Erfahren Sie, wie Sie Ihre Backups offsite speichern und Ransomware sowie Ausfälle effektiv vermeiden können. Schützen Sie Ihre Daten jetzt!
Sichern Sie Backups offsite nach dem 3-2-1-1-0-Prinzip: eine lokale Kopie für schnelles Restore, eine Replikation zu einem externen Ziel und mindestens eine unveränderliche Kopie, die kein Angreifer mit gestohlenen Zugangsdaten löschen kann. Drei Dinge sollten Sie diese Woche noch erledigen:
Diese Struktur schützt gleichzeitig vor Ransomware, die sich lateral durchs Netzwerk bewegt, und vor Bränden, Diebstahl oder einem Totalausfall des Hosting-Rechenzentrums.
Eine widerstandsfähige Offsite-Strategie kombiniert eine lokale Kopie, eine externe Replikation und eine unveränderliche Sicherung mit automatisierter, regelmäßig getesteter Verifikation.
| Thema | Details |
|---|---|
| 3-2-1-1-0 als Grundgerüst | Drei Kopien, zwei Medientypen, eine offsite, eine unveränderlich, null Verifikationsfehler anstreben. |
| Zugriffstrennung | Separate Credentials und API-Tokens für Backup-Systeme verhindern Löschung durch kompromittierte Produktivkonten. |
| Object Lock mit Vorsicht nutzen | Bei PBS 4.2 verhindert ein Zwei-Bucket-Workaround Inkonsistenzen bei der Garbage Collection. |
| Restore-Übungen einplanen | Quartalsweise komplette Wiederherstellungstests statt reiner Backup-Kontrolle liefern belastbare RTO/RPO-Werte. |
| Hosting-Basis wählen | Nexthosting bietet VPS- und Dedicated-Server mit deutschem Standort als Grundlage für lokale Kopien in einer hybriden Backup-Architektur. |
Ein Offsite-Backup liegt physisch oder logisch getrennt vom Produktivsystem, an einem anderen Standort, in einem anderen Rechenzentrum oder bei einem anderen Anbieter. Das unterscheidet sich von einem reinen Off-Cluster- oder Off-Host-Backup, das zwar auf einer anderen Maschine liegt, aber im selben Netzwerksegment erreichbar bleibt und damit bei einem Angriff mitgefährdet ist.
Gängige Varianten sind Cloud-Objektspeicher wie S3-kompatible Dienste, ein zweiter Proxmox Backup Server an einem anderen Standort, ein NAS beim Betreiber selbst oder physische Medien wie Tape und externe Festplatten. Offsite wird immer dann nötig, wenn ein einzelner Standort als Single Point of Failure gilt, was bei jedem produktiven Gameserver, VPS oder Dedicated Server der Fall ist.
Offsite-Kopien schützen vor drei konkreten Szenarien: Brand oder Wasserschaden im Rechenzentrum, Diebstahl von Hardware und ein kompletter Ausfall des Hosting-Anbieters. Ohne eine physisch getrennte Kopie ist ein Server bei jedem dieser Ereignisse komplett verloren, unabhängig davon, wie gut die lokalen Backups organisiert sind.
Das eigentliche Risiko liegt aber woanders: Ransomware bewegt sich häufig lateral durchs Netzwerk und sucht gezielt nach Backup-Systemen, bevor die Verschlüsselung beginnt. Hat der Angreifer Admin-Rechte auf dem Backup-Server erlangt, sind auch Offsite-Kopien wertlos, wenn sie über dieselben Zugangsdaten löschbar sind.
Profi-Tipp: Prüfen Sie regelmäßig, ob Ihr Backup-Konto tatsächlich nur schreiben, aber nicht löschen kann. Ein Löschrecht, das niemand braucht, ist im Ernstfall das Einfallstor.
Genau hier setzt der BSI-Maßnahmenkatalog Ransomware an: Er empfiehlt explizit getrennte Backup-Kopien, Offline- oder unveränderliche Varianten und regelmäßige Wiederherstellungsübungen als Kernmaßnahmen gegen genau dieses Muster.
Nicht jeder Server braucht dieselbe Backup-Tiefe. Die Entscheidung hängt von vier Kriterien ab:
In der Praxis bewährt sich eine hybride Lösung: Gameserver-Sessions und aktuelle Spielstände liegen lokal für schnelles Restore, während Langzeit-Archive und tägliche Vollsicherungen offsite mit längerer Aufbewahrungsfrist landen. Lokal kurzfristig, offsite langfristig, das ist die Faustregel, die sich in den meisten Hosting-Umgebungen durchsetzt.
Die moderne Erweiterung der klassischen 3-2-1-Regel heißt 3-2-1-1-0: drei Kopien, zwei Medientypen, eine davon offsite, eine unveränderlich, null Fehler bei der Verifikation. So setzen Sie das konkret um:
Jeder dieser Schritte greift ineinander. Eine unveränderliche Kopie ohne getrennte Zugangsdaten bringt wenig, und Automatisierung ohne Alerting merkt einen Ausfall erst, wenn es zu spät ist.
Für S3-kompatible Cloud-Speicher zählen vier Punkte: die Region, das Endpoint-Format des Anbieters, aktiviertes Versioning und die Grenzen von Object Lock. Praxisberichte zeigen, dass Hetzner Object Storage in deutschsprachigen Setups wegen der Standorte Nürnberg, Falkenstein und Helsinki eine gängige Wahl für kosteneffizienten Offsite-Objektspeicher ist.
Proxmox Backup Server (PBS) 4.2 bringt native S3-Datastores mit, benötigt dafür aber einen lokalen Cache von mehreren Gigabyte. Wichtiger noch: Wer Object Lock direkt im PBS-Bucket aktiviert, riskiert Inkonsistenzen bei der Garbage Collection. Der empfohlene Weg ist ein Zwei-Bucket-Workaround, bei dem ein zweiter, unveränderlicher Bucket per rclone oder AWS CLI synchron gehalten wird.
Für Sync-Jobs zwischen zwei PBS-Instanzen empfiehlt sich ein Pull-Modell: Der Offsite-Server holt sich die Daten selbst per API-Token, statt dass das Produktivsystem aktiv schreiben darf. So können Group-Filter und asymmetrische Retention konfiguriert werden, mit längerer Aufbewahrung am Offsite-Ziel als lokal.
Ein kompromittiertes Quellsystem kann bei einem Pull-Modell die Offsite-Kopie nicht löschen, weil es dafür keine Schreibrechte auf dem Zielsystem besitzt. Das ist der entscheidende Unterschied zu klassischen Push-Backups.
NAS-Systeme und externe Festplatten bleiben für kleinere Setups praktikabel, vor allem mit einer Rotationsregel: mehrere Festplatten im Wechsel, eine davon immer offline gelagert. Diese Offline-Kopie ist der einfachste Ransomware-Schutz überhaupt, weil ein nicht angeschlossenes Medium technisch nicht angreifbar ist. Für sehr große Erstübertragungen, etwa beim initialen Seeding mehrerer Terabyte, bleibt physischer Transport per Tape oder Festplatte oft schneller als jede Internetverbindung.
Ein Backup ohne Test ist eine Behauptung, kein Beweis. Verification-Jobs mit SHA-256-Prüfsummen sollten idealerweise nach jedem Backup-Lauf greifen, mindestens aber wöchentlich für kritische Systeme.
Der BSI-Maßnahmenkatalog nennt regelmäßige Wiederherstellungsübungen ausdrücklich als eine der wirksamsten Maßnahmen gegen Ransomware, gerade weil viele Ausfälle erst beim tatsächlichen Restore-Versuch sichtbar werden.
Die hier genannten Maßnahmen stützen sich auf öffentlich zugängliche, überprüfbare Quellen: den BSI-Maßnahmenkatalog Ransomware als staatliche Referenz und ISO 27001 als international anerkannten Standard für Informationssicherheits-Managementsysteme. Die technischen Details zu PBS 4.2 und Hetzner Object Storage stammen aus dokumentierten Praxisumsetzungen, nicht aus theoretischen Annahmen.
Für Unternehmen, die eine eigene Backup-Infrastruktur betreiben, bietet Nexthosting VPS- und Dedicated-Server-Lösungen mit deutschem Standort, die sich als Baustein in eine solche Architektur einfügen, ohne dass hier ein bestimmtes Produkt als Allheilmittel dargestellt werden soll.
Die meisten Betreiber überinvestieren in Performance und unterinvestieren in Restore-Fähigkeit. Ein schneller Server bringt nichts, wenn die Offsite-Kopie beim ersten echten Test versagt. Meine Empfehlung: VPS oder Dedicated Server für den Betrieb, ein externes PBS oder S3-Ziel für die Sicherung, und Tests, die Sie nicht auf die lange Bank schieben. Wer Restore-Übungen streicht, weil sie lästig sind, merkt das erst, wenn es zu spät ist.
— Erik
Wer Gameserver, VPS oder Dedicated Server in Deutschland betreibt, profitiert von kurzen Latenzen zum Rechenzentrum und persönlichem Support, wenn beim Wiederherstellungstest doch etwas klemmt, statt tagelang auf ein Ticket bei einem Massenhoster zu warten. Nexthosting bietet VPS- und Dedicated-Server-Lösungen mit automatischen Backups als Ausgangspunkt für eine hybride Architektur: lokale Snapshots auf dem VPS Standard für schnelles Restore, kombiniert mit einem externen Ziel für die unveränderliche Offsite-Kopie. Für Einsteiger, die zunächst ein kleineres Setup testen wollen, eignet sich der VPS Einfach als kostengünstiger Startpunkt. Wer konkrete Fragen zur Umsetzung einer Backup-Strategie für den eigenen FiveM-Server oder Minecraft-Server hat, kann sich direkt an den Support wenden und die eigene Architektur besprechen.
Backups lassen sich lokal, auf einem NAS, bei einem Cloud-Anbieter mit S3-kompatiblem Objektspeicher oder auf physischen Medien wie externen Festplatten und Tape speichern. Für echte Ausfallsicherheit sollte mindestens ein Ziel physisch getrennt vom Produktivsystem liegen, etwa ein VPS bei Nexthosting als lokales Ziel kombiniert mit einem externen Objektspeicher.
Kopieren Sie die Sicherung regelmäßig auf eine externe Festplatte und trennen Sie diese danach physisch vom System, damit sie offline und damit vor Ransomware geschützt bleibt. Eine Rotation mit mehreren Festplatten im Wechsel erhöht die Sicherheit zusätzlich.
Die klassischen drei Arten sind Vollsicherung, differenzielle Sicherung und inkrementelle Sicherung, die sich in Umfang und Geschwindigkeit unterscheiden. Für Offsite-Strategien wird meist eine Kombination genutzt: eine Vollsicherung als Basis, ergänzt durch inkrementelle Läufe.
Die meisten NAS-Systeme bieten integrierte Backup-Funktionen, mit denen sich Daten geplant auf eine angeschlossene externe Festplatte kopieren lassen. Für zusätzlichen Schutz sollte diese Kopie nach dem Sicherungslauf getrennt und offline gelagert werden.
Die Regel verlangt drei Kopien der Daten auf zwei verschiedenen Medientypen, davon eine offsite und eine unveränderlich, bei null Fehlern in der regelmäßigen Verifikation. Sie erweitert die klassische 3-2-1-Regel um die Punkte Unveränderlichkeit und Prüfung.