Bei einem NAS-Backup auf eine Hetzner Storage Box sind vor allem der Sicherungsdienst, die Netzwerkübertragung und das entfernte Backup-Ziel betroffen; RAID, Speicherpool und Volume des NAS werden dadurch zunächst nicht verändert. Akute Datengefahr entsteht normalerweise nicht, solange die Quelldaten unangetastet bleiben und kein ungeprüfter Wiederherstellungs- oder Synchronisationsauftrag gestartet wird. Prüfe zuerst, welche Protokolle deine gebuchte Storage Box und die Backup-Anwendung deines NAS gemeinsam unterstützen. Richte vorerst weder eine bidirektionale Synchronisation noch automatische Löschregeln ein.
Für die Planung zählt nicht das Protokoll allein. Eine belastbare Lösung verbindet ein verschlüsseltes Übertragungsverfahren mit Versionierung, einer nachvollziehbaren Aufbewahrung und möglichst clientseitiger Verschlüsselung. Dadurch verlassen Dateinamen und Inhalte das NAS nicht im Klartext, sofern die verwendete Backup-Anwendung auch Metadaten verschlüsselt.
Das Zielbild vor der Einrichtung festlegen
Eine Hetzner Storage Box ist ein entfernt erreichbarer Speicherplatz. Sie wird für das NAS zum Backup-Ziel, ersetzt aber weder die lokale Redundanz noch eine eigenständige Prüfung der Wiederherstellbarkeit. Vor der Protokollwahl solltest du festlegen, wie sich das entfernte Ziel bei Änderungen auf dem NAS verhalten soll.
- Versioniertes Backup: Gelöschte oder überschriebene Dateien bleiben für einen festgelegten Zeitraum in älteren Sicherungsständen erhalten. Das ist für die meisten NAS-Daten die sinnvollste Betriebsart.
- Einfache Dateikopie: Dateien werden auf das entfernte Ziel übertragen, ohne dass zwangsläufig frühere Stände erhalten bleiben. Die Wiederherstellung ist leicht, der Schutz vor versehentlichem Löschen oder Verschlüsselungstrojanern aber begrenzt.
- Synchronisation: Änderungen können zeitnah auf die Gegenseite übertragen werden. Eine Löschung an der Quelle kann dadurch auch die entfernte Kopie treffen. Synchronisation ist deshalb nur dann ein Backup, wenn zusätzliche Versionen oder unveränderbare Stände vorhanden sind.
- Backup-Repository: Eine Anwendung schreibt Daten in ein eigenes Archivformat, oft mit Deduplizierung, Komprimierung und Verschlüsselung. Zur Wiederherstellung wird dieselbe oder eine kompatible Software benötigt.
Die entscheidende Frage lautet daher: Soll die Storage Box direkt lesbare Dateien enthalten oder ein verschlüsseltes Repository? Direkt lesbare Dateien erleichtern eine manuelle Notfallwiederherstellung. Ein Repository bietet meist bessere Versionierung und schützt Inhalte sowie gegebenenfalls Dateinamen vor Einsicht.
Protokolle nach Backup-Anwendung auswählen
Das passende Protokoll ergibt sich aus der Schnittmenge zwischen Storage Box und NAS-Software. Maßgeblich sind die im Hetzner-Konto beziehungsweise in der offiziellen Dokumentation für den gebuchten Speicherzugang aufgeführten Protokolle sowie die Zieltypen, welche deine NAS-Anwendung in ihrer installierten Version anbietet. Ein Protokoll sollte nicht nur eine Testdatei übertragen können, sondern auch mit Zeitüberschreitungen, großen Dateien und Wiederholungsversuchen zuverlässig umgehen.
SFTP oder SSH-basierte Übertragung
SFTP überträgt Dateien innerhalb einer SSH-Verbindung. Inhalt und Zugangsdaten sind während der Übertragung verschlüsselt. Das Verfahren eignet sich, wenn die NAS-Anwendung ein SFTP-Ziel unterstützt oder ein Backup-Werkzeug über SSH auf den entfernten Speicher zugreifen kann.
SSH-basierte Lösungen sind häufig eine gute Wahl für automatisierte Sicherungen, weil sie ohne unverschlüsselte Anmeldedaten auf dem Transportweg auskommen und sich mit Schlüsselauthentifizierung verbinden lassen, sofern diese für den verwendeten Zugang unterstützt wird. Vor dem ersten produktiven Lauf muss der Hostschlüssel geprüft und anschließend stabil hinterlegt werden. Eine ungeprüfte Bestätigung eines geänderten Hostschlüssels würde den Schutz gegen einen manipulierten Gegenserver schwächen.
SFTP verschlüsselt allerdings nur die Verbindung. Nach Abschluss der Übertragung liegen hochgeladene Dateien in der Form auf dem Ziel, in der die Backup-Anwendung sie gesendet hat. Für vertrauliche Daten ist deshalb zusätzlich eine clientseitige Inhaltsverschlüsselung sinnvoll.
Rsync über eine geschützte Verbindung
Rsync kann geänderte Daten effizient übertragen und eignet sich für Dateibäume mit wiederkehrenden Sicherungsläufen. Ob dein NAS rsync zu einer Storage Box direkt als Backup-Ziel unterstützt, hängt von der NAS-Anwendung, deren Zieldefinition und den für die Storage Box freigeschalteten Möglichkeiten ab.
Rsync ist weder automatisch verschlüsselt noch automatisch versioniert. Entscheidend ist die tatsächliche Transportart. Wird rsync über SSH verwendet, schützt SSH die Übertragung. Ein ungeschützter rsync-Dienst sollte nicht über das öffentliche Internet als Standardweg genutzt werden. Außerdem darf eine Spiegeloption mit Löschweitergabe erst aktiviert werden, wenn unabhängige Versionen oder Snapshots auf der Zielseite nachweislich greifen.
Rsync ist besonders passend, wenn direkt zugängliche Dateien gewünscht sind und die Versionierung separat gelöst wird. Für ein verschlüsseltes Archiv mit mehreren Wiederherstellungspunkten ist eine dafür entwickelte Backup-Anwendung meist leichter kontrollierbar.
WebDAV über HTTPS
WebDAV kann eine brauchbare Ausweichlösung sein, wenn das NAS keine SSH-basierte Zielart anbietet, aber WebDAV über HTTPS beherrscht. HTTPS schützt Zugangsdaten und Nutzdaten auf dem Transportweg. Die Anwendung muss Zertifikatsfehler ernst nehmen und darf nicht dauerhaft auf eine ungeprüfte Verbindung umgestellt werden.
Gegenüber SSH-basierten Verfahren kann WebDAV bei sehr vielen kleinen Dateien, langen Übertragungen oder häufigen Metadatenoperationen weniger günstig ausfallen. Das ist keine allgemeine Geschwindigkeitsgarantie, sondern hängt von Backup-Software, Dateistruktur, Internetanschluss und Implementierung ab. Ein Testlauf mit einer repräsentativen Auswahl aus kleinen und großen Dateien zeigt mehr als eine einzelne große Testdatei.
SMB und FTP-basierte Zugriffe
SMB ist im lokalen Netz für Dateifreigaben verbreitet. Für ein Backup über das öffentliche Internet sollte es nur eingesetzt werden, wenn die gesamte Verbindung durch einen geeigneten geschützten Tunnel geführt wird und die beteiligten Systeme dafür vorgesehen sind. Eine direkte öffentliche SMB-Nutzung vergrößert die Angriffsfläche und ist keine bevorzugte Backup-Lösung.
Unverschlüsseltes FTP schützt weder Anmeldedaten noch Inhalte ausreichend. Falls eine Backup-Anwendung ausschließlich FTP-Varianten anbietet, muss geprüft werden, ob eine verschlüsselte Variante tatsächlich genutzt und das Serverzertifikat verifiziert wird. Die bloße Auswahl eines ähnlich bezeichneten Eintrags reicht nicht als Nachweis. SFTP ist technisch nicht dasselbe wie FTPS: SFTP arbeitet über SSH, FTPS ergänzt FTP um TLS.
Eine belastbare Protokollentscheidung treffen
Die folgende Reihenfolge vermeidet, dass ein bequem erreichbares, aber ungeeignetes Ziel gewählt wird:
- Öffne in der NAS-Backup-Anwendung die Liste der unterstützten entfernten Ziele. Notiere nur die Verfahren, die echte Sicherungsaufträge mit Wiederholungslogik und Protokollierung erlauben.
- Vergleiche diese Liste mit den für deine Hetzner Storage Box verfügbaren Zugriffsarten. Prüfe dabei auch, ob einzelne Protokolle oder externe Zugriffe im Kundenkonto aktiviert werden müssen.
- Bevorzuge SFTP beziehungsweise eine andere SSH-basierte Methode, wenn sie von der Backup-Anwendung sauber unterstützt wird. WebDAV über HTTPS ist eine mögliche Alternative.
- Entscheide anschließend, ob die Anwendung selbst Versionierung und clientseitige Verschlüsselung beherrscht. Fehlen beide Funktionen, löst ein verschlüsseltes Transportprotokoll das eigentliche Backup-Risiko nicht.
- Teste den gewählten Weg mit einem separaten Zielordner und einer begrenzten Datenmenge. Erst nach erfolgreicher Wiederherstellung folgen Zeitplan und Aufbewahrungsregeln.
Wenn dein NAS mehrere gleichwertige Zieltypen anbietet, ist nicht der theoretisch höchste Durchsatz das wichtigste Kriterium. Stabiler Wiederanlauf, verständliche Fehlermeldungen, Integritätsprüfung und eine getestete Wiederherstellung wiegen bei einem Backup schwerer.
Transportverschlüsselung und Backup-Verschlüsselung trennen
Für die Sicherheitsplanung müssen zwei Ebenen getrennt betrachtet werden. Transportverschlüsselung schützt Daten während der Verbindung zwischen NAS und Hetzner Storage Box. Clientseitige Backup-Verschlüsselung schützt die gespeicherten Inhalte auf dem entfernten Ziel.
SFTP, SSH oder korrekt geprüftes HTTPS decken die erste Ebene ab. Die zweite Ebene entsteht erst, wenn das NAS beziehungsweise die Backup-Software Daten vor dem Upload verschlüsselt. Dazu gehören je nach Anwendung Dateiinhalte, Verzeichnisstruktur, Dateinamen und weitere Metadaten. Nicht jede Funktion mit der Bezeichnung Verschlüsselung deckt alle diese Bestandteile ab.
Für private Dokumente, geschäftliche Unterlagen, Gerätesicherungen oder personenbezogene Daten ist clientseitige Verschlüsselung in der Regel die passendere Planung. Der Betreiber des entfernten Speichers erhält dann nur verschlüsselte Backup-Daten. Der Preis dafür ist eine stärkere Abhängigkeit von Passwort, Schlüsseldatei und Backup-Software.
Schlüssel so sichern, dass das Backup wiederherstellbar bleibt
Der Verschlüsselungsschlüssel darf nicht ausschließlich auf dem gesicherten NAS gespeichert werden. Fällt das NAS vollständig aus, wäre andernfalls zwar das entfernte Archiv vorhanden, aber nicht entschlüsselbar. Sichere Passwort, Schlüsseldatei und gegebenenfalls Wiederherstellungsinformationen getrennt vom NAS an mindestens einem geschützten Ort.
- Bewahre den Schlüssel nicht unverschlüsselt im selben Ordner wie das Backup auf.
- Dokumentiere, welche Anwendung und welches Archivformat zur Wiederherstellung benötigt werden.
- Halte fest, ob Groß- und Kleinschreibung, Schlüsseldatei und zusätzliches Passwort relevant sind.
- Prüfe nach einem Softwarewechsel, ob alte Sicherungsstände weiterhin geöffnet werden können.
- Beziehe die Schlüsselkopie in deinen Notfalltest ein, ohne das einzige Exemplar zu verwenden.
Ein verlorener clientseitiger Schlüssel kann nicht durch ein neues Storage-Box-Passwort ersetzt werden. Zugangsdaten gewähren Zugriff auf die verschlüsselten Dateien, entschlüsseln aber nicht deren Inhalt.
Konten, Verzeichnisse und Löschrechte begrenzen
Der Backup-Auftrag sollte mit einem dafür vorgesehenen Zugang arbeiten und nicht unnötig weitere Datenbereiche erreichen können. Falls der gebuchte Dienst getrennte Zugänge oder Unterkonten mit begrenztem Verzeichnis unterstützt, ist eine eigene Identität für das NAS-Backup sinnvoll. Die tatsächlich verfügbaren Berechtigungsoptionen müssen im Hetzner-Konto für das verwendete Produkt geprüft werden.
Eine saubere Verzeichnistrennung verhindert, dass verschiedene NAS-Systeme oder Anwendungen in dasselbe Repository schreiben. Verwende für jeden Backup-Auftrag einen eigenen Zielpfad. Zwei unabhängige Programme dürfen nicht gleichzeitig ein Archiv verwalten, sofern das Archivformat dies nicht ausdrücklich unterstützt.
Löschrechte sind schwieriger zu behandeln: Viele versionierte Backup-Programme benötigen sie, um abgelaufene Stände zu bereinigen. Werden sie vollständig entzogen, kann die Aufbewahrung scheitern und der Speicher volllaufen. Bleiben sie aktiv, könnte ein kompromittiertes NAS auch Sicherungsdaten löschen. Zusätzliche serverseitige Snapshots oder getrennt geschützte Wiederherstellungspunkte können dieses Risiko mindern, sofern die gebuchte Storage Box diese Funktion anbietet und sie unabhängig vom Backup-Zugang verwaltet wird.
Kapazität und Aufbewahrung realistisch kalkulieren
Die erforderliche Größe entspricht nicht einfach dem aktuell belegten NAS-Speicher. Ein versioniertes Backup benötigt Platz für den ersten Datenbestand, spätere Änderungen, gelöschte Dateien innerhalb der Aufbewahrungszeit und Verwaltungsdaten des Backup-Formats. Komprimierung kann den Bedarf senken; bereits komprimierte Fotos, Videos und Archive profitieren davon häufig nur wenig.
Für die Planung sind drei Werte aussagekräftig: die ausgewählte Datenmenge, die typische tägliche Änderungsmenge und die gewünschte Aufbewahrungsdauer. Bei einem Datenbestand von 2 TB und täglich 10 GB veränderten Daten können 30 zusätzliche Tagesstände erheblich weniger als weitere 2 TB benötigen, sofern die Software unveränderte Blöcke oder Dateien nicht erneut speichert. Werden dagegen große Containerdateien oder Datenbanken bei kleinen Änderungen vollständig neu übertragen, steigt der Bedarf deutlich schneller.
Plane eine Reserve ein, damit der Auftrag nicht genau an der Kapazitätsgrenze stoppt. Lege außerdem fest, welche Meldung bei knappem Speicher ausgelöst wird und wer sie bemerkt. Eine erfolgreiche Anmeldung am Ziel sagt nichts darüber aus, ob noch genug Platz für den nächsten vollständigen Lauf vorhanden ist.
Die Einrichtung ohne Risiko erproben
Der erste Test sollte einen neuen, eindeutig benannten Zielordner verwenden. So kann keine bestehende Sicherung überschrieben oder als vermeintlich veralteter Bestand gelöscht werden.
- Lege in der NAS-Anwendung einen kleinen Testauftrag mit einigen Dokumenten, mehreren kleinen Dateien und mindestens einer größeren Datei an.
- Wähle das zuvor geprüfte verschlüsselte Transportprotokoll und kontrolliere Servername, Port, Benutzer sowie Zielpfad.
- Aktiviere clientseitige Verschlüsselung nur, wenn Schlüssel und Wiederherstellungsverfahren bereits getrennt dokumentiert sind.
- Starte den Auftrag manuell und lies danach das Protokoll. Ein Status wie abgeschlossen genügt nicht, wenn übersprungene Dateien oder wiederholte Verbindungsabbrüche gemeldet werden.
- Verändere eine Testdatei und lösche eine andere. Führe einen zweiten Sicherungslauf aus.
- Stelle sowohl die ältere Dateiversion als auch die gelöschte Datei in einen separaten lokalen Ordner wieder her.
- Öffne die wiederhergestellten Dateien und vergleiche bei wichtigen Daten zusätzlich Größe oder Prüfsumme über die Funktionen der eingesetzten Anwendung.
Erst dieser Rückweg belegt, dass Protokoll, Berechtigungen, Versionierung und Schlüssel zusammenpassen. Danach kannst du den produktiven Datenumfang auswählen und den Zeitplan aktivieren.
Zeitplan, Bandbreite und Abbruchverhalten abstimmen
Der Erstlauf ist meist wesentlich größer als spätere Sicherungen. Er sollte zu einer Zeit beginnen, in der das NAS stabil läuft und der Internetanschluss nicht für latenzempfindliche Anwendungen benötigt wird. Bei begrenztem Upload kann eine Bandbreitenbegrenzung verhindern, dass andere Dienste beeinträchtigt werden.
Prüfe, wie sich die Anwendung nach einer unterbrochenen Verbindung verhält. Ein guter Backup-Auftrag setzt übertragene Daten fort oder prüft vorhandene Blöcke, statt jedes Mal unkontrolliert von vorn zu beginnen. Das NAS darf während des Schreibens des lokalen Dateisystems nicht hart abgeschaltet werden. Ein Netzwerkabbruch ist dagegen ein realistischer Test, sofern ausschließlich der Testauftrag betroffen ist und das Backup-Programm einen sicheren Wiederanlauf vorsieht.
Bei Datenbanken, virtuellen Maschinen oder aktiv genutzten Anwendungsdateien reicht eine gewöhnliche Dateikopie möglicherweise nicht aus. Das Backup benötigt dann anwendungskonsistente Exporte, Snapshots oder eine dafür vorgesehene Sicherungsschnittstelle. Ein erfolgreicher Upload einer geöffneten Datei garantiert noch keine konsistente Wiederherstellung.
Erfolg dauerhaft überwachen
Ein automatischer Auftrag gilt nur dann als funktionsfähig, wenn seine Ergebnisse kontrolliert werden. Richte Benachrichtigungen für fehlgeschlagene und möglichst auch für ausbleibende Sicherungsläufe ein. Ein NAS, das keine Verbindung mehr hat, kann schließlich auch keine Fehlermeldung an das entfernte Ziel schreiben.
Kontrolliere in festen Abständen den letzten erfolgreichen Lauf, den belegten Speicher, die Zahl der Wiederherstellungspunkte und auffällige Protokolleinträge. Nach Änderungen an Passwort, SSH-Schlüssel, Zertifikat, NAS-Firmware oder Backup-Paket ist ein manueller Testlauf sinnvoll. Bei einem unerwarteten Hostschlüssel- oder Zertifikatswechsel darf die Warnung nicht blind bestätigt werden; gleiche die Änderung zuerst mit den für die Storage Box geltenden Zugangsinformationen ab.
Eine vollständige Wiederherstellungsprobe sollte nicht auf einzelne Dateien beschränkt bleiben. Wähle gelegentlich einen abgegrenzten Ordner, stelle ihn außerhalb des ursprünglichen Pfades wieder her und prüfe Struktur, Dateinamen und Inhalte. Dadurch werden auch Probleme sichtbar, die eine reine Verbindungsprüfung übersieht.
Die passende Planung für typische NAS-Situationen
Für ein NAS mit integrierter Backup-Anwendung und Unterstützung für ein verschlüsseltes Remote-Repository ist diese Anwendungsfunktion meist der geradlinigste Weg. Sie bündelt Versionierung, Zeitplan, Protokollierung und Wiederherstellung. Als Transport kommt ein von Anwendung und Storage Box gemeinsam unterstütztes, verschlüsseltes Verfahren infrage.
Kann das NAS nur Dateien per SFTP kopieren, solltest du die fehlende Versionierung bewusst ergänzen. Ohne getrennte Stände wird aus dem Ziel leicht ein Spiegel, der beschädigte oder gelöschte Dateien übernimmt. Unterstützt das NAS ausschließlich WebDAV, nutze HTTPS mit Zertifikatsprüfung und teste vorab große Dateien sowie viele kleine Dateien.
Ist eine clientseitige Verschlüsselung auf dem NAS nicht verfügbar, solltest du vertrauliche Quelldaten bereits vor dem Backup in einem geeigneten verschlüsselten Archiv oder Repository ablegen. Dabei muss die Wiederherstellung ohne das ursprüngliche NAS möglich bleiben. Eine Eigenkonstruktion aus mehreren Skripten ist nur sinnvoll, wenn Protokollierung, Fehlerbehandlung, Schlüsselverwaltung und Restore-Verfahren ebenso sorgfältig umgesetzt werden wie bei einer spezialisierten Backup-Lösung.
Die belastbare Endkonfiguration besteht damit aus vier überprüfbaren Teilen: einem verschlüsselten Transportweg, einem versionierten Backup-Format, separat gesicherten Entschlüsselungsdaten und einem erfolgreich getesteten Restore. Sobald einer dieser Teile fehlt, ist die Hetzner Storage Box zwar erreichbar, aber das NAS-Backup noch nicht vollständig geplant.