Backup- und Restore-Systeme implementieren

Backup ist keine Software, die man installiert und vergisst, sondern ein Konzept. Du klärst zuerst, welche Daten wie wichtig sind und wie viel Verlust und Ausfallzeit verkraftbar sind. Daraus leitest du Sicherungsart, Rhythmus, Aufbewahrung und Speicherorte ab. Danach setzt du die Lösung um, sicherst sie gegen Ransomware ab, überwachst die Jobs und führst Restore-Tests durch, vom einzelnen Dokument bis zur ganzen VM.

Das sind die Fähigkeiten, die am Ende des Moduls sitzen sollten. Jedes Ziel mit einem Beispiel aus dem Lehrbetrieb.

1. 1

   Schutzbedarf, RPO und RTO mit dem Betrieb festlegen

   Kompetenz A

   Du findest heraus, welche Systeme und Daten es gibt, wie kritisch sie sind und wie lange der Betrieb ohne sie auskommt. Daraus entstehen pro System messbare Ziele für den maximal tolerierbaren Datenverlust (RPO) und die maximale Wiederherstellungszeit (RTO).

   Situation

   Eine Physiotherapie-Praxis mit 8 Mitarbeitenden hat einen Server mit Praxissoftware, Fileshare und Buchhaltung. Ein Backup gibt es nur auf einer USB-Platte, die seit Monaten am Server hängt.

   Deine Aufgabe

   Erhebe mit der Praxisleiterin den Schutzbedarf und formuliere RPO und RTO pro System.

   Gutes Ergebnis

   Tabelle mit drei Systemen: Praxissoftware RPO 1 Std. / RTO 4 Std., Fileshare RPO 24 Std. / RTO 1 Tag, Buchhaltung RPO 24 Std. / RTO 2 Tage. Begründung: ohne Praxissoftware keine Termine und Abrechnung.

   SchutzbedarfRPORTOBusiness ImpactDatenklassifikation
2. 2

   Eine 3-2-1-Backup-Strategie mit Rhythmus und Aufbewahrung festlegen

   Kompetenz B

   Du entscheidest, wie oft voll, inkrementell oder differenziell gesichert wird, wie lange Sicherungen aufbewahrt werden und wo die Kopien liegen. Mindestens eine Kopie liegt ausserhalb des Gebäudes und eine ist offline oder unveränderbar.

   Situation

   Die Praxis hat 1.2 TB Daten, täglich ändern sich etwa 15 GB. Geschäftsunterlagen müssen nach Obligationenrecht 10 Jahre aufbewahrt werden.

   Deine Aufgabe

   Lege Sicherungsart, Zeitplan, Aufbewahrung und Speicherorte fest.

   Gutes Ergebnis

   Täglich inkrementell, wöchentlich synthetischer Vollbackup auf ein lokales NAS. Kopie auf S3-Speicher in einem Schweizer Rechenzentrum mit Object Lock 30 Tage. GFS-Aufbewahrung: 14 Tage, 8 Wochen, 12 Monate, Jahresabschluss 10 Jahre.

   3-2-1-1-0-RegelVoll / inkrementell / differenziellGFS-SchemaOffsite-KopieAufbewahrungsfrist
3. 3

   Eine Backup-Lösung installieren und Jobs konfigurieren

   Kompetenz C

   Du installierst die Backup-Software, bindest Repositories ein und richtest Jobs für VMs, physische Server und Cloud-Dienste ein. Dabei achtest du auf anwendungskonsistente Sicherungen, damit Datenbanken und Exchange nach dem Restore auch starten.

   Situation

   Ein KMU betreibt drei Hyper-V-VMs (DC, Fileserver, SQL-Server mit ERP) und Microsoft 365.

   Deine Aufgabe

   Richte Veeam Backup & Replication für alle VMs ein und plane die M365-Sicherung.

   Gutes Ergebnis

   Veeam auf separatem Backup-Server, Repository auf NAS per iSCSI. Job 'VM-Taeglich' um 22:00 mit Application-Aware Processing für SQL, Copy-Job zur Cloud. Separates Konto für den Backup-Dienst ohne Domain-Admin-Rechte. M365-Mailboxen und OneDrive per Veeam for M365.

   RepositoryBackup-Job / Copy-JobApplication-Aware / VSSAgent vs. agentenlosDienstkonto
4. 4

   Backups gegen Ransomware und Fehlbedienung absichern

   Kompetenz D

   Angreifer suchen gezielt nach Backups, um sie zu löschen. Du trennst die Backup-Infrastruktur von der Domäne, nutzt unveränderbare Speicher und verschlüsselst Sicherungen, die das Haus verlassen.

   Situation

   Bei einem Bekannten des Lehrmeisters wurde das NAS mit allen Backups gleichzeitig mit dem Fileserver verschlüsselt, weil es mit Domain-Admin-Rechten eingebunden war.

   Deine Aufgabe

   Zeige, wie die Backup-Umgebung im eigenen Betrieb gehärtet werden kann.

   Gutes Ergebnis

   Backup-Server nicht in der Domäne, eigenes Admin-Konto mit MFA, NAS-Freigabe nicht als Laufwerk gemappt, Linux Hardened Repository mit 14 Tagen Immutability, AES-256-Verschlüsselung für Cloud-Kopie, Schlüssel im Passwortsafe und auf Papier im Tresor.

   Immutable BackupAir GapHardened RepositoryBackup-VerschlüsselungTrennung von Berechtigungen
5. 5

   Daten, Server und VMs gezielt wiederherstellen

   Kompetenz E

   Du beherrschst verschiedene Restore-Arten: einzelne Dateien, Mails, Datenbanken, ganze VMs oder einen Bare-Metal-Restore auf neue Hardware. Du weisst, wann du in den Originalort und wann besser an einen anderen Ort zurückspielst.

   Situation

   Eine Sachbearbeiterin der Gemeindeverwaltung hat am Dienstag einen Ordner mit Baugesuchen überschrieben. Am Donnerstag fällt es auf.

   Deine Aufgabe

   Stelle den Stand von Montagabend wieder her, ohne die neueren Dateien anderer zu überschreiben.

   Gutes Ergebnis

   File-Level-Restore aus dem Backup vom Montag 22:00 in einen Ordner '_Restore_2026-09-14'. Die Sachbearbeiterin vergleicht und übernimmt die richtigen Dateien. Ticket mit Ursache und Dauer (25 Min.) dokumentiert.

   File-Level-RestoreInstant VM RecoveryBare-Metal-RestoreRestore an alternativen OrtGranularer Restore
6. 6

   Backups überwachen und Restore-Tests regelmässig nachweisen

   Kompetenz E

   Jeder Job meldet Erfolg, Warnung oder Fehler, und jemand reagiert darauf. Zusätzlich testest du planmässig, ob sich Systeme in der geforderten Zeit wiederherstellen lassen, und hältst das Ergebnis fest.

   Situation

   Die Backup-Mails landen seit Monaten ungelesen in einem Sammelpostfach. Niemand weiss, ob die Sicherungen laufen.

   Deine Aufgabe

   Baue eine verlässliche Überwachung und einen Testplan auf.

   Gutes Ergebnis

   Backup-Status in PRTG integriert mit Alarm bei Fehler oder wenn 26 Stunden kein erfolgreicher Lauf. Quartalsweiser Restore-Test der ERP-VM in einem isolierten Netz (SureBackup), Protokoll mit Datum, Dauer, Ergebnis, Visum.

   Job-MonitoringRestore-TestTestprotokollSureBackup / VerifizierungAlarmierung
7. 7

   Ein Backup- und Wiederherstellungskonzept schreiben

   Kompetenz F

   Du hältst Ziele, Systeme, Zeitpläne, Speicherorte, Verantwortliche und Restore-Anleitungen in einem Dokument fest. Im Notfall muss es auch jemand verstehen, der die Umgebung nicht aufgebaut hat.

   Situation

   Der einzige Informatiker eines KMU geht in drei Monaten in Pension. Sein Backup-Wissen existiert nur in seinem Kopf.

   Deine Aufgabe

   Erstelle ein Backup-Konzept und eine Notfall-Checkliste.

   Gutes Ergebnis

   Konzept mit Systemliste, RPO/RTO, Jobübersicht, Speicherorten, Zugängen (Verweis auf Passwortsafe), Verantwortlichen und Schritt-für-Schritt-Restore für die drei wichtigsten Systeme. Ausgedruckt im Notfallordner hinterlegt.

   Backup-KonzeptNotfallhandbuchWiederanlaufreihenfolgeVerantwortlichkeiten

Die Kompetenzmatrix zerlegt das Modul in Themenstränge und drei Stufen. Für den Kompetenznachweis solltest du überall mindestens Stufe 2 erreichen. Dein Stand bleibt in diesem Browser gespeichert und färbt Lernweg und Übungen ein.

Timo ist im 2. Lehrjahr als Informatiker Plattformentwicklung bei der Ingenieurbüro Lanz AG in Solothurn, 35 Mitarbeitende. Bisher sichert die Windows Server-Sicherung jede Nacht auf eine USB-Disk, die neben dem Server steht, und einen Restore hat noch nie jemand getestet. Nachdem ein Konkurrenzbüro von Ransomware getroffen wurde, beauftragt der Geschäftsführer Timo mit einem neuen Backup-System.

1. Kapitel 1

   Was darf wie lange fehlen?

   Timo spricht mit dem Geschäftsführer und zwei Projektleitern über CAD-Projektdaten von 4 TB, die Buchhaltung und die Mails in Microsoft 365. Zuerst heisst es, nichts dürfe je verloren gehen. Timo zeigt, was das kosten würde, und gemeinsam legen sie Stufen fest: Für die CAD-Daten ein RPO von 4 Stunden und ein RTO von 8 Stunden, für die Buchhaltung 24 Stunden und 2 Tage.

   Ziel 1

2. Kapitel 2

   3-2-1 nach Mass

   Timo plant tägliche inkrementelle Sicherungen mit einem synthetischen Vollbackup am Wochenende, für die CAD-Freigabe zusätzlich alle 4 Stunden. Die Kopien liegen auf einem lokalen Repository und als Offsite-Kopie bei einem S3-Anbieter in der Schweiz. Aufbewahrt werden 14 tägliche, 8 wöchentliche und 12 monatliche Stände. Die Mails in Microsoft 365 bekommen eine eigene Sicherung, weil die Cloud allein kein Backup ist.

   Ziel 2

3. Kapitel 3

   Veeam im Einsatz

   Timo installiert Veeam Backup & Replication auf einem eigenen Server ausserhalb der Domäne und richtet ein gehärtetes Linux-Repository ein. Die VMs auf Hyper-V werden anwendungskonsistent gesichert. Der Job für den Buchhaltungsserver endet mit der Warnung, dass die SQL-Sicherung über VSS fehlgeschlagen ist. Im Log sieht Timo, dass dem Dienstkonto Rechte auf dem SQL Server fehlen, und nach der Korrektur läuft der Job grün.

   Ziel 3

4. Kapitel 4

   Was ein Angreifer nicht löschen kann

   Timo aktiviert auf dem Linux-Repository eine Sperre von 14 Tagen und im S3-Speicher Object Lock. Die Veeam-Konsole bekommt MFA, die Zugangsdaten stehen in keinem Domänenkonto, und das Passwort für die Verschlüsselung liegt versiegelt im Tresor. Als Test versucht er mit vollen Adminrechten ein Backup zu löschen. Die Löschung wird verweigert, genau wie geplant.

   Ziel 4

5. Kapitel 5

   Der Ernstfall am Probetag

   An einem Samstag simuliert Timo den Ausfall des Fileservers: Mit Instant VM Recovery läuft er nach 9 Minuten wieder, ein einzelnes CAD-Projekt ist in 3 Minuten zurück. Die Buchhaltungsdatenbank stellt er an einen anderen Ort wieder her und braucht dafür 2 Stunden, weit innerhalb der Vorgabe. Ab jetzt meldet Veeam jeden Morgen den Status per Mail, und einmal im Monat wird ein Restore protokolliert. Ein zwölfseitiges Konzept mit Wiederanlaufreihenfolge liegt ausgedruckt im Tresor.

   Ziel 5Ziel 6Ziel 7

1. 1

   Grundlagen und Begriffe

   ca. 3 Std.

   Du lernst die Sprache der Datensicherung und rechnest erste Szenarien durch.

   • Voll, inkrementell und differenziell an einem Wochenbeispiel auf Papier durchspielen: Was brauche ich für einen Restore am Donnerstag?
   • Speicherbedarf für 1 TB Daten mit 2 Prozent täglicher Änderung über 30 Tage berechnen
   • Die 3-2-1-1-0-Regel an einem eigenen Beispiel erklären

   Trainiert Kompetenz B1

   Lernziel2

2. 2

   Anforderungen erheben

   ca. 3 Std.

   Du übst, mit einem Betrieb über Risiken und Ausfallzeiten zu sprechen und daraus Ziele abzuleiten.

   • Systeme deines Lehrbetriebs (oder eines fiktiven KMU) auflisten und nach Kritikalität einteilen
   • Pro System RPO und RTO vorschlagen und begründen
   • Aufbewahrungsfristen (OR, revDSG, Branchenvorgaben) recherchieren und zuordnen

   Trainiert Kompetenz A1A2B2

   Lernziel12

3. 3

   Backup-Lösung im Heimlabor aufbauen

   ca. 5 Std.

   Du baust eine kleine Umgebung mit zwei VMs und sicherst sie. Veeam Community Edition ist für bis zu 10 Workloads kostenlos, alternativ Proxmox Backup Server.

   • Windows-Server-VM und Linux-VM erstellen, Testdaten anlegen
   • Backup-Software installieren, Repository auf separater Platte oder NAS einrichten
   • Je einen Job pro VM mit Zeitplan und Aufbewahrung konfigurieren, einen Copy-Job auf einen zweiten Speicher ergänzen

   Trainiert Kompetenz C1C2

   Lernziel3

4. 4

   Härten gegen Ransomware

   ca. 4 Std.

   Du sicherst deine Backup-Umgebung so ab, dass ein kompromittierter Admin-Account sie nicht zerstören kann.

   • Ein Linux Hardened Repository oder einen S3-Bucket mit Object Lock (z.B. MinIO lokal) einrichten
   • Backup-Verschlüsselung aktivieren und den Schlüssel sicher ablegen
   • Versuchen, ein unveränderbares Backup zu löschen, und das Ergebnis dokumentieren

   Trainiert Kompetenz D1D2

   Lernziel4

5. 5

   Restore unter Zeitdruck

   ca. 5 Std.

   Jetzt kommt der wichtigste Teil: Du stellst wieder her, misst die Zeit und vergleichst sie mit dem RTO.

   • Eine Datei, einen Ordner und eine ganze VM wiederherstellen und jeweils die Dauer messen
   • VM absichtlich 'zerstören' (Disk löschen) und komplett zurückholen
   • Backup-Jobs in Monitoring einbinden und einen Fehlalarm provozieren

   Trainiert Kompetenz E1E2

   Lernziel56

6. 6

   Konzept und Notfallanleitung

   ca. 4 Std.

   Du fasst alles in einem Konzept zusammen, das im Kompetenznachweis oder im Lehrbetrieb verwendbar ist.

   • Backup-Konzept nach eigener Vorlage schreiben
   • Restore-Anleitung für die kritischste VM erstellen und von jemand anderem ausprobieren lassen
   • Testprotokoll-Vorlage für quartalsweise Restore-Tests erstellen

   Trainiert Kompetenz F1F2A3E3

   Lernziel716

RPO

Recovery Point Objective: wie viel Datenverlust (in Zeit) maximal akzeptiert wird.

RTO

Recovery Time Objective: wie lange es maximal dauern darf, bis ein System wieder läuft.

Inkrementelles Backup

Sichert nur die Änderungen seit der letzten Sicherung beliebiger Art.

Differenzielles Backup

Sichert alle Änderungen seit dem letzten Vollbackup.

GFS

Grandfather-Father-Son: Aufbewahrungsschema mit täglichen, wöchentlichen und monatlichen bzw. jährlichen Sicherungen.

Immutability

Unveränderbarkeit einer Sicherung für einen definierten Zeitraum.

Air Gap

Physische oder logische Trennung einer Sicherung vom Netzwerk, z.B. eine ausgesteckte Platte.

Bare-Metal-Restore

Wiederherstellung eines kompletten Systems inklusive Betriebssystem auf leere Hardware.

Passende Module