Microsoft erstellt zwar automatisch Backups jeder Azure SQL-Datenbank, doch automatisch bedeutet nicht umfassend. Laut der Azure-Dokumentation von Microsoft decken die integrierten Backups Point-in-Time-Wiederherstellungen innerhalb eines konfigurierbaren Zeitfensters von bis zu 35 Tagen ab. Sie bieten jedoch weder eine unabhängige, per Air Gap geschützte Kopie noch Schutz vor Ransomware-Angriffen, die Daten während des Aufbewahrungszeitraums kompromittieren. Für Unternehmen, die regulatorische Anforderungen erfüllen müssen oder sich mit hochentwickelten Cyber-Bedrohungen konfrontiert sehen, ist diese Lücke von erheblicher Bedeutung.
Azure SQL wird in drei unterschiedlichen Bereitstellungsmodellen ausgeführt: Azure SQL Database (PaaS), Azure SQL Managed Instance und SQL Server auf Azure-VMs. Jedes dieser Modelle verfügt über eigene Azure SQL Backup-Funktionen und ist unterschiedlichen Risiken für Datenverlust ausgesetzt. Dieser Leitfaden erläutert, wie die einzelnen Modelle nativ gesichert werden, wie Point-in-Time-Wiederherstellungen (PITR) und die Langzeitaufbewahrung (LTR) konfiguriert und genutzt werden, wie Sie manuelle Backups erstellen können, welche tatsächlichen Einschränkungen das integrierte Sicherungssystem von Azure aufweist und wie Rubrik den Schutz von Azure-Daten durch unveränderliche, auf Bedrohungen überprüfte und cyberresiliente Backups erweitert.
Werden Azure SQL-Datenbanken automatisch gesichert?
Ja, sowohl Azure SQL Database als auch Azure SQL Managed Instance erstellen automatisiert Backups, ohne dass dies konfiguriert werden muss. Azure erstellt wöchentlich vollständige Backups, alle 12 bis 24 Stunden differenzielle Backups und alle 5 bis 10 Minuten Backups von Transaktionsprotokollen. Diese Backups werden standardmäßig in einem georedundanten Speicher hinterlegt, sodass sie gegen Ausfälle ganzer Regionen abgesichert sind.
Die integrierten automatisiert erstellten Backups sind jedoch für die operative Wiederherstellung konzipiert, also für Szenarien wie versehentliches Löschen, Datenbeschädigungen oder kurzfristige Datenverluste. Sie sind nicht darauf ausgelegt, einen unabhängigen Schutz vor Ransomware oder Insider-Bedrohungen zu bieten, die innerhalb des Aufbewahrungszeitraums auftreten. Wenn Ransomware Ihre Azure SQL-Datenbanken am ersten Tag verschlüsselt und der Vorfall erst am 40. Tag entdeckt wird, bietet ein Aufbewahrungszeitraum von 35 Tagen keinen sauberen Wiederherstellungspunkt mehr.
Drittanbieterlösungen wie Rubrik bieten eine speziell für Azure SQL entwickelte Plattform für die Sicherung und Cyber-Wiederherstellung. Sie stellt unveränderliche Backups, Transparenz über sensible Daten, Bedrohungserkennung und eine orchestrierte Wiederherstellung bereit, die unabhängig vom nativen Sicherungssystem von Azure funktioniert. Lesen Sie hier mehr über lokale Azure-Backups mit Rubrik.
Azure SQL-Bereitstellungsmodelle für Azure SQL Backup und wie Rubrik sie schützt
Die richtige Sicherungsstrategie hängt davon ab, welches Azure SQL-Bereitstellungsmodell Sie verwenden.
Azure SQL Database (PaaS) bietet vollständig automatisierte Sicherungen mit konfigurierbarer Kurzzeitaufbewahrung (STR) und Langzeitaufbewahrung (LTR). Auf die zugrunde liegenden .bak-Dateien haben Sie jedoch keinen direkten Zugriff. Rubrik ergänzt diesen nativen Ansatz um eine unabhängige Backup-Kopie, eine über die Azure-Standardwerte hinausgehende Langzeitaufbewahrung, die Überprüfung auf Ransomware-Indikatoren sowie die Klassifizierung sensibler Daten innerhalb der Backups.
Azure SQL Managed Instance unterstützt automatisierte Sicherungen und native SQL-Wiederherstellungsvorgänge. Rubrik bietet zusätzlich zentrale, SLA-gesteuerte Backup-Richtlinien, regionsübergreifenden Schutz, schnelle Wiederherstellungen auf einem anderen Server oder in einer anderen Region sowie eine unveränderliche Aufbewahrung zur Erfüllung von Compliance-Anforderungen.
SQL Server auf Azure-VMs bietet die größte Kontrolle. Hier können Sie Azure VM Backup über den Recovery Services Vault, manuelle Backups mit SQL Server Management Studio (SSMS) sowie Zeitpläne für vollständige, differenzielle und Transaktionsprotokoll-Backups nutzen. Rubrik stellt darüber hinaus anwendungskonsistente SQL Server Backups, granulare Wiederherstellungen auf Datenbank- und Dateiebene, Live Mount für eine nahezu sofortige Wiederherstellung sowie Schutz für hybride Workloads bereit. Lesen Sie hier, wie Rubrik Azure SQL-Datenbank-Backups für große Umgebungen verwaltet.
Funktion | Azure SQL Database | Azure SQL Managed Instance | SQL Server auf Azure-VMs |
Automatisierte Backups | Ja | Ja | Optional |
Nativer .bak-Export | Nein | Ja | Ja |
Recovery Services Vault | Nein | Optional | Ja |
Manuelle Backups über SSMS | Nein | Ja | Ja |
So führen Sie eine Point-in-Time-Wiederherstellung (PITR) durch
Mit der Point-in-Time-Wiederherstellung (PITR) können Sie eine Datenbank auf den exakten Zustand zu einem bestimmten Zeitpunkt innerhalb des Aufbewahrungszeitraums zurücksetzen. Dies wird durch das Zusammenspiel automatisierter vollständiger, differenzieller und Transaktionsprotokoll-Backups ermöglicht.
Die Kurzzeitaufbewahrung (Short-Term Retention, STR) ist standardmäßig auf sieben Tage festgelegt und lässt sich auf bis zu 35 Tage konfigurieren. Um eine PITR im Azure-Portal durchzuführen, navigieren Sie zu Ihrer SQL-Datenbank, klicken auf „Restore“ (Wiederherstellen), wählen den gewünschten Zeitpunkt aus, bestimmen den Zielserver und bestätigen den Vorgang. Bei der Wiederherstellung wird eine neue Datenbank erstellt. Die ursprüngliche Datenbank wird nicht überschrieben, sondern bleibt erhalten, bis Sie bereit sind, auf die wiederhergestellte Datenbank umzuschalten.
PITR unterstützt Wiederherstellungen auf einem anderen Server oder in einer anderen Region und eignet sich daher sowohl für Wiederherstellungsszenarien als auch für das Klonen von Umgebungen. Beachten Sie jedoch, dass PITR nur den konfigurierten STR-Zeitraum abdeckt. Für regulatorische Anforderungen, die längere Aufbewahrungsfristen erfordern, muss die Langzeitaufbewahrung (Long-Term Retention, LTR) separat konfiguriert werden.
Manuelle Backup-Methoden: Portal, SSMS und BACPAC-Export
Bei Azure SQL Database (PaaS) steht kein direkter Zugriff auf .bak-Dateien zur Verfügung. Daher können keine klassischen BACKUP DATABASE-Sicherungen auf lokalen Datenträgern erstellt werden. Stattdessen wird ein BACPAC-Export unterstützt, der das Datenbankschema und die Daten in einem portablen Format für die Migration und Archivierung bereitstellt, nicht jedoch für Wiederherstellungsszenarien im laufenden Betrieb.
Zum Exportieren über das Azure-Portal wählen Sie die gewünschte Datenbank aus, klicken auf „Export“ (Exportieren), legen einen Speicher-Account als Ziel fest und laden die BACPAC-Datei herunter. Für den Export mit SSMS verbinden Sie sich mit Ihrer Azure SQL-Instanz, klicken mit der rechten Maustaste auf die Datenbank und wählen „Tasks → Export Data-tier Application“ (Aufgaben → Datenebenenanwendung exportieren). Anschließend können Sie die BACPAC-Datei speichern. Zu beachten ist, dass ein BACPAC-Export kein vollwertiges SQL Server-Backup erzeugt, da weder Transaktionsprotokolle gesichert noch Point-in-Time-Wiederherstellungen unterstützt werden.
Bei SQL Server auf Azure-VMs stehen dagegen die klassischen Backup-Mechanismen vollständig zur Verfügung. Über SSMS oder Azure Backup mit Recovery Services Vault können Voll-, Differenzial- und Transaktionsprotokoll-Backups erstellt werden.
Kurzzeit- versus Langzeitaufbewahrung von Backups
Die Kurzzeitaufbewahrung (Short-Term Retention, STR) ermöglicht Point-in-Time-Wiederherstellungen (PITR) und deckt den Zeitraum für die operative Wiederherstellung ab. Standardmäßig beträgt die Aufbewahrungsdauer sieben Tage. Sie kann jedoch auf bis zu 35 Tage erhöht werden. Die Langzeitaufbewahrung (Long-Term Retention, LTR) speichert wöchentliche Voll-Backups über Wochen, Monate oder Jahre hinweg, um insbesondere Compliance- und Audit-Anforderungen zu erfüllen, die über die maximale STR-Aufbewahrungsdauer von 35 Tagen in Azure hinausgehen. Laut der LTR-Dokumentation von Microsoft können LTR-Backups bis zu zehn Jahre lang aufbewahrt werden.
Aufbewahrungsmodell | Anwendungsfall | Dauer |
STR | Operative Wiederherstellung, PITR | Bis zu 35 Tage |
LTR | Einhaltung gesetzlicher Vorgaben und Audits | Bis zu 10 Jahre |
Welche Einschränkungen hat Azure SQL Backup?
Das native Backup-System von Azure SQL bietet eine solide Grundlage für die operative Wiederherstellung, stößt jedoch bei Anforderungen an Sicherheit und Compliance auf Grenzen:
Es ist kein direkter Zugriff auf .bak-Dateien für Azure SQL Database (PaaS) möglich.
Maximale STR-Aufbewahrungsdauer von 35 Tagen. Darüber hinaus ist eine PITR nur möglich, wenn die Langzeitaufbewahrung (LTR) konfiguriert wurde.
Azure Backup für SQL auf Azure-VMs begrenzt die Anzahl geschützter Instanzen und Wiederherstellungsvorgänge pro Abonnement. (Aktuelle Grenzwerte finden Sie in der Dokumentation zu Azure-Abonnementgrenzen.)
Keine unabhängige, per Air Gap isolierte Kopie: Bleibt ein Ransomware-Angriff über den Aufbewahrungszeitraum hinaus unentdeckt bestehen, steht im nativen System kein sauberer Wiederherstellungspunkt mehr zur Verfügung.
Kein Bedrohungsscan und keine Validierung sauberer Wiederherstellungspunkte für Sicherungsdaten.
Rubrik schließt diese Lücken mit einer unabhängigen Backup-Kopie, per Air Gap geschützter unveränderlicher Speicherung, granularer Wiederherstellung, regionsübergreifender Wiederherstellung und einem Ransomware-Bedrohungsscan. So wissen Sie vor jeder Wiederherstellung genau, welches Backup vertrauenswürdig und frei von Kompromittierungen ist.
Automatisiertes Backup-System: Integrierte Azure-Funktionen vs. Rubrik
Funktion | Azure (integriert) | Rubrik |
Automatisierte Backups | Ja | Ja |
Per Air Gap geschützte Backups | Nein | Ja |
Unveränderliche Aufbewahrungssperre | Eingeschränkt | Ja |
Bedrohungsscans | Nein | Ja |
Wiederherstellung auf einen vertrauenswürdigen Wiederherstellungspunkt | Nein | Ja |
Cloudübergreifende Transparenz | Nein | Ja |
Herkömmliche Azure Disaster Recovery-Lösungen schützen vor Hardwareausfällen oder versehentlichem Löschen. Für eine Cyber-Wiederherstellung reicht das jedoch nicht aus. Erforderlich sind unveränderliche Speicher, die Angreifer weder verschlüsseln noch löschen können, intelligente Bedrohungsscans zur Erkennung sauberer Backups sowie eine orchestrierte Wiederherstellung in isolierten Azure-Umgebungen, um eine erneute Infektion zu verhindern. Rubrik bietet genau diese Funktionen und ist speziell auf die Anforderungen heutiger Unternehmensumgebungen ausgelegt.
Die Absicherung von Azure SQL erfordert einen mehrschichtigen Ansatz: Sie müssen wissen, welches Bereitstellungsmodell Sie verwenden, die passenden Aufbewahrungsrichtlinien konfigurieren und verstehen, wo die nativen Azure-Funktionen enden und die Anforderungen einer umfassenden Cyber-Wiederherstellung beginnen.
Für Unternehmen, die unveränderlichen Schutz, Ransomware-Bedrohungsscans und eine orchestrierte Wiederherstellung unabhängig vom nativen Backup-System in Azure benötigen, bietet Rubrik eine speziell entwickelte Lösung für alle drei Azure SQL-Bereitstellungsmodelle. Kontaktieren Sie Rubrik für eine individuelle Beratung.