In den Azure-Umgebungen, die ich betreue, war das Backup von Azure Files lange eine kleine Baustelle. Snapshots gab es zwar, sie lagen aber immer im selben Storage-Account. Wurde das Konto versehentlich gelöscht oder griff Ransomware mit weitreichenden Berechtigungen an, half das wenig. Azure Files Vaulted Backup legt die Daten jetzt endlich unabhängig im Recovery Services Vault ab. Für viele Unternehmen hebt das den Schutz auf ein Niveau, das längst überfällig war.

Vaulted Backup legt die Daten unabhängig im Recovery Services Vault ab

Snapshots werden im Storage-Account selbst gespeichert. Azure Files Vaulted Backup schreibt dagegen eine Kopie der Daten direkt in einen Recovery Services Vault. Das ist ein großer Fortschritt, weil die Backups auch dann noch vorhanden sind, wenn jemand den Storage-Account löscht oder kompromittiert. In vielen Tenants, die ich mir ansehe, wurden tatsächlich schon Ressourcengruppen versehentlich gelöscht, oder Storage-Accounts waren nach einer Fehlkonfiguration nicht mehr auffindbar. Mit Vaulted Backup bekommt man die Share-Daten trotzdem zuverlässig zurück. Allerdings muss der Recovery Services Vault selbst ausreichend geschützt und mit Soft Delete und Immutability konfiguriert sein.

Das folgende Diagramm stellt die beiden Backup-Architekturen gegenüber:

flowchart LR
    A["Azure Fileshare"] --> B["Snapshot-Backup (im Storage-Account)"]
    A --> C["Vaulted Backup (Recovery Services Vault)"]
    B -.-> D["Schutz nur bei Account-Existenz"]
    C --> E["Unabhängiger Schutz (auch bei Account-Löschung)"]

Abbildung: Vaulted Backup speichert die Daten getrennt vom Storage-Account im Recovery Services Vault.

Vault und Backup-Policy brauchen von Anfang an eine saubere Absicherung

Sie richten das Backup im gewünschten Recovery Services Vault ein, und zwar unter Backup → Azure Files (Azure Storage). Achten Sie dabei auf Ressourcengruppe und Region. In der Backup-Policy kommt es darauf an, als Tier Vault-Standard auszuwählen. Nur dann liegen die eigentlichen Backup-Daten physisch im Vault, statt dass bloß Snapshots im Ursprungs-Account entstehen. Danach legen Sie im Policy-Dialog fest, wie lange tägliche, wöchentliche, monatliche und gegebenenfalls jährliche Backups aufbewahrt werden. Das richtet sich nach Ihrem Bedarf und Ihren Compliance-Vorgaben.

Den Recovery Services Vault sollten Sie gleich nach dem Anlegen mit diesen Einstellungen absichern:

  • Soft Delete aktivieren (ist Standard, sollte aber geprüft werden)
  • Immutability aktivieren (geht im Azure-Portal, lässt sich nachträglich aber nicht mehr abschalten)
  • Rollenbasierte Zugriffssteuerung (RBAC) für Backup-Operatoren verwenden

Ist Immutability eingeschaltet, können weder Backup-Operatoren noch kompromittierte Admin-Konten die Backups löschen oder verändern.

Mein Tipp aus der Praxis: Nachdem ich in einem Projekt den Vault angelegt habe, kontrolliere ich jedes Mal die Einstellungen für Soft Delete und Immutability. Außerdem stelle ich testweise auf ein leeres Fileshare wieder her, um die Policy zu überprüfen.

Nur regelmäßige Restore-Tests zeigen, ob die Wiederherstellung funktioniert

Ein Backup taugt nur so viel, wie man im Ernstfall schnell daraus wiederherstellen kann. Bei Azure Files Vaulted Backup läuft die Wiederherstellung über den Recovery Services Vault im Menü Backup Items → Azure Storage (Azure Files). Dort holen Sie einzelne oder mehrere Shares aus jedem beliebigen älteren Recovery Point zurück, entweder durch Überschreiben oder auf ein neues Ziel-Share. Die Dauer hängt von der Datenmenge und der Auslastung des Vaults ab, bei größeren Shares sind mehrere Stunden keine Seltenheit. Planen Sie deshalb regelmäßige Restore-Tests ein, mindestens einmal im Quartal und am besten mit einem Test-Share außerhalb der Produktion.

Genauere Angaben zu Unterschieden und Einschränkungen finden Sie in der offiziellen Dokumentation unter Azure Files Backup Overview und Backup Azure Files.

Speicher und Aufbewahrung bestimmen die Kosten des Vaulted Backup

Wie zu erwarten, kostet Vaulted Backup mehr als reine Snapshots. Bezahlt wird der Speicher im Recovery Services Vault, und bei längerer Aufbewahrung und vielen Änderungen kommen Bandbreiten- und Transaktionskosten hinzu. Meine Erfahrung ist, dass man bei vielen File-Share-Backups mit langen Aufbewahrungsfristen die Vault-Nutzung regelmäßig auswerten und das Backup-Volumen in der Policy nachjustieren sollte. Wer alte Recovery Points löscht, spart übrigens nicht automatisch sofort, solange die Policy die Daten noch schützt. Es lohnt sich, im Azure-Portal nachzusehen, wie viel Speicher die Vaults belegen. Für genauere Auswertungen bietet sich Azure Cost Management an.

Vaulted Backup hat sich in meinen ersten Projekten bewährt

Seit Azure Files Vaulted Backup unterstützt, hat die Sicherheit spürbar zugelegt. Vor allem bei Audits und Penetrationstests wird positiv vermerkt, dass die Sicherung außerhalb des Storage-Accounts liegt. Soft Delete, Immutability und RBAC im Recovery Services Vault gehören heute zur Pflichtausstattung. Wenn Sie Azure Files produktiv einsetzen, sollten Sie Ihre bestehenden Shares zügig und Schritt für Schritt auf Vaulted Backup umstellen. Technisch ist das nicht schwierig, verlangt aber eine sorgfältige Policy-Definition und konsequente Restore-Tests. Wie Hybrid-Authentifizierung und Berechtigungen bei Azure Files zusammenspielen, beschreibe ich in meinem Beitrag Azure Files Entra Kerberos: Freigaben für Hybrid-Identitäten.

Für mich ist ein Backup im selben Storage-Account kein Backup. Für unternehmenskritische Daten eignet sich Azure Files erst mit Vaulted Backup wirklich.