https://techcorner.max-it.de/index.php?action=history&feed=atom&title=Grafana%3A_Absichern%2C_Backup_und_UpdatesGrafana: Absichern, Backup und Updates - Versionsgeschichte2026-10-19T02:48:04ZVersionsgeschichte dieser Seite in maxTechCornerMediaWiki 1.43.9https://techcorner.max-it.de/index.php?title=Grafana:_Absichern,_Backup_und_Updates&diff=5006&oldid=previmported>TechCorner-Redaktion: Neuer Artikel: Zugriff, Härtung, Backup, Support-Zyklus, Update auf Grafana 13, Datenschutz2026-10-17T00:00:00Z<p>Neuer Artikel: Zugriff, Härtung, Backup, Support-Zyklus, Update auf Grafana 13, Datenschutz</p>
<p><b>Neue Seite</b></p><div>{{Steckbrief<br />
| gilt_fuer = Grafana 12.4 und 13.x (OSS bzw. kostenlose Enterprise-Edition), Docker oder Paketinstallation; Prometheus und Loki im selben Betrieb<br />
| bereich = Server-Software<br />
| dauer = Härtung ca. 1 Stunde; Backup-Einrichtung ca. 30 Minuten; Update auf Grafana 13 je nach Umgebung 1–2 Stunden<br />
| rechte = Root auf dem Server, Grafana-Serveradministrator<br />
| stand = Oktober 2026<br />
}}<br />
'''Grafana absichern, sichern und aktualisieren''' wird oft vernachlässigt, weil „nur Diagramme“ darauf laufen. Tatsächlich verwaltet Grafana Zugangsdaten zu Datenbanken, Monitoring- und SIEM-Systemen, Benachrichtigungswege und eine detaillierte Sicht auf die gesamte Infrastruktur – ein wertvolles Ziel für Angreifer. Grafana veröffentlicht mindestens monatlich Patch-Versionen, bei schweren Lücken auch außerplanmäßig. Diese Anleitung fasst die Härtung, die Datensicherung, den Update-Ablauf mit den Besonderheiten von Grafana 13 und Hinweise zum Datenschutz zusammen.<br />
<br />
[[Datei:Grafana-Sicherheit.png|thumb|center|750px|Grafana absichern und sichern: nur über Reverse Proxy mit HTTPS, intern oder per VPN; SSO mit Entra ID und Mehr-Faktor-Anmeldung, Registrierung und anonymer Zugriff aus, Dienstkonten mit Ablauf; Datenquellen mit Lesekonten, Plugins sparsam, Telemetrie aus; Backup der Datenbank (PostgreSQL-Dump bzw. grafana.db), des Datenordners, der Provisioning-Dateien und Geheimnisse; Support: Minor-Version 9 Monate, letzte Minor einer Hauptversion 15 Monate; Grafana 13: Datenbank-Backup vor dem Update, Plugins vorher aktualisieren, grafana cli statt grafana-cli, Image Renderer als eigener Dienst, Datenquellen-API per UID.]]<br />
<br />
== Schritt 1: Zugriff absichern ==<br />
* '''Erreichbarkeit''': Grafana nur hinter einem Reverse Proxy mit HTTPS betreiben, möglichst nur intern bzw. per VPN. Prometheus, Loki und Alloy-Oberflächen nie ins Internet stellen – sie haben ohne Zusatz keine Anmeldung.<br />
* '''Anmeldung''': SSO mit Entra ID und Mehr-Faktor-Anmeldung, Selbstregistrierung und anonymen Zugriff ausschalten, Standard-Administrator mit langem Zufallspasswort nur als Notfallzugang, siehe [[Grafana: Benutzer, Rechte und Anmeldung mit Entra ID]].<br />
* '''Brute-Force-Schutz''': Grafana sperrt Konten nach wiederholten Fehlversuchen vorübergehend; hinter dem Proxy die echte Client-IP weitergeben.<br />
* '''Dienstkonten''' mit minimaler Rolle und Token-Ablauf; nicht benötigte Token löschen.<br />
* '''Öffentliche Dashboards''' und das Einbetten in andere Seiten (<code>allow_embedding</code>) nur bewusst aktivieren.<br />
<br />
== Schritt 2: Konfiguration härten ==<br />
{| class="wikitable"<br />
! Einstellung (Umgebungsvariable) !! Empfehlung !! Wirkung<br />
|-<br />
| <code>GF_SECURITY_COOKIE_SECURE</code> || <code>true</code> || Sitzungs-Cookie nur über HTTPS<br />
|-<br />
| <code>GF_SECURITY_DISABLE_GRAVATAR</code> || <code>true</code> || keine Abrufe von Profilbildern bei Gravatar<br />
|-<br />
| <code>GF_ANALYTICS_REPORTING_ENABLED</code> || <code>false</code> || keine Nutzungsstatistik an Grafana Labs<br />
|-<br />
| <code>GF_ANALYTICS_CHECK_FOR_UPDATES</code> || je nach Richtlinie || Versionsprüfung beim Hersteller; zeigt verfügbare Updates an<br />
|-<br />
| <code>GF_USERS_ALLOW_SIGN_UP</code> / <code>GF_AUTH_ANONYMOUS_ENABLED</code> || <code>false</code> || keine Fremdkonten, kein anonymer Zugriff<br />
|-<br />
| <code>GF_SECURITY_CONTENT_SECURITY_POLICY</code> || <code>true</code> || zusätzlicher Schutz gegen eingeschleuste Skripte<br />
|}<br />
* '''Datenquellen''' immer mit '''Lesekonten''' anbinden; Editoren können über Explore beliebige Abfragen ausführen.<br />
* '''Plugins''': nur signierte, gepflegte Plugins; nicht genutzte entfernen. Der Grafana Advisor meldet veraltete Plugins.<br />
* '''Geheimnisse''' (Datenbankpasswort, Client-Secret, SMTP) über <code>__FILE</code>-Variablen aus Dateien laden, nicht in die Compose-Datei schreiben.<br />
<br />
== Schritt 3: Grafana-Backup ==<br />
{| class="wikitable"<br />
! Teil !! Inhalt !! Sicherung<br />
|-<br />
| '''Datenbank''' || Dashboards, Ordner, Benutzer, Teams, Alarmregeln, Kontaktpunkte, Datenquellen (Geheimnisse verschlüsselt) || PostgreSQL: <code>pg_dump</code>; SQLite: <code>grafana.db</code> bei gestopptem Dienst bzw. mit <code>sqlite3 .backup</code><br />
|-<br />
| '''Datenordner''' <code>/var/lib/grafana</code> || Plugins, bei SQLite die Datenbank || Dateisicherung<br />
|-<br />
| '''Konfiguration''' || <code>grafana.ini</code> bzw. Compose-Datei, Provisioning-Ordner, Geheimnisse || Dateisicherung, Provisioning zusätzlich in Git<br />
|-<br />
| '''Schlüssel''' || <code>secret_key</code> bzw. Verschlüsselungsschlüssel der Datenquellen-Passwörter || ohne ihn sind gespeicherte Zugangsdaten unbrauchbar<br />
|}<br />
<syntaxhighlight lang="bash"><br />
cd /opt/grafana<br />
docker compose exec -T db pg_dump -U grafana -Fc grafana > backup/grafana-$(date +%F).dump<br />
tar czf backup/grafana-config-$(date +%F).tgz compose.yaml provisioning secrets<br />
</syntaxhighlight><br />
* Täglich per Cron, verschlüsselt außer Haus, siehe [[Datensicherung]].<br />
* '''Prometheus- und Loki-Daten''' sind Messwerte mit begrenzter Aufbewahrung; ob sie gesichert werden müssen, hängt vom Zweck ab. Konfiguration und Regeln aber immer sichern.<br />
* '''Wiederherstellung''' testen: neue Instanz derselben Version, Dump einspielen, Anmeldung und Alarme prüfen.<br />
<br />
== Schritt 4: Updates und Versionen ==<br />
* '''Rhythmus''': Minor-Versionen alle zwei Monate, Hauptversion einmal im Jahr (Grafana 13: April 2026), Patch-Versionen mindestens monatlich.<br />
* '''Support''': Jede Minor-Version erhält 9 Monate Patches, die letzte Minor-Version einer Hauptversion 15 Monate. Wer selten aktualisieren will, bleibt auf der letzten Minor-Version einer Hauptversion (z. B. 12.4) und spielt deren Patches ein.<br />
* '''Ablauf''': Backup → Release Notes lesen → Plugins aktualisieren → Grafana-Version anheben → Funktion prüfen.<br />
<br />
'''Besonderheiten beim Update auf Grafana 13:'''<br />
{| class="wikitable"<br />
! Änderung !! Maßnahme<br />
|-<br />
| Ordner und Dashboards werden beim ersten Start in einen neuen Speicher („Unified Storage“) migriert || '''vorher Datenbank sichern'''; ein Rückschritt auf Version 12 geht nur mit dem Backup<br />
|-<br />
| Wechsel auf React 19 || zuerst auf den neuesten Patch der aktuellen Version und alle Plugins aktualisieren<br />
|-<br />
| <code>grafana-cli</code> und <code>grafana-server</code> entfernt || Skripte, systemd-Units und Container-Startbefehle auf <code>grafana cli</code> bzw. <code>grafana server</code> umstellen<br />
|-<br />
| Image-Renderer-Plugin entfällt || Image Renderer als eigenen Dienst betreiben, <code>[rendering] renderer_token</code> setzen<br />
|-<br />
| Datenquellen-API über numerische ID abgeschaltet || Skripte auf UID umstellen<br />
|-<br />
| ältere Alertmanager-APIs eingeschränkt || Automatisierung auf die neuen <code>/apis</code>-Schnittstellen umstellen<br />
|-<br />
| 13.0.0 zurückgezogen (Git-Sync-Fehler) || direkt auf den aktuellen Patch (z. B. 13.2.4) aktualisieren<br />
|}<br />
* Mit SQLite kann die Migration an Datenbanksperren scheitern; dann die Einstellungen <code>migration_parquet_buffer</code> bzw. <code>migration_cache_size_kb</code> im Abschnitt <code>[unified_storage]</code> nutzen – oder vorher auf PostgreSQL wechseln.<br />
<br />
== Datenschutz ==<br />
* Dashboards und Logs enthalten oft personenbezogene Daten: Benutzernamen in Anmeldelogs, IP-Adressen, Rechnernamen. '''Loki-Aufbewahrung''' entsprechend begrenzen und den Zugriff auf Log-Dashboards einschränken, siehe [[DSGVO]].<br />
* Auswertungen über Mitarbeitende (Anmeldezeiten, Aktivität) berühren die Mitbestimmung des Betriebsrats.<br />
* '''Grafana Assistant''' (KI) steht seit Grafana 13 auch für selbst gehostete Instanzen bereit, läuft aber als Dienst der Grafana Cloud: Abfragen, Dashboard-Inhalte und Daten gehen an Grafana Labs. Nur nach Prüfung von Vertrag, Standort und Datenarten einsetzen.<br />
<br />
== Hinweise ==<br />
* '''Sicherheitsmeldungen''' von Grafana Labs abonnieren (Security Advisories, Release-Feed auf GitHub) – kritische Lücken werden mit Patch-Versionen für alle unterstützten Linien behoben.<br />
* '''Grafana überwachen''': Erreichbarkeit, Fehler im Log und erfolgreiche Alarmzustellung von außen prüfen.<br />
* Bei Härtung, Überwachung und Sicherheitsprüfung von Monitoring-Plattformen unterstützt Sie das Team [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity von m.a.x. it].<br />
<br />
== Siehe auch ==<br />
* [[Grafana im Unternehmen]] – Überblick und alle Artikel der Reihe<br />
* [[Grafana: Installation mit Docker Compose]]<br />
* [[Grafana: Dashboards als Code mit Provisioning und Git Sync]]<br />
* [[Reverse Proxy]]<br />
<br />
== Links und Quellen ==<br />
* [https://grafana.com/docs/grafana/latest/upgrade-guide/upgrade-v13.0/ Grafana-Dokumentation: Upgrade to Grafana v13.0]<br />
* [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity von m.a.x. it]<br />
<br />
{{Uebermax}}<br />
[[Kategorie:Server-Software]]<br />
</div>imported>TechCorner-Redaktion