Infrastruktur & Security · Methode
Ein Wiederherstellungsplan, der nie ausprobiert wurde, ist kein Plan. Er ist eine Vermutung darüber, wie man sich im Ernstfall verhalten würde — aufgeschrieben von jemandem, der zu diesem Zeitpunkt entspannt war.
Die meisten Heimnetze und kleinen Umgebungen haben Sicherungen. Deutlich weniger haben eine geprüfte Wiederherstellung. Der Unterschied fällt erst auf, wenn er teuer wird.
Der Kern
Nicht die Sicherung zählt, sondern die Rückkehr
Eine Sicherung ist eine Behauptung: „Diese Daten sind woanders vorhanden und lassen sich zurückholen.“ Belegt wird die Behauptung erst durch einen Rückholversuch. Alles davor ist Buchhaltung.
Typische Gründe, warum die Rückkehr scheitert, obwohl die Sicherung lief: Das Archiv ist verschlüsselt und der Schlüssel liegt im ausgefallenen System. Die Sicherung enthält die Datenbankdateien, aber im laufenden Zustand kopiert und damit unbrauchbar. Es fehlt eine Kleinigkeit, die nie im Sicherungsumfang stand — eine Konfigurationsdatei, ein Zertifikat, ein Zugangstoken. Oder das Zurückspielen dauert vier Tage, weil niemand die Übertragungsdauer je hochgerechnet hat.
Zwei Zahlen
Wie viel Verlust, wie viel Stillstand
Wie alt darf der letzte Stand sein?
Bestimmt den Sicherungsabstand. Eine tägliche Sicherung bedeutet: Im schlimmsten Fall ist ein Tag Arbeit weg. Für Fotos mag das gehen, für ein Buchhaltungssystem nicht.
Wie lange darf es dauern?
Bestimmt das Verfahren. Eine Stunde erlaubt ein bereitstehendes Ersatzsystem; drei Tage erlauben das Zurückspielen von einem externen Datenträger. Beides ist legitim — aber nur, wenn die Zahl vorher feststeht.
Beide Werte sind je Dienst verschieden, und das ist der Punkt. Wer sie pauschal für die ganze Anlage festlegt, sichert entweder zu viel oder zu wenig. Ein Medienarchiv und eine Passwortverwaltung haben nichts gemein außer dem Serverraum.
Der Notfallzugang
Der Weg hinein, wenn der übliche Weg tot ist
Je sauberer eine Umgebung gebaut ist, desto abhängiger ist sie von ihren eigenen zentralen Diensten. Anmeldung über einen zentralen Dienst, Geheimnisse aus einem Tresor, Namensauflösung über einen eigenen Server: Fällt eines davon aus, ist unter Umständen auch der Weg zur Reparatur versperrt.
Dagegen hilft ein bewusst außerhalb liegender Notfallzugang — ein Konto, das nicht am zentralen Anmeldedienst hängt, mit einem Zugangsweg, der ohne die ausgefallene Infrastruktur funktioniert. Dieser Zugang ist per Definition eine Schwachstelle, deshalb gehört er eingeschränkt, protokolliert und regelmäßig geprüft.
Die gefährlichste Zeile in jeder Prüfliste
Bei einem Soll-Ist-Abgleich solcher Zugänge entstehen drei Kategorien: geprüft und funktioniert, geprüft und eingeschränkt — und nie getestet, Status unbekannt. Die dritte ist die eigentliche Gefahr, denn sie steht in der Dokumentation genauso da wie die erste. Ein Zugang, dessen Funktion niemand belegt hat, ist im Ernstfall eine Münze.
Die Probe
Was ein echter Test beinhaltet
-
Vom Sicherungsmedium, nicht vom Original
Zurückgespielt wird aus dem Archiv — nicht aus dem noch laufenden System, dessen Daten man bequem danebenliegen hat. Sonst prüft man die Kopierfunktion, nicht die Sicherung.
-
Auf frischer Grundlage
In eine leere Umgebung, nicht über die bestehende Installation. Nur so fällt auf, was im Sicherungsumfang fehlt und bisher unbemerkt vom Altsystem beigesteuert wurde.
-
Mit gestoppter Uhr
Die Dauer wird gemessen und notiert. Sie ist die einzige belastbare Antwort auf die Frage, wie lange ein Ausfall dauert — und meistens deutlich länger als geschätzt.
-
Bis zur fachlichen Prüfung
Ein Dienst, der startet, ist nicht wiederhergestellt. Erst wenn die Daten inhaltlich stimmen — letzte Einträge vorhanden, Verknüpfungen intakt, Anmeldung möglich — war der Test erfolgreich.
-
Von jemandem, der es nicht gebaut hat
Wo möglich. Wer die Anlage errichtet hat, ergänzt unbewusst die Lücken der Anleitung aus dem Gedächtnis. Im Ernstfall steht diese Person vielleicht nicht zur Verfügung.
Rhythmus
Wie oft, ohne dass es zur Last wird
| Was | Abstand | Aufwand |
|---|---|---|
| Einzelne Datei zurückholen | monatlich | Minuten — deckt die häufigsten Alltagsfälle ab |
| Ein Dienst vollständig, auf frischer Grundlage | halbjährlich | ein Nachmittag, reihum ein anderer Dienst |
| Notfallzugänge durchprobieren | halbjährlich | eine Stunde, Ergebnis schriftlich festhalten |
| Vollständiger Ernstfall auf Ersatzgerät | jährlich | ein Tag — der einzige Test, der die Gesamtdauer belegt |
Der Rhythmus ist wichtiger als die Gründlichkeit. Ein knapper Test, der stattfindet, schlägt den vollständigen, der seit zwei Jahren geplant ist.
Werkzeuge
Womit gesichert wird — und was das für den Test bedeutet
Restic, BorgBackup
Quelloffen, verschlüsselt, mit Deduplizierung — beide können gegen entfernte Ziele arbeiten. Wichtig für den Test: Beide bringen eine eigene Prüffunktion mit, die die Unversehrtheit des Archivs bestätigt. Das ist nicht dasselbe wie ein Rückholtest, wird aber gern dafür gehalten.
Proxmox Backup Server
Sichert virtuelle Maschinen und Container samt Zustand und erlaubt Einzeldatei-Wiederherstellung aus dem Abbild. Der große Vorteil im Test: Eine Maschine lässt sich zur Probe daneben starten, ohne das Original anzufassen.
ZFS- oder LVM-Snapshots
Ideal gegen Bedienfehler, weil in Sekunden zurückgedreht. Aber: Ein Snapshot auf demselben Datenträger ist keine Sicherung — er überlebt weder Defekt noch Verschlüsselungstrojaner noch Diebstahl.
Der Sonderfall
Eine im Betrieb weggesicherte Datenbankdatei ist oft unbrauchbar. Nötig ist ein Abzug mit den Bordmitteln der Datenbank (etwa pg_dump) oder eine Sicherung im angehaltenen Zustand. Dieser Fehler fällt ausschließlich beim Rückholtest auf — die Sicherung selbst läuft fehlerfrei durch.
Beispiele
Wo die Rückkehr besonders schwierig ist
| Fall | Die Tücke |
|---|---|
| Passwortverwaltung | Die Wiederherstellung braucht Zugangsdaten, die in ihr liegen. Ein Notfall-Export außerhalb des Systems — ausgedruckt oder auf einem verschlüsselten Stick — ist hier keine Übervorsicht, sondern die Voraussetzung dafür, dass alles andere gelingt. |
| Geheimnis-Tresor (OpenBao, Vault) | Nach dem Zurückspielen ist der Tresor versiegelt. Ohne die Entsiegelungs-Anteile, die naturgemäß nicht darin liegen dürfen, bleibt er es. Ihre Aufbewahrung ist die eigentliche Planungsaufgabe. |
| Verzeichnis- oder Anmeldedienst | Hängen alle anderen Dienste daran, muss er zuerst zurückkommen — und die Reihenfolge der Wiederherstellung ist damit selbst Teil des Plans, nicht Improvisation im Ernstfall. |
| Namensauflösung | Fällt der eigene DNS aus, findet nichts mehr etwas — auch die Wiederherstellungswerkzeuge nicht, wenn sie ihre Ziele über Namen ansprechen. Ein Weg über feste Adressen gehört in den Plan. |
Die Dokumentation
Wo der Plan liegen muss
Eine Wiederherstellungsanleitung, die im Wiki auf dem ausgefallenen Server steht, ist im Ernstfall Teil des Ausfalls. Dasselbe gilt für Zugangsdaten in einer Verwaltung, die selbst betroffen sein könnte, und für Anleitungen, die nur eine Person im Kopf hat.
Was es braucht, ist eine ausgedruckte oder offline verfügbare Fassung an einem bekannten Ort, die den Weg von einem leeren Gerät bis zum laufenden Dienst beschreibt — inklusive der Frage, wo die Sicherungen liegen und wie man an ihre Schlüssel kommt. Kurz genug, dass sie gepflegt wird; vollständig genug, dass sie trägt.
Sicherungen schützen die Daten. Getestete Wiederherstellungen schützen den Betrieb. Das ist nicht dasselbe.
Schreibe einen Kommentar
Du musst angemeldet sein, um einen Kommentar abzugeben.