Bei einem Online-Backup überträgt ein Sicherungsprogramm Kopien Ihrer Daten über das Internet in ein Rechenzentrum. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) nennt solche Online-Lösungen im IT-Grundschutz-Baustein CON.3 Datensicherungskonzept ausdrücklich als mögliches Speichermedium für Datensicherungen, neben Storage-Systemen, Bandlaufwerken und externen Festplatten.
Dieser Beitrag erklärt, wie ein Online-Backup technisch abläuft und wie Sie prüfen, ob Ihre Internetleitung dafür reicht. Wie Sie einen Anbieter auswählen und was im Vertrag stehen sollte, lesen Sie im Beitrag Cloud-Backup in Deutschland. Wie ein Dienstleister die Datensicherung im laufenden Betrieb übernimmt, beschreibt der Beitrag Backup Managed Service.
Was ein Online-Backup ist und was nicht
Ein Online-Backup legt eigenständige Kopien Ihrer Daten an und bewahrt ältere Stände für einen Zeitraum auf, den Sie festlegen. Zwei Verfahren sehen ähnlich aus, sind aber keine Datensicherung:
- Synchronisation: Dienste wie OneDrive halten Dateien auf mehreren Geräten gleich, auch beim Löschen. Löschen Sie eine nur online verfügbare Datei auf Ihrem Gerät, wird sie laut Microsoft auf allen Geräten und online gelöscht (Microsoft Support).
- Spiegelung (RAID): Das BSI versteht Datenspiegelungen über RAID-Systeme nicht als Datensicherung, weil die gespiegelten Daten gleichzeitig verändert werden. Eine Spiegelung hilft bei einem defekten Datenträger, aber nicht gegen versehentliches Überschreiben oder Schadsoftware (CON.3, Abschnitt 1.1).
So läuft ein Online-Backup ab
Die Einzelheiten hängen vom Produkt ab. Am Beispiel von Azure Backup, dem Sicherungsdienst von Microsoft, lässt sich der Ablauf gut nachvollziehen (Microsoft Learn: Architektur von Azure Backup):
- Einrichten: Auf dem Server wird ein Sicherungsprogramm, ein sogenannter Agent, installiert. Sie legen fest, was gesichert wird, wann die Sicherung läuft und wie lange die Stände aufbewahrt werden. Zeitplan und Aufbewahrung bilden bei Microsoft zusammen die Sicherungsrichtlinie.
- Erstsicherung: Der erste Lauf ist eine vollständige Sicherung der ausgewählten Daten.
- Folgesicherungen: Danach überträgt der Agent nur noch, was sich geändert hat. Beim Agent für Windows-Server, dem MARS-Agent, werden diese Daten vor dem Versand komprimiert und verschlüsselt.
- Aufbewahrung: Die Sicherungen liegen in einem Tresor im Rechenzentrum. Die Richtlinie bestimmt, wie lange jeder Stand erhalten bleibt.
- Wiederherstellung: Bei Bedarf holen Sie einzelne Dateien oder ganze Datenbestände über die Leitung zurück.
Für die Sicherungsart unterscheidet Microsoft drei Verfahren:
| Sicherungsart | Was gespeichert wird | Hinweis laut Microsoft |
|---|---|---|
| Vollständig | die gesamte Datenquelle | braucht mehr Netzwerkbandbreite als die anderen Verfahren |
| Differenziell | alle Blöcke, die sich seit der ersten vollständigen Sicherung geändert haben | geänderte Blöcke werden bis zur nächsten Vollsicherung immer wieder übertragen |
| Inkrementell | nur die Blöcke, die sich seit der vorherigen Sicherung geändert haben | hohe Speicher- und Netzwerkeffizienz; Azure Backup nutzt es außer bei SQL-Server-Datenbanken |
Die Erstsicherung: vorher rechnen
Die erste vollständige Sicherung ist der größte Transfer. Das BSI empfiehlt in CON.3.A9, Sicherungssystem und Netzanbindung so zu bemessen, dass die zulässigen Sicherungs- und Wiederherstellungszeiten nicht überschritten werden. Eine Überschlagsrechnung zeigt, worauf es ankommt.
Rechenbeispiel: 1 Terabyte (TB) entspricht 8.000.000 Megabit. Bei einer Upload-Geschwindigkeit von 50 Megabit pro Sekunde (Mbit/s) dauert die reine Übertragung 160.000 Sekunden, also gut 44 Stunden. Die Rechnung setzt voraus, dass die gesamte Upload-Bandbreite nur der Sicherung zur Verfügung steht. Teilen sich Sicherung und Tagesgeschäft die Leitung, dauert es entsprechend länger.
Für große Datenmengen gibt es bei manchen Diensten einen anderen Weg. Azure Backup kann die erste vollständige Sicherung zum Beispiel auf Datenträgern in ein Azure-Rechenzentrum bringen; danach laufen die inkrementellen Sicherungen online weiter. Microsoft rät zu diesem Weg, wenn begrenzte Bandbreite oder große Datenmengen die erste Online-Sicherung mehrere Tage dauern ließen (Microsoft Learn: Offlinesicherung). Fragen Sie Ihren Anbieter, ob er etwas Vergleichbares anbietet.
Die Wiederherstellung über die Leitung einplanen
Für die Rücksicherung zählt die Download-Geschwindigkeit. Dieselbe Rechnung mit 250 Mbit/s ergibt für 1 TB rund 32.000 Sekunden, also knapp neun Stunden reine Übertragungszeit. Danach müssen Systeme noch gestartet und geprüft werden.
Vergleichen Sie diese Zeit mit Ihrer geforderten Wiederanlaufzeit. Das BSI nennt sie Recovery Time Objective (RTO): der Zeitraum vom Ausrufen des Notfalls bis zur geforderten Inbetriebnahme der Notfall-Lösung (BSI-Glossar zum Standard 200-4). Wie Sie RTO und den maximal zulässigen Datenverlust je Anwendung festlegen, beschreibt der Beitrag Backup Managed Service.
Reicht die Leitung für den Ernstfall nicht, gibt es zwei Ansätze:
- Zusätzliche Kopie vor Ort: Das BSI empfiehlt eine 3-2-1-Regel: drei aktuelle Versionen wichtiger Dateien auf zwei verschiedenen Medien und an mindestens einem weiteren Ort (BSI, Vorschläge zu BC-Strategien). Eine Sicherung im eigenen Haus hängt nicht von der Internetleitung ab; das Online-Backup ist dann der weitere Ort.
- Andere Rückwege: Fragen Sie, ob der Anbieter große Datenmengen auch auf Datenträgern ausliefert und was das kostet.
Das BSI nennt ein weiteres Risiko: Ungünstige Vertragsbedingungen können dazu führen, dass Online-Sicherungen im Notfall nicht kurzfristig verfügbar sind (CON.3, Abschnitt 2.6).
Was ein Online-Backup nicht von selbst löst
- Schutz der Sicherungen: Nach CON.3.A14 müssen Sicherungen vor unbefugtem Zugriff geschützt sein und dürfen nicht absichtlich oder unbeabsichtigt überschrieben werden können. Viele Ausprägungen von Erpressungssoftware (Ransomware) suchen laut BSI nach Netzlaufwerken mit Schreibzugriff (CON.3, Abschnitt 2.10). Wir empfehlen, die Zugänge zur Sicherung von den übrigen Administratorkonten zu trennen.
- Schlüssel: Ist eine Sicherung verschlüsselt und geht der Schlüssel mit verloren, lassen sich die Daten nicht wiederherstellen (CON.3, Abschnitt 2.8). Bei erhöhtem Schutzbedarf sollen die Schlüssel laut BSI mit einer getrennten Datensicherung geschützt werden (CON.3.A13).
- Tests: Nach CON.3.A15 muss regelmäßig getestet werden, ob gesicherte Daten einwandfrei und in angemessener Zeit zurückgespielt werden können. Die Meldung „Sicherung erfolgreich“ ersetzt diesen Test nicht. Wie Sie Ziele, Rhythmus und Tests festlegen, zeigt unser Beitrag Backup-Plan erstellen.
- Daten, die schon in der Cloud liegen: Auch bei Diensten wie Microsoft 365 bleiben Sie nach dem Modell der geteilten Verantwortung von Microsoft für Ihre Daten zuständig (Microsoft Learn). Entscheiden Sie deshalb gesondert, ob und wie Sie diese Daten sichern. Was Microsoft 365 und Azure dabei selbst abdecken, beschreibt unser Beitrag Cloud-Backup mit Microsoft.
Prüffragen vor dem Start
- Welche Datenmenge ist zu sichern, und wie viel ändert sich pro Tag?
- Wie schnell sind Upload und Download Ihrer Leitung, und wie lange dauern Erstsicherung und vollständige Wiederherstellung rechnerisch?
- Ist die tägliche Änderung übertragen, bevor der nächste Lauf beginnt? Das BSI beschreibt als Gefährdung, dass eine Sicherung noch nicht beendet ist, wenn die nächste startet (CON.3, Abschnitt 2.9).
- Gibt es eine Erstsicherung auf Datenträgern und einen Rückweg auf Datenträgern?
- Wie lange werden Stände aufbewahrt, und wer darf sie löschen?
- Wo liegt der Schlüssel, und kommen Sie an ihn heran, wenn Ihre eigenen Server ausgefallen sind?
- Wann ist der erste Wiederherstellungstest geplant?
Online-Backup mit der GSL Groß GmbH besprechen
Die GSL Groß GmbH betreut kleine und mittelständische Unternehmen in Rheinland-Pfalz und Hessen von Idar-Oberstein aus; im Raum Darmstadt arbeitet sie dafür mit einem Partnersystemhaus zusammen. Mit unseren Managed Services übernehmen wir den laufenden Betrieb Ihrer IT zum monatlichen Festpreis. Zu unseren Cloud-Lösungen gehören Microsoft 365 und Azure.
Sie möchten wissen, ob ein Online-Backup zu Ihrer Datenmenge und Ihrer Leitung passt? Sprechen Sie uns an.