Physischer oder logischer Air Gap: Welcher Ansatz schützt Backup-Daten?

Ein Air Gap schützt Backups, indem er verhindert, dass derselbe Vorfall Produktion und sämtliche Wiederherstellungskopien erreicht. Die Isolation kann physisch, logisch oder zeitgesteuert sein. Diese Ansätze decken unterschiedliche Risiken ab und funktionieren nur mit einem belastbaren Betriebsprozess.

Was ist ein Air Gap für Backups?

Ein Air Gap ist eine Trennung, die verhindert, dass ein technischer Pfad, ein privilegiertes Konto oder ein Administrationsfehler Produktion und alle Backups gleichzeitig erreicht. Er ist kein einzelnes Produkt, sondern verbindet Architektur, Zugriffsregeln, Aufbewahrung und Betrieb.

Mindestens eine identifizierbare, ausreichend aktuelle und nutzbare Kopie soll erhalten bleiben, wenn verbundene Systeme verschlüsselt, gelöscht, beschädigt oder nicht verfügbar sind. Isolation ergänzt Überwachung und Wiederherstellungstests, ersetzt sie aber nicht.

Physischer Air Gap: überprüfbare materielle Trennung

Ein physischer Air Gap entfernt die aktive Verbindung. Nach dem Job wird das Wechselmedium ausgeworfen oder das Speichersystem physisch getrennt. Ohne Netzwerk- oder Managementpfad können entfernte Zugangsdaten und automatisierte Schadsoftware diese Kopie nicht direkt verändern.

• Hauptvorteil: Die Trennung ist sichtbar und hängt nicht nur von einer Softwareregel ab.
• Betriebsanforderung: Rotation, Transport, Lagerung und Rückgabe müssen dokumentiert und ausgeführt werden.
• Restrisiko: Medien im Laufwerk, fehlerhafte Kennzeichnung, Beschädigung, fehlende Verschlüsselung oder Verlust verhindern eine verlässliche Wiederherstellung.

Eine RDX-Rotation liefert physische Trennung, wenn die Kassette tatsächlich entfernt, im Register verbucht und sicher gelagert wird. Der Fünf-Schritte-Leitfaden zur Medienrotation beschreibt den täglichen Ablauf.

Logischer Air Gap: Zugriffspfade isolieren

Beim logischen Air Gap bleibt die Kopie meist auf verbundener Infrastruktur. Netzwerksegmentierung, getrennte Identitäten, zeitlich begrenzter Zugriff, unveränderbarer Speicher oder ein Repository ohne direkten Schreibzugriff der Produktion reduzieren die Exposition.

• Hauptvorteil: Sicherung und Wiederherstellung lassen sich automatisieren und schnell ausführen.
• Betriebsanforderung: Privilegientrennung, Aufbewahrung und Überwachung müssen geplant und überprüft werden.
• Restrisiko: Ein zu mächtiges Konto, eine gemeinsame Konsole, ein API-Schlüssel oder veränderbare Aufbewahrung öffnet den Pfad zur Kopie erneut.

Betriebliche oder zeitgesteuerte Isolation

Einige Konzepte geben das Repository nur während eines kontrollierten Sicherungsfensters frei und entziehen danach den Zugriff. Das verkürzt die Expositionszeit, bleibt aber von Automatisierung, Zeitsteuerung, Zugangsdaten und Alarmierung abhängig. Es ist eine zusätzliche Schicht, keine dauerhaft physische Trennung.

Physischer und logischer Air Gap im Vergleich

Kriterium	Physische Isolation	Logische Isolation
Aktiver Pfad	Nach Auswurf oder Trennung entfernt	Durch Netzwerk, Identität und Regel begrenzt
Automatisierung	Erfordert Medienhandhabung	Stark automatisierbar
Entfernter Angriff	Während der Trennung sehr geringe Exposition	Abhängig von Konfiguration und Managementtrennung
Wiederherstellungszeit	Umfasst Beschaffung und Anschluss	Oft schneller verfügbar
Nachweis	Übergabeprotokoll, Inventar, Wiederherstellungstest	Zugriffs-, Aufbewahrungs- und Wiederherstellungstest
Typische Schwäche	Prozessfehler oder falsche Lagerung	Fehler bei Privilegien oder Richtlinien

Das passende Isolationsmodell auswählen

Orientieren Sie sich an Geschäftsauswirkung und Bedrohungsmodell statt an einer Bezeichnung. Berücksichtigen Sie Wiederherstellungszeit, mögliche unentdeckte Angreiferaktivität, Verwaltungsidentitäten und die dauerhaft leistbare Medienhandhabung. Häufig ist eine Kombination beider Modelle sinnvoll.

• Eine lokale logische oder unveränderbare Kopie für schnelle Wiederherstellung nutzen.
• Wechselmedien als unabhängigen Offline-Pfad erhalten.
• Mindestens eine geprüfte Kopie extern lagern.
• Administratoren und Notfallzugänge trennen.
• Genügend historische Stände für spät erkannte Vorfälle halten.
• Löschschutz und Wiederherstellung praktisch testen.

Was ein Air Gap nicht löst

Isolation korrigiert kein unvollständiges, bereits vor der Sicherung verschlüsseltes oder zu kurz aufbewahrtes Backup. Sie stellt auch keine kompatible Hardware, Schlüssel oder geschulten Personen bereit. Ergänzen Sie den Air Gap durch geschützte Überwachung, Kapazitätsplanung, dokumentierte Abhängigkeiten und regelmäßige Wiederherstellungstests.

Beispiel für ein mehrschichtiges Konzept

Ein praxistaugliches Modell kombiniert dedizierten lokalen Speicher für schnelle Wiederherstellung, ein unveränderbares oder getrennt administriertes Repository für automatisierte Aufbewahrung und rotierende RDX-Medien für physische Isolation und externe Lagerung. Das Testprogramm prüft gezielt alle drei Pfade.

Kontrollfragen für einen echten Air Gap

1. Können Produktionsadministratoren Kopien löschen oder die Aufbewahrung verkürzen?
2. Erreicht dieselbe Identität über die Backup-Konsole alle Kopien?
3. Wird das Medium nach dem Job physisch entfernt?
4. Wo liegt die externe Kopie und wer bestätigt die Übergabe?
5. Sind Schlüssel und kompatible Laufwerke im Ausfall verfügbar?
6. Wann wurde genau dieser Wiederherstellungspfad zuletzt getestet?

Isolation ist ein Prozess, keine Checkbox

Dokumentieren Sie den erwarteten Zustand nach jedem Job, überwachen Sie Ausnahmen und üben Sie die Beschaffung. Belastbar ist das Konzept erst, wenn das Team nachweisen kann, welche Kopie isoliert ist, wer sie erreicht, wie alt sie ist und wie lange eine geprüfte Wiederherstellung dauert.