Datensouveränität zum Anfassen: Sicherung mit Restic und greifbaren Medien

Datensouveränität zum Anfassen: Sicherung mit Restic und greifbaren Medien
By Matthias Petermann / on 08.11.2025

Warum Backups mehr sind als Routine

In einer Zeit, in der fast alles digital gespeichert wird, ist Datensicherung kein Nebenthema mehr – sie ist digitale Selbstverteidigung. Ob Familienfotos, Steuerunterlagen oder eigene Entwicklungsprojekte: Die Verfügbarkeit dieser Daten entscheidet über Erinnerungen, Pflichten und manchmal sogar über Existenzen.

Die meisten Menschen verlassen sich dabei – bewusst oder unbewusst – auf zentrale Cloud-Anbieter. Doch das birgt gleich mehrere Risiken: technologische, rechtliche und psychologische.

Clouds sind bequem. Aber sie verschieben die Verantwortung. Sie suggerieren Sicherheit, während sie im Kern nur Verfügbarkeit garantieren. Ein Backup ist das nicht.

⚠️ Wenn es nur in der Cloud liegt, gehört es Ihnen nicht wirklich
Clouds bieten Service-Level, keine Besitzrechte. Ihre Daten liegen auf fremder Infrastruktur, unter fremder Jurisdiktion und fremden Geschäftsbedingungen.

Shared Responsibility: Verantwortung mit Fußnoten

Die Geschäftsbedingungen fast aller Cloud-Plattformen enthalten eine ähnliche Passage:

„Der Kunde ist für die Sicherung und Wiederherstellung seiner Daten verantwortlich.“

Das nennt sich Shared Responsibility Model. Der Anbieter sorgt für Strom, Hardware und Zugänglichkeit – alles andere bleibt in Ihrer Verantwortung.

Das ist aus Sicht der Anbieter nachvollziehbar: Sie können nicht wissen, ob eine Datei gelöscht wurde, weil Sie sie absichtlich entfernt haben oder weil ein Konto kompromittiert wurde. Deshalb bleibt das Backup Ihre Pflicht.

ℹ️ Shared Responsibility in der Praxis
Cloud-Anbieter garantieren Verfügbarkeit ihrer Dienste – nicht Integrität oder Wiederherstellbarkeit Ihrer Daten. Wenn Ihr Konto gesperrt, gelöscht oder korrumpiert wird, endet ihre Verantwortung.

Die physische Grenze der Cloud

Selbst wenn man auf Cloud-Sicherung vertraut: Wie realistisch ist eine vollständige Wiederherstellung über eine normale Internetverbindung?

Ein Terabyte über eine 50-Mbit-Leitung herunterzuladen dauert im Idealfall über 2 Tage. Ohne Ausfälle, ohne Drosselung. Das ist keine Backup-Strategie – das ist eine Geduldsprobe.

Ein physisches Backup ist dagegen greifbar, schnell und überprüfbar. Sie können die Festplatte in die Hand nehmen, anschließen und sofort wiederherstellen.

⚡ Die praktische Grenze der Leitung
Verfügbarkeit heißt nicht Wiederherstellbarkeit. Ein lokales Backup bleibt das Maß der Dinge – nicht aus Nostalgie, sondern aus physikalischer Vernunft.

Restic: Werkzeug für greifbare Sicherheit

Restic ist ein quelloffenes Backup-Werkzeug, das 2015 mit einer einfachen Idee startete: Backups sollten einfach, sicher und überprüfbar sein – und auf jedem System funktionieren.

Heute ist Restic ein Referenzprojekt für robuste, dezentrale Datensicherung. Es läuft auf Linux, macOS und Windows, benötigt keine Datenbank, keine Cloudbindung, keine Lizenzschlüssel.

ℹ️ Warum Restic technisch überzeugt
  • Geschrieben in Go – kompiliert für alle Plattformen ohne Abhängigkeiten.
  • Vollständig verschlüsselt und dedupliziert.
  • Speichert Backups als objektbasierte Repositories (ähnlich wie Git).
  • Arbeitet zuverlässig auf lokalen Medien, via SSH, S3 oder Rclone.

Offizielle Quellen:


Wie Restic funktioniert

Restic legt die Sicherung nicht einfach als Kopie ab. Es teilt alle Daten in kleine Blöcke (Blobs), hasht sie mit SHA-256 und speichert sie verschlüsselt. Dadurch erkennt Restic doppelte Daten sofort und speichert sie nur einmal.

Das spart Speicherplatz und beschleunigt inkrementelle Sicherungen erheblich. Jede Sicherung ist ein vollständiger „Snapshot“ des Datenzustands, aber ohne redundante Kopien identischer Dateien.

💡 Snapshots statt Versionen
Jeder Snapshot ist eigenständig wiederherstellbar – auch wenn frühere gelöscht wurden. Das ist das Gegenmodell zu inkrementellen Ketten, die bei Defekten unbrauchbar werden.

Kryptografische Architektur: Warum Restic schwer zu knacken ist

Restic verschlüsselt sämtliche Inhalte – auch Metadaten – mit modernster Kryptografie:

  • AES-256 im Counter Mode (CTR) für Datenverschlüsselung
  • Poly1305 für Message Authentication
  • PBKDF2 (Password-Based Key Derivation Function 2) mit hohem Work-Faktor zur Passwortableitung
  • Salted Key Derivation: jedes Repository hat sein eigenes, zufällig generiertes Salt
  • HMAC-SHA256 für Integritätsprüfung jedes gespeicherten Objekts

Das bedeutet: selbst wenn jemand Ihren Datenträger stiehlt, hat er nur zufällige Bytes – ohne Passwort keine Chance auf Entschlüsselung.

🔒 Kryptografische Resilienz
Restic schützt sich nicht durch Geheimhaltung, sondern durch bewährte Standards. Die Schlüsselableitung ist so rechenintensiv, dass Brute-Force-Angriffe wirtschaftlich sinnlos sind. Ein einfaches Passwort wie „Baumhaus!2025“ wird durch PBKDF2 bereits zu einem hochkomplexen Schlüsselstrom.

Der Aufwand für einen Brute-Force-Angriff ist exponentiell: Jeder Versuch kostet Energie und Zeit – und die PBKDF2-Iteration verlangsamt jeden Kandidaten künstlich. Selbst bei Zugriff auf die Hardware wäre ein erfolgreicher Angriff praktisch ausgeschlossen.


Restic in der Praxis

Ein typischer Backup-Workflow auf einem Linux-Homeserver:

export RESTIC_REPOSITORY=/mnt/backup/restic_repo
export RESTIC_PASSWORD_FILE=/etc/restic_password.txt

restic init
restic backup /srv/data --tag homeserver
restic snapshots

Jeder Lauf erstellt automatisch einen neuen Snapshot. Diese Snapshots lassen sich jederzeit vergleichen, löschen oder wiederherstellen:

restic restore latest --target /wiederhergestellt
📝 Passwort-Handling
Das Passwortfile (/etc/restic_password.txt) sollte nur auf dem Server existieren. Auf dem Sicherungsdatenträger selbst wird es nicht gespeichert. Beim Restore wird es manuell eingegeben.

Medienrotation und physische Resilienz

Ein Backup ist nur so belastbar wie sein Trägermaterial. Darum empfiehlt sich eine rotierende Sicherungsstrategie – mindestens drei Datenträger, besser mehr.

Laufzeit Medium Standort
Woche 1 A Zuhause (aktiv)
Woche 2 B bei Familie / Freunden
Woche 3 C ausgelagert (z. B. Büro, Bankschließfach)

Bei vier oder fünf Medien kann zusätzlich ein „Langzeit-Archiv“ im jährlichen Turnus ergänzt werden.

💡 Sichere Rotation
Je mehr Medien, desto geringer das Risiko. Ein beschädigter Datenträger ist kein Problem, wenn andere Generationen existieren.
⚠️ Qualität der Datenträger
Billige USB-Festplatten sind trügerisch: oft „refurbished“ oder OEM-Restbestände mit erhöhter Fehlerquote. Empfohlen sind Markenlaufwerke mit dokumentierter MTBF (Mean Time Between Failures) und stabiler Gehäusekühlung. Regelmäßig SMART-Werte prüfen!

Medienwahl, Bitrot und Haltbarkeit

Daten altern – auch ohne Nutzung. Magnetische Festplatten können nach Jahren fehlerhafte Sektoren entwickeln, SSDs verlieren Ladung in Flashzellen.

Darum gilt: Backups sind ein Prozess, kein Zustand. Ein regelmäßiger Prüflauf (restic check) erkennt beschädigte Blobs frühzeitig. So lässt sich reagieren, bevor Daten unwiederbringlich verloren sind.

🏗️ Langzeitstrategie
  • Verwende unterschiedliche Hersteller und Serien.
  • Führe regelmäßige Integritätsprüfungen mit restic check durch.
  • Tausche Medien nach 3–5 Jahren planmäßig aus.

exFAT: Einfache Interoperabilität

Wenn verschiedene Systeme beteiligt sind – Linux, Windows, macOS – bietet sich exFAT als Dateisystem an. Es ist universell les- und schreibbar, unterstützt große Dateien und wird nativ von modernen Systemen unterstützt.

Für Datenträger, die regelmäßig getauscht oder transportiert werden, ist exFAT 2025 die praktikabelste Option.

⚙️ Kompatibilitätstipp
exFAT kombiniert Einfachheit mit Kompatibilität. Nur auf sauberes Aushängen achten (umount), um Datenverlust zu vermeiden.

Automatisierung auf dem Homeserver

Ein Cronjob oder systemd-Timer reicht oft aus, um die Sicherung automatisiert zu betreiben:

#!/bin/sh
DEVICE=$(/sbin/blkid -t PARTLABEL="backup" -o device)
MOUNTPOINT="/mnt/backup"

mount -t exfat $DEVICE $MOUNTPOINT
restic backup /srv/data --repo $MOUNTPOINT/restic_repo --password-file /etc/restic_password.txt --tag auto
umount $MOUNTPOINT
💡 Erweiterbarkeit des Backup-Skripts
Das Skript lässt sich leicht erweitern – etwa um ein einfaches Medienmanagement, das bei erkanntem Wechsel des Sicherungsmediums (abweichende Medien-ID) das Repository automatisch neu initialisiert. Ebenso kann ein täglicher E-Mail-Bericht ergänzt werden, der über den Erfolg der Sicherung informiert und Statusdetails übersichtlich aufbereitet. Weitere Funktionen – etwa Rotation, automatische Prüfungen oder Integritätschecks – können mit wenig Aufwand hinzugefügt werden.

Der menschliche Faktor: Verständlichkeit im Notfall

Ein Backup ist nur so wertvoll wie die Fähigkeit, es wiederherzustellen. Darum gehört auf jeden Datenträger eine kleine README-Datei:

NOTFALLPLAN

1. Backup-Festplatte anschließen.
2. Restic starten:
   ./restic restore latest --target /wiederhergestellt
3. Passwort eingeben.
4. Daten finden sich anschließend im Ordner /wiederhergestellt.

Dieser Schritt macht aus einem technischen Backup eine familienkompatible Sicherung. Im Notfall muss niemand improvisieren.

💡 Restic-Binary auf dem Sicherungsdatenträger
Restic ist ein kleines, eigenständiges Binary ohne externe Abhängigkeiten. Bewährt hat sich, eine Kopie davon — idealerweise für Linux und Windows — direkt auf dem Sicherungsdatenträger neben dem README abzulegen. So hat man im Ernstfall mit Datenträger, README und Binary alles beisammen, um die Sicherung auf nahezu jedem Gerät wiederherzustellen.

Fazit: Greifbare Backups als Ausdruck digitaler Mündigkeit

Clouds sind praktisch, aber sie ersetzen keine Verantwortung. Wer seine Daten wirklich besitzen will, muss sie physisch sichern, verschlüsseln und überprüfen können.

Restic steht sinnbildlich für eine Haltung: Transparenz, Nachvollziehbarkeit und Unabhängigkeit. Ein Backup ist kein lästiger Aufwand – es ist der Beweis echter digitaler Souveränität.

💡 Proof statt PowerPoint
Ein Backup ist erst dann ein Backup, wenn Sie seine Wiederherstellung getestet haben. Davor ist es nur ein gutes Gefühl.