NAS oder Cloud
für die Backups?

Abstrakt gewinnt keines von beiden: Die richtige Frage ist, welchem Risiko Sie selbst ausgesetzt sind, nicht welchem im Allgemeinen. Ist Ihre Schwachstelle menschliches Versagen – ein gelöschter Ordner, eine überschriebene Version –, holt Ihnen ein NAS mit Versionsverlauf die Datei in Sekunden zurück, weil sie Ihr Netz nie verlässt. Ist Ihre Schwachstelle das ganze Gebäude – Diebstahl, Brand, Wasser oder eine Ransomware, die sich durch das ganze Büro frisst –, rettet Sie nur, was außerhalb liegt, und das ist die Cloud. Die meisten Betriebe haben beide Risiken zugleich, die ehrliche Antwort lautet also nicht „eines ist besser“, sondern „beide, mit unterschiedlichen Rollen“: das NAS als schnelle erste Verteidigungslinie, die Cloud als Sicherheitsnetz, wenn etwas Größeres als eine Festplatte ausfällt. Entscheiden Sie danach, welches Szenario Ihnen schon passiert ist oder welches Ihnen wirklich Sorgen macht, nicht nach dem Vergleich von Datenblättern.

Nein – und es lohnt sich, das von der vorigen Frage zu trennen, denn hier geht es nicht darum, wo das Backup liegt, sondern wie sich die Festplatten zueinander verhalten. Ein gespiegeltes NAS (RAID 1 oder ähnlich) schreibt dieselben Daten gleichzeitig auf zwei Festplatten: Fällt eine mechanisch aus, arbeitet die andere weiter, ohne dass Sie etwas merken – das ist Verfügbarkeit, keine Wiederherstellung. Das Problem: Alles, was kein physischer Plattendefekt ist – versehentliches Löschen, Überschreiben einer Datei, Verschlüsselung durch Ransomware –, passiert auf beiden Festplatten gleich schnell, denn der Spiegel unterscheidet nicht zwischen einem guten und einem schlechten Schreibvorgang. Für ein echtes Backup braucht es eine zeitlich getrennte Version: Snapshots, Versionierung oder eine Kopie, die sich nicht von selbst aktualisiert. Hat Ihr NAS nur einen Spiegel, sind Sie gegen Hardwaredefekte geschützt und sonst gegen nichts; der Rest dieser Liste bleibt ungedeckt.

Darauf gibt keine feste Zahl eine Antwort, denn die tatsächlichen Kosten entscheidet nicht das Preisschild, sondern der Zeithorizont und die Datenmenge. Beim NAS fallen die Kosten am Anfang an – Gerät, Festplatten –, danach nur noch Strom und alle paar Jahre der Tausch einer Festplatte, die nachlässt; nach dieser Anfangsinvestition kostet mehr Speicherplatz kaum etwas. Die Cloud verteilt die Kosten auf eine Gebühr, die nie endet und meist mit der gespeicherten Menge steigt: Je länger Sie sie behalten und je mehr Daten sich ansammeln, desto stärker fällt sie gegenüber dem NAS ins Gewicht. Was fast niemand beachtet, sind die Kosten fürs Herausholen der Daten: Viele Anbieter berechnen den Download bei einer großen Wiederherstellung – genau in dem Moment, in dem Sie am wenigsten Lust haben, auf die Rechnung zu schauen. Vergleichen Sie mit Ihrem realen Horizont – wie viele Jahre Sie das System betreiben werden –, nicht mit der Gebühr des ersten Monats.

Drei Kopien Ihrer Daten, auf zwei Speichermedien unterschiedlicher Technik, davon mindestens eine außerhalb des Gebäudes, in dem das Original liegt. Die Drei zählt das Original plus zwei Kopien, denn mit nur einer Kopie lässt Sie jeder Fehler darin mit leeren Händen zurück; bei zwei müssten beide gleichzeitig ausfallen, was deutlich unwahrscheinlicher ist, wenn sie zudem unterschiedlicher Art sind. Die „zwei Medien“ liefert das NAS – ein von der Computerfestplatte getrenntes Medium –, das „eine außer Haus“ liefert die Cloud oder eine physische Festplatte, die an eine andere Adresse wandert. Deshalb konkurrieren NAS und Cloud nicht: Jedes löst einen anderen Teil derselben Regel, und wer nur eines davon hat, erfüllt höchstens zwei Drittel. Wir haben einen eigenen Artikel nur zu dieser Regel, mit dem Wiederherstellungstest, der sie vervollständigt; hier genügt es, sich die drei Zahlen zu merken.

Ja, und das ist einer der häufigsten Angriffswege, gerade weil das NAS meist als Netzlaufwerk eingebunden ist, das von denselben Rechnern aus sichtbar ist, die infiziert werden. Moderne Ransomware verschlüsselt nach dem Eindringen in einen Computer nicht nur die lokale Festplatte: Sie durchsucht aktiv das Netz nach Laufwerken und Freigaben, auf die der Benutzer Zugriff hat, und verschlüsselt diese ebenso. Liegt Ihr Backup in einem Ordner, in den jeder Rechner im Büro ohne Einschränkung schreiben kann, ist dieses Backup genauso gefährdet wie das Original. Was das Risiko wirklich senkt, sind zwei Dinge: Schreibrechte nur für die, die sie tatsächlich brauchen, und eine Ebene aus Snapshots oder Versionen, die die Schadsoftware mit einem normalen Benutzerkonto weder löschen noch überschreiben kann. Ohne das kann ein gut gefülltes NAS zu dem Ort werden, an dem die Ransomware mehr zum Verschlüsseln findet, nicht weniger.

Als ein Baustein der 3-2-1-Regel ja – vorausgesetzt, sie wird diszipliniert genutzt und nicht als Ausrede, nichts weiter zu tun. Ihr Vorteil: Sie ist günstig, tragbar und hängt weder von einer Gebühr noch von Ihrer Upload-Geschwindigkeit ab – kopieren und mitnehmen. Ihre zwei Schwachstellen sind die, auf die es wirklich ankommt. Erstens: Bleibt sie dauerhaft angeschlossen, ist sie kein Backup „außer Haus“ mehr, sondern ein weiteres Laufwerk, das eine Ransomware genauso erreicht wie das NAS. Zweitens: Ohne feste Gewohnheit – anschließen, kopieren, an einem anderen Ort aufbewahren – veraltet das Backup, ohne dass es jemand merkt, bis man es braucht und es nichts mehr taugt. Eine externe Festplatte, die angeschlossen, aktualisiert und an einer anderen Adresse aufbewahrt wird – oder im Wechsel mit einer zweiten, die schon außer Haus war –, erfüllt die Rolle des Offsite-Backups einwandfrei, auch ohne Cloud.

Die Häufigkeit legt keine allgemeine Norm fest, sondern die Menge an Arbeit, die Sie bereit sind zu wiederholen, wenn der Ausfall kurz vor dem nächsten Backup passiert. Eine Kanzlei, die täglich Rechnungen schreibt, kann es sich nicht leisten, eine Woche Rechnungen zu verlieren; ein Ordner mit Familienfotos, der sich kaum ändert, kommt problemlos mit einem monatlichen Backup aus. Das Zweite, was die Häufigkeit bestimmt, ist, ob das Backup manuell oder automatisch läuft: Eine manuelle Aufgabe „wenn ich daran denke“ wird mit der Zeit von selbst seltener, eine geplante hält den Rhythmus, den Sie vorgeben, ohne von jemandem abzuhängen. Für Daten, die sich täglich ändern – Verkäufe, E-Mails, Arbeitsdokumente –, ist mindestens ein tägliches automatisches Backup vernünftig, und häufiger, wenn sich das, was Sie nicht verlieren dürfen, in Stunden bemisst. Der Ausgangspunkt ist immer derselbe: Schauen Sie, wie viel Arbeit zwischen zwei Backups entsteht, nicht, wie viel Speicherplatz sie belegt.

Indem Sie tatsächlich wiederherstellen – nicht, indem Sie prüfen, ob der Sicherungsvorgang „ohne Fehler endet“, was fast jeder mit „funktioniert“ verwechselt. Ein Backup-Job kann monatelang grün enden, während er einen leeren Ordner, eine alte Version oder eine Festplatte sichert, die längst voll ist – und die Oberfläche meldet weiterhin, alles sei in Ordnung. Der echte Test hat drei Teile: Wählen Sie eine zufällige Datei, nicht die neueste oder die einfachste; stellen Sie sie an einem anderen Ort als dem Original wieder her, damit Sie sich nicht darauf verlassen, dass sie „schon da war“; und öffnen Sie sie, um zu prüfen, dass der Inhalt stimmt und keine Monate alte Version ist. Tun Sie das nach festem Zeitplan, nicht erst, wenn etwas faul wirkt, denn der stille Ausfall ist bei nie getesteten Backups die Regel, nicht die Ausnahme. Haben Sie diese Übung nie gemacht, wissen Sie nicht, ob Sie ein Backup haben oder nur das Gefühl, eines zu haben.