Ein wirklich getrenntes Backup schützt dein NAS nicht nur vor einem Festplattenausfall, sondern auch vor Ransomware, Fehlbedienung und einem kompromittierten Konto. Dafür reicht eine zweite Kopie auf einem anderen Laufwerk nicht aus. Entscheidend ist, dass die Sicherung zeitweise oder dauerhaft keinen direkten Zugriff aus dem laufenden System mehr hat.
Genau an dieser Stelle lohnt sich ein sauberer Blick auf die Backup-Architektur. Du musst zuerst entscheiden, welche Daten unverzichtbar sind, wie schnell du sie wiederherstellen willst und wie viel Trennung im Alltag praktikabel bleibt. Erst danach ergibt sich, ob eine offline gelagerte USB-Platte, ein Wechselmedium, ein ausgelagertes Ziel oder eine Kombination mehrerer Methoden sinnvoll ist.
Was ein echtes Air-Gap im NAS-Umfeld ausmacht
Ein Air-Gap bedeutet, dass das Sicherungsziel nicht dauerhaft aus dem produktiven Netz erreichbar ist. Es soll nicht ständig gemountet, nicht permanent synchronisiert und nicht offen über Freigaben oder Dienste zugreifbar sein. Je weniger das Ziel im Alltag sichtbar ist, desto besser schützt es vor Verschlüsselung, versehentlichem Löschen und Angriffen auf Freigaben.
Bei NAS-Backups entsteht oft ein falsches Sicherheitsgefühl, sobald eine zweite Kopie vorhanden ist. Eine dauerhaft eingehängte USB-Festplatte ist aber kein echtes Trennungsmodell, wenn sie rund um die Uhr am System hängt und regelmäßig beschrieben wird. Dasselbe gilt für ein zweites NAS, das permanent über SMB, rsync oder eine Cloud-Anbindung erreichbar bleibt.
Welche Sicherungen getrennt bleiben sollten
Trenne zuerst die wirklich wichtigen Daten von allem, was nur bequem ist. Dazu gehören private Dokumente, Fotos, Projektarchive, Freigaben mit Familien- oder Firmendaten, Konfigurationen des NAS und gegebenenfalls Datenbanken von Docker-Containern. Medienbibliotheken sind oft leichter erneut zu beschaffen als eine Dokumentenablage oder ein vollständiger App-Zustand.
Besonders wichtig ist die Trennung zwischen laufenden Arbeitsdaten und Archivdaten. Ein offenes Arbeitsvolume darf nie dieselbe Sicherung behandeln wie ein historisches Langzeitarchiv. Wenn ein Schadensfall eintritt, willst du nicht erst Sortierarbeit leisten, sondern klar wissen, welche Kopie zuletzt unverändert und offline war.
Geeignete Wege für eine getrennte Sicherung
Für NAS-Umgebungen haben sich drei Modelle bewährt. Das erste ist ein Wechselmedium, das nur für den Sicherungslauf verbunden wird. Das zweite ist ein zweites NAS an einem anderen Standort, das nur zeitweise über einen gesicherten Zugriff eingebunden wird. Das dritte ist eine rotierende Kombination aus lokaler Kopie und ausgelagertem Medium, bei der mindestens eine Generation vollständig vom System getrennt bleibt.
Ein USB-Laufwerk ist oft die einfachste Variante, wenn du Disziplin bei der Bedienung mitbringst. Es wird nur für die Sicherung angeschlossen, danach sauber getrennt und an einem anderen Ort verwahrt. Ein zweites NAS eignet sich eher, wenn mehrere Nutzer oder größere Datenmengen im Spiel sind. Dann braucht es aber klare Regeln, wann es erreichbar ist und wann nicht.
USB-Medien richtig einsetzen
Externe Festplatten sind praktisch, solange sie nicht zum Daueranhang werden. Du solltest sie nach dem Backup aushängen, den Strom trennen und das Medium getrennt aufbewahren. Eine reine Steckverbindung ohne anschließendes Entfernen bringt im Ernstfall keinen echten Schutz.
Besonders sinnvoll ist ein rotierender Satz aus zwei oder drei USB-Laufwerken. Während ein Medium am NAS hängt, liegen die anderen außer Haus oder in einem verschlossenen Schrank. So bleibt immer mindestens eine Generation außerhalb des unmittelbaren Zugriffsbereichs.
Zweites NAS als getrennte Zielstation
Ein zweites NAS ist erst dann wirklich hilfreich, wenn es nicht ständig offen im gleichen Netzsegment hängt. Wenn es permanent per Sync-Zugriff erreichbar ist, kann auch dort eine Verschlüsselung ankommen. Deutlich sicherer wird es, wenn der Zugriff zeitlich gesteuert, stark eingeschränkt und nur für den Sicherungslauf freigeschaltet wird.
Wer zwei Standorte hat, kann das zweite Gerät als ruhende Zielstation nutzen. Dann wird es nur für den Abgleich aktiviert und danach wieder vom Netz genommen. Diese Methode ist aufwendiger, bietet aber bei größeren Datenbeständen eine solide Trennung.
So baust du den Ablauf ohne unnötiges Risiko auf
Der sinnvollste Ablauf beginnt immer mit einer kleinen, klaren Routine. Zuerst wird das Sicherungsziel angeschlossen oder freigeschaltet. Danach läuft der Backup-Job, anschließend erfolgt eine Prüfung, und erst dann wird das Ziel wieder getrennt. Wer diese Reihenfolge nicht einhält, macht aus einer Sicherung schnell einen dauerhaft angreifbaren Speicher.
- Das Medium oder Ziel nur für den Sicherungslauf aktivieren.
- Den Backup-Job ausführen und auf saubere Beendigung achten.
- Die Integrität stichprobenartig prüfen.
- Das Ziel wieder trennen und außer Reichweite lagern.
- Die nächste Generation getrennt aufbewahren.
Bei dieser Abfolge ist die Verifizierung ein wichtiger Teil, nicht nur ein Zusatz. Ein Backup, das zwar fertig gemeldet wird, aber beschädigt oder unvollständig ist, hilft im Notfall nicht. Deshalb sollte mindestens gelegentlich eine Wiederherstellung auf ein Testziel stattfinden.
Die häufigsten Schwachstellen bei getrennten Sicherungen
Die größte Schwachstelle ist Bequemlichkeit. Sobald eine USB-Platte dauerhaft angeschlossen bleibt oder ein Sicherungsziel ständig online ist, verschwindet die eigentliche Trennung. Ebenfalls riskant sind gemeinsam genutzte Admin-Konten, wiederverwendete Passwörter und Freigaben mit zu breiten Rechten.
Eine weitere Gefahr sind automatisierte Bereinigungen. Wenn alte Sicherungen zu aggressiv gelöscht werden, bleibt bei einem unentdeckten Fehler oft keine brauchbare Version mehr übrig. Für sensible Daten ist es besser, mehrere Generationen über einen längeren Zeitraum zu behalten, statt nur die letzte Kopie zu verwalten.
Auch Verschlüsselung spielt eine wichtige Rolle. Ein Backup-Ziel, das selbst verschlüsselt ist, schützt zwar die ruhende Kopie, ändert aber nichts an einer aktiven Verbindung. Du solltest also nicht nur auf Verschlüsselung setzen, sondern vor allem auf echte Erreichbarkeitstrennung.
Was du bei Docker, Datenbanken und Konfigurationen beachten solltest
Bei Containern, App-Daten und Datenbanken reicht eine reine Datei-Kopie oft nicht. Dann müssen Volumes, Konfigurationsverzeichnisse und Exportdaten zusammen gesichert werden. Sonst stellst du zwar das NAS-Dateisystem wieder her, aber nicht den Zustand der Anwendung.
Für solche Dienste ist ein zusätzlicher Export vor der Sicherung sinnvoll. Konfigurationsstände, Datenbankabbilder und Lizenzdateien sollten ebenfalls in das getrennte Backup einfließen. Je weniger du im Ernstfall zusammensuchen musst, desto sauberer gelingt die Rückkehr zum letzten brauchbaren Stand.
Wie du eine Trennung im Alltag durchhältst
Ein Air-Gap funktioniert nur dann auf Dauer, wenn die Bedienung einfach bleibt. Lege feste Tage für Sicherungen fest, beschrifte Medien eindeutig und dokumentiere, welches Laufwerk zuletzt offline war. Wer die Reihenfolge nicht mehr nachvollziehen kann, verliert im Zweifel Zeit oder greift auf die falsche Generation zu.
Hilfreich ist auch eine klare Rollenverteilung. Ein Medium ist für den aktuellen Lauf gedacht, eines für die Lagerung, eines für den Transport oder die externe Aufbewahrung. So vermischst du keine Zustände und reduzierst das Risiko, versehentlich das einzige saubere Backup wieder anzuschließen und zu überschreiben.
Worauf du bei Wiederherstellung und Test achtgeben solltest
Eine Sicherung ist erst dann wertvoll, wenn sie sich zuverlässig zurückspielen lässt. Deshalb gehört ein regelmäßiger Restore-Test zum Konzept. Das muss nicht immer das komplette System sein. Schon ein Test mit einzelnen Dateien, einem Konfigurationsordner oder einer kleinen Datenbank zeigt dir, ob das Medium lesbar und das Format brauchbar ist.
Wenn du mehrere Generationen aufbewahrst, teste gelegentlich unterschiedliche Stände. So erkennst du nicht nur technische Fehler, sondern auch logische Probleme wie versehentlich leere Ordner, unvollständige Sync-Läufe oder fehlerhafte Berechtigungen. Eine getrennte Sicherung ist nur dann stark, wenn sie im Ernstfall ohne Umwege wiederherstellbar bleibt.
Wann sich welcher Aufwand lohnt
Für private Daten mit mittlerem Volumen reicht oft eine rotierende USB-Sicherung, die nach jedem Lauf wieder getrennt wird. Für Familienarchive, kleine Büros oder produktive NAS-Umgebungen ist ein zweites, zeitweise getrenntes Ziel oft die bessere Wahl. Entscheidend ist nicht die maximale Technik, sondern die Trennung zwischen laufendem System und ruhender Sicherung.
Wenn du bereits ein NAS mit wichtigen Freigaben betreibst, sollte die Sicherungsstrategie nicht nur auf Komfort ausgerichtet sein. Plane lieber etwas mehr Aufwand bei der Handhabung ein, als später auf eine kompromittierte oder verschlüsselte Kopie angewiesen zu sein.
Versionierung und unveränderliche Kopien ergänzen die Trennung
Eine physisch getrennte Sicherung gewinnt erst dann deutlich an Stärke, wenn sie nicht nur außerhalb des Netzwerks liegt, sondern auch gegen nachträgliche Manipulation geschützt ist. Genau hier helfen Versionierung, WORM-ähnliche Ablagen und Snapshots mit Sperrfristen. Wer ältere Stände nicht überschreibbar hält, erschwert nicht nur Ransomware, sondern auch Bedienfehler und stille Datenkorruption.
Auf einem NAS lässt sich das über mehrere Ebenen abbilden. Manche Systeme bieten Snapshots auf Dateisystemebene, andere setzen auf Backup-Software mit Aufbewahrungsregeln oder auf externe Datenträger, die nach dem Schreiben entfernt werden. Entscheidend ist, dass eine kompromittierte Arbeitsumgebung keine direkte Schreibmöglichkeit auf die historische Kopie bekommt.
- Bewahre mehrere Generationen auf, nicht nur die letzte Sicherung.
- Trenne Schreibzugriff und Lesezugriff so weit wie möglich zeitlich voneinander.
- Schütze Backup-Ordner mit eigenen Rechten und getrennten Zugangsdaten.
- Prüfe, ob Löschrechte für Sicherungskopien wirklich nötig sind.
Netzwerkgrenzen und Automatisierung sauber voneinander trennen
Viele Sicherungen gelten nur auf dem Papier als abgesetzt, weil sie zwar auf einem anderen Gerät landen, das Gerät aber dauerhaft im gleichen Netz hängt. Ein stabiles Trennkonzept braucht deshalb eine klare Grenze zwischen Produktionsnetz, Administrationszugang und Sicherungsziel. Je weniger dieser Bereiche sich überschneiden, desto geringer ist die Angriffsfläche.
Bei einem zweiten NAS bietet sich ein separates VLAN oder ein eigener physischer Switch an, falls die Umgebung das erlaubt. Noch wichtiger ist, dass Verwaltungsportale nicht ständig aus dem normalen Clientnetz erreichbar sind. Eine Backup-Aufgabe darf das Ziel nur dann ansprechen, wenn der geplante Sicherungslauf läuft oder ein expliziter Wartungszugang aktiviert wurde.
- Das Sicherungsziel in ein eigenes Netzsegment setzen.
- Nur die Ports freigeben, die für den Backup-Job nötig sind.
- Administrationszugänge auf wenige Geräte und Nutzer beschränken.
- Nach dem Lauf die Verbindung wieder schließen oder deaktivieren.
Warum Zeitsteuerung allein nicht reicht
Ein geplanter Job reduziert Risiken, ersetzt aber keine echte Abtrennung. Malware wartet nicht auf einen Kalendertermin, und Angreifer nutzen oft genau die Zeiten, in denen Verwaltungszugänge offen sind. Deshalb sollte eine zeitgesteuerte Sicherung zusätzlich von einem manuellen Freigabeschritt, einer Einwahl über VPN oder einem temporären Mount abhängig sein.
Auch Automatisierung braucht Grenzen. Skripte, die sich mit dauerhaft hinterlegten Kennwörtern am Ziel anmelden, schaffen neue Einfallstore. Besser sind kurzlebige Tokens, Schlüssel mit enger Berechtigung oder ein Ablauf, bei dem die Sicherung nach dem Kopiervorgang automatisch wieder aushängt.
Integritätsprüfung und Wiederauffindbarkeit im Blick behalten
Eine getrennte Sicherung nützt wenig, wenn sich beschädigte Archive erst beim Ernstfall bemerkbar machen. Deshalb gehört eine regelmäßige Integritätsprüfung zum Konzept. Viele Backup-Werkzeuge bieten Prüfsummen, Verifikationsläufe oder einen Vergleich zwischen Quelle und Ziel. Diese Prüfungen sollten nicht nur nach großen Änderungen, sondern in festen Abständen laufen.
Ebenso wichtig ist die Auffindbarkeit. Wer im Notfall erst nach der richtigen Version, dem passenden Archivformat oder dem zuständigen Benutzerkonto suchen muss, verliert Zeit. Eine saubere Benennung der Sicherungssätze, ein dokumentierter Aufbewahrungsplan und ein kurzer Wiederherstellungsleitfaden helfen mehr als zusätzliche Kopien ohne Struktur.
- Prüfsummen oder Verifikationsfunktionen regelmäßig ausführen.
- Backup-Sätze mit Datum, System und Inhalt eindeutig benennen.
- Passwörter, Schlüssel und Wiederherstellungsinformationen getrennt aufbewahren.
- Mindestens stichprobenartig einzelne Dateien und komplette Ordner zurückspielen.
Betrieb, Wartung und Lagerung unter realen Bedingungen planen
Ein externer Sicherungsweg bleibt nur dann getrennt, wenn auch der Alltag dazu passt. Dazu zählen Lagerort, Stromversorgung, Temperatur, Verschleiß und der Umgang mit mobilen Medien. Ein USB-Laufwerk, das dauerhaft am Router hängt, schützt kaum besser als ein internes Volume. Ein Wechselmedium in einer Schublade bringt nur dann Nutzen, wenn es nach dem Backup wirklich abgezogen und sicher verwahrt wird.
Für längere Aufbewahrung sollten Medien regelmäßig geprüft und ersetzt werden. Verschleiß bei Festplatten, Alterung bei SSDs und Materialermüdung bei USB-Sticks zeigen sich nicht immer sofort. Wer rotierende Medien nutzt, plant daher besser mit Reservegeräten, festen Austauschzyklen und einem kleinen Probelauf nach jeder Wartung.
Ein zusätzlicher Blick auf die Dokumentation zahlt sich ebenfalls aus. Notiere, welches Medium welchen Sicherungssatz enthält, wann es zuletzt verwendet wurde und wo es gerade lagert. So bleibt die Trennung nicht nur technisch, sondern auch organisatorisch nachvollziehbar.
Häufige Fragen
Wie streng muss die Trennung in der Praxis wirklich sein?
Eine saubere Trennung bedeutet vor allem, dass das Backup-Ziel nicht dauerhaft erreichbar ist. Wer Medien nur für den Sicherungslauf verbindet und danach wieder entfernt oder das Ziel-NAS konsequent vom Netz nimmt, reduziert das Risiko deutlich.
Reicht ein getrenntes Backup im selben Gebäude aus?
Ein räumlich getrenntes Ziel hilft bei vielen Vorfällen, etwa bei Defekten oder Bedienfehlern. Gegen Brand, Diebstahl oder einen breit wirksamen Angriff bietet erst ein extern gelagertes Medium oder eine klar isolierte Zweitstation mehr Schutz.
Warum ist ein dauerhaft verbundenes NAS kein echtes Gegenstück zum Air-Gap?
Ein ständig verfügbares Ziel bleibt über Freigaben, Protokolle oder Verwaltungszugänge angreifbar. Sobald Malware oder ein Angreifer diese Verbindung ausnutzt, kann auch die Sicherung erfasst werden.
Wie oft sollte ein externes Sicherungsmedium angeschlossen werden?
Das hängt von Änderungsrate und Schutzbedarf ab. Für viele Heim- und kleine Unternehmensumgebungen reicht ein fester Turnus, etwa täglich, wöchentlich oder nach größeren Datenänderungen, solange das Medium außerhalb des Sicherungsfensters getrennt bleibt.
Sind verschlüsselte Backups Pflicht?
Sie sind nicht in jedem Fall gesetzlich vorgeschrieben, aber sehr sinnvoll. Verschlüsselung schützt die Daten, falls ein Datenträger verloren geht oder außer Haus gelagert wird.
Wie vermeide ich, dass Sicherungen versehentlich gelöscht oder überschrieben werden?
Hilfreich sind versionierte Backups, getrennte Benutzerkonten und eingeschränkte Schreibrechte. Zusätzlich sollte das Sicherungssystem so eingerichtet sein, dass ältere Stände nicht ohne Weiteres vollständig entfernt werden können.
Ist ein zweites NAS als Ziel nur für große Umgebungen sinnvoll?
Nein, auch kleinere Installationen profitieren davon, wenn das Ziel nur bei Bedarf erreichbar ist. Entscheidend ist weniger die Größe als die Disziplin bei Trennung, Zugriff und Aktualisierung.
Was gehört in einen guten Wiederherstellungstest?
Der Test sollte nicht nur die Existenz der Dateien prüfen, sondern auch die Nutzbarkeit. Sinnvoll ist es, einzelne Dateien, komplette Ordner und bei Bedarf einen ganzen Dienst wiederherzustellen, damit sich Fehler im Ernstfall nicht erst dann zeigen.
Wie schütze ich die Backup-Infrastruktur selbst vor Angriffen?
Das Sicherungssystem braucht eigene Passwörter, aktuelle Firmware und ein Minimum an Diensten. Wer Verwaltungszugriffe auf wenige bekannte Geräte beschränkt und automatische Freigaben vermeidet, macht den Angriffsweg deutlich schmaler.
Wann lohnt sich der Aufwand für eine strengere Trennung besonders?
Je wichtiger die Daten und je größer die Folgen eines Ausfalls, desto eher zahlt sich der zusätzliche Aufwand aus. Das gilt vor allem für Systeme mit sensiblen Kundendaten, geschäftskritischen Dokumenten oder einer hohen Zahl an Änderungen pro Tag.
Fazit
Eine wirksame Trennung entsteht nicht durch ein einzelnes Gerät, sondern durch einen konsequenten Ablauf. Wer Verbindung, Zugriff und Aufbewahrung bewusst begrenzt, senkt das Risiko für Verlust, Manipulation und Verschlüsselungsangriffe spürbar. Am Ende zählt ein Backup nur dann, wenn es nicht nur existiert, sondern auch wirklich außerhalb der laufenden Angriffsfläche liegt.