Backup-Aufbewahrung planen: Wie viele Stände du wirklich brauchst

„Wie lange soll ich Backups aufheben?“ wird meist mit einer Zahl beantwortet, die jemand irgendwo aufgeschnappt hat. Das führt zu zwei Fehlern gleichzeitig: zu wenig Aufbewahrung für die Fälle, die zählen, und zu viel für die, die keine Rolle spielen.

Die Aufbewahrung ergibt sich aus drei unabhängigen Anforderungen. Wer sie getrennt betrachtet, kommt zu einem Schema, das man begründen kann.

Die drei Anforderungen

1. Der Alltagsfehler. Jemand löscht oder überschreibt etwas und merkt es innerhalb weniger Tage. Das ist der mit Abstand häufigste Fall. Er verlangt feingranulare Stände über wenige Tage – täglich, teils häufiger.

2. Der spät entdeckte Fehler. Eine Beschädigung, eine falsche Konfiguration, ein Kompromiss, der wochenlang unbemerkt bleibt. Hier zählt nicht Granularität, sondern Reichweite: Es muss einen Stand geben, der älter ist als das Problem.

Dieser Punkt ist zugleich eine Sicherheitsmaßnahme. Wenn zwischen Kompromittierung und Schaden Wochen liegen, sind alle Stände innerhalb dieser Zeitspanne befallen – siehe Ransomware-sichere Backups.

3. Die gesetzliche Frist. Betrifft nur bestimmte Daten und ist eine Aufbewahrungspflicht für Unterlagen, nicht für Backups. Sie kann trotzdem beeinflussen, wie lange du Sicherungen vorhältst.

Die drei Anforderungen verlangen unterschiedliche Antworten. Genau deshalb funktioniert eine einzelne Zahl nicht.

Das GFS-Schema

Die etablierte Antwort heißt Grandfather-Father-Son – Großvater, Vater, Sohn. Drei Ebenen mit abnehmender Dichte und zunehmender Reichweite:

Sohn      taeglich       -> die letzten Tage taggenau
Vater     woechentlich   -> die letzten Wochen/Monate
Grossvater monatlich     -> das letzte Jahr und darueber hinaus

Bei restic, Borg und PBS wird das über keep-Regeln abgebildet. Ein Ausgangspunkt für ein Homelab:

keep-daily    14      zwei Wochen taggenau
keep-weekly    8      etwa zwei Monate wochenweise
keep-monthly  12      ein Jahr monatlich

Warum 14 statt 7 tägliche Stände? Weil eine Woche knapp ist, sobald jemand Urlaub hat. Der Aufpreis ist gering, weil deduplizierte Systeme für ähnliche Stände wenig zusätzlichen Platz brauchen.

Für Betriebe kommt oft eine vierte Ebene dazu – jährliche Stände, die dauerhaft aufgehoben werden.

Wie die Regeln tatsächlich arbeiten

Ein Punkt, der regelmäßig zu Missverständnissen führt: Die keep-Regeln summieren sich nicht, sie greifen gleichzeitig auf dieselben Stände zu.

Ein Sicherungsstand vom Sonntag kann zugleich der jüngste tägliche, der wöchentliche und der monatliche sein. Er wird einmal gespeichert und von drei Regeln behalten. Die tatsächliche Anzahl aufbewahrter Stände liegt deshalb immer unter der Summe der Zahlen.

Zweiter Punkt, wichtiger: Löschen gibt keinen Speicher frei.

Werkzeug	Markieren	Freigeben
restic	restic forget	restic prune
Borg	borg prune	borg compact
PBS	Prune-Job	Garbage Collection

Wer nur den ersten Schritt ausführt, wundert sich über einen Datastore, der trotz aufgeräumter Stände voll bleibt. Beide Schritte gehören eingeplant – siehe Proxmox Backup Server einrichten.

Speicherbedarf abschätzen

Eine belastbare Vorhersage ist nicht möglich, weil die Deduplizierungsrate vollständig von deinen Daten abhängt. Die Größenordnung lässt sich trotzdem eingrenzen:

Grober Rahmen:

  Erstlauf        ~ Groesse der Nutzdaten (abzueglich Kompression)
  je Folgestand   ~ Menge der geaenderten Daten
  Gesamtbedarf    ~ Erstlauf + (Anzahl Staende x taegliche Aenderungsmenge)

Die entscheidende Größe ist also nicht die Datenmenge, sondern die tägliche Änderungsmenge. Ein 2-TB-Fotoarchiv, das sich kaum ändert, kostet über hundert Stände kaum mehr als über zehn. Eine 200-GB-Datenbank, die täglich zu großen Teilen umgeschrieben wird, kostet erheblich.

Praktisches Vorgehen: eine Woche lang sichern, dann den Zuwachs pro Lauf ablesen und hochrechnen. Das dauert eine Woche und ist jeder Schätzung überlegen.

Eine Warnung zu Objektspeichern: Manche Anbieter berechnen eine Mindestspeicherdauer. Stände, die vorher entfernt werden, kosten trotzdem bis zum Ablauf. Aggressive Prune-Regeln können bei solchen Anbietern teurer sein als lockere. Prüfen, bevor die Regeln festgelegt werden – siehe Offsite-Backup.

Gesetzliche Fristen in Österreich

Der Bereich, in dem Blogartikel enden und der Steuerberater anfängt. Zur Einordnung:

Nach § 132 BAO sind Bücher, Aufzeichnungen und die dazugehörigen Belege grundsätzlich sieben Jahre aufzubewahren; die Frist läuft ab dem Schluss des Kalenderjahres, für das die Eintragungen vorgenommen wurden. Für bestimmte Fälle – etwa im Zusammenhang mit Grundstücken – sowie bei laufenden Verfahren gelten längere Zeiträume.

Drei Klarstellungen, die in der Praxis wichtiger sind als die Zahl selbst:

Die Pflicht betrifft Unterlagen, nicht Backups. Wer Buchhaltungsdaten geordnet archiviert, muss nicht siebenjährige Sicherungsstände seiner Server vorhalten. Archiv und Backup sind verschiedene Dinge mit verschiedenen Zwecken.

Lesbarkeit über die Frist hinweg. Aufbewahrung nützt nichts, wenn in sechs Jahren weder das Format noch die Software verfügbar ist. Für Archivzwecke sind offene, langlebige Formate die bessere Wahl als Datenbankdumps einer bestimmten Version.

DSGVO wirkt in die Gegenrichtung. Personenbezogene Daten dürfen nicht unbegrenzt aufbewahrt werden. Ein Backup, das jeden je gespeicherten Datensatz für immer vorhält, kann mit Löschpflichten kollidieren. Die praktische Auflösung liegt in begrenzter Aufbewahrung plus einem definierten Umgang mit Löschbegehren.

Alle Angaben ohne Gewähr und ohne Anspruch auf Vollständigkeit – die für dich geltenden Fristen klärst du mit deinem Steuerberater.

Beispiele

Homelab, überschaubare Datenmenge:

keep-daily     14
keep-weekly     8
keep-monthly   12

Deckt Alltagsfehler, spät entdeckte Probleme und eine realistische Verweildauer bei einem Angriff ab.

Kleinbetrieb mit Buchhaltung:

keep-daily     30
keep-weekly    12
keep-monthly   24
keep-yearly     7   (nur fuer die betroffenen Systeme)

Die jährlichen Stände nur für die Systeme mit aufbewahrungspflichtigen Daten – nicht für den ganzen Bestand. Sonst zahlst du sieben Jahre für Testumgebungen.

Am Offsite-Ziel: grundsätzlich länger als lokal. Der Grund ist Ebene 2 – wenn ein Problem spät auffällt, ist die entfernte Kopie oft die einzige, die noch weit genug zurückreicht. Ein Sync-Job, der Löschungen einfach mitrepliziert, hebelt genau das aus.

Checkliste

• Die drei Anforderungen sind für deine Umgebung getrennt beantwortet
• Die Aufbewahrung reicht über eine realistische Verweildauer bei einem Angriff
• Aufräumen erfolgt in zwei Schritten – markieren und freigeben
• Beide Schritte laufen automatisch und werden überwacht
• Der Speicherbedarf wurde gemessen, nicht geschätzt
• Mindestspeicherdauern des Anbieters sind berücksichtigt
• Das Offsite-Ziel hat eigene, längere Regeln
• Aufbewahrungspflichtige Daten sind identifiziert und getrennt behandelt
• Der Umgang mit Löschbegehren nach DSGVO ist geklärt

Weiter im Cluster

• 3-2-1-Backup-Strategie – der Überbau
• Ransomware-sichere Backups – Aufbewahrung als Schutzmaßnahme
• Offsite-Backup – Regeln am entfernten Ziel
• Proxmox Backup Server einrichten – Prune und GC in der Praxis
• Typische Backup-Fehler