TrueNAS-Backup nach 3-2-1: Replikation und Restore-Test

Die 3-2-1-Regel verlangt drei Kopien deiner Daten auf zwei verschiedenen Speicherarten, davon eine an einem anderen Ort. Snapshots allein erfüllen das nicht: Sie liegen im selben Pool und gehen mit ihm verloren, wenn Platten, Controller oder das ganze NAS ausfallen. Dieser Artikel zeigt, wie du die Regel mit TrueNAS umsetzt: Snapshots als schneller Rückgängig-Schutz, Replikation auf ein zweites System und eine externe Kopie. Am Ende steht der Restore-Test, denn erst der zeigt, dass das Backup funktioniert.

Auf einen Blick

• Kopie 1: die Live-Daten auf dem Pool.
• Kopie 2: Replikation per ZFS-Snapshot auf ein zweites System.
• Kopie 3: externe Kopie per Cloud Sync oder an einem zweiten Standort.
• Pflicht: die Konfiguration sichern und einen Restore regelmäßig testen.

3-2-1 auf TrueNAS übertragen

Die „zwei Medien“ der Regel erfüllst du, indem Kopie 2 auf einem anderen Gerät mit eigenen Platten liegt. Die Kopie an einem anderen Ort schützt dich bei Feuer, Diebstahl oder Wasserschaden.

Was Snapshots leisten. Ein Snapshot ist ein schreibgeschützter Stand des Datasets und kostet anfangs kaum Platz. Damit stellst du eine versehentlich gelöschte Datei in Sekunden zurück. Er liegt aber im selben Pool und teilt dessen Schicksal.

Was Replikation leistet. TrueNAS repliziert Snapshots, nicht ganze Dateien. Das spart Speicher und Zeit, weil nach dem ersten Lauf nur die Änderungen übertragen werden. Für ein anderes System braucht die Replikation SSH-Zugangsdaten.

Cloud Sync oder TrueCloud Backup. Das kopiert Dateien zu einem Cloud-Anbieter. Die Zugangsdaten des Anbieters legst du vorher in TrueNAS an. Prüfe die Kosten für Speicher und Übertragung, und beachte bei personenbezogenen Daten Datenschutz und Verschlüsselung.

Die Konfiguration nicht vergessen. Lade die Systemkonfiguration unter System > General Settings > Manage Configuration herunter und aktiviere dabei Export Password Secret Seed. Ohne das können verschlüsselte Felder nach einer Wiederherstellung leer bleiben, was etwa SMB-Benutzer und Apps betrifft. Lade die Datei nach jeder Änderung neu herunter und lege sie an einem gesicherten Ort ab.

Replikation einrichten, Schritt für Schritt

Voraussetzung ist ein zweites System mit ZFS, zum Beispiel ein weiteres TrueNAS, und SSH-Zugangsdaten für die Verbindung. Der Assistent legt die benötigte Snapshot-Aufgabe gleich mit an.

1. Gehe zu Data Protection und klicke im Widget Replication Tasks auf Add. Der Replication Task Wizard öffnet sich.
2. Wähle Quelle und Ziel und gib die Pfade an, also welches Dataset auf das andere System kopiert wird. Der Name der Aufgabe wird automatisch vorgeschlagen.
3. Wähle Replicate Custom Snapshots und klicke auf Next. Der Assistent erstellt die nötige Aufgabe für regelmäßige Snapshots.
4. Wähle Run On a Schedule oder Run Once und lege die Lebensdauer der Snapshots am Ziel fest.
5. Klicke auf Start Replication. Die Aufgabe steht zunächst auf Pending, den Fortschritt siehst du im Widget auf dem Dashboard.

Der erste Lauf überträgt alles und dauert je nach Datenmenge lange. Danach werden nur noch Änderungen übertragen.

Beispiel für einen Aufbewahrungsplan. Das sind meine Empfehlungen, keine Vorgaben von TrueNAS:

Behalte am Ziel länger als an der Quelle. Falls ein Fehler oder Verschlüsselungstrojaner erst nach Tagen auffällt, ist dann noch ein sauberer Stand vorhanden.

Sicherheit der Verbindung. Nutze für die Replikation einen eigenen Benutzer auf dem Zielsystem und beschränke ihn auf die Zieldatasets. Das Zielsystem sollte sich nicht aus dem Alltagsnetz heraus verwalten lassen. Sonst kann ein Angreifer, der das Hauptsystem übernimmt, auch die Kopien löschen. Zwischen zwei Standorten läuft die Replikation zweckmäßig durch ein VPN, wie in [Link zum Artikel: WireGuard Site-to-Site: Fritzbox ↔ OPNsense].

Die externe Kopie: zweiter Standort oder Cloud

Die dritte Kopie muss räumlich getrennt sein. Es gibt zwei übliche Wege.

Zweiter Standort. Du legst dort eine weitere Replikation an, wie im vorigen Abschnitt, und verbindest die beiden Orte per VPN. Das zweite System kann kleiner sein als das erste, solange die Daten darauf passen.

Cloud Sync. Du hinterlegst zuerst die Zugangsdaten deines Anbieters in TrueNAS und legst dann unter Data Protection eine Cloud Sync Task an. TrueNAS nennt in der Dokumentation Storj iX als einfachste TrueCloud-Option. Prüfe vorher Speicher- und Übertragungskosten des Anbieters. Ich selbst nutze hier gerne die Storage Box von Hetzner. 

Drei Einstellungen sind wichtig:

• Transfer Mode: Mit Sync spiegelt TrueNAS auch Löschungen in die Cloud. Wird die Quelle durch einen Trojaner verschlüsselt, wäre auch die Cloud-Kopie wertlos. Copy löscht am Ziel nichts und ist hier die sicherere Wahl. Prüfe zudem, ob der Anbieter frühere Dateiversionen aufhebt.
• Verschlüsselung: Aktiviere, wenn möglich, die Verschlüsselung vor dem Hochladen. Den Schlüssel verwahrst du getrennt vom NAS, sonst ist die Kopie im Ernstfall nicht lesbar.
• Umfang: Sichere nur, was du nicht neu beschaffen kannst, etwa Dokumente und Fotos, nicht Mediatheken zum Wiederbeschaffen.

Datenschutz. Enthält das NAS personenbezogene Daten von Kunden, brauchst du für den Cloud-Anbieter einen Auftragsverarbeitungsvertrag, und du musst den Standort der Server beachten.

Die Konfiguration gehört dazu. Die heruntergeladene Konfigurationsdatei und der Secret Seed gehören in dieselbe externe Sicherung. Ohne sie bekommst du zwar die Daten zurück, aber nicht die Einrichtung des alten Systems.

Der Restore-Test

Ein Backup, das du nie zurückgespielt hast, ist eine Hoffnung. Teste drei Ebenen, jede in einem eigenen Rhythmus.

1. Datei aus einem Snapshot. Lege eine Testdatei an, warte auf den nächsten Snapshot, lösche die Datei und hole sie zurück. Snapshots sind über das versteckte Verzeichnis .zfs/snapshot des Datasets lesbar. Windows-Clients sehen sie in der Regel über „Vorgängerversionen“ der SMB-Freigabe.

2. Dataset von der Kopie. Baue am Zielsystem aus einem replizierten Snapshot einen neuen Dataset-Klon oder repliziere den Stand in ein neues, leeres Dataset auf dem Hauptsystem zurück. Vermeide am Anfang einen Rollback des Original-Datasets: Er setzt das Dataset auf den Stand des Snapshots zurück und löscht damit neuere Snapshots.

3. Gesamtsystem. Installiere TrueNAS in einer virtuellen Maschine oder auf Ersatzhardware, lade die gesicherte Konfigurationsdatei unter System > General Settings > Manage Configuration hoch und prüfe, ob Benutzer, Freigaben und Apps zurückkommen. Hier zeigt sich, ob der Secret Seed mitgesichert wurde. Ab TrueNAS 25.04 braucht der Download und Upload der Konfiguration einen vollen Administratorzugang.

Notiere bei jedem Test, wie lange die Wiederherstellung gedauert hat und was gefehlt hat. Diese Zeit brauchst du, um im Ernstfall einzuschätzen, wann das Geschäft wieder arbeitet.

Überwachung. Auch zwischen den Tests soll ein Fehler auffallen. Richte in TrueNAS Benachrichtigungen per E-Mail ein, damit fehlgeschlagene Replikationen und Cloud-Sync-Aufgaben nicht unbemerkt bleiben, und kontrolliere das Alter des jüngsten Snapshots am Ziel. Mit n8n lässt sich daraus ein wöchentlicher Statusbericht bauen, wie in [Link zum Artikel: 5 n8n-Workflows für KMU].

Fazit

Snapshots schützen vor Bedienfehlern, die Replikation vor dem Ausfall des NAS, die externe Kopie vor dem Verlust des Standorts. Erst alle drei zusammen erfüllen die 3-2-1-Regel. Der wichtigste Teil ist der Restore-Test: Er zeigt dir, ob Konfiguration, Schlüssel und Daten im Ernstfall zusammenpassen. Plane den Test heute in deinen Kalender, bevor du ihn brauchst.