Grafana: Absichern, Backup und Updates

Auf einen Blick

Gilt für	Grafana 12.4 und 13.x (OSS bzw. kostenlose Enterprise-Edition), Docker oder Paketinstallation; Prometheus und Loki im selben Betrieb
Bereich	Server-Software
Dauer	Härtung ca. 1 Stunde; Backup-Einrichtung ca. 30 Minuten; Update auf Grafana 13 je nach Umgebung 1–2 Stunden
Rechte	Root auf dem Server, Grafana-Serveradministrator
Stand	Oktober 2026

Grafana absichern, sichern und aktualisieren wird oft vernachlässigt, weil „nur Diagramme“ darauf laufen. Tatsächlich verwaltet Grafana Zugangsdaten zu Datenbanken, Monitoring- und SIEM-Systemen, Benachrichtigungswege und eine detaillierte Sicht auf die gesamte Infrastruktur – ein wertvolles Ziel für Angreifer. Grafana veröffentlicht mindestens monatlich Patch-Versionen, bei schweren Lücken auch außerplanmäßig. Diese Anleitung fasst die Härtung, die Datensicherung, den Update-Ablauf mit den Besonderheiten von Grafana 13 und Hinweise zum Datenschutz zusammen.

Grafana absichern und sichern: nur über Reverse Proxy mit HTTPS, intern oder per VPN; SSO mit Entra ID und Mehr-Faktor-Anmeldung, Registrierung und anonymer Zugriff aus, Dienstkonten mit Ablauf; Datenquellen mit Lesekonten, Plugins sparsam, Telemetrie aus; Backup der Datenbank (PostgreSQL-Dump bzw. grafana.db), des Datenordners, der Provisioning-Dateien und Geheimnisse; Support: Minor-Version 9 Monate, letzte Minor einer Hauptversion 15 Monate; Grafana 13: Datenbank-Backup vor dem Update, Plugins vorher aktualisieren, grafana cli statt grafana-cli, Image Renderer als eigener Dienst, Datenquellen-API per UID.

Schritt 1: Zugriff absichern

• Erreichbarkeit: Grafana nur hinter einem Reverse Proxy mit HTTPS betreiben, möglichst nur intern bzw. per VPN. Prometheus, Loki und Alloy-Oberflächen nie ins Internet stellen – sie haben ohne Zusatz keine Anmeldung.
• Anmeldung: SSO mit Entra ID und Mehr-Faktor-Anmeldung, Selbstregistrierung und anonymen Zugriff ausschalten, Standard-Administrator mit langem Zufallspasswort nur als Notfallzugang, siehe Grafana: Benutzer, Rechte und Anmeldung mit Entra ID.
• Brute-Force-Schutz: Grafana sperrt Konten nach wiederholten Fehlversuchen vorübergehend; hinter dem Proxy die echte Client-IP weitergeben.
• Dienstkonten mit minimaler Rolle und Token-Ablauf; nicht benötigte Token löschen.
• Öffentliche Dashboards und das Einbetten in andere Seiten (allow_embedding) nur bewusst aktivieren.

Schritt 2: Konfiguration härten

Einstellung (Umgebungsvariable)	Empfehlung	Wirkung
GF_SECURITY_COOKIE_SECURE	true	Sitzungs-Cookie nur über HTTPS
GF_SECURITY_DISABLE_GRAVATAR	true	keine Abrufe von Profilbildern bei Gravatar
GF_ANALYTICS_REPORTING_ENABLED	false	keine Nutzungsstatistik an Grafana Labs
GF_ANALYTICS_CHECK_FOR_UPDATES	je nach Richtlinie	Versionsprüfung beim Hersteller; zeigt verfügbare Updates an
GF_USERS_ALLOW_SIGN_UP / GF_AUTH_ANONYMOUS_ENABLED	false	keine Fremdkonten, kein anonymer Zugriff
GF_SECURITY_CONTENT_SECURITY_POLICY	true	zusätzlicher Schutz gegen eingeschleuste Skripte

• Datenquellen immer mit Lesekonten anbinden; Editoren können über Explore beliebige Abfragen ausführen.
• Plugins: nur signierte, gepflegte Plugins; nicht genutzte entfernen. Der Grafana Advisor meldet veraltete Plugins.
• Geheimnisse (Datenbankpasswort, Client-Secret, SMTP) über __FILE-Variablen aus Dateien laden, nicht in die Compose-Datei schreiben.

Schritt 3: Grafana-Backup

Teil	Inhalt	Sicherung
Datenbank	Dashboards, Ordner, Benutzer, Teams, Alarmregeln, Kontaktpunkte, Datenquellen (Geheimnisse verschlüsselt)	PostgreSQL: pg_dump; SQLite: grafana.db bei gestopptem Dienst bzw. mit sqlite3 .backup
Datenordner /var/lib/grafana	Plugins, bei SQLite die Datenbank	Dateisicherung
Konfiguration	grafana.ini bzw. Compose-Datei, Provisioning-Ordner, Geheimnisse	Dateisicherung, Provisioning zusätzlich in Git
Schlüssel	secret_key bzw. Verschlüsselungsschlüssel der Datenquellen-Passwörter	ohne ihn sind gespeicherte Zugangsdaten unbrauchbar

cd /opt/grafana
docker compose exec -T db pg_dump -U grafana -Fc grafana > backup/grafana-$(date +%F).dump
tar czf backup/grafana-config-$(date +%F).tgz compose.yaml provisioning secrets

• Täglich per Cron, verschlüsselt außer Haus, siehe Datensicherung.
• Prometheus- und Loki-Daten sind Messwerte mit begrenzter Aufbewahrung; ob sie gesichert werden müssen, hängt vom Zweck ab. Konfiguration und Regeln aber immer sichern.
• Wiederherstellung testen: neue Instanz derselben Version, Dump einspielen, Anmeldung und Alarme prüfen.

Schritt 4: Updates und Versionen

• Rhythmus: Minor-Versionen alle zwei Monate, Hauptversion einmal im Jahr (Grafana 13: April 2026), Patch-Versionen mindestens monatlich.
• Support: Jede Minor-Version erhält 9 Monate Patches, die letzte Minor-Version einer Hauptversion 15 Monate. Wer selten aktualisieren will, bleibt auf der letzten Minor-Version einer Hauptversion (z. B. 12.4) und spielt deren Patches ein.
• Ablauf: Backup → Release Notes lesen → Plugins aktualisieren → Grafana-Version anheben → Funktion prüfen.

Besonderheiten beim Update auf Grafana 13:

Änderung	Maßnahme
Ordner und Dashboards werden beim ersten Start in einen neuen Speicher („Unified Storage“) migriert	vorher Datenbank sichern; ein Rückschritt auf Version 12 geht nur mit dem Backup
Wechsel auf React 19	zuerst auf den neuesten Patch der aktuellen Version und alle Plugins aktualisieren
grafana-cli und grafana-server entfernt	Skripte, systemd-Units und Container-Startbefehle auf grafana cli bzw. grafana server umstellen
Image-Renderer-Plugin entfällt	Image Renderer als eigenen Dienst betreiben, [rendering] renderer_token setzen
Datenquellen-API über numerische ID abgeschaltet	Skripte auf UID umstellen
ältere Alertmanager-APIs eingeschränkt	Automatisierung auf die neuen /apis-Schnittstellen umstellen
13.0.0 zurückgezogen (Git-Sync-Fehler)	direkt auf den aktuellen Patch (z. B. 13.2.4) aktualisieren

• Mit SQLite kann die Migration an Datenbanksperren scheitern; dann die Einstellungen migration_parquet_buffer bzw. migration_cache_size_kb im Abschnitt [unified_storage] nutzen – oder vorher auf PostgreSQL wechseln.

Datenschutz

• Dashboards und Logs enthalten oft personenbezogene Daten: Benutzernamen in Anmeldelogs, IP-Adressen, Rechnernamen. Loki-Aufbewahrung entsprechend begrenzen und den Zugriff auf Log-Dashboards einschränken, siehe DSGVO.
• Auswertungen über Mitarbeitende (Anmeldezeiten, Aktivität) berühren die Mitbestimmung des Betriebsrats.
• Grafana Assistant (KI) steht seit Grafana 13 auch für selbst gehostete Instanzen bereit, läuft aber als Dienst der Grafana Cloud: Abfragen, Dashboard-Inhalte und Daten gehen an Grafana Labs. Nur nach Prüfung von Vertrag, Standort und Datenarten einsetzen.

Hinweise

• Sicherheitsmeldungen von Grafana Labs abonnieren (Security Advisories, Release-Feed auf GitHub) – kritische Lücken werden mit Patch-Versionen für alle unterstützten Linien behoben.
• Grafana überwachen: Erreichbarkeit, Fehler im Log und erfolgreiche Alarmzustellung von außen prüfen.
• Bei Härtung, Überwachung und Sicherheitsprüfung von Monitoring-Plattformen unterstützt Sie das Team Cybersecurity von m.a.x. it.

Siehe auch

• Grafana im Unternehmen – Überblick und alle Artikel der Reihe
• Grafana: Installation mit Docker Compose
• Grafana: Dashboards als Code mit Provisioning und Git Sync
• Reverse Proxy

Links und Quellen

• Grafana-Dokumentation: Upgrade to Grafana v13.0
• Cybersecurity von m.a.x. it

Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung? Kontakt aufnehmen