Object Lock: Legal Hold & Retention

Object Lock macht Objektversionen unveränderlich (WORM – Write Once, Read Many): Sie können weder überschrieben noch gelöscht werden, solange der Schutz aktiv ist. Das schützt Backups vor Ransomware und hilft bei Aufbewahrungspflichten.

Grundlagen

Object Lock kann nur beim Erstellen eines Buckets aktiviert werden und erfordert Versioning (wird automatisch mitaktiviert).
Der maximal konfigurierbare Aufbewahrungszeitraum kann von centron plattformseitig begrenzt werden.
Object Lock kann Auswirkungen auf die Vertragslaufzeit haben: Auch bei vorzeitiger Vertragsbeendigung bleiben geschützte Daten bis zum Ablauf des Object-Lock-Zeitraums gespeichert und abrechnungsrelevant. centron kann geschützte Daten vor Ablauf des gesetzten Zeitraums technisch nicht löschen.
Der Schutz wirkt immer auf einzelne Objektversionen.
Zwei Mechanismen, kombinierbar:

	Legal Hold	Retention
Dauer	unbefristet, bis manuell entfernt	bis zu einem festen Zeitpunkt (`RetainUntilDate`)
Aufhebbar	jederzeit durch Berechtigte	Governance: mit Sonderrecht; Compliance: nie
Typischer Einsatz	laufende Verfahren, Untersuchungen	Backup-Schutz, gesetzliche Fristen

Retention-Modi

Governance: Der Schutz kann – sofern die Berechtigung s3:BypassGovernanceRetention (Header x-amz-bypass-governance-retention) im Konto verfügbar ist – vorzeitig aufgehoben werden. Guter Standard für Backups. Beachten Sie: Vertraglich gilt, dass ein gesetzter Object Lock während der definierten Aufbewahrungsfrist weder deaktiviert noch entfernt werden kann.
Compliance: Schutz kann von niemandem – auch nicht dem Kontoinhaber – verkürzt oder entfernt werden, bis das Datum erreicht ist. Nur einsetzen, wenn die Konsequenzen klar sind: Die Daten verursachen bis zum Ablauf zwingend Speicherkosten.

Bucket mit Object Lock anlegen

aws s3api create-bucket --bucket sicherer-bucket \
  --object-lock-enabled-for-bucket \
  --endpoint-url https://s3.internet1.de

Standard-Retention für neue Objekte (optional)

Alle neu hochgeladenen Objekte erhalten automatisch z. B. 30 Tage Governance-Schutz:

aws s3api put-object-lock-configuration --bucket sicherer-bucket \
  --object-lock-configuration '{
    "ObjectLockEnabled": "Enabled",
    "Rule": {"DefaultRetention": {"Mode": "GOVERNANCE", "Days": 30}}
  }' \
  --endpoint-url https://s3.internet1.de

Legal Hold setzen und entfernen

# Setzen
aws s3api put-object-legal-hold --bucket sicherer-bucket \
  --key vertraege/fall-4711.pdf \
  --legal-hold Status=ON \
  --endpoint-url https://s3.internet1.de

# Status prüfen
aws s3api get-object-legal-hold --bucket sicherer-bucket \
  --key vertraege/fall-4711.pdf \
  --endpoint-url https://s3.internet1.de

# Entfernen
aws s3api put-object-legal-hold --bucket sicherer-bucket \
  --key vertraege/fall-4711.pdf \
  --legal-hold Status=OFF \
  --endpoint-url https://s3.internet1.de

Retention auf eine Objektversion setzen

# Governance-Retention bis zu einem festen Datum
aws s3api put-object-retention --bucket sicherer-bucket \
  --key backups/2026-07-28.tar.gz \
  --retention '{"Mode":"GOVERNANCE","RetainUntilDate":"2026-08-28T00:00:00Z"}' \
  --endpoint-url https://s3.internet1.de

# Prüfen
aws s3api get-object-retention --bucket sicherer-bucket \
  --key backups/2026-07-28.tar.gz \
  --endpoint-url https://s3.internet1.de

Verlängern ist jederzeit möglich (neues, späteres Datum setzen). Verkürzen geht nur im Governance-Modus mit Bypass-Recht:

aws s3api put-object-retention --bucket sicherer-bucket \
  --key backups/2026-07-28.tar.gz \
  --retention '{"Mode":"GOVERNANCE","RetainUntilDate":"2026-07-30T00:00:00Z"}' \
  --bypass-governance-retention \
  --endpoint-url https://s3.internet1.de

Verhalten geschützter Objekte

Ein DELETE ohne VersionId erzeugt nur einen Delete-Marker – die geschützte Version bleibt erhalten und wiederherstellbar.
Das Löschen der geschützten Version selbst schlägt mit Access Denied fehl, bis Retention abgelaufen und kein Legal Hold aktiv ist.
Ein Bucket kann erst gelöscht werden, wenn keine geschützten Versionen mehr existieren.

Empfehlungen

Für Backup-Zwecke Governance-Modus mit Laufzeit passend zur Backup-Rotation wählen (z. B. Retention ≥ Aufbewahrungsdauer der Backup-Software).
Compliance-Modus nur nach sorgfältiger Prüfung einsetzen – Testläufe zuerst mit kurzen Fristen.
Kombination mit Lifecycle-Policies: abgelaufene Versionen automatisch entfernen, sobald der Schutz endet.

Grundlagen​

Retention-Modi​

Bucket mit Object Lock anlegen​

Standard-Retention für neue Objekte (optional)​

Legal Hold setzen und entfernen​

Retention auf eine Objektversion setzen​

Verhalten geschützter Objekte​

Empfehlungen​

Verwandte Themen​