6 Data-Mesh-Architekturen versprechen überzeugende Vorteile: Domänenteams erhalten die Verantwortung für ihre Daten, Analysen werden schneller, und Unternehmen lösen sich von monolithischen Datenplattformen. Für Sicherheitsverantwortliche bringt Data Mesh jedoch Herausforderungen mit sich, die CISOs den Schlaf rauben: Wie setzen Sie einheitliche Sicherheitsrichtlinien durch, behalten den Überblick über die Compliance und sichern die Resilienz der Daten, wenn die Verantwortung bewusst dezentralisiert ist? Die Speicherinfrastruktur unter einem Data Mesh ist kein einzelner, verteidigungsfähiger Perimeter mehr. Stattdessen betreibt Ihr Unternehmen mehrere autonome Datendomänen, jede mit eigenem Speicher, eigener Backup-Strategie und eigenen Zugriffskontrollen. Diese verteilte Architektur schafft eine „verteilte Risikofläche“ – Sicherheitslücken, die nicht durch das Versagen einzelner Domänen entstehen, sondern in den Lücken zwischen ihnen. Für CISOs und Sicherheitsarchitekten, die föderierte Datenarchitekturen bewerten oder einführen, ist das Verständnis von Resilienz und Sicherheit des Speichers im Data Mesh entscheidend. Dieser Beitrag beleuchtet die besonderen Speicherherausforderungen von Data Mesh, zeigt, wie Sie eine einheitliche Sicherheits-Governance über Domänen hinweg aufrechterhalten, und welche Strategien für Backup und Disaster Recovery im großen Maßstab tatsächlich funktionieren. Die Speicherrealität von Data Mesh: Dezentralisierung trifft auf komplexe Governance Eine Data-Mesh-Architektur weist die Verantwortung für Daten den Geschäftsbereichen zu, statt sie in einem monolithischen Data Lake zu zentralisieren. Jede Domäne pflegt eigene Datenprodukte, eigene Metadaten und oft eine eigene Speicherinfrastruktur. Theoretisch beschleunigt das Entscheidungen und beseitigt Engpässe. In der Praxis vervielfacht es die Herausforderungen für Sicherheit und Resilienz. Nehmen wir ein Finanzdienstleistungsunternehmen, das Data Mesh über mehrere Geschäftsbereiche hinweg einführt – Privatkundengeschäft, Vermögensverwaltung, Handel und Compliance. Jede Domäne pflegt Kundendaten, Transaktionsdatensätze und analytische Datensätze. Statt einer einzigen Backup-Richtlinie und eines einheitlichen Verschlüsselungsstandards haben Sie nun vier (oder mehr) autonome Speichersysteme, jedes möglicherweise mit eigenen Sicherheitskonfigurationen, Backup-Intervallen und Wiederherstellungsverfahren. Für einen CISO wirft das sofort Fragen auf: Wie auditieren Sie Zugriffskontrollen domänenübergreifend, ohne für die Domänenteams einen Überwachungsalbtraum zu schaffen? Wie stellen Sie sicher, dass Backup-Daten – die oft außerhalb des primären Sicherheitsperimeters liegen – dieselbe Compliance aufweisen wie die Produktion? Wie stellen Sie kompromittierte Datenprodukte über Domänengrenzen hinweg wieder her, wenn Ihre Playbooks für die Incident Response von einer zentralen Infrastruktur ausgehen? Das Grundproblem: Data Mesh tauscht betriebliche Einfachheit gegen architektonische Flexibilität. Die Vorteile für Sicherheit und Resilienz müssen bewusst erarbeitet werden – aus der Dezentralisierung ergeben sie sich nicht von selbst. Die verteilte Risikofläche: Wo die Sicherheit im Data Mesh bricht Dezentrale Verantwortung schafft Sicherheitslücken auf drei kritischen Ebenen: Domänenübergreifende Datenherkunft und Zugriffskontrolle. In einem zentralen Data Lake prüfen Sie über ein einziges, einheitliches Logging-System, wer wann auf was zugegriffen hat. Im Data Mesh fließen Datenprodukte über Domänengrenzen hinweg. Domäne A erzeugt Daten, die Domäne B nutzt und anreichert, damit Domäne C sie weiterverwenden kann. Ohne explizites Lineage-Tracking und föderierte Zugriffsrichtlinien verlieren Sie den Überblick darüber, wer Ihre sensiblen Daten letztlich nutzt. Ein Domänenteam gewährt womöglich Zugriff auf ein Datenprodukt, ohne die nachgelagerte Nutzung oder die Sicherheitslage der nutzenden Domänen zu kennen. Uneinheitliche Governance für Backup und Wiederherstellung. Jede Domäne steuert ihre eigene Backup-Strategie. Eine Domäne erstellt vielleicht tägliche Backup-Snapshots mit unveränderlichen Backup-Kopien; eine andere führt wöchentliche Backups mit beschreibbaren Kopien durch. Sind domänenübergreifende Abhängigkeitsketten lang, erfordert die Wiederherstellung nach einem Vorfall in einer vorgelagerten Domäne unter Umständen eine koordinierte Wiederherstellung über mehrere Domänen hinweg. Fehlen diesen Domänen abgestimmte RTO- und RPO-Ziele, verlängert sich die mittlere Wiederherstellungszeit gefährlich. Überschreitet Ransomware Domänengrenzen, bedeuten uneinheitliche Backup-Richtlinien, dass manche Domänen nicht wiederherstellbar sind, während andere sicher sind. Unterschiedliche Praktiken bei Verschlüsselung und Schlüsselmanagement. Jede Domäne entscheidet selbst über Verschlüsselung im Ruhezustand, Verschlüsselung bei der Übertragung und Schlüsselmanagement. Eine Domäne erzwingt vielleicht AES-256-Verschlüsselung und zentrales Schlüsselmanagement, eine andere verlässt sich auf die Standardeinstellungen des Cloud-Anbieters. Wird ein Domänenteam angegriffen oder ein Speichersystem kompromittiert, verschaffen sich Angreifer einen Brückenkopf in Systemen mit schwächerer Verschlüsselung und können sich womöglich lateral zu sensibleren Domänen bewegen. Diese Lücken entstehen nicht aus Inkompetenz, sondern aus der bewussten Trennung der Zuständigkeiten, die Data Mesh verlangt. Domänenteams konzentrieren sich zu Recht auf ihre geschäftlichen Ergebnisse, nicht auf unternehmensweite Sicherheitsinvarianten. Ihre CISO-Funktion muss diese Lücke schließen. Einheitliche Sicherheitsrichtlinien über Datendomänen hinweg durchsetzen Die Lösung besteht nicht darin, wieder alles zu zentralisieren – das würde den Zweck von Data Mesh zunichtemachen. Sie brauchen vielmehr ein föderiertes Governance-Modell, das Sicherheitsinvarianten durchsetzt, ohne die Autonomie der Domänen einzuschränken. Nicht verhandelbare Sicherheits-Baselines definieren und durchsetzen. Legen Sie Leitplanken fest, die alle Domänen erfüllen müssen: Mindeststandards für Verschlüsselung (AES-256 im Ruhezustand und bei der Übertragung), verpflichtende MFA für administrative Zugriffe, unveränderliche Backup-Kopien und maximal zulässige RTO- und RPO-Ziele. Diese Baselines sind keine Empfehlungen, sondern Voraussetzungen für die Teilnahme einer Domäne am Mesh. Automatisieren Sie die Durchsetzung mit Infrastructure-as-Code-Vorlagen und Policy-as-Code-Engines, die verhindern, dass nicht konforme Konfigurationen bereitgestellt werden. Föderierte Identitäts- und Zugriffsrichtlinien einführen. Nutzen Sie einen zentralen Identitätsanbieter (Okta, Azure AD oder Vergleichbares) mit Richtlinien zur attributbasierten Zugriffskontrolle (ABAC), die alle Domänen umfassen. Statt Zugriffe pro Domäne zu verwalten, definieren Sie Richtlinien, die die Sensibilität der Daten (Klassifizierungsstufe), die Identität der Nutzer und die geschäftliche Begründung berücksichtigen. Fordert ein Benutzer aus Domäne B Zugriff auf ein Datenprodukt von Domäne A an, prüft die Policy-Engine die Anfrage anhand der unternehmensweiten Sicherheitsrichtlinien, nicht nur anhand der lokalen Richtlinie von Domäne A. Protokollieren Sie alle Zugriffsentscheidungen – Genehmigungen wie Ablehnungen – in einem zentralen Audit-Trail. Konsequente Praktiken für Identitäts- und Zugriffsmanagement auf Fabric-Ebene verhindern, dass Domänensilos Lücken in der Zugriffskontrolle schaffen. Einen föderierten Rat für Backup-Governance einrichten. Bilden Sie eine Arbeitsgruppe aus Infrastruktur- und Sicherheitsverantwortlichen aller Domänen sowie Ihrem zentralen Team für Backup und Disaster Recovery. Legen Sie gemeinsame RTO- und RPO-Ziele für die verschiedenen Klassifizierungsstufen fest. Definieren Sie, wie domänenübergreifende Datenabhängigkeiten in Wiederherstellungsszenarien behandelt werden. Erstellen Sie Vorlagen für Backup-Infrastruktur und Wiederherstellungstests, die alle Domänen nutzen. Das ist keine zentrale Kontrolle, sondern koordinierte Autonomie. Unveränderliche Backup-Kopien in allen Domänen einführen. Verlangen Sie, dass jede Datendomäne unveränderliche Backup-Kopien vorhält – mit Write-Once-Read-Many-Speicher (WORM) oder zeitbasierter Unveränderlichkeit. Das schützt vor Ransomware, die Backup-Daten zu löschen versucht, und stellt sicher, dass keine einzelne kompromittierte Domäne die Wiederherstellungspunkte anderer Domänen zerstören kann. Unveränderliche Backups sollten getrennt von den Produktionsdaten gespeichert und mit eigenen Zugriffskontrollen verwaltet werden. Backup-Governance im Mesh: verteilte Verantwortung, einheitliche Transparenz Backups in einer Data-Mesh-Umgebung müssen die Autonomie der Domänen mit unternehmensweiter Resilienz in Einklang bringen. Ihr Ansatz sollte drei Ebenen umfassen: Lokales Backup und Wiederherstellung je Domäne. Jede Domäne betreibt eine Backup-Infrastruktur, die ausreicht, um ihre eigenen Datenprodukte wiederherzustellen. Die Domänenteams verantworten ihre RTO- und RPO-Ziele, ihre Verfahren zur Backup-Validierung und ihre Wiederherstellungstests. So bleiben Geschwindigkeit und Agilität erhalten, die Data Mesh ermöglicht. Domänenübergreifende Backup-Abhängigkeiten. Wo Datenprodukte über Domänen hinweg voneinander abhängen, sollten Sie die Backups ausdrücklich koordinieren. Ist das Datenprodukt von Domäne A entscheidend für die Wiederherstellung von Domäne B, müssen sich beide Domänen bei Backup-Häufigkeit und Aufbewahrung abstimmen. Erstellen Sie eine Abhängigkeitskarte, die zeigt, welche Domänen für die Wiederherstellung anderer Domänen kritisch sind, und richten Sie Ihre Backup-Strategien danach aus. Zentraler Backup-Audit-Trail und Compliance. Betreiben Sie ein zentrales System, das Backup-Metadaten aus allen Domänen sammelt – Zeitstempel, Abschlussstatus, Ablauf der Aufbewahrung, Ergebnisse von Wiederherstellungstests – und in einem unveränderlichen Log speichert. Das sind nicht die Backup-Daten selbst, sondern Metadaten, die belegen, dass die Backup-Governance eingehalten wird. Prüfen Sie diese Metadaten monatlich, um sicherzustellen, dass alle Domänen ihre Backup-Zusagen erfüllen. Nutzen Sie sie bei Compliance-Audits als Nachweis Ihrer Sorgfalt. Föderierte Dateninfrastruktur vor Bedrohungen schützen In einer Data-Mesh-Umgebung verdienen drei Bedrohungen besondere Aufmerksamkeit: Angriffe mit lateraler Bewegung. Kompromittiert ein Angreifer eine Domäne mit schwacher Sicherheitslage, kann er sich womöglich über gemeinsame Infrastruktur (Messaging-Systeme, Rechennetzwerke) oder mit beim ersten Angriff erbeuteten Zugangsdaten zu anderen Domänen vorarbeiten. Begegnen Sie dem mit strikter Netzwerksegmentierung, erneuter Authentifizierung bei domänenübergreifenden Vorgängen und einem Monitoring auf auffällige Datenzugriffsmuster über Domänengrenzen hinweg. Supply-Chain-Angriffe auf Datenprodukte. Erzeugt Domäne A ein Datenprodukt, das Domäne B nutzt, und kompromittiert ein Angreifer Domäne A, kann er womöglich manipulierte Daten in die Lieferkette einschleusen. Integrieren Sie eine Prüfung der Datenintegrität in die nutzende Pipeline. Domäne B sollte Prüfsummen oder kryptografische Signaturen von Datenprodukten vor der Nutzung verifizieren und Alarm schlagen, wenn Daten unerwartet verändert wurden. Mit Objektspeicher für Datenprodukte lässt sich die Integrität über Domänengrenzen hinweg kryptografisch verifizieren. Ransomware über Domänengrenzen hinweg. Moderne Ransomware versucht, durch den Angriff auf mehrere Systeme maximalen Schaden anzurichten. Im Data Mesh kompromittiert ein Angreifer womöglich die Infrastruktur einer Domäne und versucht dann, sich lateral zu bewegen, um den Speicher oder die Backup-Systeme anderer Domänen zu verschlüsseln. Schützen Sie sich durch Offline-Backup-Kopien, die von keinem vernetzten System aus erreichbar sind, durch einen auf wenige Operatoren beschränkten Zugriff auf die Backup-Infrastruktur und durch unveränderliche Backups, die Angreifer selbst mit gültigen Zugangsdaten weder löschen noch verschlüsseln können. Was Ihr Unternehmen jetzt tun sollte Wenn Ihr Unternehmen ein Data Mesh einführt oder betreibt, sollte Ihre CISO-Funktion: Sicherheits-Baselines für Datendomänen festlegen, die nicht verhandelbar sind: Verschlüsselungsstandards, Anforderungen an die Zugriffskontrolle, unveränderliche Backups und Audit-Logging. Machen Sie diese zum Bestandteil der Architekturspezifikation jeder Domäne. Föderierte Governance einführen statt zentraler Kontrolle. Bilden Sie einen Sicherheitsrat mit Vertretern aller Domänen und Ihres zentralen Sicherheitsteams. Treffen Sie Governance-Entscheidungen gemeinsam, nicht von oben herab. Unveränderliche Backups in allen Domänen verlangen. Sie sind Ihre letzte Verteidigungslinie gegen Ransomware und unbefugtes Löschen. Investieren Sie in Speichersysteme, die WORM oder zeitbasierte Unveränderlichkeit nativ unterstützen. Die Anforderungen der DSGVO an die Datenspeicherung verlangen für die Compliance oft unveränderliche Kopien – eine gemeinsame Verantwortung aller Domänen. Ein zentrales Audit der Backup-Metadaten einrichten. Sammeln Sie Nachweise, dass alle Domänen ihre Backup-Verfahren ausführen und erfolgreich wiederherstellen. Nutzen Sie diese als Compliance-Nachweis und als Frühwarnsystem für Backup-Fehler. Domänenübergreifende Incident Response planen. Ihre Playbooks sollten Vorfälle berücksichtigen, die mehrere Domänen betreffen. Führen Sie Tabletop-Übungen mit den Domänenteams und Ihrem zentralen Response-Team durch. Ermitteln Sie, welche Domänenausfälle die größten geschäftlichen Auswirkungen haben, und priorisieren Sie die Wiederherstellungsverfahren für diese kritischen Pfade. Data Mesh ermöglicht es Ihrem Unternehmen, schneller zu agieren und Fachbereiche zu stärken. Eine verteilte Architektur bedeutet jedoch auch verteilte Verantwortung für Resilienz und Sicherheit. Mit klaren Baselines, föderierter Governance und koordinierten Backup-Praktiken nutzen Sie die Vorteile von Data Mesh, ohne Ihr betriebliches Risiko zu vervielfachen. Investitionen in unveränderliche Backups und einheitliche Audit-Trails zahlen sich bei Sicherheit und Compliance gleichermaßen aus. Ihr Wettbewerbsvorteil ergibt sich nicht allein aus der Wahl der Architektur, sondern aus ihrer disziplinierten und transparenten Umsetzung. Beginnen Sie jetzt damit. Weiterführende Artikel Immutable Storage und Ransomware-Abwehr Enterprise-Backup-Strategie Ransomware-Schutz für Backups: So bauen Sie unveränderliche, wiederherstellbare Backups auf Best Practices für Identitäts- und Zugriffsmanagement (IAM) RTO vs. RPO: Die wichtigsten Unterschiede erklärt Zero-Trust-Architektur DRaaS: Disaster Recovery as a Service
