NAS hochverfügbar betreiben: Wann lohnt sich ein zweites Gerät?

Ein zweites NAS lohnt sich für Hochverfügbarkeit vor allem dann, wenn ein Ausfall des ersten Geräts laufende Arbeit, Dienste oder Einnahmen spürbar beeinträchtigt. Betroffen sind dabei nicht nur Laufwerke und RAID, sondern das gesamte System aus Speicherpool, Volume, Freigaben, Benutzerrechten, Diensten und Netzwerkzugriff. Akute Datengefahr besteht durch den Aufbau eines zweiten Geräts zunächst nicht; riskant werden unüberlegte Synchronisationen, Neuinitialisierungen und ungeprüfte Failover-Abläufe. Erfasse zuerst die benötigte Wiederanlaufzeit, den zulässigen Datenverlust und die Abhängigkeiten deiner Anwendungen. Am produktiven Speicherpool solltest du bis zur Prüfung von Backup, Replikationsrichtung und Kompatibilität nichts verändern.

Ein zweites NAS ist nicht automatisch hochverfügbar

Zwei Geräte schaffen erst dann Hochverfügbarkeit, wenn das zweite System den Dienst des ersten innerhalb einer festgelegten Zeit übernehmen kann. Eine zusätzliche NAS-Hardware, auf die nachts Daten kopiert werden, verbessert zwar die Wiederherstellbarkeit, stellt Freigaben und Anwendungen aber nicht automatisch bereit.

Für die Entscheidung müssen drei Betriebsmodelle getrennt werden:

• Backup-NAS: Es bewahrt getrennte Versionen auf und dient der Wiederherstellung. Die Umschaltung erfolgt in der Regel manuell und benötigt Zeit.
• Repliziertes Ersatzsystem: Daten und ausgewählte Einstellungen werden auf ein zweites NAS übertragen. Im Fehlerfall wird das Ersatzsystem manuell oder teilweise automatisiert aktiviert.
• Hochverfügbarkeits-Cluster: Zwei kompatible Geräte bilden ein abgestimmtes Aktiv-Passiv-System. Fällt der aktive Knoten aus, übernimmt der passive Knoten nach einer Zustandsprüfung.

Ein Cluster verkürzt die Unterbrechung, ersetzt jedoch kein Backup. Gelöschte oder verschlüsselte Dateien können auf den zweiten Knoten repliziert werden. Ein versionsreiches, getrenntes Backup erfüllt eine andere Aufgabe: Es ermöglicht die Rückkehr zu einem früheren Datenstand.

RTO und RPO beantworten die Kostenfrage besser als die Gerätegröße

Ob sich die Investition lohnt, hängt vor allem von zwei Zielwerten ab. Das Recovery Time Objective, kurz RTO, beschreibt die längste akzeptable Unterbrechung. Das Recovery Point Objective, kurz RPO, gibt an, wie viele Änderungen seit der letzten brauchbaren Kopie verloren gehen dürfen.

• Ein RTO von wenigen Minuten spricht für ein getestetes Failover-System.
• Ein RTO von mehreren Stunden kann mit einem replizierten Ersatz-NAS erreichbar sein, sofern Freigaben, Rechte und Dienste vorbereitet sind.
• Ein RTO von einem Tag lässt sich häufig mit Ersatzhardware, dokumentierter Wiederherstellung und einem belastbaren Backup abdecken.
• Ein RPO nahe null erfordert eine engmaschige oder synchrone Übertragung. Dadurch steigen Anforderungen an Netzwerk, Latenz, Systemkompatibilität und Fehlerbehandlung.
• Ein RPO von mehreren Stunden kann mit zeitgesteuerter Replikation oder häufigen Backup-Läufen erfüllt werden.

Die Zielwerte sollten pro Dienst festgelegt werden. Eine zentrale Dateifreigabe kann eine andere Wiederanlaufzeit benötigen als ein Medienserver, ein Archiv oder ein Container. Wird alles pauschal als kritisch eingestuft, entsteht leicht eine teure Architektur, obwohl nur ein kleiner Teil der Dienste schnell wieder verfügbar sein muss.

Vier Situationen, in denen die zweite Einheit einen echten Vorteil bietet

Mehrere Personen arbeiten dauerhaft auf zentralen Freigaben

Ein zweites System ist sinnvoll, wenn lokale Arbeitsplätze ohne die NAS-Freigaben nicht weiterarbeiten können und eine manuelle Wiederherstellung zu lange dauern würde. Das betrifft beispielsweise gemeinsam genutzte Projektdateien, Produktionsdaten oder zentrale Benutzerverzeichnisse. Entscheidend ist nicht die Anzahl der Nutzer allein, sondern die wirtschaftliche oder organisatorische Wirkung der Unterbrechung.

Dienste müssen auch bei einem Hardwaredefekt erreichbar bleiben

Laufen Datenbanken, interne Anwendungen, virtuelle Maschinen oder Container auf dem NAS, genügt eine Dateikopie allein oft nicht. Das Ersatzsystem benötigt passende Laufzeitumgebungen, Speicherpfade, Berechtigungen, Netzwerkeinstellungen und gegebenenfalls Anwendungslizenzen. Eine hochverfügbare Speicherfreigabe macht einen nicht redundant ausgelegten Anwendungsserver ebenfalls nicht automatisch ausfallsicher.

Wartungsfenster sind schwer planbar

Bei kompatiblen Cluster-Lösungen kann ein geplanter Wechsel auf den zweiten Knoten Wartungsarbeiten erleichtern. Das funktioniert nur innerhalb der Grenzen der eingesetzten Plattform. Firmware-Updates, Paketversionen und bestimmte Systemänderungen können dennoch eine Unterbrechung verlangen. Die Hochverfügbarkeitsfunktion des jeweiligen Herstellers muss für Modell, Betriebssystemversion, Laufwerkskonfiguration und verwendete Dienste ausdrücklich geeignet sein.

Die Wiederherstellung wurde bereits als zu langsam erkannt

Ein gemessener Wiederherstellungstest ist eine belastbare Entscheidungsgrundlage. Dauert das Einrichten eines Ersatzgeräts einschließlich Datenrücksicherung, Rechteprüfung und Dienststart länger als die erlaubte Ausfallzeit, kann ein vorbereitetes zweites NAS diese Lücke schließen. Ohne Test wird die Wiederanlaufzeit häufig unterschätzt, weil nicht nur Daten, sondern auch Konten, Zertifikate, Freigaben und Anwendungseinstellungen benötigt werden.

Wann Backup und Ersatzplan meist die bessere Wahl sind

Ein Hochverfügbarkeits-Cluster ist nicht für jeden privaten oder kleinen gewerblichen Einsatz wirtschaftlich. Wird das NAS hauptsächlich als Archiv, Medienablage oder Backupziel verwendet und ist eine Unterbrechung von mehreren Stunden akzeptabel, bietet ein separates Backup häufig den größeren Sicherheitsgewinn.

Gegen einen Cluster sprechen insbesondere folgende Bedingungen:

• Der Datenbestand ist gesichert, und eine Wiederherstellung innerhalb des akzeptierten RTO wurde erfolgreich getestet.
• Die gespeicherten Dienste sind komfortabel, aber nicht betriebsnotwendig.
• Budget, Stromverbrauch und Verwaltungsaufwand würden die eigentliche Backup-Qualität verschlechtern.
• Die vorhandenen NAS-Modelle oder Betriebssystemstände unterstützen keinen gemeinsamen Hochverfügbarkeitsbetrieb.
• Beide Geräte würden ohne getrennte Stromversorgung, geeignete Netzwerkstruktur und Überwachung am selben Fehlerpunkt hängen.

In solchen Fällen ist ein repliziertes Ersatzgerät ein möglicher Mittelweg. Es kann regelmäßig Daten übernehmen und für einen manuellen Wiederanlauf vorbereitet werden. Diese Lösung ist langsamer als ein automatisches Failover, aber einfacher zu kontrollieren und weniger streng an identische Hardware gebunden. Ob unterschiedliche Modelle zulässig sind, hängt trotzdem von Replikationsverfahren, Dateisystem, Paketunterstützung und Herstellerplattform ab.

Die versteckten Voraussetzungen eines Aktiv-Passiv-Clusters

Ein Cluster benötigt mehr als zwei Gehäuse mit gleich großen Festplatten. Vor dem Kauf muss in der offiziellen Dokumentation des NAS-Herstellers geprüft werden, welche Modelle, Betriebssystemstände, Netzwerkschnittstellen, Volume-Typen und Dienste gemeinsam unterstützt werden. Ähnliche Leistungsdaten oder derselbe Markenname reichen als Kompatibilitätsnachweis nicht aus.

Zu den typischen Planungsfeldern gehören:

• Hardware: Die Knoten müssen je nach Plattform identisch oder ausdrücklich miteinander kompatibel sein. Auch Arbeitsspeicher, Laufwerkszahl und Netzwerkausstattung können relevant sein.
• Netzwerk: Client-Zugriff, Replikationsverkehr und Überwachung dürfen nicht unbemerkt an einem einzigen Switch, Kabel oder Port hängen. Die erforderliche Bandbreite richtet sich nach Änderungsrate und Anwendungslast, nicht nur nach der Größe des Datenbestands.
• Adressierung: Clients benötigen einen stabilen Zugriffspunkt, der beim Rollenwechsel auf den aktiven Knoten zeigt. Namensauflösung, virtuelle Adresse und zulässige Netzwerksegmente sind plattformabhängig.
• Zustandsentscheidung: Die Knoten müssen erkennen, welches Gerät aktiv sein darf. Fehler in Kommunikation oder Quorum-Logik können sonst zu einem Split-Brain-Zustand führen, bei dem beide Seiten voneinander abweichende Daten annehmen.
• Leistung: Der passive Knoten muss die produktive Last übernehmen können. Ein deutlich schwächeres Gerät kann zwar Daten aufnehmen, erfüllt aber möglicherweise nicht das festgelegte RTO unter realer Last.
• Überwachung: Failover, Replikationsrückstand, Laufwerkszustand und Netzwerkfehler müssen gemeldet werden. Ein unbemerkter Ausfall des passiven Knotens beseitigt die Redundanz.

Ein automatisches Failover sollte erst aktiviert werden, nachdem die Replikation vollständig ist und ein dokumentierter Test keine Inkonsistenzen gezeigt hat. Zwei auffällige Knoten, ein instabiles Netzwerk oder ein unklarer Replikationsstatus sind Abbruchgründe. In dieser Lage ist eine kontrollierte Sicherung des Systemzustands wichtiger als ein erzwungener Rollenwechsel.

Gemeinsame Fehlerpunkte begrenzen den Nutzen

Zwei NAS-Geräte im selben Raum schützen primär vor dem Ausfall eines einzelnen Knotens. Gegen Stromausfall, Überspannung, Brand, Wasser, Diebstahl, Fehlkonfiguration oder kompromittierte Administratorkonten bieten sie nur begrenzten Schutz.

Die Architektur muss daher nach Fehlerdomänen betrachtet werden. Nutzen beide Geräte dieselbe Steckdose, denselben Switch und dieselben Zugangsdaten, bleiben mehrere zentrale Risiken bestehen. Eine unterbrechungsfreie Stromversorgung kann kurze Netzausfälle und kontrolliertes Herunterfahren abdecken, ist aber selbst zu überwachen. Getrennte Netzwerkpfade helfen nur, wenn sie nicht unmittelbar wieder an derselben ungeschützten Komponente zusammenlaufen.

Ein entfernter zweiter Standort reduziert lokale Risiken, erhöht jedoch die Anforderungen an Leitung, Verschlüsselung, Latenz und Überwachung. Synchrone Replikation über eine langsame oder instabile Verbindung kann die Schreibleistung beeinflussen oder die Verfügbarkeit verschlechtern. Asynchrone Replikation ist toleranter, lässt dafür einen möglichen Abstand zwischen produktivem und repliziertem Datenstand.

Entscheidungsweg vom Ausfallrisiko zur passenden Lösung

1. Liste die Freigaben und Dienste auf, die während eines NAS-Ausfalls tatsächlich benötigt werden.
2. Lege für jeden Eintrag eine maximale Unterbrechung und einen maximal tolerierbaren Datenverlust fest.
3. Miss mit einem Wiederherstellungstest, wie lange das vorhandene Backup bis zum nutzbaren Dienst benötigt.
4. Wenn der gemessene Wiederanlauf innerhalb des RTO liegt, investiere vorrangig in Backup-Qualität, Dokumentation und Ersatzteilplanung.
5. Wenn der Wiederanlauf zu lange dauert, aber eine geplante manuelle Umschaltung akzeptabel ist, prüfe ein repliziertes Ersatz-NAS.
6. Wenn nur eine sehr kurze Unterbrechung zulässig ist, prüfe einen herstellerseitig unterstützten Cluster einschließlich Modell-, Versions- und Dienstkompatibilität.
7. Plane getrennt davon ein versioniertes Backup nach dem 3-2-1-Prinzip und teste die Wiederherstellung einer Datei sowie eines vollständigen Dienstes.

Bei der Wirtschaftlichkeitsprüfung zählt nicht nur der Kaufpreis. Ein zweiter Knoten verursacht Laufwerks-, Energie-, Netzwerk-, Wartungs- und Testaufwand. Diesen laufenden Kosten steht der erwartete Schaden einer Unterbrechung gegenüber. Für eine private Medienbibliothek ist ein mehrstündiger Ausfall oft hinnehmbar; bei gemeinsam bearbeiteten Geschäftsdaten kann bereits eine kurze Unterbrechung den Mehraufwand rechtfertigen.

Failover testen, ohne produktive Daten zu gefährden

Ein Hochverfügbarkeitskonzept ist erst belastbar, wenn die Übernahme und der Rückweg geprüft wurden. Der erste Test sollte in einem geplanten Wartungsfenster mit vorhandenem, überprüftem Backup erfolgen. Vor dem Start werden Systemzustand, Replikationsstatus, aktive Sitzungen und laufende Schreibvorgänge dokumentiert.

Der Test muss mehr prüfen als die Erreichbarkeit der Verwaltungsoberfläche:

• Öffnen Clients die Freigaben über denselben vorgesehenen Namen oder Zugriffspunkt?
• Bleiben Benutzer- und Gruppenrechte wirksam?
• Starten die benötigten Pakete, Container oder virtuellen Systeme auf dem Zielknoten?
• Entsprechen Datenstand und Replikationszeitpunkt dem festgelegten RPO?
• Werden Ausfall, Rollenwechsel und verlorene Redundanz gemeldet?
• Ist der Rückwechsel dokumentiert, und wird die Replikationsrichtung dabei eindeutig kontrolliert?

Für den ersten Test sollte kein Laufwerk gezogen und kein Speicherpool absichtlich beschädigt werden. Ein vom Hersteller vorgesehener geplanter Rollenwechsel oder ein kontrolliertes Abschaltszenario ist leichter auszuwerten. Erst wenn dieser Ablauf funktioniert, lassen sich weitere Fehlerbilder in einer dafür geeigneten Testumgebung untersuchen.

Die passende Lösung ergibt sich aus der erlaubten Unterbrechung

Ein zweites NAS ist für Hochverfügbarkeit sinnvoll, wenn eine getestete Wiederherstellung die geforderte Wiederanlaufzeit nicht erreicht und die betroffenen Dienste einen kurzen Ausfall tatsächlich nicht verkraften. Für viele private Installationen und kleine Arbeitsumgebungen ist ein versioniertes Backup mit dokumentiertem Ersatzplan die bessere erste Investition. Ein repliziertes Standby-System schließt die Lücke zwischen Backup und automatischem Cluster.

Wer ein Aktiv-Passiv-System benötigt, sollte die Entscheidung an unterstützter Hardware, realer Dienstkompatibilität, getrennten Fehlerdomänen und einem wiederholbaren Failover-Test festmachen. Erst diese Punkte verwandeln zwei NAS-Geräte in eine belastbare Verfügbarkeitslösung.