Cloud-Backup-Lösungen: Ein Leitfaden zum Schutz Ihrer Daten in großem Maßstab
Warum herkömmliche Ansätze nicht ausreichen – und wie ein cloud-natives Backup tatsächlich aussieht.
Was ist ein Cloud-Backup?
Cloud-Backup-Lösungen erstellen geschützte, wiederherstellbare Kopien von Daten in Cloud-Umgebungen. Diese Definition klingt einfach, doch der Unterschied ist entscheidend: Es besteht ein wesentlicher Unterschied zwischen der Speicherung von Backups in der Cloud und der Nutzung einer speziell für die Cloud entwickelten Lösung.
Backups in der Cloud zu speichern bedeutet in der Regel, ein lokales Tool zu nehmen, es auf den Cloud-Speicher auszurichten und auf zufriedenstellende Ergebnisse zu hoffen. Das ist ein „Lift-and-Shift“-Ansatz.
Eine Cloud-native Backup-Lösung hingegen ist von Grund auf für die Cloud-Infrastruktur konzipiert. Sie ist auf Cloud-APIs ausgelegt, skaliert mit Ihren Workloads und funktioniert ohne den Aufwand, der mit der Verwaltung von Backup-Servern oder Speicherzielen verbunden ist. DaAWS-DokumentationUm es auf den Punkt zu bringen: Cloud Computing ersetzt die anfänglichen Investitionen in die Infrastruktur durch variable, bedarfsorientierte Ressourcen. Ihr Backup-Konzept sollte demselben Prinzip folgen.
Beweise:AWS: Cloud Computing ersetzt die anfänglichen Investitionskosten für die Infrastruktur durch variable, bedarfsorientierte Ressourcen, die sich an die tatsächliche Nutzung anpassen.
Einschränkungen bei der Sicherung älterer Systeme
Herkömmliche Backup-Tools können in der Cloud aus zwei miteinander verbundenen Gründen versagen: aufgrund einer ineffizienten Architektur und aufgrund von Einschränkungen bei der Rechenleistung. Erstens bündeln lokale Backup-Lösungen Rechenleistung und Speicher in festen Konfigurationen. Man kann das eine nicht ohne das andere skalieren.
In der Cloud bedeutet dies, dass Sie Ressourcen, die Sie nicht benötigen, überdimensionieren oder aber zu wenig bereitstellen und dadurch Ihre Recovery-Fenster verpassen. Die manuelle Dimensionierung von Ressourcen ersetzt die Flexibilität, die den Wert einer Cloud-Infrastruktur überhaupt erst ausmacht. Die Kosten werden unvorhersehbar, da Sie entweder für ungenutzte Kapazitäten bezahlen oder in Krisensituationen hastig versuchen müssen, Ressourcen hinzuzufügen.
Zweitens erfolgt Cloud-Computing nach Bedarf. Die Arbeitslasten schwanken. Ältere Tools können nicht mit Ihrer Infrastruktur mitwachsen. Sie sind für stabile Umgebungen mit vorhersehbaren Arbeitslasten ausgelegt, und diese Annahme trifft nicht mehr zu, wenn Sie Tausende von kurzlebigen Instanzen über mehrere AWS-Regionen hinweg betreiben.
Risiken bei der eigenständigen Datensicherung
Snapshots und benutzerdefinierte Skripte sind für viele AWS-Teams die Standard-Backup-Strategie. Sie sind vertraut, sie sind kostenlos (oder fast kostenlos) und sie funktionieren im kleinen Maßstab. Allerdings weisen sie drei wesentliche Schwachstellen auf, die sich mit zunehmender Größe Ihrer Umgebung verstärken können.
Erstens ist es schwierig, globale, richtlinienbasierte Backups über Hunderte oder Tausende von Workloads hinweg mithilfe von Snapshots zu automatisieren. Für jedes Konto, jede Region und jeden Dienst ist eine eigene Skriptlogik erforderlich. Die einheitliche Durchsetzung von Service Level Agreements (SLAs) über alle hinweg erfordert einen erheblichen Aufwand an maßgeschneiderter Entwicklung, und das Ergebnis ist anfällig.
Zweitens werden Snapshots innerhalb desselben AWS-Kontos gespeichert. Sollte ein Angreifer dieses Konto kompromittieren, sind Ihre Snapshots gefährdet. Es gibt weder eine physische Trennung noch eine Garantie für Unveränderlichkeit noch eine Trennung zwischen Produktionsdaten und Sicherungsdaten.
Laut demSophos: Lagebericht zur Ransomware 2025Dem Bericht zufolge war die Mehrheit der Unternehmen im vergangenen Jahr von mindestens einem Ransomware-Angriff betroffen, und Angreifer nehmen zunehmend Backup-Speicherorte ins Visier.
Drittens führen benutzerdefinierte Skripte zu menschlichen Fehlern und einem hohen Wartungsaufwand. Skripte, die im letzten Quartal noch funktioniert haben, versagen, sobald AWS eine neue API-Version veröffentlicht, Ihr Team die Kontostrukturen umgestaltet oder jemand vergisst, einen Cron-Job zu aktualisieren. Bei großem Umfang ist dies keine Backup-Strategie. Es handelt sich um technische Schulden, die als Schutz getarnt sind.
Beweise:Sophos: Lagebericht zur Ransomware 2025: Die Mehrheit der Unternehmen war im vergangenen Jahr von mindestens einem Ransomware-Angriff betroffen, wobei die Angreifer zunehmend Backup-Speicher ins Visier nehmen.
AWS-Modell der geteilten Verantwortung: Die Kunden sind für den Schutz ihrer Daten – einschließlich des Backups and Recovery – innerhalb ihrer AWS-Umgebungen verantwortlich.
Bewertungskriterien für Backups
Wenn Sie für den Schutz von Tausenden von Servern und Workloads verantwortlich sind, lassen sich die Bewertungskriterien für Cloud-Backup-Lösungen auf fünf Hauptkriterien reduzieren.
Unveränderliche, luftdichte Lagerung.
Ihre Sicherungsdaten sollten außerhalb Ihrer Produktionsumgebung an einem Ort gespeichert werden, auf den Angreifer selbst dann keinen Zugriff haben, wenn sie Ihr primäres AWS-Konto kompromittieren. Unveränderlichkeit bedeutet, dass niemand – auch Administratoren nicht – Sicherungsdaten vor Ablauf ihrer Aufbewahrungsfrist ändern oder löschen kann. Die CISALeitfaden zu Ransomwareempfiehlt die Führung unveränderlicher Sicherungskopien als grundlegende Schutzmaßnahme gegen Ransomware.
Richtlinienbasierte Automatisierung.
Die manuelle Verwaltung von Backups ist nicht skalierbar. Sie benötigen die Möglichkeit, SLA-Stufen zu definieren, neue Workloads bei ihrer Bereitstellung automatisch zu erkennen und Backup-Richtlinien zentral über alle Konten und Regionen hinweg durchzusetzen. Wenn eine neue DynamoDB-Tabelle oder ein neuer S3-Bucket hinzukommt, sollte Ihre Backup-Lösung diese automatisch auf der Grundlage vordefinierter Regeln schützen.
Granulare Verwertung.
Die Recovery-Prozesse einer gesamten Umgebung, obwohl Sie nur ein einzelnes S3-Objekt oder eine Datenbankpartition benötigen, kosten Zeit und Geld. Ihre Lösung sollte neben der Recovery-Prozesse der gesamten Umgebung auch die Recovery auf Objekt-, Präfix-, Partitions- und Tabellenebene unterstützen.
Einhaltung von Vorschriften und Readiness für Prüfungen.
In regulierten Branchen muss nachgewiesen werden, dass Daten geschützt und wiederherstellbar sind. Ihre Backup-Lösung sollte automatisierte Compliance-Berichte erstellen und Prüfpfade führen, ohne dass dafür spezielle Tools erforderlich sind.
Vorhersehbarkeit der Kosten.
Die Kosten für Cloud-Backups sollten transparent und vorhersehbar sein. Wenn Sie Ihre monatlichen Backup-Kosten nicht mit hinreichender Genauigkeit prognostizieren können, birgt Ihre Lösung neben operativen Risiken auch finanzielle Risiken.
Beweise:CISA-Leitfaden zu Ransomware: Die CISA empfiehlt, offline gespeicherte, unveränderliche Sicherungskopien kritischer Daten als grundlegende Maßnahme zum Schutz vor Ransomware zu erstellen.
Cloud Schutz
Clumio von Commvaultist ein praktisches Beispiel dafür, wie ein cloud-natives Backup aussehen kann, wenn es auf den oben genannten Kriterien basiert. Im Folgenden wird dargestellt, wie Clumio die einzelnen Anforderungen erfüllt:
Clumio läuft als vollständig serverlose SaaS-Plattform. Sie müssen keine Agenten bereitstellen, keine Backup-Server verwalten und keinen Speicher bereitstellen. Die Architektur skaliert automatisch mit Ihrem Datenwachstum und hilft so, den Infrastrukturaufwand zu vermeiden, der bei herkömmlichen Tools ein Problem darstellt.
Clumio speichert Backup-Daten in einer von Ihrem AWS-Konto isolierten, unveränderlichen Umgebung. Selbst wenn ein Angreifer vollständigen Zugriff auf Ihre Produktionsumgebung erlangt, sind Ihre Backup-Daten so konzipiert, dass sie isoliert und unveränderbar bleiben. Diese Trennung ist von grundlegender Bedeutung fürWiderstandsfähigkeit gegen Ransomware.
Recovery mit Clumio erfolgt detailliert und schnell. Das System ist so konzipiert, dass Sie einzelne Dateien suchen und wiederherstellen könnenS3-Objekte,DynamoDB-Partitionen,EBS-VolumenoderRDS-Datenbankenohne die gesamte Umgebung wiederherzustellen.
Clumio Backtrack ermöglicht die Rollback-Wiederherstellung von Amazon S3- oder DynamoDB-Daten an Ort und Stelle auf einen bestimmten Zeitpunkt, und mit Instant Access können Anwendungen auf S3-Sicherungsdaten zugreifen, ohne dass eine vollständige Wiederherstellung erforderlich ist.
Clumio schützt AWS-Workloads durch automatisierten, richtliniengesteuerten Schutz, der Änderungen regelmäßig auf Ereignisebene erfasst.
AutomatisierteCompliance-Berichterstattungbietet Prüfpfade zur Unterstützung der Compliance-Anforderungen.
Die Kosten sind vorhersehbar. Sie zahlen nur für das, was Sie schützen – ohne versteckte Rechenkosten oder Überraschungen bei den Speichergebührenhttps://www.commvault.com/clumio/solutions/compliancee.
Erfahren Sie, wie Clumio AWS-Daten in großem Maßstab schützt.
Beweise:Clumiospeichert Sicherungsdaten in einer isolierten, luftisolierten Umgebung außerhalb des primären AWS-Kontos und schützt so vor Ransomware, Datenlöschung und einer Kompromittierung des Kontos.
AWS-Partnerlösungen: AWS zeichnet Cloud-native Backup-Partner aus, die eine automatisierte, skalierbare Datensicherung für zentrale AWS-Dienste wie S3, DynamoDB, EC2 und RDS ermöglichen.
Bewährte Verfahren für Backups
Die Wahl der richtigen Backup-Lösung ist der erste Schritt. Die effektive Umsetzung ist der zweite. Nutzen Sie diese Checkliste, um Ihre Backup-Sicherheit zu verbessern.
Befolgen Sie die 3-2-1-1-Regel.
Bewahren Sie drei Kopien Ihrer Daten auf zwei verschiedenen Medientypen auf, wobei sich eine Kopie außerhalb des Standorts und eine weitere Kopie unveränderbar oder in einem Air-Gap befindet. Diese Strategie wird empfohlen vonCISAund entspricht den NIST-Richtlinien, sodass Sie selbst im schlimmsten Fall über einen reibungslosen Recovery-Prozess verfügen.
Die Durchsetzung von Richtlinien automatisieren.
Legen Sie Backup-Richtlinien zentral fest und wenden Sie diese automatisch auf alle Konten, Regionen und Workloads an. Manuelle Prozesse versagen bei großem Umfang, und jede ungeschützte Workload stellt eine Lücke in der Recovery dar, die bei einem Vorfall zum Vorschein kommen kann.
Führen Sie regelmäßig Testwiederherstellungen durch.
Ein Backup, das Sie noch nie getestet haben, ist ein Backup, dem Sie nicht vertrauen können. Führen Sie in regelmäßigen Abständen „Proof-of-Life“-Tests durch, um sicherzustellen, dass Ihre Backups vollständig und wiederherstellbar sind und Ihre Anforderungen hinsichtlich der Wiederherstellungszeitziele (Recovery Time Objectives, RTOs) und Wiederherstellungspunktziele (Recovery Point Objectives, RPOs) erfüllen. Dokumentieren Sie jeden Test.
Überwachung und Benachrichtigung über ein zentrales Dashboard.
Ein umfassender Überblick über Ihre gesamte Backup-Infrastruktur ist unerlässlich. Sie benötigen eine zentrale Übersicht, die den Status der Backup-Aufträge, den Compliance-Status, die Speicherauslastung und Abweichungen anzeigt. Dank automatischer Warnmeldungen können Sie Fehler erkennen, bevor sie zu Sicherheitslücken werden.
Beweise:Sophos: Lagebericht zur Ransomware 2025: Die Mehrheit der Unternehmen gab an, in den letzten 12 Monaten Opfer eines Ransomware-Angriffs geworden zu sein, wobei die Recovery-Zeit bei den meisten Betroffenen im Durchschnitt mehrere Wochen betrug.
CISA-Leitfaden zu Ransomware: CISA und NIST empfehlen die 3-2-1-1-Backup-Strategie, die mindestens eine unveränderliche oder luftisolierte Kopie umfasst, als Standard für die Vorbereitung auf Ransomware-Angriffe.
Schlussfolgerung
Herkömmliche Backup-Ansätze wurden nicht für Umgebungen im Cloud-Maßstab entwickelt. Die Portierung von On-Premises-Tools in die Cloud führt zu architektonischer Ineffizienz und unvorhersehbaren Kosten. Der Einsatz von Snapshots und Skripten bietet zwar kurzfristigen Komfort, geht jedoch mit langfristiger Anfälligkeit einher.
Cloud-native Backups erfüllen die Anforderungen moderner Umgebungen: Unveränderlichkeit, Automatisierung, granulare Recovery und die Geschwindigkeit, mit der der Betrieb wiederhergestellt werden kann, wenn jede Minute zählt.
Die 3-2-1-1-Strategie ist die Mindestanforderung, nicht die Obergrenze. Setzen Sie sie um, automatisieren Sie sie und testen Sie sie regelmäßig. Ihre Datenmengen wachsen. Ihre Angriffsfläche vergrößert sich. Ihre Cloud-Backup-Strategie sollte so konzipiert sein, dass sie beiden Realitäten direkt begegnet.
Häufig gestellte Fragen
What is the 3-2-1 backup rule?
Die 3-2-1-Sicherungsregel ist ein Standard für den Datenschutz, der vorsieht, dass drei Kopien Ihrer Daten auf zwei verschiedenen Medientypen gespeichert werden, wobei eine Kopie außerhalb des Standorts aufbewahrt wird.
Die aktualisierte 3-2-1-1-Version fügt eine vierte Anforderung hinzu: Mindestens eine Kopie muss unveränderlich oder „air-gapped“ sein, d. h., sie ist so konzipiert, dass sie von niemandem – auch nicht von Administratoren oder Angreifern – verändert oder gelöscht werden kann. CISA und NIST empfehlen diesen Ansatz als grundlegende Schutzmaßnahme gegen Ransomware und Datenverlust.
Was sollte ich bei der Auswahl einer Cloud-Backup-Lösung beachten?
Beginnen Sie mit fünf Hauptkriterien:
- Ein unveränderlicher, luftisolierter Speicher, der Backups von Ihrer Produktionsumgebung trennt.
- Richtlinienbasierte Automatisierung, die neue Workloads ohne manuellen Eingriff erkennt und schützt.
- Granulare Recovery auf Objekt- oder Partitionsebene.
- Automatisierte Compliance-Berichterstattung zur Unterstützung der Audit-Readiness.
- Vorhersehbare, transparente Preisgestaltung.
Entscheiden Sie sich für Lösungen, die speziell für Cloud-native Architekturen entwickelt wurden, anstatt auf für die Cloud angepasste On-Premises-Tools zurückzugreifen.
Wie schütze ich Cloud-Backups vor Ransomware?
Speichern Sie Backups in einer unveränderlichen, luftisolierten Umgebung, die von Ihrem primären Cloud-Konto getrennt ist. Angreifer, die Ihre Produktionsumgebung kompromittieren, sollten nicht in der Lage sein, auf Ihre Backup-Daten zuzugreifen, diese zu verändern oder zu löschen.
Kombinieren Sie dies mit regelmäßiger Überwachung, Anomalieerkennung und regelmäßigen „Proof-of-Life“-Wiederherstellungstests, um sicherzustellen, dass Ihre Backups fehlerfrei und wiederherstellbar sind. Halten Sie sich an die 3-2-1-1-Regel als Grundprinzip.
Was ist der Unterschied zwischen SaaS- und IaaS-Backups?
SaaS-Backup-Lösungen sind Managed Services, bei denen der Anbieter die Infrastruktur, die Skalierung und die Wartung übernimmt. Sie nutzen diese über eine API oder eine Konsole, ohne Agenten oder Server bereitstellen zu müssen.
Bei IaaS-Backups müssen Sie Ihre eigene Backup-Infrastruktur in der Cloud bereitstellen und verwalten, einschließlich Recheninstanzen, Speicher und Netzwerk.
SaaS-Modelle tragen dazu bei, den Betriebsaufwand zu reduzieren, und lassen sich automatisch skalieren, während IaaS mehr Anpassungsmöglichkeiten bietet, die Verwaltung jedoch komplexer macht.
Welche potenziellen Risiken bestehen, wenn man sich ausschließlich auf AWS Backup verlässt?
AWS Backup wird innerhalb Ihres AWS-Kontos ausgeführt, was bedeutet, dass Ihre Backups denselben Sicherheitsbereich haben wie Ihre Produktionsdaten. Sollte ein Angreifer Ihr Konto kompromittieren, sind sowohl Ihre Workloads als auch Ihre Backups gefährdet.
AWS Backup weist zudem Einschränkungen hinsichtlich der kontoübergreifenden Isolierung, der granularen Recovery-Funktionen für bestimmte Dienste und der automatisierten Compliance-Berichterstattung auf. Eine dedizierte, cloudnative Lösung bietet darüber hinaus die durch einen „Air Gap“ gesicherten Unveränderlichkeits- und Recovery-Funktionen, mit denen sich diese Lücken schließen lassen.
Wie gehe ich bei der Datensicherung von Tausenden von Servern vor?
In dieser Größenordnung sind manuelle Prozesse und benutzerdefinierte Skripte nicht mehr praktikabel. Sie benötigen eine Backup-Plattform mit automatischer Erkennung von Workloads, richtlinienbasiertem Schutz, der einheitliche SLAs über alle Konten und Regionen hinweg gewährleistet, sowie einer zentralisierten Überwachung.
Serverlose SaaS-Architekturen tragen dazu bei, dass die Backup-Infrastruktur nicht mehr parallel zu Ihren Workloads skaliert werden muss. Achten Sie auf Lösungen, die granulares Recovery unterstützen, damit Sie einzelne Objekte oder Tabellen wiederherstellen können, ohne ganze Umgebungen neu aufbauen zu müssen.