Bei einer Sicherung auf einem NAS in einem zweiten Haushalt sind vor allem Backup-Anwendung, Transportverschlüsselung, Zielspeicher und Schlüsselverwaltung betroffen. Akute Datengefahr entsteht nicht allein durch den entfernten Standort, wohl aber durch unverschlüsselte Sicherungen, zu weit reichende Zugriffsrechte oder einen verlorenen Wiederherstellungsschlüssel. Prüfe zuerst, wer am Zielort technisch auf Dateien, NAS-Verwaltung und Sicherungsmedium zugreifen kann und ob die Backup-Daten bereits vor dem Versand verschlüsselt werden. Lösche, initialisiere oder überschreibe keine vorhandene Sicherung, bevor ein erfolgreicher Wiederherstellungstest und eine zweite Kopie der Schlüssel vorliegen.
Der zweite Haushalt ist als räumlich getrenntes Backup-Ziel sinnvoll: Feuer, Diebstahl, Überspannung oder ein anderer lokaler Schaden trifft dann nicht automatisch beide Kopien. Die Entfernung löst jedoch nur die Standortfrage. Vertraulichkeit, Zugriffsschutz, Manipulationsschutz und Wiederherstellbarkeit müssen unabhängig davon geplant werden.
Die saubere Rollenverteilung zwischen beiden Haushalten
Eine robuste Einrichtung trennt den Besitzer der Daten vom Betreiber des Ziel-NAS. Das Quell-NAS darf Sicherungen schreiben, der Haushalt am Zielort soll die enthaltenen Dateien aber möglichst nicht im Klartext lesen können. Umgekehrt sollte das Ziel-NAS keine administrativen Zugangsdaten zum Quell-NAS erhalten.
Diese Trennung gelingt am zuverlässigsten mit clientseitiger Verschlüsselung: Die Backup-Anwendung verschlüsselt Dateien und Metadaten bereits auf dem Quell-NAS. Übertragen wird nur ein verschlüsseltes Repository. Das Zielsystem speichert damit Datenblöcke, deren Inhalt ohne den separat verwahrten Schlüssel nicht lesbar ist.
- Dateninhaber: entscheidet über Sicherungsumfang, Aufbewahrung, Löschung und Wiederherstellung.
- Betreiber des Ziel-NAS: stellt Speicherplatz, Stromversorgung und Netzwerk bereit, benötigt aber keinen Zugriff auf den Klartext.
- Backup-Konto: besitzt nur die Rechte, die zum Schreiben beziehungsweise Verwalten des vorgesehenen Backup-Ziels erforderlich sind.
- Wiederherstellungsverantwortlicher: kennt den Ablauf und kann auf den Schlüssel zugreifen, ohne vom täglichen Administratorkonto abhängig zu sein.
Ein gemeinsames Administratorkonto für beide Systeme widerspricht dieser Trennung. Wird dessen Kennwort kompromittiert, kann ein Angreifer möglicherweise Quelle und Ziel gleichzeitig erreichen. Separate Konten, unterschiedliche Kennwörter und Mehrfaktor-Authentifizierung für die NAS-Verwaltung begrenzen diesen Schaden.
Datenschutz beginnt vor der Übertragung
Transportverschlüsselung und Backup-Verschlüsselung erfüllen unterschiedliche Aufgaben. Ein VPN oder ein verschlüsseltes Übertragungsprotokoll schützt die Verbindung zwischen den Haushalten. Es verhindert aber nicht automatisch, dass Dateien auf dem Ziel-NAS lesbar gespeichert werden. Die Verschlüsselung des Backup-Archivs schützt dagegen den gespeicherten Inhalt, auch wenn jemand die Festplatten ausbaut oder administrativen Zugriff auf das Zielsystem erhält.
Für persönliche Unterlagen, Familienfotos, Steuerdokumente oder Gesundheitsdaten sollte die Sicherung daher vor dem Verlassen des Quell-NAS verschlüsselt werden. Dateinamen, Verzeichnisstruktur, Vorschaubilder und Anwendungsindizes können ebenfalls sensible Informationen enthalten. Die ausgewählte Backup-Lösung sollte nicht nur einzelne Dateiinhalte, sondern auch die für die Wiederherstellung gespeicherten Metadaten angemessen schützen.
Bei ausschließlich privaten oder familiären Zwecken kann die datenschutzrechtliche Einordnung anders ausfallen als bei beruflichen, geschäftlichen oder vereinsbezogenen Daten. Sobald personenbezogene Daten im Rahmen einer beruflichen oder organisatorischen Tätigkeit auf einem fremd betriebenen NAS verarbeitet werden, reicht eine informelle Absprache regelmäßig nicht als alleinige Prüfung. Dann müssen insbesondere Verantwortlichkeit, Weisungsbindung, technische Schutzmaßnahmen, Löschung und gegebenenfalls eine Auftragsverarbeitung für den tatsächlichen Anwendungsfall geprüft werden. Verbindlich beurteilen lässt sich das nur anhand der beteiligten Personen, des Zwecks und des geltenden Rechtsraums.
Unabhängig von dieser rechtlichen Einordnung ist eine schriftliche Absprache sinnvoll. Darin sollten Speicherumfang, Kosten, Wartungsfenster, Zugriffsmöglichkeiten, Verhalten bei einem Defekt, Rückgabe von Laufwerken und das Löschen der Daten nach Ende der Vereinbarung festgehalten werden. Der Betreiber des Ziel-NAS sollte außerdem wissen, dass ein Laufwerk mit fremden Sicherungsdaten nicht ohne Freigabe verkauft, entsorgt oder zur Garantieabwicklung eingesendet werden darf.
Schlüsselverwaltung ohne einzelne Schwachstelle
Der Wiederherstellungsschlüssel darf weder nur im Quell-NAS noch ausschließlich im Kennwortmanager eines einzelnen Administrators liegen. Fällt das Quellgerät aus oder verliert diese Person den Zugang, wäre das räumlich getrennte Backup vorhanden, aber unbrauchbar. Umgekehrt sollte der Schlüssel nicht zusammen mit dem Ziel-NAS aufbewahrt werden, weil dies den Schutz vor physischem Zugriff schwächt.
Eine tragfähige Schlüsselverwaltung umfasst vier getrennte Elemente:
- Starke, einzigartige Passphrase oder Schlüsseldatei: Sie wird ausschließlich für dieses Backup-Repository verwendet und nicht mit NAS-, VPN- oder Benutzerkennwörtern gleichgesetzt.
- Zwei geschützte Schlüsselkopien: Eine Kopie kann in einem verlässlich gesicherten Kennwortmanager liegen, eine weitere auf einem verschlüsselten Offline-Datenträger oder als versiegelte Notfallkopie an einem dritten sicheren Ort.
- Dokumentierter Bezug: Zur Schlüsselkopie gehört die eindeutige Angabe, welches Repository und welche Backup-Anwendung damit wiederhergestellt werden. Die Dokumentation darf keine unnötigen Zugangsdaten zum Ziel-NAS enthalten.
- Geprüfter Notfallzugang: Mindestens eine vertrauenswürdige Vertretung muss wissen, wo die Notfallinformationen liegen und unter welchen Bedingungen sie verwendet werden dürfen.
Eine automatische Schlüsselablage auf dem Quell-NAS kann für unbeaufsichtigte Sicherungsläufe notwendig sein. Sie ersetzt aber keine externe Notfallkopie. Prüfe außerdem, ob ein exportierter Konfigurations- oder Schlüsselbestand selbst verschlüsselt ist und welche Passphrase für seinen Import benötigt wird.
Eine Schlüsselrotation ist nur dann sinnvoll, wenn die Backup-Software sie ausdrücklich unterstützt und der Wiederherstellungsweg für ältere Versionen erhalten bleibt. Das bloße Ändern einer Passphrase kann je nach Anwendung entweder nur den Schlüsselcontainer neu schützen oder ein neues Repository erfordern. Ein ungetesteter Wechsel kann ältere Sicherungsstände unzugänglich machen. Maßgeblich sind die Funktionen für Verschlüsselung, Schlüsselexport und Wiederherstellung in der eingesetzten Backup-Anwendung.
Eine sichere Architektur für das entfernte Backup
Der Datenfluss sollte vom Quell-NAS zu einer eigenen Backup-Freigabe auf dem Ziel-NAS führen. Diese Freigabe erhält ein separates Konto und wird nicht für Fotos, Medien oder gemeinsame Dokumente des zweiten Haushalts verwendet. So lassen sich Berechtigungen, Speicherquote, Protokolle und Aufbewahrung klar zuordnen.
- Bestand erfassen: Lege fest, welche Freigaben, Anwendungseinstellungen und Systemkonfigurationen gesichert werden. Temporäre Daten und leicht neu erzeugbare Medienkopien müssen nicht zwangsläufig über die begrenzte Internetverbindung übertragen werden.
- Verschlüsseltes Repository anlegen: Aktiviere die anwendungsseitige Verschlüsselung auf dem Quell-NAS und exportiere die erforderlichen Wiederherstellungsinformationen. Führe diesen Schritt vor der ersten großen Übertragung aus.
- Zielkonto begrenzen: Das Backup-Konto erhält Zugriff nur auf die vorgesehene Freigabe oder den vorgesehenen Dienst. Es bekommt keine allgemeine NAS-Administration und keinen Lesezugriff auf andere Daten des Zielhaushalts.
- Verbindung absichern: Nutze eine vom Produkt unterstützte verschlüsselte Verbindung. Ein Standort-VPN ist häufig leichter auf wenige Gegenstellen zu begrenzen als eine direkt aus dem Internet erreichbare NAS-Verwaltung. Die Administrationsoberflächen beider NAS-Systeme sollten nicht als bequeme Standardlösung offen ins Internet gestellt werden.
- Versionierung festlegen: Mehrere Sicherungsstände schützen vor versehentlichem Löschen und spät bemerkter Beschädigung. Die Aufbewahrung muss zum verfügbaren Speicher passen und darf nicht mit einem einzelnen synchronisierten Datenstand verwechselt werden.
- Wiederherstellung isoliert prüfen: Stelle ausgewählte Dateien in einen separaten Testordner zurück. Öffne die Dateien, kontrolliere Dateinamen und Zeitstempel und dokumentiere, welcher Schlüssel sowie welche Anwendungsversion benötigt wurden.
Eine reine Synchronisation ist für diesen Zweck schwächer als ein versioniertes Backup. Gelöschte oder verschlüsselte Quelldateien können bei einer Synchronisation auch am entfernten Standort verschwinden beziehungsweise überschrieben werden. Ein Backup mit getrennten Wiederherstellungspunkten bietet einen Rückweg, sofern das Zielkonto ältere Stände nicht beliebig löschen kann.
Schreibrechte, Löschrechte und Schutz vor Erpressungstrojanern
Das Backup-Konto benötigt meist Schreibzugriff, doch dauerhafte Vollrechte erhöhen das Risiko. Erlangt Schadsoftware Kontrolle über das Quell-NAS oder die dort gespeicherten Zugangsdaten, kann sie unter Umständen auch das entfernte Repository löschen. Schutz entsteht durch eine zusätzliche Grenze auf der Zielseite.
Geeignet sind je nach NAS und Backup-Software serverseitig geschützte Versionen, Snapshots, unveränderliche Aufbewahrungszeiträume oder ein Konto, das Sicherungen anlegen, aber geschützte ältere Stände nicht entfernen darf. Diese Funktionen sind nicht gleichwertig und nicht auf jedem Modell verfügbar. Prüfe in der Herstellerdokumentation des Zielsystems die Bereiche zu Snapshots, unveränderlicher Speicherung, Aufbewahrung und Berechtigungen; ausschlaggebend sind Modell, Betriebssystem, Dateisystem und Paketversion.
Snapshots allein sind keine weitere Standortkopie. Auf dem entfernten Ziel können sie dennoch eine nützliche Schutzschicht bilden, weil sie Veränderungen am Repository zeitlich zurücksetzen. Sie helfen jedoch nur, wenn der angreifende Account sie nicht ebenfalls löschen kann und genügend unbeschädigte Stände erhalten bleiben.
Was der Haushalt am Zielort im Notfall tun darf
Der physische Standort schafft besondere Betriebssituationen. Bei einem Laufwerksalarm, Stromausfall oder NAS-Defekt darf die Person vor Ort nicht improvisieren. Ein Laufwerk herauszuziehen, einen Speicherpool neu anzulegen oder eine Initialisierung zu bestätigen, kann die einzige entfernte Sicherung beschädigen.
Vereinbare stattdessen einen begrenzten Ablauf:
- Statusanzeigen fotografieren und Fehlermeldungen vollständig festhalten.
- Das Gerät nur nach vorheriger Abstimmung neu starten, sofern kein akuter elektrischer Schaden erkennbar ist.
- Keine Laufwerke vertauschen, formatieren, ersetzen oder zur Reparatur versenden.
- Bei ungewöhnlichen Geräuschen, Geruch, Flüssigkeit oder Überspannung das System ausschalten und nicht erneut starten.
- Vor einer Garantieabwicklung klären, ob das betroffene Laufwerk sensible Daten oder das einzige intakte Backup enthält.
Die verschlüsselte Sicherung reduziert das Offenlegungsrisiko bei einem Laufwerkstausch, beseitigt es aber nicht in jedem Szenario. Unverschlüsselte Systembereiche, Protokolle oder temporäre Dateien können weiterhin Informationen enthalten. Defekte Datenträger sollten daher nach einer abgestimmten Daten- und Garantieentscheidung behandelt werden.
Der Wiederherstellungstest entscheidet über den Nutzen
Ein erfolgreicher Sicherungslauf beweist nur, dass Daten geschrieben wurden. Er beweist nicht, dass Schlüssel, Repository und Software im Schadensfall zusammenpassen. Der Test sollte daher möglichst ohne die auf dem Quell-NAS gespeicherte automatische Anmeldung erfolgen.
Nutze für die Prüfung eine kleine Auswahl mit unterschiedlichen Eigenschaften: eine normale Datei, einen Ordner mit mehreren Ebenen, eine Datei mit Umlauten im Namen und einen älteren Sicherungsstand. Stelle alles in ein getrenntes Ziel zurück und vergleiche Inhalt, Größe und Lesbarkeit. Bei anwendungsgebundenen Daten muss zusätzlich geprüft werden, ob die zugehörige Anwendung sie tatsächlich importieren kann.
Ein vollständiger Erfolg liegt erst vor, wenn die Sicherung planmäßig läuft, ein Ausfall gemeldet wird, ältere Versionen erhalten bleiben und die Wiederherstellung mit der extern verwahrten Schlüsselkopie gelingt. Dokumentiere anschließend knapp das verwendete Programm, den Speicherort des Repositorys, die Schlüsselablage und den Ablauf für den Notfall. Diese Dokumentation gehört nicht unverschlüsselt auf dasselbe NAS wie das Backup.
Entscheidung für eine belastbare private Standortkopie
Die sinnvollste Aufteilung lautet: verschlüsseln am Quell-NAS, übertragen über einen geschützten Kanal, speichern unter einem eingeschränkten Zielkonto und Schlüssel getrennt an mindestens zwei sicheren Stellen verwahren. Der zweite Haushalt erhält nur die technischen Rechte und Informationen, die für Betrieb und Hilfe vor Ort nötig sind. Versionierung oder ein serverseitig geschützter Sicherungsstand begrenzt das Risiko, dass ein kompromittiertes Quellsystem auch die entfernte Kopie zerstört.
Diese Standortkopie bleibt Teil einer umfassenderen Sicherungsstrategie. Sie ersetzt weder die laufende Kontrolle der Backup-Berichte noch einen Wiederherstellungstest. Erst wenn die Rücksicherung ohne das ursprüngliche NAS und mit der externen Schlüsselkopie funktioniert, ist die Einrichtung für einen echten Geräte- oder Standortverlust vorbereitet.