ANAS-Backup nach 3-2-1: externe Platte, zweites NAS, Cloud

Warum RAID kein Backup ist

RAID 1 oder SHR mit zwei Platten übersteht den Ausfall einer Festplatte, weil beide Platten dieselben Daten tragen. Löschst du eine Datei, ist sie auf beiden Platten weg; verschlüsselt ein Trojaner deine Fotos, sind beide Platten verschlüsselt. Synology schreibt dazu: „RAID (classic and SHR) is not a backup solution.“ (Synology, SHR). Auch Snapshots auf demselben NAS ersetzen kein Backup. QNAP weist darauf hin, dass sie verloren gehen, wenn die NAS-Hardware oder die Festplatten beschädigt werden (QNAP, How data is protected by snapshots and resists ransomware).

Die 3-2-1-Regel

Das BSI empfiehlt in seinen Hilfsmitteln zum Notfallmanagement eine 3-2-1-Regel: drei aktuelle Versionen wichtiger Dateien auf zwei verschiedenen Medien und an mindestens einem weiteren Ort (BSI, Vorschläge zu Business-Continuity-Strategien (Hilfsmittel zum BSI-Standard 200-4), Abschnitt 3.1). Das Dokument richtet sich an Organisationen; für Zuhause gilt der Kern genauso. In seinen Ratschlägen für Verbraucher rät das BSI, das Backup räumlich getrennt vom PC aufzubewahren (BSI, Datensicherung – wie geht das?), bei Gefahr durch Hochwasser oder Löschwasser auch außerhalb der eigenen vier Wände (BSI, Datensicherung – Schritt für Schritt erklärt).

Für dein NAS heißt das (Einschätzung der Redaktion):

• Kopie 1: deine Daten auf dem NAS. Das RAID zählt dabei als eine Kopie, nicht als zwei.
• Kopie 2: ein Backup auf einem anderen Medium, etwa einer externen Festplatte.
• Kopie 3: ein Backup außer Haus: zweite externe Festplatte bei Familie oder im Büro, zweites NAS oder Cloud-Speicher.

Drei Wege zur Kopie außer Haus

Mehrere Varianten lassen sich kombinieren, etwa externe Festplatte zu Hause und Cloud für die Kopie außer Haus. Wie viel Platz das Backup braucht, hängt von der Zahl der Versionen ab; mit dem Speicherbedarf-Rechner schätzt du die Menge deiner Daten ab. Für die externe Festplatte gilt dasselbe wie im NAS: Größe und Aufzeichnungsverfahren stehen im Datenblatt (NAS-Festplatten).

Schutz vor Verschlüsselungstrojanern

Ein Verschlüsselungstrojaner (Ransomware) macht Dateien unlesbar und verlangt Lösegeld. Unsere Einschätzung: Gefährdet ist alles, worauf er von einem befallenen Rechner aus schreiben kann, also auch Netzlaufwerke und angesteckte Festplatten. Das BSI schreibt, im Vorhinein sei sicherzustellen, dass Datensicherungen nicht mitverschlüsselt werden können (BSI, Vorschläge zu Business-Continuity-Strategien (Hilfsmittel zum BSI-Standard 200-4), Abschnitt 3.1). Vier Bausteine helfen, mit Herstellerangaben:

• Versionen: Ein Backup mit mehreren Versionen behält ältere Stände. Synology Hyper Backup bewahrt laut Synology bis zu 65.535 Versionen auf und löscht alte nach Regeln, etwa „Smart Recycle“ mit je einer Version pro Stunde, Tag und Woche (Synology, Hyper Backup Technical Specifications (DSM 7.2)). Wird eine Datei verschlüsselt, holst du einen Stand von vorher zurück, solange die Version noch da ist.
• Snapshots: Ein Snapshot hält den Zustand eines Ordners zu einem Zeitpunkt fest. Synology nennt für Snapshot Replication Snapshots von freigegebenen Ordnern auf Btrfs-Volumes, bis zu alle 5 Minuten (Synology, Snapshot Replication Technical Specifications (DSM 7.2)). QNAP beschreibt, dass du nach einem Befall einen Zeitpunkt vor der Infektion wählst (QNAP, How data is protected by snapshots and resists ransomware). Snapshots liegen aber auf denselben Platten; sie ersetzen kein Backup.
• Unveränderliche Kopien: Synology bietet seit DSM 7.2 unveränderliche Snapshots („Immutable Snapshots“); laut Synology schützen sie auch dann, wenn Administrator-Zugangsdaten in fremde Hände geraten (Synology, DSM 7.2 (Immutable Snapshots)). Die Funktion gibt es nur auf bestimmten Modellen; die Liste führt Synology (Synology, Modelle mit WriteOnce und Immutable Snapshots).
• Offline-Kopie: Das BSI rät, das Speichermedium außerhalb der Sicherung vom Gerät zu trennen, damit Schadsoftware oder Defekte nicht auch die Datensicherung schädigen (BSI, Datensicherung – Schritt für Schritt erklärt). Eine abgezogene Festplatte kann kein Trojaner erreichen.

Prüfe im Datenblatt deines NAS, welche dieser Funktionen dein Modell hat. Ob ein bestimmtes Modell Btrfs-Snapshots oder unveränderliche Snapshots unterstützt, steht beim Hersteller. Unsere Einschätzung: Für Zuhause reichen Versionen im Backup plus eine abgezogene Festplatte, die außer Haus liegt, meist aus; unveränderliche Snapshots sind eine zusätzliche Absicherung.

Stromausfall und Platten

Ein Backup schützt vor Datenverlust, ein sauberes Herunterfahren bei Stromausfall beugt ihm vor: Eine USV gibt dem NAS dafür Zeit; mehr dazu im Ratgeber USV für NAS. Welche Platten ins NAS gehören, zeigt NAS-Festplatten.

Prüfliste: Wiederherstellung testen

Ein Backup ist erst etwas wert, wenn du daraus wiederherstellen kannst. Geh die Liste nach dem Einrichten einmal durch und danach regelmäßig:

1. Einzelne Datei zurückholen: Stell eine Datei aus dem Backup an einem anderen Ort wieder her und öffne sie. Das BSI schreibt dazu: Du musst sicherstellen, dass du die Daten auch wieder einspielen kannst.
2. Ältere Version finden: Hol eine Datei im Stand von vor einer Woche zurück, aus einer Backup-Version oder einem Snapshot.
3. Ohne das NAS: Prüfe, ob du an die Kopie auch kommst, wenn das NAS kaputt ist: Wie liest du die externe Festplatte oder das Cloud-Backup an einem anderen Rechner? Notiere den Weg.
4. Passwort und Schlüssel: Ist das Backup verschlüsselt, liegt das Passwort an einem sicheren Ort außerhalb des NAS. Ohne Schlüssel ist ein verschlüsseltes Backup wertlos.
5. Vollständigkeit: Vergleiche Ordner und Größe im Backup mit dem Original. Prüfe, ob neue Freigaben auch im Backup-Auftrag stehen; je nach Einstellung landen sie dort nicht von selbst.
6. Protokoll und Integrität: Lies die Meldungen der Backup-App. Synology nennt für Hyper Backup eine Integritätsprüfung, die beschädigte ältere Versionen erkennt.
7. Wiederholen: Wiederhole den Test regelmäßig, zum Beispiel alle drei Monate und nach jedem großen Update (Einschätzung der Redaktion).

Häufige Fragen

Reicht ein NAS mit RAID 1 als Backup für meinen PC?

Als zweite Kopie deiner PC-Daten ja, denn PC und NAS sind zwei Medien. Damit ein Trojaner auf dem PC nicht auch die Kopie verschlüsselt, brauchst du auf dem NAS Versionen oder Snapshots, die er vom PC aus nicht verändern kann (Einschätzung der Redaktion). Für die Daten, die nur auf dem NAS liegen, etwa dein Fotoarchiv, ist das NAS aber die einzige Kopie. Die brauchen ein eigenes Backup.

Wie oft soll ich sichern?

Das BSI schreibt, das hänge davon ab, wie oft du den Rechner nutzt und welche Daten du brauchst (BSI, Datensicherung – wie geht das?). Unsere Einschätzung: Automatische Backups auf ein zweites NAS oder in die Cloud täglich, die externe Festplatte mindestens wöchentlich und nach großen Fotoimporten.

Brauche ich für das Backup genauso große Platten?

Mindestens so viel Platz, wie deine Daten belegen, mit mehreren Versionen mehr. Den Bedarf schätzt du im Speicherbedarf-Rechner ab.

Quellen

• BSI, Vorschläge zu Business-Continuity-Strategien (Hilfsmittel zum BSI-Standard 200-4), Abschnitt 3.1
• BSI, Datensicherung – wie geht das?
• BSI, Datensicherung – Schritt für Schritt erklärt
• Synology, SHR
• QNAP, How data is protected by snapshots and resists ransomware
• Synology, Hyper Backup Technical Specifications (DSM 7.2)
• Synology, Snapshot Replication Technical Specifications (DSM 7.2)
• Synology, DSM 7.2 (Immutable Snapshots)
• Synology, Modelle mit WriteOnce und Immutable Snapshots