AWS Backup – EC2, RDS und S3 zentral sichern 2025

AWS Backup Ueberblick

Unterstuetzte Ressourcen:
  EC2: EBS-Snapshots, AMI-Backups
  RDS/Aurora: Datenbank-Snapshots
  EFS: Filesystem-Backups
  S3: Object-Level-Backups (selektiv)
  DynamoDB: Tabellen-Backups
  FSx: Windows File Server Backups
  DocumentDB, Neptune: auch unterstuetzt

Vorteile:
  Zentrale Verwaltung (kein manuelles boto3-Scripting)
  Backup-Plans mit Retention-Regeln
  Vault Lock (immutable, WORM-Schutz)
  Cross-Region-Kopie fuer DR
  Compliance-Reporting

Backup-Plan erstellen (CLI)

# AWS CLI
aws configure  # oder IAM-Role auf EC2

# Backup Vault erstellen
aws backup create-backup-vault     --backup-vault-name production-vault     --region eu-central-1

# Backup-Plan JSON
cat << 'EOF' > backup-plan.json
{
    "BackupPlanName": "DailyBackup",
    "Rules": [
        {
            "RuleName": "DailyRule",
            "TargetBackupVaultName": "production-vault",
            "ScheduleExpression": "cron(0 23 * * ? *)",
            "StartWindowMinutes": 60,
            "CompletionWindowMinutes": 180,
            "Lifecycle": {
                "DeleteAfterDays": 30
            },
            "CopyActions": [
                {
                    "DestinationBackupVaultArn": "arn:aws:backup:eu-west-1:123456789:backup-vault:dr-vault",
                    "Lifecycle": {"DeleteAfterDays": 90}
                }
            ]
        }
    ]
}
EOF

aws backup create-backup-plan --backup-plan file://backup-plan.json

# Ressourcen zum Plan zuweisen
aws backup create-backup-selection     --backup-plan-id PLAN-ID     --backup-selection '{
        "SelectionName": "AllTaggedResources",
        "IamRoleArn": "arn:aws:iam::123456789:role/AWSBackupRole",
        "ListOfTags": [
            {"ConditionType": "STRINGEQUALS", "ConditionKey": "Backup", "ConditionValue": "true"}
        ]
    }'

EC2 Backup automatisch taggen

# EC2-Instanzen mit Tag "Backup=true" versehen
aws ec2 create-tags     --resources i-1234567890abcdef0     --tags Key=Backup,Value=true

# RDS taggen
aws rds add-tags-to-resource     --resource-name arn:aws:rds:eu-central-1:123456789:db:mydb     --tags Key=Backup,Value=true

Vault Lock (Ransomware-Schutz)

# Vault Lock: Backups koennen nicht geloescht werden
# Auch Admins koennen Backups nicht loeschen!

aws backup put-backup-vault-lock-configuration     --backup-vault-name production-vault     --min-retention-days 7     --max-retention-days 365

# VORSICHT: Nach Compliance-Mode nicht mehr rueckgaengig!
# Erst im Governance-Mode testen

FAQ

Ersetzt AWS Backup manuelle EBS-Snapshots?
Ja. AWS Backup zentralisiert alle Snapshots und ermoeglichen lifecycle-basiertes Loeschen. Manuelle Snapshots sind moeglich aber unstrukturiert.

Fazit

AWS Backup ist der einfachste Weg fuer konsistentes EC2, RDS und EFS-Backup mit Vault Lock als Ransomware-Schutz - ohne eigene Backup-Infrastruktur.

AWS Backup fuer KMU in Heidelberg, Mannheim und der Rhein-Neckar-Region. Beratung anfragen.