# Disaster Recovery: Wenn das Backup zur Lebensversicherung wird

TL;DR / Management Summary Ein Backup, das nicht getestet wurde, ist kein Backup. In diesem Modul verlassen wir die Welt der simplen Datei-Kopien und bauen eine Enterprise-Backup-Strategie nach der 3-2-1 Regel: 3 Kopien, 2 verschiedene Medien, 1 Kopie außer Haus. Wir setzen auf moderne Tools wie Restic oder BorgBackup, die Deduplizierung und Verschlüsselung nativ beherrschen.

# 1. Einführung & Konzepte

Strategie vor Technik.

# Die 3-2-1 Regel

1. 3 Kopien: Originaldaten + 2 Backups.
2. 2 Medien: Z.B. Disk und Cloud/Tape.
3. 1 Offsite: Ein Backup muss physisch an einem anderen Ort liegen (Schutz vor Brand/Diebstahl).

# RPO & RTO

• RPO (Recovery Point Objective): Wie viel Datenverlust ist akzeptabel? (Z.B. “Letztes Backup vor 24h”).
• RTO (Recovery Time Objective): Wie lange darf der Wiederaufbau dauern? (Z.B. “Server muss in 2h wieder laufen”).

graph TD
    A[Produktions-Daten] -->|Deduplizierung| B[Lokaler Backup-Server / NAS]
    B -->|Sync / S3| C[Cloud Storage / Offsite]
    B -->|Tape / Cold| D[Offline-Medium]
    subgraph "DR Test"
        C -->|Restore| E[Dev/Test Environment]
    end

# 2. Tools im Vergleich

Das richtige Werkzeug wählen.

# 3. Praxis: Backup mit Restic

Verschlüsselt und effizient.

# Repo initialisieren (lokal oder S3)

export RESTIC_REPOSITORY=/mnt/backup/repo
export RESTIC_PASSWORD=mein_geheimer_schlüssel
restic init

# Backup durchführen

# Sichert /etc und /home, schließt Caches aus
restic backup /etc /home --exclude-file=.restic-ignore

# 4. Day-2 Operations: Restore & Maintenance

Der Ernstfall.

# Daten wiederherstellen

# Zeige alle Snapshots
restic snapshots

# Restore eines Snapshots in ein Zielverzeichnis
restic restore <id> --target /tmp/restore-test

# Repo-Pflege

Backups müssen rotiert werden, um Disk-Space zu sparen.

# Behalte die letzten 7 täglichen, 4 wöchentlichen und 6 monatlichen Backups
restic forget --keep-daily 7 --keep-weekly 4 --keep-monthly 6 --prune

# 5. Troubleshooting & “War Stories”

Wenn die Rettung hakt.

# Story 1: “Das verschlüsselte Nichts”

Symptom: Das Backup läuft seit 2 Jahren fehlerfrei, aber beim Restore-Test ist das Passwort weg. Ursache: Das Passwort lag nur im Kopf des Ex-Mitarbeiters. Lösung: Nutzen Sie einen Passwortmanager für Teams (Bitwarden/Vault) und drucken Sie den Master-Key für den physischen Safe aus.

# Story 2: “Ransomware im Backup”

Symptom: Der Server wurde verschlüsselt, und das Backup-Verzeichnis ebenfalls. Ursache: Der Backup-Server war permanent gemountet (Write-Zugriff für den Client). Lösung: Nutzen Sie Immutable Backups (S3 Object Lock) oder Pull-Backups, bei denen der Client keinen Schreibzugriff auf das Backup-Ziel hat.

# 6. Fazit & Empfehlung

• Automation: Nutzen Sie Systemd-Timer für regelmäßige Backups.
• Validierung: Führen Sie quartalsweise einen Restore-Drill durch. Bauen Sie das System komplett neu auf – nur so wissen Sie, ob Ihre Doku und Ihre Backups stimmen.
• Wahl: Nutzen Sie Restic für Filesystem-Backups und Proxmox Backup Server (PBS) für ganze VMs.

# Anhang: Cheatsheet