Sicherungen automatisch prüfen: Prüfläufe, Meldungen und Wiederherstellungstests
Die gefährlichste Sicherung ist nicht die, die fehlschlägt, sondern die, deren Fehlschlag niemand bemerkt. Dieser Beitrag zeigt, wie sich Sicherungen mit dem Proxmox Backup Server automatisch überwachen und regelmäßig probeweise wiederherstellen lassen.
Das Wichtigste in Kürze
- Eine Fehlermeldung hilft nur, wenn sie jemand liest – und eine ausbleibende Sicherung erzeugt oft gar keine Meldung.
- Der Prüflauf im Proxmox Backup Server stellt fest, ob die Daten unbeschädigt sind. Ob daraus ein startfähiges System wird, beantwortet nur eine Wiederherstellung.
- Ein monatlicher, automatisierter Wiederherstellungstest in einem abgeschotteten Netz ist mit überschaubarem Aufwand machbar.
Warum eine grüne Erfolgsmeldung noch keine funktionierende Sicherung beweist und wie ein aussagekräftiger Test von Hand aussieht, haben wir in Backup getestet – oder nur gesichert? beschrieben. Dieser Beitrag geht einen Schritt weiter: Wie lässt sich die Überwachung so einrichten, dass Probleme ohne menschliches Zutun auffallen – und wie wird aus dem jährlichen Handtest ein regelmäßiger automatischer Ablauf?
Der Hintergrund ist nüchtern. In fast jedem Vorfall, bei dem eine Sicherung im Ernstfall nicht funktionierte, gab es vorher Hinweise. Sie wurden nur nicht bemerkt, weil die Meldungen in einem Postfach landeten, das niemand las, oder weil gar keine Meldung kam.
Drei Ebenen der Kontrolle
Eine belastbare Überwachung prüft drei verschiedene Dinge, die gern miteinander verwechselt werden:
| Ebene | Frage | Womit |
|---|---|---|
| 1. Lauf | Hat die Sicherung stattgefunden und ohne Fehler geendet? | Benachrichtigung bei Fehlern – und bei Ausbleiben |
| 2. Unversehrtheit | Sind die abgelegten Daten unbeschädigt? | Regelmäßiger Prüflauf (Verify) auf dem Backup-Server |
| 3. Wiederherstellbarkeit | Wird aus der Sicherung ein laufendes System? | Probeweise Wiederherstellung, idealerweise automatisiert |
Die meisten Umgebungen decken die erste Ebene ab, einige die zweite, sehr wenige die dritte. Das Risiko liegt fast immer in der Lücke zwischen dem, was geprüft wird, und dem, was man glaubt, dass geprüft wird.
Meldungen, die ankommen
Der Proxmox Backup Server bringt ein Benachrichtigungssystem mit, das neben E-Mail auch Nachrichtendienste wie Gotify und beliebige Webadressen (Webhooks) bedienen kann. Über Filterregeln lässt sich festlegen, welche Meldungen wohin gehen – etwa Fehler an die zuständige Person, Erfolgsmeldungen nur ins Protokoll.
Drei Regeln haben sich in der Praxis bewährt:
- Fehler gehen an eine Person, nicht an ein Sammelpostfach. Ein Postfach, das „alle“ lesen, liest niemand.
- Erfolgsmeldungen nicht per E-Mail. Wer täglich zwanzig grüne Meldungen bekommt, übersieht die eine rote. Erfolge gehören in eine Übersicht, Fehler in den Posteingang.
- Das Ausbleiben überwachen. Der gefährlichste Fall erzeugt keine Fehlermeldung: Der Sicherungsauftrag wurde versehentlich deaktiviert, der Server hängt, der Zeitplan ist verrutscht. Dagegen hilft nur eine Überwachung, die Alarm schlägt, wenn eine erwartete Erfolgsmeldung ausbleibt.
Für den letzten Punkt eignet sich eine allgemeine Systemüberwachung, wie sie in IT-Monitoring: die Grundlagen beschrieben ist. Der Backup-Server kann seine Kennzahlen an einen externen Messdatenspeicher liefern; dort lässt sich prüfen, wann der letzte erfolgreiche Lauf je System war.
Der Prüflauf: was er zeigt
Ein Prüflauf liest die abgelegten Datenblöcke und vergleicht sie mit ihren Prüfsummen. Er entdeckt damit schleichende Beschädigungen auf den Datenträgern, bevor sie im Ernstfall auffallen. Er gehört als fester Auftrag in den Zeitplan – mindestens wöchentlich, und neue Sicherungen am besten zeitnah nach ihrer Entstehung.
Was der Prüflauf nicht zeigt: ob das gesicherte System überhaupt startet. Eine Sicherung einer Maschine, die schon vor der Sicherung defekt war, ist unbeschädigt – und trotzdem nutzlos. Genau deshalb braucht es die dritte Ebene.
Den Wiederherstellungstest automatisieren
Der Proxmox Backup Server bringt keinen fertigen Knopf für einen automatischen Starttest mit. Mit den vorhandenen Werkzeugen von Proxmox VE lässt sich ein solcher Ablauf aber gut aufbauen. Das Grundmuster:
- Wiederherstellen. Die jüngste Sicherung einer ausgewählten Maschine wird unter einer eigenen Kennung neu angelegt.
- Abschotten. Die Maschine wird vor dem Start an ein isoliertes Netz ohne Verbindung zum Produktivnetz gehängt. Sonst meldet sich plötzlich ein zweiter Server mit demselben Namen und derselben Adresse – mit unangenehmen Folgen.
- Starten und prüfen. Die Maschine startet, der Gastagent meldet sich, ein bestimmter Dienst antwortet. Das ist keine vollständige Funktionsprüfung, aber ein belastbarer Nachweis, dass ein bootfähiges System entsteht.
- Protokollieren und aufräumen. Ergebnis festhalten, Testmaschine löschen, bei Fehlschlag eine Meldung auslösen.
Es muss nicht jede Maschine jede Nacht getestet werden. Ein rollierender Plan, bei dem jeden Monat eine andere Maschine an der Reihe ist und die geschäftskritischen häufiger, liefert über das Jahr ein sehr belastbares Bild – bei geringem Ressourcenbedarf.
Aufwand und Pflege
Benachrichtigungen und Prüfläufe sind in wenigen Stunden eingerichtet. Der automatisierte Wiederherstellungstest braucht mehr: ein isoliertes Netz, ein Skript, das die Schritte ausführt, eine Auswahl, welche Maschinen wann getestet werden, und eine Prüfung, was als „erfolgreich“ gilt. Rechnen Sie mit ein bis zwei Tagen für den Aufbau.
Wichtig ist, das Skript als Teil der Umgebung zu behandeln. Ändert sich die Plattform, kommen neue Maschinen dazu oder ändern sich Namen, muss es angepasst werden. Ein Test, der stillschweigend nicht mehr läuft, ist das Gegenteil dessen, was er leisten soll – deshalb gehört auch sein Ausbleiben in die Überwachung.
Wo die Automatik aufhört
- Fachliche Prüfung. Ob die Warenwirtschaft nach der Wiederherstellung die richtigen Buchungen zeigt, kann ein Skript nur eingeschränkt prüfen. Einmal im Jahr gehört ein vollständiger Test mit den Fachanwendern dazu.
- Abhängigkeiten. Eine einzelne Maschine startet vielleicht, aber ohne Verzeichnisdienst und Datenbank ist sie nutzlos. Der jährliche Gesamttest prüft das Zusammenspiel.
- Die Offsite-Kopie. Auch sie muss getestet werden, nicht nur die lokale. Wie sie eingerichtet wird, steht in Die Kopie außer Haus.
Fazit
Eine Sicherung ist nur so gut wie die Gewissheit, dass sie funktioniert. Diese Gewissheit entsteht auf drei Ebenen: Meldungen, die bei Fehlern und beim Ausbleiben eine Person erreichen; Prüfläufe, die Beschädigungen früh finden; und regelmäßige, möglichst automatisierte Wiederherstellungen, die zeigen, dass aus der Sicherung ein laufendes System wird. Die erste Ebene ist in einer Stunde erledigt und schließt bereits die häufigste Lücke.
Wir richten diese Kontrollen ein und übernehmen auf Wunsch die laufende Überwachung – siehe Backup & Recovery und Managed Services.
