1
Pull statt Push
Backup-Server zieht Daten; Targets sind aus Prod nicht erreichbar.
Backup, das im Ernstfall wirklich trägt
Messbare RPO/RTO-Ziele, immutable Kopien, segmentiertes Backup-Netz, regelmäßige Test-Restores. Keine Buzzwords – belastbare Wiederherstellung.
3-2-1-1-0
WORM / Immutable
SureBackup
RBAC & MFA
30 min
Ziel-RPO
2 h
Ziel-RTO
Beispielwerte – im Projekt individuell definiert & getestet.
Schematisch: Pull-Backups → Hardened Repo (WORM) → Cloud/Object-Lock → RZ-Replikation.
2
Hardened Repo & Immutable
Getrennte Konten, kein Domain-Join, Object-Lock – Löschschutz.
3
Offline/Offsite
RDX/Tape oder Cloud-Copy – Air-Gap gegen Verschlüsselung.
4
Test-Restores
Quartalsweise Wiederherstellungen (SureBackup) – dokumentiert.
5
RPO/RTO im Griff
Zielwerte definiert, überwacht, verifiziert.
Datensicherung – zuverlässig, nachvollziehbar, wiederherstellbar
Wir planen, implementieren und überwachen Backups so, dass Wiederherstellung im Ernstfall schnell, geprüft und nachvollziehbar funktioniert – für physische Systeme, virtuelle Infrastrukturen und Cloud-Dienste wie Microsoft 365. Ergänzend setzen wir auf WORM/immutable Speicher, klare Aufbewahrungsregeln und verschlüsselte, MFA-geschützte Zugriffe.
On-Premises Datensicherung – Physische Server & Arbeitsstationen
Für physische Server und wichtige Arbeitsstationen setzen wir Image-basierte Backups mit Bare-Metal-Recovery ein. Dadurch lassen sich komplette Systeme inklusive Betriebssystem, Anwendungen und Einstellungen auf neuer Hardware oder in einer VM wiederherstellen. Kritische Datenordner sichern wir zusätzlich dateibasiert mit feineren Intervallen (z. B. stündlich), um RPOs eng zu halten. Auf Wunsch trennen wir System- und Datenlaufwerke in eigene Jobs mit unterschiedlichen Aufbewahrungen – effizient und revisionssicher.
Highlights
- Image + dateibasiert kombiniert
- Bare-Metal-Recovery (schnelle Systemwiederherstellung)
- Getrennte Jobs für System/Daten mit eigener Aufbewahrung
On-Premises Datensicherung – Virtuelle Server (Hyper-V, VMware, Proxmox)
In virtuellen Infrastrukturen sichern wir agentenlos auf VM-Ebene und nutzen anwendungskonsistente Snapshots (z. B. VSS). So bleiben transaktionsbasierte Dienste wie SQL oder Exchange konsistent. Für besonders kritische Systeme kombinieren wir Backups mit Replikation auf eine zweite Umgebung. Ergebnis: RTOs bleiben kurz, weil VMs bei Bedarf als Replikat nahezu sofort gestartet werden können.
Geeignet für
- Kritische ERP/SQL-Server
- Exchange/Groupware
- Domänencontroller & Infrastruktur-VMs
Cloud-Datensicherung – Microsoft 365 (Exchange, OneDrive, SharePoint, Teams)
Microsoft stellt Verfügbarkeit bereit – nicht dein individuelles Backup. Wir sichern Postfächer, OneDrive-Daten, SharePoint-Sites und Teams in definierte Speicherziele (On-Prem oder Cloud-Object-Storage). Granulare Wiederherstellung (einzelne Mails, Dateien, Versionen) verkürzt Ausfälle und schützt vor Löschungen, Account-Missbrauch oder Ransomware in der Cloud. Aufbewahrungsrichtlinien (z. B. 1–10 Jahre) und rechtssichere Archivoptionen setzen wir kundenindividuell um.
Warum extra sichern?
- Schutz vor versehentlichem/absichtlichem Löschen
- Granulare Restores (Mails, Ordner, Versionen)
- Compliance-taugliche Aufbewahrung
WORM-/Immutable-Datensicherung
Für rechtliche Anforderungen und maximalen Ransomware-Schutz bieten wir WORM/immutable Speicher: Einmal geschrieben, lassen sich Daten innerhalb der Aufbewahrungsfrist nicht mehr ändern oder löschen. Technisch realisieren wir das z. B. über Object Lock (S3-kompatibel) oder dedizierte WORM-Speicherpools. So sind selbst kompromittierte Admin-Konten wirkungslos – die Backup-Kopien bleiben unverändert verfügbar.
👾
„Malware-Versender“
nicht verifiziert · Fiktion/Satire
★☆☆☆☆ „Seit die Sicher ist Sicher GmbH. diesen WORM-Space eingeführt hat, kann ich die Backups nicht mehr verändern oder löschen. Immutable? Object-Lock? – total unfair! Selbst mit gestohlenen Admin-Daten komme ich nicht ran. Bitte wieder abschalten, danke.“ – Malware-Versender, vermutlich frustriert
WORM/Immutable
Lösch- & Manipulationsschutz
Pull-Prinzip
Targets nicht aus Prod erreichbar
Test-Restores
Quartalsweise verifiziert (SureBackup)
Datensicherungsziele (Speicherorte)
NAS-Speicherpool
Kosteneffizient für schnelle lokale Backups und Restores. Ideal als „Hot Storage“ für tägliche Sicherungen.
Datapool-Server (WORM-fähig)
Zentrale, gehärtete Backup-Ablage (z. B. Linux Hardened Repo). Perfekt als primäres Ziel und für längere Aufbewahrung.
Cloud-Speicher (S3-kompatibel)
AWS S3, Azure Blob, Backblaze, Wasabi, IONOS, Hetzner u. a. – verschlüsselt, georedundant, mit Object-Lock/Immutable.
RDX-Laufwerk
Robuste Wechselfestplatten im Kassettenformat – portabel und offline-fähig.
Tape & Autoloader
Bewährtes Langzeit- und Offsite-Medium mit sehr niedrigen Kosten pro TB; automatisierte Bandrotation (GFS).
Externe HDD/SSD (Offline)
Als zusätzliche, physisch getrennte Kopie im Air-Gap-Konzept – sicher gelagert und verschlüsselt.
Offline-Backup (externe Festplatte / RDX)
Offline-Backups sind die „Air-Gap“ im Konzept: Eine physische Trennung vom Netzwerk schützt vor Ransomware, Verschlüsselungstrojanern und auch vor versehentlichem Löschen. Wir integrieren externe Festplatten oder RDX-Medien in einen klaren Rotationsplan (z. B. täglich/wochenweise), verschlüsseln die Datenträger und dokumentieren die sichere Lagerung (z. B. Tresor/anderer Brandabschnitt). Ein kurzes, praxistaugliches Runbook legt Zuständigkeiten, Zeitpunkte und Prüfungen fest.
Best Practices
- Klare Rotation: Wer tauscht wann welches Medium?
- Sichere Lagerorte (Brandabschnitt/Tresor)
- Regelmäßige Integritäts-/Prüfsummen-Checks
Test-Restore & Desaster-Recovery-Pläne
Backups sind nur so gut wie der letzte erfolgreich geprüfte Restore. Auf Kundenwunsch führen wir quartalsweise Test-Restores durch: Wir stellen mindestens einen definierten Server in einer isolierten Umgebung vollständig wieder her und prüfen Boot, Dienste, Anwendungen und Zugriff. Ergebnisse dokumentieren wir transparent (Screenshots/Protokoll). Mit passender Lizenz richten wir Veeam SureBackup ein: Backups werden automatisiert in einer isolierten Umgebung gestartet, Health-Checks und Anwendungsprüfungen laufen nach Plan – inklusive Berichten zur tatsächlichen Wiederherstellbarkeit.
Zusätzlich erstellen wir ein DR-Runbook: Rollen, Kontaktwege, Reihenfolge der Wiederherstellungen, DNS/VPN-Anpassungen, Prioritäten (Tier-1/2-Dienste), Ziel-RTO/RPO – so weiß jeder im Ernstfall, was zu tun ist.
Sichtbarer Mehrwert
- Nachweisbare Wiederherstellbarkeit
- Audit-fähige Dokumentation
- Automatisierte Prüfungen (SureBackup)
On-Prem-Backup in eine Serverlandschaft im Rechenzentrum (RZ)
Für hohe Verfügbarkeit kombinieren wir lokale Backups mit Replikation ins RZ. Fällt die On-Prem-Umgebung aus (Strom, Brand, Hardware-Totalschaden), können wir dort in kurzer Zeit die wichtigsten Systeme starten. Netzwerk-Mappung, VPN-Tunnels und DNS-Umschaltungen sind Teil des Plans. Je nach Bandbreite und Änderungsrate lassen sich RPOs von Minuten bis wenigen Stunden erreichen; die RTO hängt von Anzahl/Größe der VMs und Startreihenfolge ab. Ergebnis: planbares Failover statt Stillstand.
Abgeschottete Backup-Netzwerke
Alle Backup-Systeme und Speicherziele betreiben wir in einem dedizierten, abgeschotteten Netzwerkbereich (Backup-VLAN). Durch strikte Segmentierung, getrennte Konten und Firewalls wird ein unbefugter Zugriff oder eine Manipulation der Backups erheblich erschwert. Zusätzlich setzen wir auf das Pull-Prinzip: Der Backup-Server holt Daten von den Quellsystemen ab – Speicherziele sind niemals direkt aus dem Produktionsnetz erreichbar.
Vorteile
- Manipulationsschutz vor Malware & Ransomware
- Reduzierte Angriffsfläche durch Segmentierung
- Nur notwendige Ports via Firewall freigeschaltet
- Backup-Konsolen nur via MFA & Jump-Host erreichbar
Sicherheit: Verschlüsselung & Multifaktor-Schutz
Alle Backups werden Ende-zu-Ende verschlüsselt – sowohl in Transit (TLS) als auch at Rest (z. B. AES-256). Schlüsselmaterial verwalten wir getrennt und rollenbasiert. Der Zugriff auf Backup-Konsolen und kritische Speicherziele ist MFA-geschützt (z. B. TOTP/FIDO2) und durch Role-Based Access Control begrenzt. Wo möglich, setzen wir immutable/WORM-Policies und Härtung der Repositories ein (getrennte Konten, kein Domain-Join, Pull-Jobs). So verhindern wir Missbrauch selbst bei kompromittierten Anmeldedaten.
Hardening-Bausteine
- RBAC, getrennte Admin-Konten
- MFA an Konsole & Speichertargets
- Immutable/WORM + Netzwerksegmentierung
3-2-1-Backup-Methodik (Best Practice)
3
Kopien deiner Daten (Produktiv + 2 Backups)
2
unterschiedliche Speicherarten (z. B. Disk/NAS + Tape/Cloud)
1
Kopie extern/offline (Cloud oder ausgelagertes, nicht angebundenes Medium)
Erweitert empfehlen wir 3-2-1-1-0: eine zusätzliche immutable/WORM-Kopie und 0 Fehler in regelmäßigen Wiederherstellungstests.
Monitoring, Reporting & Aufbewahrung (GFS)
Backup-Jobs laufen mit proaktivem Monitoring und Benachrichtigungen bei Fehlern oder Unregelmäßigkeiten. Reports zeigen Erfolgsquoten, Kapazitäten, Storage-Trends und anstehende Maßnahmen. Aufbewahrungsregeln (GFS – Großvater/Vater/Sohn) setzen wir so um, dass operative Restores schnell verfügbar sind und Langzeitaufbewahrung kosteneffizient bleibt – inklusive Compliance-Vorgaben (z. B. GoBD/DSGVO) nach Bedarf.
Transparenz
- E-Mail/Teams-Alerts bei Fehlern
- Monatliche Zusammenfassungen
- Kapazitäts- und Trendberichte
Kostenlose Erstberatung zur Datensicherung
Wir prüfen deine aktuelle Backup-Strategie, definieren RPO/RTO-Ziele und empfehlen passende Speicherziele – inklusive Offline-/WORM-Optionen, separierten Backup-Netzwerken und Quartals-Test-Restores (SureBackup möglich).