Sicherungen der letzten Tage oder Wochen sind trotzdem noch da.

Welche Modi gibt es: Governance und Compliance?

Bei einer Aufbewahrungsfrist unterscheidet S3 zwei Modi:

  • Governance Mode: Normale Benutzer können die Objektversion nicht löschen oder überschreiben. Benutzer mit einer speziellen Berechtigung können die Sperre jedoch umgehen oder die Frist ändern. Dieser Modus eignet sich zum Testen der Einstellungen und für Umgebungen, in denen ein Administrator im Notfall eingreifen können soll.
  • Compliance Mode: Die Objektversion kann von niemandem gelöscht oder überschrieben werden, auch nicht vom höchsten Administratorkonto. Der Modus lässt sich nicht ändern, die Frist nicht verkürzen. Das ist der Modus für echten Ransomware-Schutz, weil es keinen Weg daran vorbei gibt.

In beiden Modi gilt: Eine Aufbewahrungsfrist lässt sich nachträglich verlängern, aber nicht verkürzen. Zusätzlich kann eine Standardfrist auf Bucket-Ebene in Tagen oder Jahren hinterlegt werden. Jedes neue Objekt bekommt dann automatisch diese Frist ab seinem Erstellungszeitpunkt.

Wie funktioniert das in der TERRA CLOUD?

Der S3 Storage der TERRA CLOUD wird im Technical Center unter manage.terracloud.de verwaltet. Der Menüpunkt S3 wird nach der kaufmännischen Buchung freigeschaltet. Beim Anlegen eines Buckets wählst du zwischen zwei Typen:

  • S3 Bucket für Application: Object Lock und Versionierung sind aktiviert. Dieser Typ ist laut TERRA für Veeam-Backups optimiert.
  • S3 Bucket für Datenarchiv: Ohne Object Lock und Versionierung, gedacht für Sicherungen von Synology- und QNAP-Geräten.

So legst du einen Bucket an:

  1. Im Technical Center die Seite S3 öffnen und oben links die Schaltfläche zum Erstellen eines Buckets anklicken.
  2. Eine Bezeichnung vergeben. Sie ist frei wählbar und kann später geändert werden.
  3. Den Endkunden auswählen, dem der Bucket zugeordnet wird.
  4. Den Bucket-Typ wählen. Für unveränderbare Veeam-Backups ist das der Typ für Application.
  5. Nach kurzer Zeit erscheint der Bucket in der Übersicht. Gegebenenfalls die Seite neu laden.

In den Bucket-Details findest du den Endpoint (die Serveradresse) sowie Token und Secret Key als Zugangsdaten. Bis zu zwei solcher Zugangspaare sind möglich. In der Backup-Software wählst du als Speichertyp „S3 Compatible Storage“ beziehungsweise „Benutzerdefiniertes S3“ und trägst Endpoint, Token und Secret Key ein.

Was ist bei Veeam zu beachten?

Veeam Backup & Replication kann Daten in einem Object Storage Repository vorübergehend unveränderbar machen und nutzt dafür die nativen Funktionen des Objektspeichers, also Object Lock. Die genaue Einrichtung beschreibt die Veeam-Dokumentation, auf die das TERRA CLOUD Wiki verweist. TERRA empfiehlt Veeam in Version 13.1.1.18 oder neuer, weil ältere Versionen bekannte Probleme mit S3 haben können.

Aus unserer Erfahrung drei Punkte, die in der Praxis zählen:

  • Die Unveränderbarkeitsdauer sollte zur Aufbewahrung im Backup-Job passen. Ist sie länger als die Aufbewahrung, belegen die gesperrten Objekte Speicherplatz, den Veeam nicht freigeben kann.
  • Eine Sperre schützt nur, was bereits geschrieben wurde. Ein Backup, das seit Wochen fehlschlägt, nützt dir auch mit Object Lock nichts. Die Jobs müssen überwacht werden.
  • Object Lock ersetzt keine Wiederherstellungstests. Ob ein Server aus dem Objektspeicher wirklich wieder hochkommt, zeigt nur ein Test.

So unterstützen wir dich

Wir sind TERRA CLOUD Partner und richten unveränderbare Backups mit S3 Object Lock für Unternehmen, Praxen und Kanzleien ein. Dazu gehört die passende Aufbewahrungsstrategie, die Anbindung an Veeam und die Überwachung der Jobs. Vor Ort in Osnabrück und Umgebung, entfernter per Fernwartung. Mehr dazu auf unserer Seite zu Backup und Wiederherstellung.

Häufige Fragen

Kann ich ein Backup mit Object Lock vorzeitig löschen?

Im Compliance Mode nein, auch nicht als Administrator. Im Governance Mode nur mit einer speziellen Berechtigung. Die Frist selbst lässt sich nur verlängern, nie verkürzen.

Brauche ich zusätzlich noch ein lokales Backup?

Ja. Der Objektspeicher in der Cloud ist eine Kopie für den Ernstfall. Für schnelle Wiederherstellungen im Alltag ist ein lokales Backup weiterhin sinnvoll.

Lässt sich Object Lock nachträglich bei einem bestehenden Bucket einschalten?

In der TERRA CLOUD legt der Bucket-Typ beim Anlegen fest, ob Object Lock aktiv ist. Für unveränderbare Backups brauchst du den Typ für Application.

Was kostet S3 Storage in der TERRA CLOUD?

Das hängt vom belegten Speicher ab. Wir nennen keine Pauschalpreise, sondern kalkulieren das anhand deiner Datenmenge und Aufbewahrungsfrist.

Quellen