Backupkonzept - mehrere Standorte

[Kingscus]

Guten Abend,
ich habe ein etwas größeres Anliegen und hoffe auf Meinungen bzw. Antworten
Ich habe dieses Jahr fast ein Teil meiner Daten verloren und muss deswegen nun einmal alles überdenken, was Datensicherung und Verschlüsselung angeht. Folgende Situation/Planung:

Standort A
Anbindung: VDSL 180/40
NAS: Synology DS720+ mit 16 TB HDD + 4 TB HDD + 18 GB RAM
Nutzer: 1 PC Y mit 3 TB an kritischen Daten
Location: Remote
Software: Macrium Reflect
Beschreibung: Es handelt sich um private + wichtige Firmendaten. Der PC Y verfügt über 1 TB als Systemlaufwerk sowie 2 TB an Bildern/Videos. Sicherung erfolgt täglich auf ein internes 4 TB-Laufwerk (gegen Hardwareausfall) sowie täglich auf das NAS.

Standort B
Anbindung: VDSL 100/30
NAS: Synology DS720+ mit 16 TB HDD + 4 TB HDD + 18 GB RAM
Nutzer: 3 PCs mit insgesamt 1 TB an kritischen Daten
Location: Remote
Software: Macrium Reflect
Beschreibung: Es handelt sich um wichtige Firmendaten. Alle PCs sichern täglich auf das NAS.

Standort C
Anbindung: VDSL 250/30
NAS: Synology DS720+ mit 16 TB HDD + 4 TB HDD + 18 GB RAM
Nutzer: 1 PC mit 4-8 TB an kritischen Daten
Location: Lokal
Software: Macrium Reflect
Beschreibung: Standort C ist mein zu Hause. Es handelt sich um reine private Daten, die aber halt entsprechend wertvoll für mich sind. Derzeit sind es 4 TB an Daten und als Puffer plane ich für die nächsten Jahre bis zu 8 TB. Daten sind alle mit VeraCrypt verschlüsselt. Ich habe im PC eine zusätzliche Sicherung der Daten sowie mehrere externe Platten, auf die die Daten gesichert sind.

Alle Standorte sind via FritzBox Wireguard verbunden. Grundsätzlich ist die Idee, dass jeder Standort auch über eine Sicherung der anderen Standorte verfügt. Man könnte jetzt via Synology Drive einen Sync über alle drei Standorte machen. Das sehe ich allerdings kritisch bei solchen Leitungen. Daher werden sich nur Standort A und B gegenseitig spiegeln. Wie man sieht, habe ich mehrfach 16 TB HDDs im Einsatz. Die Aufteilung des Platzes der HDD erfolgt entsprechend der Standorte:
Standort A: 4 TB
Standort B: 4 TB
Standort C: 8 TB

Standort A und B haben zudem noch eine 4 TB HDD. Grundsätzlich werden die Daten auf einem NAS auf der 16 TB HDD gespeichert. An Standort A und B werden die Daten zusätzlich via Software auf die 4 TB Platte des NAS kopiert, falls die 16 TB HDD defekt geht.

Bisher ist es also so, dass die Daten von Standort A einmal am PC intern gesichert werden, einmal auf das NAS gesichert werden, intern auf dem NAS auf die 4 TB HDD gesichert werden sowie via Sync nach Standort B. Standort B sichert einmal auf das NAS, intern auf dem NAS auf die 4 TB HDD gesichert sowie via Sync nach Standort A. Standort C hat bisher alles vor Ort durch externe Platten abgefrühstückt. Das sind bisher die automatisierten Tasks.

Als weiteren Schritt wird an Standort A ein weiterer PC Z mit 16 TB hingestellt. Diesen kann ich via WOL bei Bedarf aufwecken und den Stand des NAS auf den PC Z kopieren. Zudem wird es eine transportable 16 TB HDD geben. Diese wird grundsätzlich in einem Bankschließfach in der Nähe von Standort C aufbewahrt. Ablauf der transportablen HDD: Sie wird dem Bankschließfach entnommen, die aktuellen Daten von Standort C raufkopiert. Sie wird nach Standort A gebracht und an PC Z angeschlossen. Die Daten von Standort C werden dann auf die interne HDD kopiert und von dort auf das NAS. Zudem werden die Daten von Standort A/B von der internen Festplatte des PCs Z auf die transportable HDD kopiert. Die transportable HDD kommt zurück nach Standort C, es werden die Daten der Standorte A/B von der HDD auf den PC an Standort C kopiert. Die Festplatte kommt zurück ins Bankschließfach. Damit haben Standort A und C jeweils die aktuellsten Daten von allen Standorten mehrfach. Auf dem NAS von Standort B wird nur ein initialer Stand von Standort C vorgehalten. Das Backup muss dort nicht aktuell gehalten werden.

Alle NAS-Ordner werden komplett mit eCryptFS und 30-Zeichen Passwort verschlüsselt. Die Datensicherung von Macrium and Standort A und B werden unverschlüsselt abgelegt bzw. nutzen nicht die macriumeigene Verschlüsselung. Eine Schicht als Verschlüsselung reicht. Ab DSM 7.2 wird dann eine volumenbasierte Verschlüsselung eingesetzt. Für wie sicher haltet ihr die eCryptFS-Implementierung von Synology?
Die Verschlüsselung muss hier keinem Geheimdienst standhalten. Als Szenario würde ich einfach sagen, wenn ein Angreifer meinetwegen 50.000€ zur Verfügung hat und damit sich Hardware zum Cracken der Verschlüsselung besorgt oder einen IT-Menschen besorgt, der sich mit Kryptographie auskennt. Das einzig realistische Szenario dürfte eh nur der Einbrecher sein als Feindbild, aber als Hobby würde ich das Gefahrenlevel aus Prinzip gerne einfach ne Nummer höher schrauben und weil doch Firmendaten dadrunter sind

Meine persönlichen Daten an Standort C werde ich auf die transportable HDD nur als VeraCrypt-Container ablegen, wobei der Container in RAR-Archiven vorliegen wird zu je 25 GB Größe. Eine 8 TB-Datei zu kopieren macht sonst kein Spaß, wenn zwischendurch mal der Kopiervorgang aus Grund X unterbrochen werden muss. Bei meinen persönlichen Daten habe ich so ein Sicherheitsbedürfnis, dass diese an den anderen Standorten nämlich nur so gelagert werden sollen, dass nur ich darauf Zugriff habe. Die Datensicherungen von Macrium Reflect erfolgen auch nicht nur in einer Datei, sondern sind in 5 GB-Dateien aufgeteilt, damit die Zuverlässigkeit des Syncs zwischen Standort A und B sich erhöht im Vergleich zu einer einzelnen Datei, die mehrere 100 GB groß ist. Was sind eure Gedanken dazu? Als Verbesserung könnte ich noch andenken, dass ich die Anzahl der transportablen HDDs erhöhe und dadurch verschiedene Versionen im Bankschließfach habe. Die transportablen HDDs setze ich auch nur alle paar Monate ein, da ich an Standort A ggf. nur alle 3-4 Monate bin. Ich sollte aber eigl alles abgefackelt haben.

• Daten sind mind. einfach verschlüsselt auf dem NAS via eCryptFS (Daten von Standort C liegen auf den NAS nur in einem VC-Container). Die Rechner selbst alle sind entweder mit VeraCrypt oder BitLocker verschlüsselt.
• Ransomware: gegen Ransomware können Snapshots eingesetzt werden (wobei das glaube ich bei encrypted Shares nicht geht, sondern erst mit Volumenverschlüsselung ab DSM 7.2. So war es zumindest vor ein paar Jahren). Zudem Offlinebackup mit PC Z sowie Sicherungen im Bankschließfach.
• Hardwareausfälle: dagegen gibt es mehrere Sicherungen, da jede Datensicherung verteilt auf mehreren Medien liegt.
• Einbruch: ist auch abgedeckt, da Datensicherungen an mehreren Standorten vorliegen. Standort A und B sind immer aktuell. Die Sicherungen von Standort C müssen nicht aktuell sein, da die wichtigsten Daten nur die persönlichen Bilder sind. Wenn da mal ein halbes Jahr Daten fehlt, ist das nicht wild.
• Brand/Wasserschaden: s. Einbruch

Mit diesem Konzept sollte ich einmaligen Aufwand haben, aber langfristig eher geringen Aufwand in der Pflege. Wichtig ist mir auch, dass es "egal" ist, ob ich jetzt einmal im Monat oder alle 4 Monate zu Standort A fahre zur Datensicherung. Kapazitäten der HDDs sind auch so gewählt, dass dies für die nächsten 4-5 Jahre reichen sollte. Wie ich die Datensicherungen lokal an Standort C mache, muss ich nochmal genauer überlegen. Jetzt muss ich mir auch nochmal Gedanken um die Sicherheit der NAS auf Netzwerkebene machen und dann habe ich alles.

Das ist alles viel Text geworden. Bei Bedarf kann ich das morgen nochmal als Diagramm aufzeichnen.

 

[grand_sniper]

Was sind das für Daten die gesichert werden sollen? Reine Files / Office Daten, oder sind da auch Datenbanken mit dabei?
eCryptFS wird nicht mehr gepflegt seit ca.2019.
Ein Diagramm Bild wäre noch gut Was von wo nach wo geht.
Viel Verschlüsselung in deiner Lösung mit unterschiedlichen Tools. Hast du dir Gedanken zur Schlüsselaufbwahrung gemacht? Nicht das irgendwann die Schlüssel nicht mehr da sind, wenn der Notfall eintritt. Dann hast zwar ne Sicherung, aber keine Schlüssel.
Ich lese mir das nochmal durch wenn eine Zeichnung dabei ist.

 

[Kingscus]

An Daten sind das auf den NAS-Sytemen in der Regel Images von Macrium Reflect sowie Bilder/Videos.
Danke für die Info mit eCryptFS.
Diagramm reiche ich nach.
Schlüssel sind bisher in KeePass gepflegt, welches mehrfach gesichert ist. Ich überlege noch einen Ausdruck zu machen.

 

[Giggity]

Die DS720+ laufen also alle nicht im Raid1?

Wenn nicht 2te gleichgroße HDD bei den NASs einbauen.

Ich würde es so machen:
Standort A(NAS)->Standort B(NAS)
Standort B(NAS)->Standort A(NAS)
Standort C(NAS)->Standort AoderB(NAS)

Dazu Backups jedes NAS auf externe Festplatte. -> Bankschließfach

Du kannst natürlich auch jeden Standort auf die beiden anderen spiegeln, kommt drauf an wieviele Daten hier hinzu kommen.

Diagramm wäre gut um nochmal deinen Plan zu verstehen aber ich denke du machst es zu kompliziert.

Verschlüsselung würde ich auf NAS ebene realisieren oder in Macrium Reflect bei den externen Festplatten.(Bankschließfach)

Edit: Ransomeware Sicherheit kann man mit Lese und Schreibrechte einzelner Benutzer erhöhen. Zb für Backups extra Benutzer mit Schreibrechten auf Backup Verzeichnis

 

[Kingscus]

Die laufen nicht im RAID, weil da sonst nochmal 1k € extra wären. Das ist derzeit mir zuviel Geld und soweit auch nicht notwendig. Gegen Hardwareausfall sind die Daten an anderen Standorten verfügbar.
Backup von Standort C nach Standort A überlege ich auch gerade noch. Da das auch immer mehr Dateien werde, muss ich mal schauen. Ich glaube, das wird ein zusätzliches selektives Backup mit den wichtigsten Dateien (Bilder + Dokumente mit vllt 500 GB).

Es sind überall bereits extra Sicherungsuser eingerichtet, die nur Zugriff auf ihr eigenes Backupverzeichnis haben. Sofern Ransomware nicht das NAS via Sicherheitslücke infiltriert, ist der Daten auf eine Freigabe begrenzt.

 

[snaxilian]

Wall of unübersichtlicher Text der mit einem Diagramm und wenigen klaren Sätzen aussagekräftiger wäre.
Mit Daten hierhin kopieren und dahin syncen und dann noch manuell mit HDDs herum hampeln wirkt für mich sehr komplex und damit Fehleranfällig denn Komplexität ist der Feind.
Hast du dir mal überlegt wie du konkret(!) wiederherstellen kannst? Also z.B. Annahme ein Standort ist ausgefallen/geklaut/whatever und du willst zum Stand von gestern oder meinetwegen auch zum Stand von vor 8 Tagen.
Überlege dir die Ketten und Wege die ein Backup von jedem System aus geht und das gleiche für den Restore. Du solltest keine unnötigen Verästelungen haben und v.a. keine Schleifen sonst verkomplizierst du den Restore nur unnötig. Im besten Fall sind das immer gerade Linien die die Daten nehmen nur dann kannst du wissen was zu tun ist wenn eine Teilkomponente ausfällt und du zum vorherigen Stand möchtest.

Was mir noch fehlt: Du erwähnst nirgends ob und wie du die Configs der diversen NAS Systeme sicherst.

ecryptfs gilt als nicht mehr gewartet und hat wohl den ein oder anderen unschönen Bug, im ubuntuusers Wiki wird auch explizit vor der Verwendung gewarnt. Synology wird da auch nix besonders oder anders implementiert haben, die werden nicht das Rad neu erfinden sondern klatschen auch nur bestehende Software zusammen und pappen manchmal ihren eigenen neuen Produktnamen drauf^^

 

[Kingscus]

@snaxilian
Mit deiner Kritik hast du recht. Diagramm wäre einfacher gewesen. Merke ich mir für die Zukunft.
Restore ist überlegt und auch mehrfach getestet. Die Images werden auf eine externe Platte kopiert und vor Ort auf neuer Hardware aufgespielt. Macrium ist da relativ zuverlässig. Erst gestern habe ich ein Test-System wiederhergestellt.

Die Configs der NAS-Systeme sichere ich in der Tat nicht. Das Aufsetzen dauert ggf. eine Stunde und das nehme ich in Kauf, wenn ich dafür eine Sache weniger sichere.

"Komplexität ist der Feind."
Das stimmt. Vieles mag kompliziert wirken, aber es ist auch automatisiert und manche Sicherungen sind auch durchaus redundant, um einfach verschiedene Szenarien abzufackeln. Den einzigen Aufwand, den ich mit HDDs habe, ist die transportable HDD, die ich alle paar Monate verwende. Ansonsten läuft alles vor sich hin.

Danke für die Hinweise mit ecryptfs. Dann warte ich mal ab, was Synology in DSM 7.2 als Verschlüsselung implementiert oder Macrium Reflect übernimmt doch die Verschlüsselung. Muss ich mal schauen. Bisher waren die Sicherungen immer auf Selbstbauserver gelaufen. Da fehlt dann noch die Erfahrung mit Synology.

 

[grand_sniper]

Würde statt der hin und her kopiererei und der externen Festplatte das in einen S3 Speicher ablegen.
Dort mit Objekt Lock arbeiten, damit es vor Ransomware geschützt ist.
Dann wären Standort A,B und C in der Cloud, spart Hardware, Bandbreite und reduziert Administrativen Overhead, die externe Platte von A nach B zu bringen bzw. zu hohlen.
In der Regel ist das reinkopieren in S3 fast kostenlos, aber das raushohlen musst du dir mal durchrechnen. Je nach Anbieter kann das dann schon mal ein paar Euros mehr werden.

 

[Kingscus]

Für Standort C scheidet Cloud wegen der Datenmengen aus und auch Anwender der Standorte A und B wollen nichts in der Cloud haben. Nochmal danke insgesamt für die bisherigen Rückmeldungen. Ich habe jetzt eine Nacht drüber geschlafen und merke, dass ich das alles einfacher gestalten sollte. Das grundlegende Prinzip sieht jetzt einfach nur vor, dass Standort A und B jeweils ein NAS mit 16 TB im RAID 1 haben, sich gegenseitig synchron halten und alle PCs auf das jeweilige NAS vor Ort sichern. Nebenbei komme ich dann alle paar Monate für ein Offlinebackup vorbei. Standort C wird einfach über interne und externe Platten in mehreren Versionen gesichert, die teilweise im Bankschließfach landen. Damit ist eigl alles abgefackelt und der Aufwand ändert sich nicht im Vergleich zu bisher. Der Worst-Case wäre wohl Ransomware, die sich gleichzeitig auf beiden Standorten ausbreitet und alle PCs sowie NAS-Systeme platt macht. Dann wäre der nächste Datenstand 3 Monate alt oder so, aber das wäre zu verkraften angesichts Aufwand/Risiko.

 

[TomH22]

Dann wäre der nächste Datenstand 3 Monate alt oder so, aber das wäre zu verkraften angesichts Aufwand/Risiko.

Intuitiv erscheinen mir 3 Monate schon sehr lang, speziell in einem Business Kontext. Hast Du die möglichen Konsequenzen/Kosten eines solchen Datenverlustes mit den Anwendern durchgesprochen?
Der Worst Case ist auf der anderen Seite schon recht unwahrscheinlich, zumindest wenn es um „Kleinunternehmen“ geht. Je größer und bekannter ein Unternehmen ist, desto größer ist die Wahrscheinlichkeit eines gezielten Angriffs.

 

[Kingscus]

Bei Standort B wäre das ggf. etwas kritischer für einen PC. Es handelt sich "nur" um einen Handwerksbetrieb. Gezielter Angriff geht gegen null. Ich mache die Datensicherungen seit ca. 15 Jahren bisher kam es "noch nicht" zu irgendwelchen Vorfällen. Wenn ich mir https://www.bleepingcomputer.com/ne...alware-infecting-nas-devices-with-ransomware/ durchlese, dann versucht die Ransomware auch teils durch Brute-Force das NAS zu übernehmen. OK, wenn Synology so eine Backdoor wie QNAP mit hartcodierten Zugangsdaten hat (https://www.bleepingcomputer.com/ne...-account-in-nas-backup-disaster-recovery-app/), hilft alles nichts. Ich werde das mit dem Anwender besprechen und dann soll er sagen, was gemacht werden soll. Ggf. werden dann doch manche Daten verschlüsselt in der Cloud als zusätzliches Backup angelegt. Da es sich auch "nur" um Dokumente handelt, die sehr wichtig sind, kann man da durchaus noch eine gute Lösung finden, und der Upload reicht da auch völlig.

Ich habe gerade mit dem Anwender gesprochen. Er wird monatlich noch eine Sicherung auf eine externe USB-Festplatte machen. Das reicht dann auch für ihn. Danke für den Denkanstoß.

 

[TomH22]

Es handelt sich "nur" um einen Handwerksbetrieb.

"Nur" ist so eine Sache. Es kommt halt drauf an, was man dort mit der IT macht. Nutzt man sie zum Schreiben von Rechnungen und ist die Liquiditätsdecke dünn, dann kann auch ein relativ kurzer Ausfall von wenigen Tagen den Betrieb schon nahe an die Insolvenz bringen. Die Kunden zahlen eh schon oft nur unwillig, aber die Mitarbeiter und vor allem die Krankenasse wollen ihr Geld pünktlich haben.
Der kritische Punkt, gerade bei kleinen Unternehmen ist oft die Zeit für das Disaster Recovery. Große Firmen üben das im Idealfall. Zum Backup gehört also immer auch die Frage, wie stellt man es wieder her, auch ggf. auf neu gekaufter Hardware.

Auch die Frage der Reihenfolge ist wichtig:
Oft kann man mit einem kleinen Teil der Daten und der Software schon 90% des Betriebsfähigkeit wieder herstellen.

Ich habe gerade mit dem Anwender gesprochen. Er wird monatlich noch eine Sicherung auf eine externe USB-Festplatte machen. Das reicht dann auch für ihn. Danke für den Denkanstoß.

Wenn klar ist, was er mit dem Backup im Ernstfall machen kann ist das ok.
Wenn es z.B. reicht, einen beliebigen Laptop irgendwo zu nehmen, die nötige Software zu installieren (z.b. Office 365) und die USB Platte anzuschließen, ist das eine hinreichende Lösung. Braucht man die Hilfe eines Systemhauses um einen SQL Server und eine Branchensoftware aufzusetzen, sieht es schon anders aus.

 

[Kingscus]

@TomH22
Den Restore kann zum Glück jeder vornehmen, da es gut dokumentiert ist und der Restore auch nur das Wiederherstellen eines Images auf einem Stück Hardware erfordert. Ist mit der Dokumentation auch nicht schwerer als ein Work-Dokument per E-Mail zu verschicken. Notfalls würde ich für einen Restore auch vor Ort hinfahren.
Wäre dort etwas an Software im Einsatz, wo ich mir unsicher wäre, wie ich das sichere/wiederherstelle, dann würde ich das auch komplett einem Systemhaus überlassen. Dafür wäre mir meine private Zeit zu schade und ggf. auch die Verantwortung zu übernehmen, wenn da was schief läuft.
Ursprünglich wollte ich vor Ort nur ein NAS haben, aber ggf. stelle ich zusätzlich noch ein anderes System hin bzw. lasse den alten Server noch weiter laufen.