Daten sind zum Lebenselixier jedes Unternehmens geworden, und ihr Verlust kann von einem kleinen Schreckmoment bis hin zu einer kompletten finanziellen und reputationsbezogenen Katastrophe reichen. Viele Unternehmen sichern ihre Daten bereits regelmäßig, aber noch weniger fügen eine wesentliche Ebene hinzu: die Datensicherung. Backup-Verschlüsselungdamit niemand die Informationen lesen kann, falls sie in die falschen Hände geraten.
Die Verschlüsselung von Backups ist keine technische Spielerei oder eine vorübergehende Modeerscheinung, sondern eine grundlegende SicherheitsmaßnahmeDies ist entscheidend für die Einhaltung von Vorschriften wie der DSGVO und die Abwehr schwerwiegender Bedrohungen wie Ransomware oder Datenlecks. In diesem Artikel erläutern wir übersichtlich und prägnant, was verschlüsselte Backups sind, welche Verschlüsselungsarten verfügbar sind, welche Risiken damit verbunden sind, wie Schlüssel verwaltet werden und wie Lösungen wie NAKIVO, AWS Backup und Azure Backup dies umsetzen.
Was ist Backup-Verschlüsselung und warum ist sie wichtig?
Wenn wir von Backup-Verschlüsselung sprechen, meinen wir Folgendes: die Sicherung transformieren von einem lesbaren Format in ein unlesbares Format mithilfe kryptografischer Algorithmen. Diese „Übersetzung“ kann nur mit einem gültigen Entschlüsselungsschlüssel oder Passwort rückgängig gemacht werden, sodass selbst wenn jemand die Sicherungsdatei stiehlt, er ohne diesen Schlüssel nicht auf den Inhalt zugreifen kann.
In der Praxis wandelt die Verschlüsselung Ihre Daten in unverständlichen Code um, der ohne den richtigen Schlüssel keinen Sinn ergibt. Klartext oder reguläre Dateien werden in Geheimtext umgewandelt, sodass sensible Informationen (persönliche, finanzielle, medizinische Daten, geistiges Eigentum usw.) sowohl bei der Speicherung als auch bei der Übertragung über das Netzwerk geschützt sind.
Die Backup-Verschlüsselung ist geworden wesentlich Da Angreifer sich nicht mehr damit begnügen, Produktionsdaten einfach zu verschlüsseln oder zu löschen, versuchen sie auch, Backups zu sabotieren oder zu stehlen, um die Wiederherstellung zu verhindern oder durch die Veröffentlichung der Daten Lösegeld zu erpressen. Ohne Verschlüsselung kann ein gestohlenes Backup Ihr Unternehmen innerhalb weniger Stunden gefährden.
Bedeutung der Verschlüsselung von Backups
Der erste Grund, Ihre Backups zu verschlüsseln, ist Diebstahl und Informationslecks verhindernEin Cyberkrimineller, der Zugriff auf eine unverschlüsselte Kopie erlangt, kann diese verkaufen, öffentlich machen oder Ihr Unternehmen damit erpressen. Mit starker Verschlüsselung erhalten Kriminelle selbst dann, wenn sie die Sicherungsdateien stehlen, lediglich nutzlose Daten.
Moderne Malware-, Spyware- und Ransomware-Angriffe werden immer ausgefeilter und sind speziell darauf ausgelegt, Backups aufzuspüren, zu zerstören oder zu stehlen. Unverschlüsselte Backups zu verwenden ist, als würde man sein Geld in einem offenen Tresor aufbewahren. Die Verschlüsselung stellt eine zusätzliche Barriere dar, die es dem Angreifer deutlich erschwert.
Darüber hinaus ist Verschlüsselung eine direkte oder indirekte Anforderung vieler Normen EinhaltungDSGVO in der EU, PCI DSS für Kartendaten, HIPAA im Gesundheitswesen, CCPA in Kalifornien, SOC, CIRCIA und viele weitere. Viele dieser Vorschriften fordern den Schutz von Daten „während der Übertragung und im Ruhezustand“, und die Verschlüsselung von Backups ist eine der explizit genannten Maßnahmen.
Es verbessert auch die allgemeine Sicherheit der Backup-Strategieinsbesondere bei der Verwendung von Wechseldatenträgern oder an entfernten Standorten. Wenn jemand eine externe Festplatte, ein Band oder eine andere Festplatte stiehlt, kann dies schwerwiegende Folgen haben. NAS Wenn die Sicherungskopien ordnungsgemäß verschlüsselt sind, können Sie selbst dann nicht auf kritische Daten zugreifen, wenn Sie das physische Datenträger in der Hand halten.
Verschlüsselte Backups gegen Ransomware
Backups sind die Ransomware-Sicherheitsnetz und Teil von A Cloud-VorfallsreaktionsplanWenn der Angreifer die Originaldaten verschlüsselt oder löscht, können Sie diese aus der Sicherung wiederherstellen und Ihre Arbeit fortsetzen. Genau deshalb versuchen viele Ransomware-Gruppen, Sicherungen aufzuspüren und zu zerstören, bevor sie den finalen Angriff starten, sodass Sie ohne jegliche Datensicherung dastehen.
Wenn Ihre Kopien verschlüsselt sind mit robuste Algorithmen (z. B. AES-256) Da die Schlüssel bzw. Passwörter in einer sicheren und isolierten Umgebung gespeichert sind, kann ein Angreifer, der die Sicherungsdateien exfiltriert, deren Inhalt nicht lesen. Dies mindert den Wert des Diebstahls erheblich und macht viele doppelte Erpressungstaktiken („Zahl mir, sonst veröffentliche ich deine Daten“) sinnlos.
In einigen Szenarien Hardwareverschlüsselung mit HSM-Modulen (PCIe-Karten, USB-Tokens, Smartcards, HASP-Schlüssel usw.) Es bietet eine zusätzliche Sicherheitsebene.Dies erschwert die Schlüsselextraktion erheblich. Der Nachteil besteht darin, dass dadurch Kosten, Treiberabhängigkeit und eine gewisse operative Komplexität entstehen.
Um Ihre Backups noch besser vor Ransomware zu schützen, empfiehlt es sich, sie mit folgenden zu kombinieren: isolierter SpeicherSysteme, die vom Netzwerk getrennt sind, unveränderlicher Speicher oder Repositories mit Unveränderlichkeitsfunktionen. Auf diese Weise kann Malware weder Backups verändern noch löschen, und falls diese zusätzlich verschlüsselt sind, kann sie deren Inhalt nicht ausnutzen.
Verschlüsselung ruhender Daten und Verschlüsselung während der Übertragung
Bei verschlüsselten Backups gibt es zwei entscheidende Momente, in denen Daten geschützt werden müssen: während der Übertragung im Netzwerk (Transit) und während der Speicherung am Zielort (Ruhezustand). Idealerweise sollten beide Phasen abgedeckt sein, um jegliche Sicherheitslücken auszuschließen.
- Die Verschlüsselung während der Übertragung schützt den Netzwerkverkehr, der Kopierdaten enthält.Ohne diese Funktion könnte ein Angreifer mit einem Sniffer Pakete abfangen und sensible Informationen rekonstruieren. Um dies zu verhindern, werden Protokolle wie beispielsweise … TLS bei HTTPS-Verbindungen, sicheren VPNs oder anderen Mechanismen, die den Datenfluss zwischen Quelle und Ziel verschlüsseln.
- Die Verschlüsselung ruhender Daten wird auf den Speicher angewendet, in dem die Sicherungskopien gespeichert sind.Lokale Festplatten, LTO-Bänder, Cloud-Volumes, Objektspeicher usw. Das Ziel hierbei ist, dass jemand, der auf die physischen Medien oder das Speichersystem zugreift, nur verschlüsselte Daten sieht, die ohne Schlüssel nicht interpretiert werden können.
Das am meisten empfohlene ist kombinieren Sie die Verschlüsselung während der Übertragung und im RuhezustandSo wird sichergestellt, dass die Daten durchgängig geschützt sind. Einige Lösungen ermöglichen sogar die Verschlüsselung bereits an der Quelle und deren Aufrechterhaltung während des gesamten Backup-Lebenszyklus, wie wir später sehen werden.
Verschlüsselungsalgorithmen und grundlegende Konzepte
Um Daten zu verschlüsseln Komplexe mathematische Algorithmen werden zusammen mit Verschlüsselungsschlüsseln verwendet.Viele Tools ermöglichen es, diese Schlüssel aus einem Passwort oder einer Passphrase abzuleiten, wodurch es dem Benutzer leichter fällt, sich das Geheimnis zu merken, ohne direkt mit langen Schlüsseln im Binär- oder Hexadezimalformat arbeiten zu müssen.
- SymmetrischSie verwenden denselben Schlüssel für die Ver- und Entschlüsselung. Beispiele hierfür sind AES, DES, 3DES, Blowfish oder Twofish. Für Backups wird aus Effizienzgründen üblicherweise symmetrische Verschlüsselung verwendet.
- AsymmetrischSie verwenden Schlüsselpaare: einen öffentlichen Schlüssel zur Verschlüsselung und einen privaten Schlüssel zur Entschlüsselung. Die klassischen Verfahren sind RSA (mit 1024-, 2048- oder 4096-Bit-Schlüsseln), ECC, DSA oder Austauschverfahren wie Diffie-Hellman.
AES (Advanced Encryption Standard) hat sich zum De-facto-Standard entwickelt. Zum Schutz von Daten in Tausenden von Anwendungen, einschließlich Backup-Systemen. Die Varianten mit 128, 192 und 256 Bit bieten unterschiedliche Sicherheitsstufen und Ressourcennutzungsgrade, wobei AES-256 die robusteste Option darstellt und in kritischen Umgebungen weit verbreitet ist.
Je länger der Schlüssel, desto mehr Zeit und Energie wäre nötig, um die Verschlüsselung zu knacken. Durch Brute-Force-Methoden lässt sich das zwar bewerkstelligen, erhöht aber auch die CPU-Auslastung und kann die Leistung von Backups und Wiederherstellungen leicht beeinträchtigen. In einem Netzwerk verursacht die Verschlüsselung zudem zusätzlichen Aufwand in Form von Metadaten, Headern und Padding.
Innerhalb symmetrischer Algorithmen wird eine Unterscheidung getroffen zwischen Stromchiffren und BlockchiffrenBei ersteren wird der kontinuierliche Datenstrom verarbeitet, während Blockchiffren mit Blöcken fester Größe (z. B. 64 oder 128 Bit) arbeiten. AES, DES und Blowfish sind Beispiele für Blockchiffren und werden häufig in Backup-Systemen eingesetzt.
Risiken und Nachteile verschlüsselter Backups
Obwohl Verschlüsselung ein hohes Maß an Sicherheit bietet, Es birgt gewisse Risiken und Komplexitäten. Das ist wichtig zu verstehen. Am offensichtlichsten ist, dass die Datensicherung unwiederbringlich verloren geht, wenn der Entschlüsselungsschlüssel oder das Passwort verloren geht; niemand kann diese Daten wiederherstellen, nicht einmal der Lösungsanbieter.
Ein weiteres wichtiges Risiko ist dass ein Dritter Zugriff auf die Schlüssel erlangtIn diesem Fall schlägt die gesamte Verschlüsselung fehl, da der Angreifer die Backups problemlos entschlüsseln kann. Deshalb ist eine robuste Schlüsselverwaltung und -speicherung mit strengen Zugriffskontrollen und regelmäßiger Schlüsselrotation unerlässlich.
Bei der Verschlüsselung auf Festplattenebene (FDE) oder auf Datenträgerebene sind besondere Aspekte zu berücksichtigen. Fällt eine verschlüsselte Festplatte physisch aus, ist eine Wiederherstellung in einer Laborumgebung unter Umständen nicht möglich. Daher sind Backups (idealerweise auf separaten Speichermedien gespeichert) umso wichtiger, um Datenverlust zu vermeiden.
Daher ist es unerlässlich, Folgendes durchzuführen: Periodische Proberestaurationen. Es genügt nicht, darauf zu vertrauen, dass das verschlüsselte Backup vorhanden ist; Sie müssen überprüfen, ob es in verschiedenen Szenarien (Serverausfall, Softwareversionsänderung, Migration auf eine andere Instanz usw.) tatsächlich wiederhergestellt werden kann.
Schlüsselverwaltung: die Achillesferse der Verschlüsselung
Die Verwendung eines einzigen Schlüssels zur Verschlüsselung der gesamten Umgebung ist eine tickende Zeitbombe.Wird dieser Schlüssel gestohlen oder versehentlich weitergegeben, sind automatisch alle verschlüsselten Daten zugänglich. Daher empfiehlt sich eine Segmentierung: Verwenden Sie unterschiedliche Schlüssel für verschiedene Systeme, Clients, Datentypen oder Speicherorte.
Diese Schlüssel müssen an hochsicheren Orten aufbewahrt werden, wobei der Zugriff auf autorisiertes Personal beschränkt und klare Nutzungsrichtlinien gelten müssen. Darüber hinaus müssen Prozesse für die Schlüsselrotation, den Entzug von Schlüsseln, die Schlüsselsicherung und Wiederherstellungsverfahren im Falle eines Schlüsselverlusts vorhanden sein.
Um diesen gesamten Schlüssellebenszyklus zu verwalten Die Implementierung eines KMS (Key Management System) ist üblich.Dadurch werden Erstellung, Speicherung, Verwendung und Rotation der Schlüssel zentralisiert. Ein relevanter Standard in diesem Bereich ist KMIP (Key Management Interoperability Protocol), das die Kommunikation verschiedener Systeme mit dem Schlüsseldienst ermöglicht.
Einige KMS-Funktionen als SchlüsseltresoreMit sehr strengen Zugriffskontrollen, detaillierter Protokollierung, wer welchen Schlüssel von wo verwendet, und Unterstützung für HSM-Module ist diese Komponente von entscheidender Bedeutung für die Verwaltung vieler verschlüsselter Backups, die auf lokale Systeme und verschiedene Clouds verteilt sind.
Backup-Verschlüsselung in spezialisierten Lösungen: NAKIVO, AWS und Azure
Moderne Datenschutzlösungen integrieren Verschlüsselung als Standardfunktion.Sie bieten sehr detaillierte Optionen zur Auswahl, wo und wie die Algorithmen angewendet werden, sowie deren Integration mit Cloud-Key-Management-Diensten.
Verschlüsselung von Backups mit NAKIVO Backup & Replication
NAKIVO Backup & Replikation Es verwendet AES-256-Verschlüsselung zum Schutz von Backups. Es ermöglicht zudem mehrstufige Verschlüsselung: an der Quelle, während der Übertragung durch das Netzwerk und direkt im Zielspeicherort. Dies bietet erhebliche Flexibilität bei der Strategieentwicklung.
Unterstützte Ziele für diese Art der Verschlüsselung sind unter anderem lokale Ordner, NFS, SMB und Cloud-Dienste wie Amazon EC2, S3 und Wasabi.Kompatible Objektspeicher, Azure Blob, Backblaze B2, Deduplizierungsgeräte und sogar Bandlaufwerke, sofern das Repository inkrementell mit periodischen Vollkopien arbeitet.
Netzwerkverschlüsselung, auch in früheren Versionen verfügbarEs funktioniert zwischen zwei NAKIVO Transporter-Komponenten: Die Quellkomponente komprimiert und verschlüsselt die Daten, die Zielkomponente entschlüsselt sie und schreibt sie in das Repository. Es ist nützlich, wenn kein VPN verfügbar ist, aber verschlüsselter Datenverkehr benötigt wird.
Die Repository-Verschlüsselung kann beim Erstellen eines neuen Repositorys unter Linux aktiviert werden. (Inkrementelle Modi mit vollständiger oder fortlaufender inkrementeller Sicherung). Durch Auswahl der Verschlüsselungsoption werden alle in diesem Repository gespeicherten Backups automatisch verschlüsselt. Es ist jedoch zu beachten, dass die Unveränderlichkeit der Backups in diesem Fall deaktiviert ist.
NAKIVO ermöglicht außerdem die Integration mit AWS KMS als Schlüsselverwaltungsdienst.Dadurch wird vermieden, sich ausschließlich auf in der Director-Datenbank gespeicherte Passwörter zu verlassen. Sobald das AWS-Konto und die Region verknüpft sind, können Sie den KMS-Schlüssel auswählen, der für die Sicherung der Verschlüsselungspasswörter verwendet werden soll.
Unabhängige Verschlüsselung von Backups mit AWS Backup
AWS-Sicherung Es ermöglicht Backups, ihr eigenes Verschlüsselungsschema zu verwenden.unabhängig von der im Quellmaterial verwendeten Methode. Beispielsweise kann ein S3-Bucket mit einer Methode verschlüsselt werden und seine Sicherung im AWS Backup-Vault mit einer anderen, die durch den mit diesem Vault verknüpften KMS-Schlüssel gesteuert wird.
Bei Ressourcentypen, die nicht vollständig von AWS Backup verwaltet werdenKopien übernehmen typischerweise die Verschlüsselungseinstellungen der ursprünglichen Ressource (wie z. B. bei EBS). In diesen Fällen erfolgt die Konfiguration gemäß den spezifischen Richtlinien des Quelldienstes.
Es ist zwingend erforderlich, dass die IAM-Rolle über Berechtigungen für den verwendeten KMS-Schlüssel verfügt. um Backups durchzuführen und wiederherzustellen. Andernfalls kann der Auftrag zwar auf Orchestrierungsebene als erfolgreich markiert werden, die betreffenden Objekte wurden jedoch nicht kopiert oder wiederhergestellt, da der Schlüssel nicht verwendet werden konnte.
Beim Kopieren von Backups zwischen Konten oder Regionen verschlüsselt AWS Backup die Kopie automatisch.Im Allgemeinen wird für die Verschlüsselung der Standardalgorithmus AES-256 verwendet, selbst wenn die Originalkopie nicht verschlüsselt war. Als Schlüssel dient derjenige, der dem Ziel-Tresor im anderen Konto oder der anderen Region zugeordnet ist.
Es ist sehr wichtig, die wichtigsten KMS-Richtlinien zu überprüfen. um sicherzustellen, dass keine Verweigerungsanweisungen die Sicherungs- oder Wiederherstellungsvorgänge blockieren oder widerrufene Berechtigungen AWS Backup daran hindern, den Schlüssel alias/aws/backup bei regionsübergreifenden Kopien zu verwenden.
Verschlüsseln von Backups mit eigenen Schlüsseln in Azure Backup
Azure-Sicherung Es bietet die Möglichkeit, Sicherungsdaten mit kundenseitig verwalteten Schlüsseln (CMK) zu verschlüsseln. Anstelle der standardmäßig verwendeten plattformverwalteten Schlüssel (PMK) werden diese Schlüssel in Azure Key Vault gespeichert und können sich von denjenigen unterscheiden, die die Quelldaten schützen.
Das Modell basiert auf einem AES-256-Datenverschlüsselungsschlüssel (DEK).Dies wird zusätzlich durch einen Verschlüsselungsschlüssel (KEK) geschützt, der im Key Vault gespeichert ist. Dadurch behält der Client die volle Kontrolle über die Schlüssel und kann sie gemäß seinen Richtlinien rotieren.
Es gibt einige wichtige Punkte zu beachten: CMKs können nur in neuen Recovery Services-Tresoren verwendet werden. Ohne bereits registrierte Elemente ist es nicht möglich, einen CMK-Speicher in einen PMK-Speicher umzuwandeln, und diese Art der Verschlüsselung wird weder vom MARS-Agenten noch von virtuellen Maschinen des klassischen Modells unterstützt.
Damit die Verschlüsselung mit Ihren eigenen Schlüsseln funktioniert, müssen Sie mehrere Schritte befolgen.: Aktivieren Sie eine verwaltete Identität (System oder Benutzer) im Tresor, erteilen Sie ihr Berechtigungen im Schlüsseltresor, in dem sich der CMK befindet, aktivieren Sie den Schutz vor temporärem Löschen und endgültigem Löschen im Schlüsseltresor und ordnen Sie schließlich den Schlüssel dem Recovery Services-Tresor zu.
Nach der Konfiguration ist der Backup- und Wiederherstellungsablauf praktisch identisch. im Vergleich zu einem Standard-Warehouse mit PMK. Aus Anwendersicht ändert sich die Erfahrung beim Schutz virtueller Maschinen, SAP HANA, SQL Server usw. kaum, obwohl im Hintergrund CMK verwendet wird.
Azure ermöglicht es Ihnen außerdem, die automatische CMK-Rotation zu aktivieren. Wird der Schlüssel direkt aus dem Key Vault ausgewählt (ohne Angabe der Version in der URI), bietet er Azure Policy-Richtlinien, um neue Tresore zu überwachen und die Verwendung von Verschlüsselung über vom Kunden verwaltete Schlüssel vorzuschreiben.
Datenverschlüsselung und Datensicherung im Rahmen des spanischen und europäischen Rechtsrahmens
Im spanischen und europäischen Kontext ist Datenverschlüsselung nicht nur eine gute Praxis.wird aber in der DSGVO ausdrücklich als eine der geeigneten technischen Maßnahmen zur Minderung von Risiken bei der Verarbeitung personenbezogener Daten genannt.
Erwägungsgrund 83 der DSGVO besagt, dass Verantwortliche und Auftragsverarbeiter die Risiken bewerten müssen. und Maßnahmen zur Minderung dieser Risiken zu ergreifen, „wie zum Beispiel Verschlüsselung“. Die spanische Datenschutzbehörde (AEPD) betont diesen Punkt und betrachtet die Verschlüsselung als ein grundlegendes Element der Sicherheitspolitik einer Organisation.
Die Frage ist nicht mehr, ob das Gesetz die Speicherung verschlüsselter Daten erlaubt.Es geht vielmehr darum, in welchen Fällen es zwingend erforderlich und in welchen es zumindest dringend empfohlen wird. Sensible, finanzielle oder besonders geschützte Daten sollten sowohl im Produktivbetrieb als auch in Backups nahezu standardmäßig verschlüsselt werden.
Für KMU sind die Auswirkungen dieselben wie für große Unternehmen.Wird ein kleines Unternehmen Opfer eines Datenlecks unverschlüsselter Backups mit personenbezogenen Daten, drohen ihm erhebliche Strafen und ein Reputationsschaden, von dem es sich nicht immer erholt. Waren die Inhalte jedoch robust verschlüsselt, ist das tatsächliche Risiko eines Datenlecks deutlich reduziert.
Alles, was wir gesehen haben, deutet auf eine einfache Erkenntnis hin: Ein unverschlüsseltes Backup birgt ein enormes Risiko.Aus technischer, rechtlicher und geschäftlicher Sicht ermöglichen robuste Verschlüsselung, ordnungsgemäßes Schlüsselmanagement, isolierter oder unveränderlicher Speicher und die Leistungsfähigkeit von Lösungen wie NAKIVO, AWS Backup oder Azure Backup den Aufbau einer wirklich resilienten Backup-Strategie, die für ein Umfeld gerüstet ist, in dem sich Bedrohungen und regulatorische Anforderungen ständig weiterentwickeln.
