Ein Backup für zwei Brandabschnitte

4. Oktober 2026

Zwei Serverräume in getrennten Brandabschnitten sind eine gute Ausgangslage. Brennt es in einem, steht der andere noch. Bei einer Bestandsaufnahme vor Kurzem lag die einzige Sicherung trotzdem an einer Stelle, die mit den beiden Räumen nichts zu tun hatte, und einmal am Tag.

Bevor man über Produkte spricht, lohnt sich ein Zielbild. So skizzieren wir es für Umgebungen mit zwei Räumen, meistens am Whiteboard.

Die Regel dahinter

3-2-1-1-0: drei Kopien der Daten, auf zwei verschiedenen Medien, eine davon außer Haus, eine offline oder unveränderbar, und null Fehler bei der Prüfung. Die letzte Null ist die wichtigste. Eine Sicherung, deren Wiederherstellung nie getestet wurde, ist eine Annahme. Wie das ausgehen kann, steht in Die leere Platte im Tresor .

Das Zielbild in sechs Punkten

1. Je Raum ein unveränderbares Repository. Ein gehärtetes Linux-Repository, oft auf Hardware, die ohnehin im Haus steht. Unveränderbar heißt: Auch wer Administratorrechte erbeutet, kann die Sicherungen für eine festgelegte Zeit nicht löschen.
2. Über Kreuz sichern. Die Systeme aus Raum 1 sichern in Raum 2, die aus Raum 2 in Raum 1. Brennt ein Raum, liegt seine Sicherung im anderen.
3. Jede Sicherung in beiden Räumen. Zusätzlich zur Kreuzsicherung eine Kopie in den jeweils anderen Brandabschnitt. Dann ist jeder Stand doppelt vorhanden, egal welcher Raum ausfällt.
4. Eine Kopie an einen dritten Ort. Zwei Räume im selben Gebäude schützen vor einem Brand, nicht vor allem, was ein ganzes Gelände trifft.
5. Band für die langen Stände. Wochen-, Monats- und Jahresstände auf Band, im feuerfesten Schrank oder außer Haus. Tagesbänder lassen wir weg. Sie werden erfahrungsgemäß vergessen, und für den gestrigen Stand gibt es die Repositories.
6. Ein eigenes Netz für das Backup. Ein eigenes, nicht geroutetes VLAN nur für den Backup-Verkehr. Keine Firewall im Datenpfad, die bei großen Sicherungen in die Knie geht. 10 Gigabit reichen meistens, auch wenn mehr ginge.

Was oft vergessen wird

• Der Schlüssel. Sicherungen werden verschlüsselt, der Schlüssel gehört außerhalb der Umgebung, die er schützt. Sonst brennt er mit.
• RPO und RTO je System. Wie viel Datenverlust ist für welches System erträglich, und wie lange darf die Wiederherstellung dauern? Eine einmal tägliche Sicherung ist für den Dateiserver vielleicht zu wenig und für einen Testserver zu viel.
• Einzelwiederherstellung. Wer nur ganze Maschinen zurückholen kann, wartet für ein einzelnes Postfach oder einen gelöschten Benutzer eine Nacht. Anwendungskonsistente Sicherungen mit Einzelwiederherstellung sparen genau diese Nacht.
• Die Sicherung der Sicherung. Die Konfiguration der Backup-Software selbst gehört gesichert, sonst richtet man im Ernstfall alles von Hand neu ein. Mehr dazu in Der Backup-Server sichert sich nicht selbst .

Die Reihenfolge

Ein neues Backup ersetzt ein altes erst, wenn es läuft und eine Wiederherstellung getestet ist. Vorher wird nichts gekündigt und nichts abgeschaltet. Das klingt selbstverständlich. In der Praxis ist es der Schritt, der unter Zeitdruck am liebsten übersprungen wird.