Ransomware-sicheres Backup: Warum wir Kopia und Backblaze B2 gewählt haben

Ein Backup, das ein Ransomware-Angreifer verschlüsseln oder löschen kann, ist wertlos. Das war die einzige Anforderung, die die gesamte Wahl diktierte — und sie führte uns zu einem eindeutigen Schluss, nachdem wir 11 Open-Source-Backup-Engines und vier Speicheranbieter verglichen hatten.

Worin das Problem wirklich besteht — „ernten, dann verschlüsseln"

Bei einem modernen Ransomware-Angriff erlangt der Angreifer Privilegien auf dem Gerät und tut dann zwei Dinge: Er verschlüsselt die Dateien und löscht oder verschlüsselt auch die Backups, damit Sie nicht wiederherstellen können. Wenn Ihr Backup-Agent die Speicherschlüssel hält, hält sie auch der Angreifer, der das Gerät übernommen hat — und löscht das Backup. Die erste Frage lautet also nicht „Wie schnell sichern Sie", sondern „Kann das Backup überhaupt gelöscht werden."

Was wir verglichen haben — 11 Open-Source-Engines

Wir haben die gesamte Landschaft untersucht: restic, BorgBackup, Kopia, Duplicati, Duplicacy, rclone, UrBackup, Bareos, Proxmox Backup Server, ZFS und Clonezilla. Für jede haben wir geprüft: clientseitige Deduplizierung + Verschlüsselung, Windows-Unterstützung (einschließlich VSS für offene Dateien), direkter Schreibzugriff auf S3 und vor allem — echtes Object-Lock.

Warum wir Kopia gewählt haben

Kopia ist heute die einzige Engine, die sowohl clientseitige Deduplizierung + Verschlüsselung leistet als auch Object-Lock im Compliance-Modus gegen S3-Speicher unterstützt. restic ist ausgezeichnet und beliebt, aber seine Object-Lock-Unterstützung wurde noch nicht veröffentlicht. Borg ist stark unter Linux, hat aber keine echte Windows-Unterstützung und kein Object-Lock gegen S3. Duplicacy fällt bei der Lizenzierung aus (es darf nicht in ein kommerzielles Produkt eingebettet werden). Das technische Urteil war klar.

Darüber hinaus: Kopia ist eine einzige Binärdatei (Go), läuft unter Windows (mit VSS), Mac und Linux — sodass wir eine einzige Engine über die gesamte Flotte hinweg verwalten, mit JSON-Ausgabe, die sich vom Agenten aus leicht orchestrieren lässt.

Und warum Backblaze B2 — und nicht Cloudflare R2

Wir arbeiten bereits auf Cloudflare, also war R2 die naheliegende Wahl. Aber wir haben tief gegraben und festgestellt: Die „Bucket Locks" von R2 sind nicht die S3-Object-Lock-API, und sie haben keine bewiesene Compliance-Garantie, dass „ein kompromittierter Schlüssel nicht löschen kann." Das erfüllt unsere WORM-Messlatte nicht.

B2 bietet echtes WORM, den günstigsten Speicher und kostenlosen Egress über Cloudflares CDN — sodass Wiederherstellungen nahezu kostenlos sind. R2 bleibt bei uns für Anwendungsdaten und eine günstige Zweitkopie, aber nicht für den unveränderlichen Zweig.

Wie wir getestet haben — wir haben uns nicht auf Marketing verlassen

Jede Behauptung wurde gegen eine Primärquelle verifiziert: die offizielle Dokumentation jeder Engine, Community-Diskussionen über Object-Lock und Lizenzen. Zwei kritische Befunde deckten wir genau durch diese Lektüre auf: (1) restic ist immer noch nicht lock-fähig, und (2) Proxmox Backup kann den Datastore beschädigen, wenn man Object-Lock darauf aktiviert. Ohne diese Prüfung hätten wir falsch gewählt.

Wo wir ehrlich sind: vollständige Wiederherstellung auf einen virtuellen Server

Datei-Engines (Kopia/restic) stellen Daten wieder her, keine bootfähige Maschine. „Die gesamte Umgebung mit einem Klick auf einer VM hochfahren" ist genau der Punkt, an dem Veeam/Datto/Proxmox Open Source schlagen. Unsere Entscheidung: die Dateien + den unveränderlichen Kern auf Kopia + B2 bauen (wo wir bei Preis und Souveränität gewinnen), und für die vollständige Server-Wiederherstellung — eine kommerzielle Engine integrieren/weiterverkaufen, statt von Grund auf zu bauen. Ehrlichkeit schlägt Versprechen.

Dieser Artikel beschreibt Designüberlegungen und Technologiewahlen. Preise und Lizenzfähigkeiten sind Stand Mitte 2026 und können sich ändern. Es gibt hier keine Schlüssel, Geheimnisse oder sensiblen Konfigurationsdetails.