Grundlagen der Datensicherung: Netzwerk, Einstufung und DPaaS-Grundlagen

Drei Muster, die mir immer wieder auffallen

Nach sieben Jahren Architekturüberprüfungen bei Kunden tauchen drei Muster so häufig auf, dass ich bereits im ersten Gespräch danach frage: Ob das Team versteht, was „Data Protection as a Service“ eigentlich abdecken soll. Welche Fragen sie den Backup-Anbietern während der Evaluierungsphase stellen. Und wie sie die Netzwerkpfade sichern, über die die Backup-Daten übertragen werden.

Die meisten Teams, mit denen ich spreche, weisen in mindestens zwei dieser drei Bereiche Lücken auf. Manchmal sogar in allen drei Bereichen. Diese Lücken sind nicht darauf zurückzuführen, dass die Teams inkompetent sind. Sie entstehen vielmehr dadurch, dass die Branche im Bereich Backup so viel „Anbieter-Lärm“ erzeugt hat, dass die Grundlagen unter der Produktpositionierung begraben werden. Dieser Beitrag enthält das, was ich einem Kollegen sagen würde, der fragt: „Was sollte ich eigentlich über Backup-Architektur wissen, bevor ich einen Vertrag unterzeichne?“

DPaaS-Grundlagen: Was „Data Protection as a Service“ tatsächlich umfasst

„Data Protection as a Service“ ist ein Bereitstellungsmodell, bei dem Backup, Wiederherstellung, Migration und Disaster Recovery als Managed Service bereitgestellt werden. Es handelt sich nicht um Software, die der Kunde selbst installiert, konfiguriert und wartet. Der Kunde abonniert den Service. Der Dienst läuft.

Die relevante Frage ist nicht, was DPaaS als Kategorie bedeutet. Es geht darum, was eine echte DPaaS-Plattform tatsächlich leisten muss. Drei Säulen definieren den Umfang.

Datensicherung

Anwendungskonsistente Sicherung und Wiederherstellung für jede Workload, die in der Umgebung ausgeführt wird. VMs, Datenbanken, containerisierte Anwendungen, Objektspeicher und SaaS-Anwendungen. Die entscheidende Anforderung ist die Konsistenz über alle Umgebungen hinweg. Gleiches Richtlinien-Framework, gleiches Wiederherstellungsmodell, gleiche Verwaltung – unabhängig davon, ob die Workload vor Ort, in AWS, in Azure, in Google Cloud oder in SaaS-Anwendungen wie Microsoft 365 und Salesforce ausgeführt wird. 

Datenmigration

Dieselben Sicherungsdaten, die eine Workload schützen, können diese Workload auch verschieben. Zwischen lokalen Umgebungen und der Cloud, zwischen Cloud-Anbietern oder zwischen Regionen. Die Migration ist in modernen DPaaS-Lösungen keine separate Produktkategorie. Es handelt sich um einen Wiederherstellungsvorgang, der auf ein anderes Ziel ausgerichtet ist. Etwa 95 % der Cloud-Kunden befinden sich zu jedem beliebigen Zeitpunkt in irgendeiner Form der Workload-Migration, da sie Preis und Leistung optimieren. Dies macht die Migration zu einer kontinuierlichen betrieblichen Anforderung und nicht zu einem einmaligen Ereignis. 

Notfallwiederherstellung

Cloud-native Notfallwiederherstellung unter Verwendung öffentlicher Cloud-Regionen als Failover-Ziele, mit einem wirtschaftlichen Modell, das zählt. Speichern Sie die Sicherungskopie kontinuierlich und kostengünstig. Nutzen Sie Rechenleistung und Hochleistungsspeicher erst dann, wenn die Notfallwiederherstellung tatsächlich ausgelöst wird. Ständig aktive Replikationsumgebungen sind gerade deshalb teuer, weil sie rund um die Uhr für ein Ereignis laufen, das möglicherweise nie eintritt. Eine „Pay-when-triggered“-DR kostet nur einen Bruchteil dieser Kosten.

Der „State of the Cloud“-Bericht 2026 von Flexera ergab, dass 73 % der Unternehmen Hybrid-Cloud-Umgebungen betreiben, wobei die Multi-Cloud-Nutzung weiter zunimmt – oft getrieben durch Fusionen, die Ausbreitung von SaaS und dezentrale Teams und weniger durch eine bewusste Strategie. Eine DPaaS-Plattform, die nicht alle Clouds abdeckt, auf denen das Unternehmen operiert, stellt keine vollständige Datensicherungsstrategie dar. Es handelt sich um eine unvollständige Lösung mit Lücken, für deren Schließung der Kunde verantwortlich ist.

Bewertung Ihrer Backup-Infrastruktur: fünf Fragen, die weiterhelfen

Die meisten Anbieter von Datensicherungslösungen haben ihre Altprodukte unter einem Cloud-Branding neu verpackt. Die zugrunde liegende Architektur – feste Größen, Agenten pro Server, umfangreiche Vorab-Bereitstellungen – entspricht nach wie vor dem Rechenzentrumsansatz, der lediglich in eine cloudgehostete Form übertragen wurde. Fünf Fragen durchschauen das Marketing schnell. 

Diese Fragen decken die architektonische Realität hinter den Marketingversprechen auf. Ein Anbieter, dessen Antworten mit „Das hängt von Ihrer Umgebung ab“ oder „Wir können Ihre Kapazitäten mit zusätzlichen Geräten erweitern“ beginnen, verkauft das On-Premises-Modell in einer Cloud-Verpackung. 

Netzwerkaspekte: Sicherung der Pfade, über die Backup-Daten übertragen werden

Backup-Daten sind nur so gut geschützt wie die Netzwerkpfade zwischen Quellen, Hosts und Speicherzielen. Eine Backup-Architektur mit starker Verschlüsselung im Ruhezustand und schwacher Netzwerksicherheit auf dem Weg zum Ziel ist genau so anfällig wie das schwächste Glied in dieser Kette. Fünf Kategorien sind dabei am wichtigsten.

Multi-Homing der Backup-VM

Zwar funktioniert auch eine einzelne virtuelle Netzwerkkarte (vNIC), doch bietet das Multi-Homing der Backup-VM mit zwei vNICs (eine für die Verwaltung, eine für das Speichernetzwerk) eine klarere Trennung und ermöglicht es Administratoren, den Web-Listener auf der Speicher-vNIC zu deaktivieren. Der Backup-Datenverkehr aus der Produktion sollte keine Schnittstelle mit administrativem Zugriff teilen. Sollte ein Angreifer durch einen Anmeldedaten-Leck Zugriff auf die Webkonsole erlangen, möchten Sie nicht, dass er sich im selben Netzwerk wie die Backup-Daten befindet.

Sicherung der Verbindungen zu Speicherzielen

Unterschiedliche Speicherziele haben unterschiedliche Anforderungen an die Netzwerksicherheit.

Zertifikats- und Authentifizierungshygiene

Selbstsignierte Zertifikate sind für die Erstbereitstellung ausreichend, sollten jedoch im Produktivbetrieb durch Zertifikate der Zertifizierungsstelle (CA) Ihrer Organisation ersetzt werden. Verbindungen zur Hypervisor-Verwaltung (Nutanix Prism, VMware vCenter) sollten, sofern unterstützt, eine Zertifikatsauthentifizierung verwenden. Der SSH-Zugriff auf die Backup-VM sollte nach der Ersteinrichtung deaktiviert werden. Die laufende Administration sollte über die Web-Benutzeroberfläche oder die Verwaltungsschnittstellen der Plattform erfolgen, nicht über die Shell.

Einschränkung des administrativen Zugriffs

Der Zugriff auf Prism Element, vCenter oder die Konsole des Cloud-Anbieters für Umgebungen mit Backup-Infrastruktur sollte auf bestimmte Administratoren und Arbeitsstationen beschränkt sein, nicht auf das gesamte IT-Team. Die Mikrosegmentierung sorgt für die Durchsetzung. Das Backup-Management-Netzwerk sollte nur von benannten administrativen Jump-Hosts aus erreichbar sein, nicht von allgemeinen Arbeitsplätzen oder Entwicklerrechnern.

Grundlegende Sicherheitsmaßnahmen, die den Großteil der Angriffsfläche schließen

Drei Vorgehensweisen beseitigen den Großteil der Netzwerk-Angriffsfläche gegenüber der Backup-Infrastruktur. Kein Internetzugang zu Produktionsservern; die Verbindung sollte über Proxys und Bastionsserver geleitet werden. Strenge Sicherheitsmaßnahmen an den Arbeitsplätzen für Administratoren, die über Backup-Zugangsdaten verfügen, da der Weg des geringsten Widerstands für die meisten Ransomware-Angriffe über den kompromittierten Rechner eines Administrators führt. Zudem sollte die Auswahl der Speicherziele Anti-Ransomware-Funktionen (Unveränderlichkeit, WORM, Objektsperre) auf der Speicherebene selbst umfassen. 

Häufige Fragen zu den Grundlagen der Datensicherung

Was ist der Unterschied zwischen DPaaS und BaaS?

„Backup-as-a-Service“ ist der engere Begriff und bezieht sich speziell auf Datensicherung und Wiederherstellung als verwalteten Dienst. Data Protection as a Service ist weiter gefasst und umfasst Backup, Wiederherstellung, Migration und Disaster Recovery als integrierte Funktionen über eine einzige Plattform. Die meisten modernen Angebote bieten DPaaS an, auch wenn sie als BaaS vermarktet werden. Der Unterschied besteht darin, ob die Plattform Migration und DR über dieselbe Verwaltungsebene wie das Backup abwickelt.

Wie kann ich feststellen, ob ein Backup-Anbieter cloud-nativ ist oder nur „cloud-washed“?

Drei diagnostische Fragen. Erfordert die Lösung die Bereitstellung und Wartung einer virtuellen Backup-Appliance in der Cloud? Falls ja, wurde die On-Premises-Architektur lediglich in eine cloudgehostete Form übertragen. Skaliert die Preisgestaltung mit der tatsächlichen Nutzung, oder sind Vorabverpflichtungen hinsichtlich Lizenzen und Speicherplatz erforderlich? Erkennt die Lösung neue Workloads automatisch über Cloud-APIs oder erfordert sie eine manuelle Konfiguration für jede neue VM? Manuelle Konfiguration und feste Dimensionierung entsprechen dem Betriebsmodell eines Rechenzentrums.

Was ist die häufigste Lücke in der Netzwerksicherheit bei Backup-Implementierungen? 

Die SMB-Backup-Freigabe, die an zu viele Rechner angebunden ist. Administratoren richten ein SMB-Ziel ein, konfigurieren es korrekt mit einem Dienstkonto und binden dieselbe Freigabe dann der Einfachheit halber an andere Server ein: Dateiserver, Anwendungsserver, sogar Desktops. Jeder Rechner, an dem die Freigabe eingebunden ist, wird zu einem potenziellen Angriffsvektor. Backup-Zielfreigaben sollten nur von der Backup-VM selbst aus erreichbar sein.

Benötige ich CHAP, wenn mein iSCSI-Datenverkehr innerhalb eines privaten Netzwerks bleibt?

Ja. Moderne Angriffe gehen davon aus, dass sich der Angreifer bereits im Netzwerk befindet. Perimeter-Abwehrmaßnahmen entsprechen nicht mehr dem aktuellen Bedrohungsmodell. CHAP authentifiziert den iSCSI-Initiator gegenüber dem Ziel, sodass ein kompromittierter Host im selben Netzwerk den Speicher nicht einbinden kann. Die Konfiguration dauert nur wenige Minuten. Der Schutz ist von großer Bedeutung.

Wenn Sie eine Sache aus diesem Text mitnehmen sollten

Gehen Sie in diesem Quartal gemeinsam mit Ihrem aktuellen Backup-Anbieter die fünf Bewertungsfragen durch. Sollten Ihnen deren Antworten Unbehagen bereiten, ist dieses Unbehagen ein Signal, dem Sie nachgehen sollten. Anbieter, die diese Fragen klar und eindeutig beantworten können, sind auf die Welt zugeschnitten, in der Sie tätig sind. Anbieter, die dazu nicht in der Lage sind, werden Ihnen weiterhin solche unbefriedigenden Antworten liefern, solange Sie bei ihnen bleiben.