Backup-Strategie für zuhause: Die 3-2-1-Regel praktisch umgesetzt

Kurz gesagt: RAID ist kein Backup — es schützt nur vor Plattenausfall. Wirklich abgesichert sind deine Daten erst mit der 3-2-1-Regel: 3 Kopien, auf 2 verschiedenen Medien, davon 1 außer Haus — plus Versionierung gegen Ransomware, Automatisierung mit Monitoring und regelmäßigen Restore-Tests.

Es ist der teuerste Satz im Selfhosting: „Meine Daten liegen doch im RAID.“ RAID (und auch RAIDZ) schützt vor genau einem Szenario — Plattenausfall. Gegen versehentliches Löschen, Ransomware, Blitzschlag, Diebstahl, ein kaputtes Dateisystem oder den eigenen Konfigurationsfehler hilft nur ein echtes Backup. Hier ist die Strategie, die sich seit Jahrzehnten bewährt — heruntergebrochen auf ein Zuhause mit Homeserver.

Die 3-2-1-Regel #

• 3 Kopien deiner Daten (Original + 2 Backups)
• auf 2 verschiedenen Medien/Systemen
• davon 1 außer Haus (offsite)

Warum jede Ziffer zählt: Zwei Kopien im selben Gehäuse sterben gemeinsam (Netzteil, Überspannung). Zwei Kopien im selben Haus sterben gemeinsam (Feuer, Wasser, Einbruch). Erst die Offsite-Kopie macht aus „Redundanz“ eine Versicherung.

Regel Nummer null: Versionierung #

Ein Backup, das nur den aktuellen Stand spiegelt, kopiert auch jeden Fehler mit: Die von Ransomware verschlüsselte Datei ersetzt brav die gesunde Kopie. Deshalb brauchen Backups Versionen/Snapshots — den Stand von gestern, letzter Woche, letztem Monat. Moderne Backup-Tools (restic, Borg, Proxmox Backup Server, Synology Hyper Backup) machen das automatisch und speicherschonend (Deduplizierung). Wie viel Platz eine Versions-Historie wirklich braucht, schätzt der Backup-Speicher-Rechner — meist deutlich weniger als befürchtet.

Was gehört überhaupt ins Backup? #

Priorisiere ehrlich — nicht alles ist gleich wichtig:

Die Medien-Sammlung dreimal vorzuhalten sprengt jedes Budget — und ist meist unnötig. Die 50 GB Paperless + Fotos dagegen passen in jeden Plan.

Ein konkretes Setup fürs typische Homelab #

Annahme: ein Proxmox-Server mit Diensten, Daten auf einem NAS oder im Server selbst.

1. Kopie 1 — das Original auf dem Server/NAS (gern mit RAID/RAIDZ gegen Plattenausfall und Snapshots gegen „Ups“).

2. Kopie 2 — lokales Backup: nächtlich auf ein zweites Gerät oder mindestens eine USB-Platte: VMs/LXCs per Proxmox-Backup (vzdump oder PBS), Datei-Daten per restic/Borg. Wichtig: eigenes Gerät, eigene Zugangsdaten — ein kompromittierter Server darf sein Backup nicht löschen können (Pull-Prinzip oder Append-only-Modus).

3. Kopie 3 — offsite: je nach Datenmenge und Vertrauen:

   • Cloud-Storage (verschlüsselt durch restic/Borg — der Anbieter sieht nur Datenmüll); Storage-Boxen oder S3-kompatible Angebote kosten für die „unersetzlich“-Kategorie wenige Euro im Monat
   • Die Verwandten-Platte: eine verschlüsselte USB-Platte, die bei Eltern/Freunden liegt und bei Besuchen rotiert wird — Low-Tech, aber vollwertig offsite
   • Zweiter Standort per VPN: ein kleiner Rechner bei Familie, erreichbar über WireGuard, als Replikationsziel

   Plane fürs erste Voll-Backup genug Zeit ein: Über einen typischen DSL-Upload dauern ein paar Terabyte Tage bis Wochen — der Transfer-Zeit-Rechner zeigt, was realistisch ist und wann sich „Seeding“ per Festplatte lohnt.

Automatisieren oder es passiert nicht #

Manuelle Backups sterben nach drei Wochen Motivation. Deshalb:

• Zeitplan im Tool (Proxmox-Backup-Jobs, systemd-Timer für restic)
• Monitoring: Ein Backup, das seit Wochen fehlschlägt, ist keins. Minimal: E-Mail bei Fehlern. Besser: ein Heartbeat — der Job meldet sich nach Erfolg bei Uptime Kuma (Push-Monitor), und Ausbleiben alarmiert.
• Restore-Test: Der einzige Beweis, dass ein Backup existiert, ist eine gelungene Wiederherstellung. Einmal pro Quartal eine Datei und einmal eine komplette VM zurückholen — ernsthaft, in den Kalender damit.

Häufige Fehler #

• RAID als Backup zählen — siehe oben, das Original ist eine Kopie, egal wie redundant.
• Backup auf dem selben Gerät („zweite Partition“) — stirbt mit dem Gerät.
• Sync statt Backup: Nextcloud/Syncthing spiegeln Löschungen sofort auf alle Geräte. Sync ist Komfort, kein Backup.
• Unverschlüsselte Offsite-Kopie — die Verwandten-Platte kann gestohlen werden; restic/Borg/LUKS lösen das nebenbei.
• Backup-Ziel dauerhaft gemountet: Ransomware verschlüsselt alles, was sie erreichen kann. Ziele nur zum Backup-Zeitpunkt verbinden oder Append-only betreiben.

Fazit #

Eine Backup-Strategie fürs Zuhause ist keine Enterprise-Wissenschaft: die unersetzlichen Daten identifizieren, 3-2-1 mit Versionierung dafür umsetzen, automatisieren, überwachen, testweise wiederherstellen. Ein Wochenende Arbeit — gegen den einen Tag, an dem alles davon abhängt.