Ein Backup zu erstellen ist die halbe Miete. Die andere Hälfte ist die Frage, wie lange eine Sicherung aufbewahrt wird, bevor sie überschrieben wird, und genau das regelt die Rotationsstrategie. Eine der ältesten und am weitesten verbreiteten ist FIFO, First In, First Out. Was einfach klingt, hat aus Sicherheitssicht einen entscheidenden blinden Fleck, den jeder Betrieb kennen sollte, bevor er sich darauf verlässt.
Was bedeutet FIFO bei Backups?
FIFO stammt ursprünglich aus der Lagerlogistik: Was zuerst eingelagert wurde, verlässt das Lager auch zuerst. Bei Backups überträgt sich das Prinzip auf die Rotation der Sicherungsmedien oder Speicherplätze: Das älteste Backup wird gelöscht beziehungsweise überschrieben, sobald ein neues hinzukommt. Ursprünglich stammt dieses Schema aus der Zeit der klassischen Bandsicherung, als Unternehmen mit einem festen Satz an Magnetbändern arbeiteten. Heute funktioniert dasselbe Prinzip genauso bei Festplatten, NAS-Snapshots oder Cloud-Speicher mit fester Kapazität.
Die Ring-Rotation in der Praxis
Am bekanntesten ist die klassische Wochenrotation mit fünf Bändern oder Speicherplätzen, einem pro Werktag. Montag beschreibt Band A, Dienstag Band B, und so weiter bis Freitag. In der folgenden Woche beginnt der Zyklus wieder bei Band A, das damit die Sicherung vom Montag der Vorwoche überschreibt. Man spricht deshalb auch von einer Ringrotation: Die Medien werden im Kreis immer wieder neu beschrieben, die Anzahl der aufbewahrten Generationen bleibt konstant.
Das Schema lässt sich beliebig skalieren, je nach Sicherheitsbedarf mit sieben Bändern für eine volle Woche inklusive Wochenende, mit einem separaten Satz für Monatsenden oder als reine Tages-Rotation bei häufig wechselnden Datenbanken.
Vorteile: einfach, günstig, vorhersehbar
Der große Charme von FIFO ist seine Einfachheit. Man braucht nur eine feste, überschaubare Anzahl an Medien, der Speicherbedarf bleibt konstant und wächst nicht unkontrolliert mit der Zeit. Jeder im Team kann das Prinzip in einem Satz erklären, das erleichtert Dokumentation und Übergaben. Auch die Kosten sind gut planbar: Es werden nie mehr Medien gebraucht als zu Beginn festgelegt.
Der entscheidende Nachteil: der kurze Rückblick-Horizont
Genau diese Konstanz ist gleichzeitig die größte Schwäche. Bei einer klassischen 5-Tage-Rotation reicht der verfügbare Rückblick nie weiter als eine Woche zurück. Ein Datenverlust, der erst nach acht Tagen bemerkt wird, lässt sich mit reinem FIFO nicht mehr sauber wiederherstellen, das betroffene Backup wurde längst überschrieben.
Für die IT-Sicherheit ist das ein reales Problem, kein theoretisches. Ransomware verschlüsselt Daten heute selten sofort nach dem Eindringen. Angreifer verschaffen sich häufig erst wochenlang unbemerkt Zugriff, sichten das Netzwerk, sichern sich mehrere Zugänge und schlagen erst dann zu, wenn der Schaden maximal ist, auch beim Backup-System. Liegt die tatsächliche Verweildauer eines Angriffs über dem Rotationszeitraum, sind am Ende alle vorhandenen Backups bereits kompromittierte oder verschlüsselte Stände, das älteste unverseuchte Backup wurde längst überschrieben.
Was das für die Wiederherstellung bedeutet
Auch abseits von Ransomware hat ein reiner FIFO-Rotationsplan Konsequenzen für den Ernstfall: Wird ein fehlerhafter Datensatz, eine versehentlich gelöschte Kundendatei oder eine fehlerhafte Software-Migration erst spät bemerkt, entscheidet allein die Länge der Rotation darüber, ob überhaupt noch ein sauberer Stand existiert. Je kürzer der Ring, desto enger das Zeitfenster, in dem ein Problem auffallen muss, damit die Wiederherstellung noch gelingt.
FIFO und die 3-2-1-Regel: Ergänzung, kein Ersatz
FIFO ist ein Rotationsschema, keine vollständige Backup-Strategie. Es beantwortet die Frage, wie lange eine einzelne Kopie aufbewahrt wird, nicht die Frage, wie viele unabhängige Kopien überhaupt existieren. Genau hier setzt die 3-2-1-Regel an: drei Kopien der Daten, auf zwei verschiedenen Medientypen, eine davon extern. FIFO kann sinnvoll die Rotation innerhalb einer dieser Kopien steuern, etwa des lokalen NAS-Backups, ersetzt aber nicht die externe, physisch getrennte dritte Kopie. Besonders wichtig gegen Ransomware: Mindestens eine Kopie sollte unveränderlich (immutable) oder per Air Gap getrennt sein, also gar nicht Teil des überschreibbaren Rings, den ein Angreifer im Netzwerk erreichen könnte.
Wann ist FIFO die richtige Wahl?
FIFO eignet sich gut für Daten, die sich häufig ändern und bei denen ein Problem in der Regel schnell auffällt, etwa tägliche Datenbank-Snapshots eines Systems, das ohnehin engmaschig überwacht wird, oder als schnelle, lokale Zwischensicherung mit kurzer Zugriffszeit. Für die einzige oder die am längsten aufbewahrte Kopie sensibler Geschäftsdaten ist eine reine FIFO-Rotation dagegen zu riskant, hier lohnt sich der Blick auf gestaffelte Verfahren mit deutlich längerem Rückblick, etwa das Hanoi-Rotationsschema.
Praktische Empfehlung
Wer FIFO einsetzt, sollte drei Dinge festlegen, bevor es zum Ernstfall kommt: erstens eine Rotationslänge, die spürbar über der realistischen Zeit bis zur Entdeckung eines Problems liegt, für viele Betriebe eher Wochen als Tage. Zweitens mindestens eine zusätzliche, vom Ring getrennte und unveränderliche Kopie außerhalb der laufenden Rotation. Drittens eine regelmäßige Restore-Probe: Ein Backup, das sich im Ernstfall nicht zurückspielen lässt, hilft unabhängig vom Rotationsschema nicht weiter.
Fazit
FIFO ist ein bewährtes, einfaches Rotationsprinzip, aber kein vollständiger Ransomware-Schutz. Wer sich allein auf einen kurzen Ring überschreibbarer Medien verlässt, riskiert, dass im Ernstfall genau die Kopie fehlt, die noch sauber gewesen wäre. solutioIT plant für Betriebe im Westerwald Backup-Konzepte, die Rotationsschema, Rückhaltezeit und unveränderliche Kopien so kombinieren, dass im Ernstfall wirklich ein sauberer Wiederherstellungspunkt existiert, im Rahmen unserer Server- und Netzwerkbetreuung.