Everpure FlashArray kombiniert unveränderliche Snapshots mit SafeMode-Mechanismen, um Wiederherstellungspunkte gegen Manipulation und vorzeitige endgültige Löschung zu schützen.
Die wichtigsten Punkte:
Bei einem Ransomware-Angriff können nicht nur Server und Endgeräte betroffen sein. Sobald Angreifer weitreichende Berechtigungen erhalten, können auch zentrale Datenbestände, Backups und Wiederherstellungspunkte zum Ziel werden. Das eigentliche Risiko besteht deshalb nicht allein darin, dass Produktivdaten verschlüsselt werden. Kritisch wird ein Angriff vor allem dann, wenn gleichzeitig die Möglichkeiten zur Wiederherstellung eingeschränkt oder zerstört werden.
Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) weist ausdrücklich darauf hin, dass viele Ransomware-Varianten versuchen, erreichbare Backups zu verschlüsseln oder zu löschen. CISA empfiehlt deshalb unter anderem Offline-Backups sowie unveränderliche Speichermechanismen und Delete Protection. Für Unternehmen ergibt sich daraus eine wichtige Anforderung: Recovery-Daten müssen anders geschützt werden als gewöhnliche Produktivdaten.
Ein belastbares Cyber-Recovery-Konzept sollte daher mehrere Ebenen berücksichtigen:
Storage wird damit zu einem Bestandteil der Cyber-Resilience-Architektur.
Backups und Snapshots ermöglichen die Wiederherstellung von Daten ohne Entschlüsselung durch den Angreifer. Genau deshalb sind sie für Ransomware-Akteure ein wichtiges Angriffsziel. Kann ein Unternehmen seine Systeme aus einem sauberen Wiederherstellungspunkt rekonstruieren, verliert die Verschlüsselung der Produktivdaten einen Teil ihrer Wirkung.
Angreifer versuchen deshalb häufig, vor oder während der eigentlichen Verschlüsselung Wiederherstellungsmöglichkeiten zu beeinträchtigen. CISA nennt beispielsweise Manipulationen an Backups, Shadow Copies, Disk Journaling und Boot-Konfigurationen als Aktivitäten, nach denen Incident-Response-Teams suchen sollten.
Ein klassisches Berechtigungsmodell allein reicht dabei nicht immer aus. Hat ein Angreifer ein ausreichend privilegiertes Administratorkonto übernommen, können ihm unter Umständen dieselben Funktionen zur Verfügung stehen wie einem legitimen Administrator. Genau hier setzen unveränderliche Recovery Points und zusätzliche Löschschutzmechanismen an.
Immutable Snapshots sind zeitpunktbezogene Datenabbilder, deren Inhalt nach der Erstellung nicht mehr verändert werden kann. „Immutable“ bedeutet „unveränderlich“. Ein einmal erstellter Snapshot soll also nicht nachträglich manipuliert oder durch Ransomware verschlüsselt werden können.
Die FlashArray-API-Dokumentation beschreibt Volume Snapshots ausdrücklich als „immutable, point-in-time images“ eines oder mehrerer Volumes. Bei Protection Groups können mehrere zusammengehörende Volumes außerdem konsistent zu einem gemeinsamen Zeitpunkt erfasst werden. Das ist für Cyber Recovery relevant.
Wird beispielsweise um 10:00 Uhr ein sauberer Snapshot erstellt und die Produktionsdaten anschließend verschlüsselt, bleibt der Inhalt dieses Snapshots unverändert. Immutability allein beantwortet jedoch noch nicht die zweite wichtige Frage: Kann ein Angreifer den Snapshot einfach löschen?
Hier muss zwischen Unveränderbarkeit und Löschschutz unterschieden werden. Ein Snapshot kann inhaltlich unveränderbar sein und trotzdem einer administrativen Löschfunktion unterliegen. Für Ransomware-Resilienz muss deshalb auch verhindert werden, dass Angreifer die Wiederherstellungspunkte vorzeitig endgültig entfernen. Diese zusätzliche Schutzebene stellt bei FlashArray SafeMode bereit.
SafeMode schützt Recovery-Daten auf FlashArray vor vorzeitiger endgültiger Löschung und erschwert damit die Zerstörung von Wiederherstellungspunkten durch Angreifer oder kompromittierte Administratorzugänge. FlashArray unterscheidet dabei zwischen dem logischen Entfernen eines Objekts und seiner endgültigen Beseitigung – bei Everpure als „Eradication“ bezeichnet.
Ein gelöschtes beziehungsweise zerstörtes Objekt kann sich zunächst in einem Zustand befinden, in dem es noch nicht endgültig aus dem System entfernt wurde. Die aktuelle FlashArray-API dokumentiert beispielsweise für Protection Group Snapshots einen Zeitraum bis zur endgültigen Eradication. Solange dieser Zeitraum nicht abgelaufen ist, kann ein entsprechender Snapshot wiederhergestellt werden.
SafeMode erweitert diesen Mechanismus durch geschützte Aufbewahrungsregeln. Ein wesentlicher Bestandteil ist der Retention Lock. In der aktuellen FlashArray-API wird dafür unter anderem der Zustand „ratcheted“ dokumentiert. Ist dieser Schutz aktiviert, gelten SafeMode-Einschränkungen für die entsprechende Protection Group. Das Zurücksetzen des Retention Lock auf „unlocked“ erfordert laut API-Dokumentation die Einbindung von Everpure Technical Services.
Das Grundprinzip lautet damit: Snapshot erstellen → Snapshot unveränderbar halten → Aufbewahrung gegen vorzeitige Aufhebung schützen → sauberen Recovery Point für den Ernstfall erhalten.
SafeMode verhindert keinen Ransomware-Angriff. Die Funktion soll vielmehr dafür sorgen, dass nach einem erfolgreichen Angriff noch geschützte Datenstände für die Wiederherstellung vorhanden sind.
SafeMode reduziert das Risiko, dass ein kompromittiertes Administratorkonto ausreicht, um geschützte Recovery Points endgültig zu vernichten. Das ist ein wichtiger Unterschied zu Schutzmechanismen, die ausschließlich auf normalen Administratorrechten basieren. Everpure beschreibt SafeMode als Schutz gegen Szenarien, in denen ein Angreifer administrative Rechte auf dem FlashArray erlangt hat. In der Herstellerdokumentation wird ausdrücklich beschrieben, dass SafeMode die endgültige Beseitigung geschützter Volumes und Snapshots während der festgelegten Schutzperiode verhindert.
Die aktuelle Cyber-Resilience-Dokumentation von Everpure beschreibt zusätzlich mehrstufige beziehungsweise außerhalb des Arrays liegende Freigabeprozesse für besonders geschützte Änderungen. Damit entsteht eine zusätzliche administrative Barriere. Das zugrunde liegende Sicherheitsprinzip ist wichtig: Der Schutz der Recovery Points sollte nicht vollständig von denselben Zugangsdaten abhängen, mit denen der operative Storage verwaltet wird. SafeMode ersetzt dennoch keine grundlegenden Security-Maßnahmen.
Privilegierte Accounts sollten weiterhin unter anderem durch folgende Maßnahmen geschützt werden:
SafeMode ist damit eine zusätzliche Schutzschicht innerhalb eines Defense-in-Depth-Konzepts.
Snapshots und Backups erfüllen unterschiedliche Aufgaben und sollten in einer belastbaren Cyber-Recovery-Architektur kombiniert werden. Ein Snapshot ist zunächst ein zeitpunktbezogenes Abbild von Daten auf einem Storage-System. Ein Backup erzeugt dagegen eine zusätzliche Datenkopie für die Wiederherstellung und kann auf einem separaten System, Medium oder Standort gespeichert werden.
NIST unterscheidet in seinen Security Guidelines for Storage Infrastructure ausdrücklich zwischen Backup und Recovery, Replikation, Immutability sowie Point-in-Time Copies und Snapshots. Backup wird dort als Kopieren von Daten auf einen anderen Satz von Storage-Geräten beschrieben.
Die Unterschiede lassen sich vereinfacht so darstellen:
| Aspekt | Snapshot | Backup |
| Hauptzweck | schneller Point-in-Time-Recovery | unabhängige Datenwiederherstellung |
| Speicherort | typischerweise Storage-Plattform | separates Repository, Medium oder System möglich |
| Wiederherstellung | häufig sehr schnell | abhängig von Backup-Architektur und Datenmenge |
| Langzeitaufbewahrung | nur bedingt sinnvoll | typischer Anwendungsfall |
| Schutz bei Ausfall des Primärsystems | abhängig von Replikation und Architektur | bei physischer/logischer Trennung möglich |
| Cyber Recovery | wichtige zusätzliche Ebene | zentrale Ebene einer Recovery-Strategie |
Ein SafeMode-geschützter Snapshot ist deshalb kein Ersatz für ein separates Backup. Umgekehrt können Snapshots ein Backup-Konzept erheblich ergänzen. Sie ermöglichen zusätzliche, schnell verfügbare Recovery Points direkt auf der Storage-Ebene.
Cyber Recovery bedeutet nicht, einfach den neuesten Snapshot zurückzuspielen. Zuerst muss geklärt werden, welcher Datenstand vertrauenswürdig ist. Das ist entscheidend, weil sich Angreifer bereits längere Zeit in einer Umgebung befinden können, bevor die eigentliche Verschlüsselung beginnt. Ein sinnvoller Recovery-Prozess umfasst deshalb typischerweise mehrere Schritte:
NIST betont bei der Wiederherstellung nach Ransomware ausdrücklich, dass Unternehmen nicht nur Daten zurückholen, sondern auch Vertrauen in die Integrität der wiederhergestellten Daten herstellen müssen. CISA warnt ebenfalls davor, während der Wiederherstellung bereits bereinigte Systeme erneut zu infizieren. SafeMode liefert also geschützte Recovery Points. Die Entscheidung, welcher Recovery Point sauber ist, bleibt Teil des Incident-Response- und Recovery-Prozesses.
RPO und RTO bestimmen, wie viel Datenverlust und Ausfallzeit ein Unternehmen im Ernstfall akzeptieren kann.
RPO – Recovery Point Objective bezeichnet den maximal tolerierbaren Datenverlust gemessen in Zeit.
RTO – Recovery Time Objective beschreibt die angestrebte Zeit, innerhalb der ein Dienst nach einer Störung wieder verfügbar sein soll.
Ein Beispiel:
Wird jede Stunde ein Snapshot erzeugt, entstehen grundsätzlich andere mögliche Wiederherstellungspunkte als bei einem Snapshot alle sechs Stunden. Das bedeutet jedoch nicht automatisch, dass das tatsächliche RPO immer exakt eine Stunde beträgt. Anwendungs- und Transaktionskonsistenz, Replikation sowie der Zeitpunkt der Kompromittierung müssen ebenfalls berücksichtigt werden.
Auch ein schneller Storage-Restore garantiert kein entsprechend niedriges RTO für die gesamte Anwendung.
Zum Recovery gehören möglicherweise zusätzlich:
Deshalb sollte ein Unternehmen nicht nur fragen: „Wie schnell kann unser Storage Daten wiederherstellen?“
Die wichtigere Frage lautet: „Wie schnell können wir einen geschäftskritischen Dienst aus einem nachweislich sauberen Datenstand wieder produktiv bereitstellen?“
Diese Zeit lässt sich nur durch realistische Recovery-Tests belastbar bestimmen.
FlashArray kann eine Storage-nahe Recovery-Ebene innerhalb einer mehrschichtigen Cyber-Resilience-Architektur bilden. Die Kombination aus Point-in-Time-Snapshots, Immutability, SafeMode, Retention Policies und Replikationsmöglichkeiten ermöglicht es, Recovery Points direkt auf Storage-Ebene bereitzustellen und zu schützen.
Das ist insbesondere für geschäftskritische Workloads relevant, bei denen eine Wiederherstellung großer Datenbestände ausschließlich aus einem klassischen Backup zu lange dauern könnte. Mögliche Einsatzbereiche sind beispielsweise:
FlashArray sollte dabei nicht isoliert betrachtet werden. Storage schützt Daten. Ein vollständiger Cyber-Recovery-Prozess muss jedoch auch Betriebssysteme, Identitäten, Netzwerkkomponenten, Anwendungen, Konfigurationen und Security-Systeme berücksichtigen. Genau deshalb ist Cyber Resilience eine Architekturaufgabe und keine einzelne Storage-Funktion.
FlashArray-Snapshots können mit Backup-, Replikations-, Disaster-Recovery- und Security-Lösungen kombiniert werden. Ein Beispiel ist die Integration mit Veeam Backup & Replication. Everpure beschreibt hierbei die Möglichkeit, FlashArray-Snapshots in Backup- und Replikationsprozesse einzubeziehen. Replizierte Snapshots können beispielsweise als Quelle für Backups dienen. Dadurch lassen sich Backup-Prozesse vom produktiven Workload entkoppeln. Eine mehrschichtige Architektur kann beispielsweise so aufgebaut sein:
Produktivdaten → lokale immutable Snapshots → SafeMode-Schutz → Replikation → separates Backup → isolierte beziehungsweise externe Recovery-Kopie
Welche Ebenen tatsächlich benötigt werden, hängt von den Anforderungen des Unternehmens ab. Zu berücksichtigen sind insbesondere:
CISA empfiehlt ausdrücklich, mehrere Kopien kritischer Daten vorzuhalten sowie Offline- beziehungsweise anderweitig geschützte Backups regelmäßig auf Verfügbarkeit und Integrität zu testen. SafeMode sollte deshalb nicht als Ersatz für eine mehrstufige Datensicherungsstrategie verstanden werden, sondern als zusätzliche Storage-seitige Schutzebene.
Eine ransomware-resiliente Storage-Architektur beginnt nicht mit einem einzelnen Produkt. Sie beginnt mit den Anforderungen an Wiederherstellung und Geschäftskontinuität. Als Concat betrachten wir deshalb gemeinsam mit Ihnen zunächst die vorhandene Infrastruktur und die geschäftskritischen Workloads. Dazu gehören unter anderem folgende Fragen:
Auf dieser Basis lässt sich entscheiden, welche Rolle Everpure FlashArray, SafeMode, Snapshots, Backup und Replikation innerhalb der Gesamtarchitektur übernehmen. Dabei sollte auch die Kapazitätsplanung berücksichtigt werden. Snapshot-Frequenz, Änderungsrate und Aufbewahrungsdauer beeinflussen den benötigten Speicherplatz. Eine hohe Zahl geschützter Recovery Points ist nur dann sinnvoll, wenn sie zu den tatsächlichen Recovery-Anforderungen des Unternehmens passt.
Wir betrachten daher nicht nur den Schutz der Daten, sondern den vollständigen Weg zurück zum produktiven Betrieb. Das Ziel ist eine Architektur, bei der im Ernstfall drei Fragen klar beantwortet werden können:
Immutable Snapshots und SafeMode adressieren ein zentrales Problem bei Ransomware: Ein Angreifer soll nicht nur die Produktivdaten verschlüsseln, sondern auch die Wiederherstellungsmöglichkeiten zerstören können. FlashArray-Snapshots stellen unveränderliche Datenstände bereit. SafeMode ergänzt sie um Schutzmechanismen gegen die vorzeitige endgültige Löschung geschützter Recovery Points – auch mit Blick auf kompromittierte administrative Zugänge.
Snapshots allein bilden jedoch noch keine vollständige Cyber-Recovery-Strategie. Für eine belastbare Architektur müssen Storage, Backup, Replikation, Security, Identity Management, Disaster Recovery und Incident Response zusammenspielen. Entscheidend ist deshalb nicht allein, wie viele Recovery Points vorhanden sind. Entscheidend ist, ob ein Unternehmen nach einem Angriff einen sauberen Datenstand identifizieren und seine geschäftskritischen Dienste innerhalb der definierten RPO- und RTO-Ziele kontrolliert wiederherstellen kann..
Immutable Snapshots sind unveränderliche Point-in-Time-Abbilder von Daten. Bei FlashArray kann der Inhalt eines bereits erstellten Snapshots nicht nachträglich verändert werden. Dadurch bleibt der gespeicherte Datenstand auch dann unverändert, wenn die Produktivdaten später manipuliert oder verschlüsselt werden.
SafeMode ergänzt unveränderliche FlashArray-Snapshots um Schutzmechanismen gegen vorzeitige endgültige Löschung. Retention Lock und geschützte Aufbewahrungsmechanismen erschweren es, Recovery Points selbst mit weitreichenden administrativen Rechten zu beseitigen.
Nein, Snapshots sollten nicht als vollständiger Ersatz für ein eigenständiges Backup betrachtet werden. Snapshots stellen schnelle Point-in-Time-Recovery Points bereit, während Backups zusätzliche Datenkopien auf getrennten Systemen, Medien oder Standorten ermöglichen können. NIST behandelt Snapshots und Backups entsprechend als unterschiedliche Mechanismen der Datensicherung.
SafeMode soll verhindern, dass geschützte Snapshots innerhalb der festgelegten Schutz- beziehungsweise Aufbewahrungsregeln vorzeitig endgültig entfernt werden. FlashArray unterscheidet dabei zwischen dem logischen Löschen eines Objekts und seiner endgültigen Eradication. Die konkrete Konfiguration der Retention Policies ist daher entscheidend.
SafeMode reduziert das Risiko, dass ein kompromittierter Storage-Administrator geschützte Recovery Points endgültig vernichten kann. Die Funktion ersetzt jedoch nicht MFA, Least Privilege, Role-Based Access Control, Monitoring und andere Maßnahmen zum Schutz privilegierter Konten.
Die tatsächliche Wiederherstellungszeit hängt von Workload, Datenmenge, Recovery Point, Applikationsarchitektur und dem Zustand der restlichen Infrastruktur ab. Storage-Snapshots können die Datenwiederherstellung beschleunigen, bestimmen aber nicht allein das RTO einer vollständigen Geschäftsanwendung.
Nein. SafeMode ist keine Ransomware-Erkennung oder Endpoint-Security-Lösung. Die Funktion schützt Wiederherstellungspunkte auf Storage-Ebene und soll damit die Recovery-Fähigkeit nach einem erfolgreichen Angriff verbessern. Prävention und Erkennung bleiben Aufgaben weiterer Security-Kontrollen.
Die passende Aufbewahrungsdauer hängt vom individuellen Risiko- und Recovery-Konzept ab. Entscheidend sind unter anderem RPO, mögliche Verweildauer eines Angreifers, verfügbare Kapazität, Änderungsrate der Daten und vorhandene Backup-Kopien. Die Retention sollte deshalb anhand der Workloads und getesteter Recovery-Szenarien festgelegt werden.
Sie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie müssen den Inhalt von Turnstile laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr Informationen