> For the complete documentation index, see [llms.txt](https://docs.stoik.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.stoik.io/cyber-best-practices/de/harten-sie-ihre-umgebung-ab/readme/back-up-your-data-with-wasabi.md).
# Sichern Sie Ihre Daten mit Wasabi
Diese Anleitung zeigt, wie Sie Veeam-Backups in Wasabi kopieren (S3-kompatibler Objektspeicher).
Zielergebnis: eine Offsite-Kopie auf unveränderlichem Speicher (Object Lock).
Halten Sie die Aufbewahrungsfrist gemäß Ihrer Richtlinie ein. Wenn Sie Stoïks Baseline folgen, behalten Sie **mindestens 2 Wochen** unveränderliche Backups. Siehe [Sichere Backups implementieren](file:///).
### Voraussetzungen
* Ein Wasabi-Konto mit Zugriff auf die Konsole.
* Veeam Backup & Replication mit Unterstützung für Objektspeicher.
* Ausgehender Zugriff vom Veeam-Server (oder Gateway) zu Ihrem Wasabi-Endpunkt.
* Ein Ort zum Speichern des Wasabi-Zugriffsschlüssels und des geheimen Schlüssels (Passwort-Manager).
{% hint style="info" %}
Verwenden Sie nach Möglichkeit das Prinzip der geringsten Berechtigung. Beginnen Sie mit weit gefassten Berechtigungen, um die Konnektivität zu validieren, und beschränken Sie dann das Servicekonto auf den einzelnen Bucket und Präfix, die von Veeam verwendet werden.
{% endhint %}
### Veeam-Servicekonto
Zunächst ist es wichtig, ein dediziertes Wasabi-Servicekonto zu erstellen. Dieses Konto hilft, die Daten zu schützen und die Zugriffsberechtigungen auf Wasabi-Ressourcen besser zu verwalten.
Servicekonten sind speziell für die Verwendung durch Anwendungen oder Dienste von Drittanbietern konzipiert und ermöglichen es, die Berechtigungen auf genau das Notwendige für den vorgesehenen Zweck zu beschränken, wodurch Sicherheitsrisiken reduziert werden.
Dazu rufen Sie im [Wasabi-Konsolenbereich](https://console.wasabisys.com/)den Abschnitt „Users“ auf, dann die Registerkarte „Users“ (direkt erreichbar über den [folgenden Link](https://console.wasabisys.com/#/users)) wie in der Abbildung unten gezeigt:
Klicken Sie einfach auf die Schaltfläche „Create user“, um mit der Erstellung des Servicekontos zu beginnen.
Im ersten Abschnitt müssen Sie den Namen des Servicekontos festlegen, zum Beispiel „Veeam\_Service\_Account“.
Da das Servicekonto ausschließlich mit Veeam verwendet werden soll, ist es auch wichtig, das Kontrollkästchen „Programmatic (create API key)“ zu aktivieren, bevor Sie zum nächsten Abschnitt übergehen.
In diesem Abschnitt ist es nicht notwendig, eine Gruppe für das Servicekonto festzulegen; Sie können direkt mit dem nächsten Schritt fortfahren.
Dieser Teil dient dazu, Zugriffspolitiken auf das Servicekonto anzuwenden. Für das Servicekonto wird nur die Richtlinie „AmazonS3FullAccess“ benötigt. Geben Sie sie einfach in das verfügbare Feld ein und wählen Sie sie aus, bevor Sie zum nächsten Abschnitt übergehen.
{% hint style="warning" %}
„AmazonS3FullAccess“ ist einfach, aber weit gefasst.
Sobald Ihr Bucket vorhanden ist, bevorzugen Sie eine bucketbezogene Richtlinie (siehe Beispiel unten) und entfernen Sie den Vollzugriff:
```json
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "ListBucket",
"Effect": "Allow",
"Action": ["s3:ListBucket", "s3:GetBucketLocation"],
"Resource": "arn:aws:s3:::YOUR-BUCKET",
"Condition": {"StringLike": {"s3:prefix": ["veeam/*"]}}
},
{
"Sid": "BucketObjects",
"Effect": "Allow",
"Action": [
"s3:GetObject", "s3:PutObject", "s3:DeleteObject",
"s3:AbortMultipartUpload", "s3:ListMultipartUploadParts"
],
"Resource": "arn:aws:s3:::YOUR-BUCKET/veeam/*"
},
{
"Sid": "ObjectLock",
"Effect": "Allow",
"Action": [
"s3:GetObjectRetention", "s3:PutObjectRetention",
"s3:GetObjectLegalHold", "s3:PutObjectLegalHold"
],
"Resource": "arn:aws:s3:::YOUR-BUCKET/veeam/*"
}
]
}
```
Passen Sie den `veeam/` Präfix an, damit er zu Ihrem Repository-Ordner passt.
{% endhint %}
Im letzten Abschnitt können Sie alle Informationen zum Servicekonto überprüfen, bevor Sie dessen Erstellung durch Klicken auf „Create User“ bestätigen.
Anschließend wird in einem letzten Fenster der Zugriffsschlüssel und der geheime Schlüssel des Servicekontos angezeigt.
Sie können auf den Link „Show“ klicken, um den geheimen Schlüssel anzuzeigen, oder auf die Schaltfläche „Download CSV“, um sowohl den Zugriffsschlüssel als auch den zugehörigen geheimen Schlüssel herunterzuladen.
Dieses Schlüsselpaar muss sicher aufbewahrt werden, zum Beispiel in einem Passwort-Manager, da es später verwendet wird (der geheime Zugriffsschlüssel wird nicht mehr sichtbar sein).
### Erstellen eines Buckets
Ein Bucket ist ein Objektspeicher-Container, mit dem Sie Daten zuverlässig und sicher speichern, abrufen und verwalten können. Das Erstellen eines auf die Bedürfnisse des Unternehmens zugeschnittenen Buckets ermöglicht eine effiziente Datenverwaltung und stellt die Ausfallsicherheit und Dauerhaftigkeit der gespeicherten Daten sicher. Darüber hinaus bietet ein korrekt konfigurierter Wasabi-Bucket erweiterte Funktionen wie Versionierung sowie Zugriffs- und Berechtigungsverwaltung.
Um mit dem Erstellen eines Wasabi-Buckets zu beginnen, rufen Sie den [Wasabi-Konsolenbereich](https://console.wasabisys.com/)auf und öffnen Sie dann den Abschnitt „Buckets“ wie in der Abbildung unten gezeigt.
Klicken Sie dann auf die Schaltfläche „Create Bucket“, um mit dem Erstellen eines Buckets zu beginnen.
Die erste anzugebende Information ist der Bucket-Name, der eindeutig sein muss, zum Beispiel `company-backup-veeam`.
Wählen Sie dann die Region, die Ihrer Veeam-Infrastruktur am nächsten liegt. Verwenden Sie den in der Konsole angezeigten Endpunkt (zum Beispiel `s3.eu-west-2.wasabisys.com`).
Anschließend müssen Sie die Bucket-Versionierung und Object Lock aktivieren, indem Sie die entsprechenden Kontrollkästchen wie oben dargestellt aktivieren, um zukünftige Backups unveränderlich zu machen. Sie können außerdem die Ereignisprotokollierung aktivieren, um alle Aktionen im Bucket nachzuverfolgen, indem Sie das Kontrollkästchen „Bucket Logging“ aktivieren.
{% hint style="warning" %}
Wenn Sie unveränderliche Backups benötigen, aktivieren Sie **Object Lock beim Erstellen des Buckets**. Betrachten Sie dies als irreversibel.
{% endhint %}
Im letzten Abschnitt können Sie alle Bucket-Informationen überprüfen, bevor Sie deren Erstellung durch Klicken auf „Create Bucket“ bestätigen.
Falls der Bucket in Veeam nicht sofort erscheint, warten Sie einige Minuten und versuchen Sie es erneut.
### Backups in einen Wasabi-Bucket über Veeam
Sobald das Servicekonto und der Wasabi-Bucket erstellt wurden, können Sie einen neuen Veeam-Backup-Job konfigurieren, um die Sicherung von Daten und Systemen des Informationssystems in der Wasabi Cloud zu automatisieren.
Bevor Sie diesen Job erstellen, ist es unerlässlich, ein Wasabi-Backup-Repository über die Veeam-Verwaltungskonsole zu erstellen.
### Erstellen eines Backup-Repositories
Ein mit dem Wasabi-Bucket verknüpftes Backup-Repository muss mit dem Veeam-Tool erstellt werden.
Wählen Sie in der Veeam-Oberfläche „Backup Infrastructure“ „Backup Repositories“ aus und klicken Sie auf „Add Repository“.
Wählen Sie dann den Repository-Typ „Object Storage“ aus.
Der zu wählende Cloud-Repository-Typ ist „Wasabi Cloud Storage“.
Ein neues Fenster öffnet sich und markiert den Beginn der Konfiguration des Wasabi-Backup-Repositories.
Nachdem Sie Name und Beschreibung festgelegt haben, klicken Sie auf „Next“, um fortzufahren.
Die auszuwählende Region muss mit dem zuvor erstellten Bucket übereinstimmen (siehe oben), nämlich „eu-west-2“.
Anschließend müssen Sie die Zugangsdaten des Wasabi-Servicekontos hinzufügen. Klicken Sie auf „Add…“ und geben Sie dann die zuvor abgerufenen Zugriffs- und geheimen Schlüssel ein (siehe oben), wie in der Abbildung unten gezeigt.
Falls von den gesicherten Maschinen ein Proxy erforderlich ist, kann dieser durch Klicken auf „Choose“ konfiguriert werden.
Sobald diese Schritte abgeschlossen sind, klicken Sie auf „Next“, um mit der Konfiguration des Backup-Repositories fortzufahren.
Dieser Schritt besteht darin, den Wasabi-Bucket zu konfigurieren. Klicken Sie auf die Schaltflächen „Browse“, um den zuvor erstellten Wasabi-Bucket und einen Ordner innerhalb des Buckets auszuwählen (falls erforderlich einen erstellen).
Legen Sie schließlich die Optionen fest, die Ihrer Kapazität und Aufbewahrungsrichtlinie entsprechen:
* Optional: Beschränken Sie den Verbrauch von Objektspeicher auf einen Wert, der die Kosten begrenzt.
* Machen Sie aktuelle Backups unveränderlich für: **14 Tage** (oder mehr, je nach Ihrer Richtlinie).
Sobald der Wasabi-Bucket konfiguriert ist, klicken Sie auf „Next“, um fortzufahren.
In diesem Schritt müssen Sie den Mount-Server und dessen Write-Cache-Ordner angeben, die während der Wiederherstellung verwendet werden, und zwar über die Schaltflächen „Add New…“ bzw. „Browse…“. Ein Hilfs-Appliance ist bereits konfiguriert; sie entspricht dem Veeam-Backup-Server. Sie kann bei Bedarf durch Klicken auf „Configure“ geändert werden.
Bei Verwendung von VMware wird empfohlen, das Kontrollkästchen „Enable vPower NFS service on the mount server“ zu aktivieren, bevor Sie zum nächsten Schritt übergehen.
Klicken Sie auf „Apply“, um das Backup-Repository zu erstellen.
Es kann einige Minuten dauern, bis das Repository erstellt ist, bevor Sie auf „Next“ klicken können.
Das Backup-Repository ist nun erstellt, und eine Zusammenfassung seiner Informationen wird angezeigt.
### Erstellen eines Backup-Copy-Jobs
Dieser Abschnitt dient dazu, einen Backup-Job für das Backup-Repository zu erstellen. In den meisten Fällen existieren lokale Backup-Jobs und Repositories bereits, weshalb es möglich ist, stattdessen einen Backup-Copy-Job zu erstellen, anstatt einen neuen Backup-Job von Grund auf neu zu erstellen, wie unten beschrieben.
Klicken Sie dazu in der Veeam-Oberfläche „Home“ auf „Backup Copy“.
Der erste Schritt besteht darin, den Job-Namen anzugeben und den Kopiermodus auszuwählen, wie in der Abbildung unten gezeigt.
Es wird empfohlen, den Modus „Periodic copy“ zu wählen, um nur die neuesten Wiederherstellungspunkte abzurufen, bevor Sie zum nächsten Schritt übergehen.
In diesem Schritt müssen Sie wählen, ob von einem vorhandenen Repository („From repositories…“) oder von einem vorhandenen Job („From jobs…“) kopiert werden soll.
Im obigen Beispiel ist eine Kopie aus einem Backup-Repository (genauer gesagt einem Windows-Server) ausgewählt.
Wählen Sie zunächst das Backup-Repository aus, das mit dem zuvor erstellten Wasabi-Bucket verbunden ist, und legen Sie dann eine minimale Aufbewahrungsfrist von 5 Tagen für tägliche Backups fest.
Es ist auch möglich, zusätzliche Backups (wöchentlich, monatlich, jährlich) für mehr Sicherheit zu konfigurieren, indem Sie „Keep certain full backups longer for archival purposes“ aktivieren und auf „Configure“ klicken.
Schließlich wird empfohlen, mindestens monatlich Gesundheitsprüfungen der Backups zu aktivieren, um Datenbeschädigungen zu verhindern. Klicken Sie dazu auf „Advanced“ und aktivieren Sie dann das Kontrollkästchen „Perform backup files health check (detects and auto-heals corruption) on:“; ändern Sie bei Bedarf die Prüfzeit und das Datum über die Schaltfläche „Configure…“ auf der Registerkarte „Maintenance“.
Der nächste Abschnitt befasst sich mit der Datenübertragung.
Es wird empfohlen, den Datenübertragungsmodus „Direct“ zu wählen, wenn die Internetverbindung ausreichend ist, bevor Sie mit dem nächsten Abschnitt fortfahren.
Es wird empfohlen, tägliche Backups durchzuführen, indem Sie „Run the job automatically“ aktivieren und die am besten geeignete Zeit auswählen.
Es ist außerdem ratsam, den Job so zu konfigurieren, dass fehlgeschlagene Backup-Versuche automatisch wiederholt werden, indem Sie „Retry failed items processing“ aktivieren und 3 Wiederholungen mit einem Intervall von 10 Minuten zwischen den Versuchen festlegen.
Sobald die Konfiguration abgeschlossen ist, fahren Sie mit dem nächsten Abschnitt fort.
Um die Erstellung des Backup-Copy-Jobs abzuschließen, klicken Sie einfach auf „Finish“, nachdem Sie „Enable the job when I click Finish“ aktiviert haben, um sofort eine Kopie in das zuvor konfigurierte Wasabi-Backup-Repository auszulösen.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.stoik.io/cyber-best-practices/de/harten-sie-ihre-umgebung-ab/readme/back-up-your-data-with-wasabi.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
