Sichern Sie ganze Datenträger, unerreichbar für Ransomware

Warum übliche Sicherungen an derselben Stelle scheitern

Damit ein Rechner gesichert werden kann, muss er auf das Sicherungsziel schreiben dürfen — also findet auch ein Verschlüsselungstrojaner, der auf diesem Rechner läuft, den Weg dorthin. Er verschlüsselt erst die Arbeitsdaten und danach die Sicherung, und beides mit denselben Rechten. Das ist kein Fehler in der Software, das ist die Bauweise.

Hier ist es umgekehrt gelöst. Die gesicherten Rechner haben auf dem Sicherungsserver überhaupt keine Schreibrechte. Sie schicken ihre Daten über eine gehärtete SSH-Verbindung als ZFS-Datenstrom hinüber, der Server nimmt sie entgegen und schreibt sie selbst. Es gibt kein Netzlaufwerk, das jemand finden könnte, und keinen Dienst, der auf eine Anfrage aus dem Netz antwortet. Für einen Angreifer, der bereits im Haus ist, existiert dieser Server nicht.

Warum ausgerechnet ZFS

Die Wahl des Dateisystems ist bei einer Sicherung keine Geschmacksfrage, sondern die Entscheidung darüber, was überhaupt möglich ist. ZFS kommt aus dem Serverbau und bringt vieles schon mit, wofür andere Lösungen eine eigene Schicht Software brauchen — die dann auch eigene Fehler machen kann.

• Prüfsummen auf jedem Block. Jeder Datenblock trägt seine eigene Prüfsumme, die bei jedem Zugriff verglichen wird. Ein Fehler fällt auf, wenn er entsteht, und nicht erst Jahre später beim Zurückholen.
• Selbstheilung. Stimmt eine Prüfsumme nicht, holt das Dateisystem den Block aus der Spiegelkopie und schreibt ihn richtig zurück, automatisch und protokolliert. Andere Systeme erkennen den Schaden bestenfalls, beheben ihn aber nicht.
• Copy-on-Write. Es wird nie in einen bestehenden Block hineingeschrieben, sondern immer neu geschrieben und danach umgehängt. Ein Stromausfall mitten im Lauf hinterlässt deshalb keinen halb geschriebenen, unbrauchbaren Stand.
• Snapshots kosten fast nichts. Ein Snapshot hält nur fest, was sich seither geändert hat. Deshalb sind viele Stände über lange Zeit bezahlbar, statt jede Woche eine weitere Vollsicherung zu verlangen.
• Regelmäßige Scrubs. Der gesamte Bestand wird von Zeit zu Zeit vollständig durchgelesen und geprüft. So bleibt kein Fehler in einer Datei liegen, die seit Jahren niemand geöffnet hat.
• Kompression ohne Aufpreis. Die Daten werden im Vorbeigehen gepackt. Auf einen Server passt damit deutlich mehr, als seine Platten nominell hergeben.
• Redundanz im Dateisystem selbst. Der Speicher trägt die Ausfallsicherheit schon in sich, statt sie einem RAID-Kontroller zu überlassen, der bei einem Defekt selbst zum Ersatzteilproblem wird.
• Bewährte Grundlage. ZFS läuft seit zwei Jahrzehnten unter Serverlast. Neu ist hier nicht das Dateisystem, neu ist, wofür ich es einsetze.

Die beiden Bauweisen nebeneinander

Links die Art, wie Sicherungen üblicherweise angelegt sind, ob mit Bordmitteln oder mit gekaufter Software. Rechts, wie dieser Server arbeitet.

Die rechte Spalte beschreibt den Auslieferungszustand, nicht eine Ausbaustufe gegen Aufpreis.

Wie ich das selbst einordne: Ein Sicherungsziel, das die zu sichernden Rechner gar nicht erreichen können, ist mir in dieser Form bei keinem Marktprodukt begegnet, und ich habe lange gesucht, bevor ich angefangen habe zu bauen. Für mich ist das der Anfang einer neuen Art, Daten zu sichern: Der Wettlauf zwischen immer neuen Verschlüsselungstrojanern und immer neuer Schutzsoftware wird für Ihre Sicherung schlicht gegenstandslos, weil es keinen Weg dorthin gibt, den ein Angreifer nehmen könnte. Ob der Markt das genauso sieht, wird sich zeigen — überzeugen können Sie sich selbst, an einer Installation, die läuft.

Der Ernstfall: ein Gerät von Grund auf zurückholen

Der Punkt, an dem Wiederherstellungen in der Praxis scheitern, ist selten die Sicherung selbst. Es ist der Moment, in dem das Notfallsystem gestartet ist und den RAID-Controller nicht kennt. Dann sitzt jemand nachts vor einem Server und sucht einen Treiber, den es als Download nur noch im Archiv gibt. Genau dafür hinterlegt der Agent die Treiber Ihrer Geräte vorab, und das Notfallsystem baut sie beim Start selbst ein. Es kennt Ihre Hardware, bevor der Ernstfall eintritt.

Auf Ihren Rechnern und Servern läuft dazu mein Sicherungsagent. Er zieht ein Abbild der ganzen Platte, im laufenden Betrieb und über den Schattenkopie-Dienst von Windows, sodass auch geöffnete Datenbanken in sich stimmig gesichert werden. Danach überträgt er nur noch die Blöcke, die sich geändert haben. Wird der Rechner mitten im Lauf neu gestartet, setzt er an der Blockgrenze fort statt von vorn zu beginnen. Eingerichtet wird er einmal, ab da arbeitet er als Dienst allein weiter: Der Agent ist Werkzeug des Administrators, nicht des Anwenders.

Was im Einzelnen dazugehört

• Keine Freigaben auf dem Sicherungsserver. Die Daten kommen verschlüsselt über SSH an. Es gibt kein Netzlaufwerk, das ein Verschlüsselungstrojaner auf einem Arbeitsplatz finden und mitnehmen könnte.
• Jeder Datenblock wird geprüft und bei Abweichung selbst repariert, dazu regelmäßige Scrubs über den gesamten Bestand.
• Snapshots statt Sicherungsketten. Jeder Stand lässt sich einzeln zurückholen, ohne Vollsicherung plus zwölf Inkremente in der richtigen Reihenfolge.
• Unveränderbarkeits-Modus. Auf Wunsch wird der Speicher schreibgeschützt gestellt, dann lässt sich an bestehenden Ständen nichts mehr ändern, auch nicht von einem Rechner aus, der bereits in fremder Hand ist.
• Die zweite Kopie holt sich selbst. Der Server am zweiten Standort bekommt die Stände nicht zugeschickt, er holt sie ab. Von Ihren Rechnern und vom ersten Sicherungsserver aus gibt es deshalb keinen Weg zu ihm, und die Stände dort sind zusätzlich gegen Löschen gesperrt. Das ist die Kopie, die auch einen Angriff übersteht, bei dem alles andere verloren geht.
• Wiederherstellung auf drei Wegen: einzelne Datei aus dem geöffneten Snapshot, ganze Platte zurückschreiben, oder von Grund auf über einen Start-Stick, dessen Treiber für Ihre Geräte schon vorbereitet sind.
• Kein herstellereigenes Format. Die Sicherung ist ein echtes Laufwerksabbild auf dem Dateisystem und lässt sich auf dem Server direkt öffnen und prüfen, auch ohne meine Software.
• Der Agent ist abgeschlossen. Seine Konfiguration liegt verschlüsselt auf dem Rechner, sicherheitsrelevante Einstellungen sind hinter einem Administrator-Kennwort gesperrt. Wer am Gerät sitzt, kann die Sicherung weder umstellen noch stillschweigend abschalten.
• Sicherungen melden sich, wenn etwas nicht stimmt, und es wird regelmäßig geprüft, ob sich die Daten wirklich zurückspielen lassen.