Drei Fehler im ueblichen Vorgehen

Die Sicherungsstrategie der meisten Leute ist eine Kopie eines Ordners auf eine externe Platte, aufgefrischt, wenn man daran denkt. Sie scheitert an drei konkreten Stellen. Sie ist nicht verschluesselt, also ist eine gestohlene Platte ein gestohlenes Archiv. Sie ist nicht schrittweise, also wird ein grosser Ordner jedes Mal vollstaendig neu kopiert, was dazu fuehrt, dass man es laesst. Und sie ist nicht pruefbar, also weiss niemand, ob die Kopie unversehrt ist, bis zu dem Tag, an dem sie gebraucht wird, was der schlechteste Zeitpunkt ist, um einen Schaden zu entdecken.

restic behandelt alle drei als Vorgabe und nicht als Option. Daten werden auf der eigenen Seite verschluesselt, bevor sie irgendwohin gehen, also haelt jedes Ziel nur Geheimtext. Schnappschuesse erfassen nur, was sich seit dem letzten geaendert hat, mit Deduplizierung auf Blockebene, also verbrauchen hundert taegliche Schnappschuesse eines grossen Ordners kaum mehr als die Aenderungen. Und das Archiv traegt Pruefsummen, die sich auf Verlangen pruefen lassen, was aus dem Satz ich denke, meine Sicherung ist in Ordnung einen pruefbaren Satz macht.

Eine Datei, alle Ziele

Die Entscheidung, die es praktisch macht, ist die einheitliche Beschreibung des Archivs. Ein lokaler Ordner, eine Netzfreigabe, ein Objektspeicher in der Wolke und ein entfernter Server ueber einen gesicherten Kanal werden gleich beschrieben, ein Wechsel des Ziels ist also eine geaenderte Pfadangabe und kein Formatumzug. Die Datei ist in sich geschlossen und laeuft auf mehreren Systemen, was fuer den Fall zaehlt, der die meisten Plaene zerstoert: die Maschine, auf die man zurueckspielt, ist nicht die, von der gesichert wurde.

Der Befehlssatz ist klein genug fuer einen Abend: ein Archiv anlegen, einen Schnappschuss nehmen, Schnappschuesse auflisten, Unversehrtheit pruefen, eine Aufbewahrungsregel anwenden, zurueckspielen. Aufbewahrung wird als Regel ausgedrueckt und nicht als Zeitplan, also ist die letzten sieben taeglichen, vier woechentlichen und zwoelf monatlichen ein einzelner Befehl, und das Aufraeumen entfernt Bloecke, auf die kein Schnappschuss mehr zeigt, damit das Archiv nicht unbegrenzt waechst.

Was es verlangt und was es verweigert

Der Preis ist ein Werkzeug fuer die Kommandozeile mit einem Kennwort, und beides will Sorgfalt. Ist das Kennwort des Archivs verloren, sind die Daten weg, denn das bedeutet Verschluesselung; das Kennwort am selben Ort wie das Archiv zu halten untergraeft den Zweck auf eine Art, die man leicht versehentlich hinbekommt. Auch die Zeitplanung ist eigene Arbeit, ueber einen Zeitgeber des Systems oder eine Zeile in einem Skript, und die Ueberwachung ebenso, denn eine Sicherung, die drei Wochen still gescheitert ist, ist schlimmer als keine.

Es weigert sich zudem, ein Abgleichwerkzeug zu sein. Es gibt keine laufende Spiegelung und keine Konfliktloesung, weil das andere Probleme mit anderen Fehlerarten sind. Es als Abgleichwerkzeug zu benutzen ist der haeufigste Weg, davon enttaeuscht zu werden, und die Anleitung sagt das deutlich, was eine Freundlichkeit ist.

Verschluesselung, Deduplizierung und Pruefbarkeit sollten keine Zusatzangebote sein. Sie sind der Mindeststandard, um etwas Sicherung nennen zu duerfen, und ein Werkzeug, das sie zur Vorgabe macht, erledigt den langweiligen Teil der Debatte fuer einen.

Ein Aufbau, der es lohnt zu kopieren. Das Archiv auf Speicher legen, der nicht die gesicherte Maschine ist, und eine zweite Kopie des Archivs anderswo halten, wenn die Daten zaehlen. Das Kennwort auf Papier schreiben und koerperlich aufbewahren, denn ein Kennwortverwalter in der Maschine, die man gerade zurueckspielt, ist ein Witz mit schlechter Pointe. Die Aufgabe einplanen, die Ausgabe protokollieren und das Protokoll lesen. Und einmal im Quartal einen Ordner an einen vorlaeufigen Ort zurueckspielen und eine Datei oeffnen: eine ungepruefte Sicherung ist ein Dokument und kein Schutz.