Immutable Backup (unveränderliches Backup)
Ein Immutable Backup ist eine Sicherung, die innerhalb einer festgelegten Aufbewahrungsfrist technisch nicht verändert, überschrieben oder gelöscht werden kann — auch nicht mit administrativen Rechten. Umgesetzt wird das über gehärtete Linux-Repositories mit Dateisystem-Attributen oder über Object Lock im S3-Protokoll. In Veeam Backup & Replication ist die Frist konfigurierbar und reicht von mindestens 7 bis maximal 9.999 Tagen. Unveränderlichkeit ist der Unterschied zwischen einem Backup und echtem Ransomware-Schutz.
Immutable Backup (unveränderliches Backup) in der Praxis
Das Zielbild beschreibt die 3-2-1-1-0-Regel: drei Kopien der Daten auf zwei verschiedenen Medientypen, eine Kopie außer Haus, eine Kopie offline, air-gapped oder unveränderlich — und null Fehler im verifizierten Wiederherstellungstest. Der letzte Punkt entscheidet, denn ein Backup, das nie zurückgespielt wurde, ist eine Annahme und kein Schutz. Technisch setzt Veeam Unveränderlichkeit im Hardened Repository um: ein dedizierter Linux-Server mit XFS-Dateisystem, dessen Backup-Dateien für die konfigurierte Frist ein Unveränderlichkeits-Attribut erhalten; die Anbindung erfolgt über Single-Use Credentials, die nach dem Deployment nicht in der Backup-Infrastruktur gespeichert bleiben.
Selbst ein kompromittierter Backup-Server kann die Daten dadurch nicht löschen. Dasselbe XFS ist Voraussetzung für Fast Clone, mit dem synthetische Vollsicherungen ohne echtes Umkopieren entstehen — nötig sind dafür Reflink- und CRC-Unterstützung, angelegt etwa mit mkfs.xfs -b size=4096 -m reflink=1,crc=1. In der Cloud übernimmt S3 Object Lock im Compliance-Modus dieselbe Rolle. Wichtig ist die Abgrenzung: Unveränderlichkeit schützt vor Löschung und Verschlüsselung, nicht vor Datenabfluss — dafür braucht es Verschlüsselung und Netzsegmentierung.
Alendris entwirft Backup-Architekturen mit unveränderlichem On-Premises-Ziel und nimmt sie erst nach dokumentiertem Restore-Test ab; in einem Projekt für ein Fertigungsunternehmen war der immutable Veeam-Speicher zusammen mit einem segmentierten Netz die tragende Säule der Ransomware-Resistenz.