Automatische Dateiarchivierung: Einrichten und vergessen

Automatische Dateiarchivierung verschiebt inaktive Dateien planmäßig von Hot-Storage in kalte Speicherebenen — ohne dass jemand manuell eingreifen muss. S3-Lifecycle-Regeln, Azure Blob Lifecycle Management und GCS Object Lifecycle erlauben Richtlinien wie „nach 90 Tagen ohne Zugriff in Glacier Deep Archive verschieben; nach 7 Jahren löschen, sofern kein Legal-Hold-Tag gesetzt ist." Einmal konfiguriert, auf einem 1%-Testbucket erprobt, spart das System 50–80 % der Speicherkosten und erfüllt gleichzeitig die Aufbewahrungsregeln — SOX 7 Jahre, HIPAA 6 Jahre, DSGVO-Datensparsamkeit — ohne manuelle Bereinigungsläufe.

Den Auslöser wählen: Alter, Zugriff oder Tag

Drei Archivierungsauslöser dominieren. Altersbasierte Regeln (object.age > 90d) sind am einfachsten und eignen sich für zeitlich abebbende Daten wie Logs, Transaktionen oder E-Mail-Exporte. Zugriffsbasierte Regeln (S3 Intelligent-Tiering, das Last-Access-Zeitstempel auswertet) sind intelligenter für Datensätze mit unvorhersehbarem Zugriffsmuster — eine Betriebsprüfungsdatei kann 11 Monate inaktiv sein und im 12. Monat unverzichtbar werden.

Tag-basierte Regeln (tag retention-class = sox-7y) geben Personen und Anwendungen explizite Kontrolle. Ein Compliance-Team kann Dateien beim Eingang mit retention-class: hipaa-6y kennzeichnen, und die Lifecycle-Regeln archivieren entsprechend, ohne dass die Regel selbst angepasst werden muss, wenn sich Kategorien ändern. Kombinieren Sie beide Ansätze: Alter als Standard, Tags für Ausnahmen.

Die Richtlinie in YAML oder JSON formulieren

S3-Lifecycle-Konfigurationen verwenden XML oder JSON, Azure JSON, GCS JSON. Eine exemplarische S3-Regel für ein Dokumenten-Repository:

{
  "Rules": [
    {
      "ID": "archive-documents",
      "Status": "Enabled",
      "Filter": {"Prefix": "documents/"},
      "Transitions": [
        {"Days": 30, "StorageClass": "STANDARD_IA"},
        {"Days": 90, "StorageClass": "GLACIER_IR"},
        {"Days": 365, "StorageClass": "DEEP_ARCHIVE"}
      ],
      "Expiration": {"Days": 2555},
      "NoncurrentVersionExpiration": {"NoncurrentDays": 180}
    }
  ]
}

Versionieren Sie die Richtlinie in Git. Jede Änderung wird per Pull Request geprüft, mit Terraform oder CloudFormation eingespielt und im CI-Log protokolliert. Manuell in der Konsole bearbeitete Richtlinien driften ab und brechen zusammen.

Tests vor dem Produktionseinsatz

Eine Lifecycle-Richtlinie, die den falschen Bucket löscht, gefährdet Karrieren. Testen Sie zunächst auf einem kleinen Präfix. Erstellen Sie documents/test/ mit Beispieldateien und einer dedizierten Testrichtlinie, die nur dieses Präfix betrifft. Verwenden Sie kurze Dauern — Days: 1 — um Übergänge schnell zu durchlaufen.

Prüfen Sie die Ergebnisse mit aws s3api list-objects-v2 --prefix documents/test/ und verifizieren Sie, ob sich die Storage-Klassen wie erwartet geändert haben. Weiten Sie dann den Filter aus. Bei besonders kritischen Buckets (Recht, Finanzen) nutzen Sie den Dry-Run-Modus des Anbieters, falls verfügbar, oder simulieren Sie mit einem Skript, das ausgibt, was passieren würde, ohne Änderungen anzuwenden.

Mindestaufbewahrungsfristen sind nicht verhandelbar

Lifecycle-Regeln berücksichtigen Mindestaufbewahrungsgebühren. Ein Objekt in Glacier Flexible Retrieval zu verschieben und es 7 Tage später zu löschen, kostet dennoch 90 Tage. Deep Archive berechnet mindestens 180 Tage. Eine schlecht konzipierte Regel, die Objekte innerhalb von 30 Tagen von Standard über Deep Archive bis zur Löschung schickt, zahlt dreifach — einmal für den Übergang, einmal für die Mindestdauer, einmal für Egress bei einer Wiederherstellung.

Das sichere Muster: Wechseln Sie nur dann in einen kälteren Tier, wenn Sie erwarten, dass das Objekt dort mindestens die Mindestdauer verbleibt. Wenn Dateien typischerweise nach 60 Tagen gelöscht werden, schieben Sie sie nicht durch Deep Archive (180 Tage Minimum). Stoppen Sie bei Standard-IA.

Legal Holds und Ausnahmen handhaben

Jedes Archivierungssystem braucht einen Notausgang für Rechtsstreitigkeiten. Ein Tag wie legal-hold: true sollte Objekte vor der Lifecycle-Löschung schützen. Umsetzen mit einem Regelfilter, der getaggte Objekte ausschließt:

Filter:
  And:
    Prefix: "documents/"
    Tag: {Key: "legal-hold", Value: "false"}

In Kombination mit S3 Object Lock im Governance- oder Compliance-Modus werden Legal-Hold-getaggte Objekte unveränderlich, bis der Hold aufgehoben wird. Der Compliance-Modus verhindert selbst Root-Löschungen — genau das, was FINRA 4511, SEC 17a-4 und HIPAA §164.316 WORM-Anforderungen vorsehen. Für in Deutschland tätige Unternehmen spiegelt dies auch die Anforderungen des Handelsgesetzbuchs (HGB §257) und der Abgabenordnung (§147 AO) wider.

Die Tagging-Pipeline automatisieren

Archivierung ist nur so gut wie die Tags, die sie steuern. Automatisieren Sie das Tagging beim Eingang: Eine Lambda-Funktion, die durch S3 ObjectCreated ausgelöst wird, untersucht die Datei und setzt content-type-, department- und retention-class-Tags. Für bereits vorhandene, noch nicht getaggte Daten führen Sie einen Batch-Tagging-Job mit S3 Batch Operations durch.

Quellen für Tag-Werte:

• Dateiendung und Magic Bytes (ein .pdf mit „HIPAA" in den Metadaten erhält den Tag healthcare)
• Upload-Quelle (ein API-Schlüssel der Finance-App setzt automatisch finance)
• Inhaltsscanning (Amazon Macie erkennt personenbezogene Daten und taggt entsprechend)
• Nutzereingabe beim Upload (ein Formular mit einem Abteilung-Dropdown)

Tags kosten in S3 0,01 USD pro 10.000 Tag-Anfragen — eine lohnende Investition für präzises Lifecycle-Targeting.

Archivierungsaudit-Trail

Protokollieren Sie jede Lifecycle-Aktion. CloudTrail erfasst LifecycleTransition- und LifecycleExpiration-Ereignisse. Leiten Sie diese an Athena, Splunk oder Datadog weiter, um eine abfragbare Historie zu erhalten. Wenn ein Prüfer fragt „Wann wurde dieser Vertrag von 2019 nach Glacier verschoben?", sollte die Abfrage in Sekunden antworten.

Nehmen Sie in den Audit-Log auf:

• Objekt-Key und VersionId
• Übergang von/zu Storage-Klasse
• Auslöser (Alter, Tag, explizit)
• Zeitstempel
• ID der angewendeten Richtlinie

Bewahren Sie den Audit-Log mindestens so lange auf, wie die Datenaufbewahrung es erfordert — wenn Sie 7 Jahre archivieren, behalten Sie den Lifecycle-Audit 7 Jahre plus Puffer.

Regions- und Cloud-übergreifende Archivierung

Für die Notfallwiederherstellung sollten Archive in einer zweiten Region oder Cloud liegen. S3 Cross-Region Replication kann am Ziel direkt in eine andere Storage-Klasse replizieren — etwa nach eu-central-1 direkt in Glacier Deep Archive. Azure unterstützt Ähnliches mit RA-GRS und Objektreplikation. GCS bietet Multi-Region- und Turbo-Replikation.

Für Cloud-übergreifende Archivierung (AWS primär, Backblaze B2 sekundär) führt rclone mit cron planmäßige Sync-Jobs aus. Die Sekundärkopie sorgt für Unabhängigkeit von anbieterspezifischen Ausfällen, Ransomware, die auf IAM eines Anbieters zielt, oder Abrechnungsstreitigkeiten.

Wiederherstellungsbereite Archive

Ein Archiv, das sich nicht wiederherstellen lässt, ist nur ein langsames Löschen. Dokumentieren Sie den Wiederherstellungspfad für jede Ebene:

• Glacier Instant Retrieval: direktes GET, keine Wiederherstellung nötig
• Glacier Flexible Retrieval: RestoreObject mit Tier=Standard (3–5 Stunden) oder Expedited (1–5 Minuten)
• Glacier Deep Archive: RestoreObject mit Standard (12 Stunden) oder Bulk (48 Stunden)
• Azure Archive: Set Blob Tier auf Hot/Cool, 15 Stunden Rehydrierung

Üben Sie vierteljährlich. Wählen Sie ein zufälliges archiviertes Objekt, stellen Sie es wieder her, verifizieren Sie es gegen den Manifest-Hash, und stoppen Sie die Zeit des gesamten Prozesses. Ungetestete Wiederherstellungen werden im Ernstfall schmerzhaft entdeckt.

Einzelne Archivübertragungen handhaben

Automatisierte Lifecycle-Regeln decken den Normalbetrieb ab, aber manchmal müssen Sie einen bestimmten 50-GB-Batch sofort verschieben — die Dateien eines ausscheidenden Mitarbeiters oder den Abschluss eines Kundenprojekts. Für solche Fälle schlägt ein manuelles Übertragungswerkzeug mit Integritätsprüfungen das manuelle Bearbeiten von Lifecycle-Richtlinien. HexaTransfer überträgt Dateien bis 10 GB mit Ende-zu-Ende-AES-256-GCM-Verschlüsselung und einem Einmal-Link — nützlich, um Archive an externe Anwälte oder Nachfolger weiterzugeben, ohne ihnen Zugriff auf den gesamten Archiv-Bucket einräumen zu müssen.

Richten Sie die Lifecycle-Richtlinie ein, automatisieren Sie das Tagging, leiten Sie die Audit-Logs weiter — und das System arbeitet zuverlässig. Überprüfen Sie das Kosten-Dashboard vierteljährlich; passen Sie Schwellenwerte an, wenn sich Zugriffsmuster ändern. Das ist alles, was Archivierung braucht — einmal konfiguriert, erfordert sie weniger Aufmerksamkeit als eine Kaffeepause.

Jetzt kostenlos testen auf hexatransfer.com — kein Konto, max. 10 GB.