Backup & Recovery

Die 3-2-1-1-0 Backup-Regel

Die klassische 3-2-1-Regel wurde in der modernen Bedrohungslandschaft zur 3-2-1-1-0-Regel erweitert: drei Kopien der Daten, auf zwei verschiedenen Medientypen, eine davon offsite, eine davon offline/immutable, und null Fehler bei der Wiederherstellungsprüfung. Diese Regel bildet das strategische Fundament jeder Backup-Architektur.

• Drei Kopien auf zwei Medien: Die Produktivdaten zählen als erste Kopie. Das primäre Backup auf lokalem Disk-Storage (NAS, SAN, S2D) bildet die zweite Kopie für schnelle Wiederherstellungen (RTO <1 Stunde). Die dritte Kopie liegt auf einem physisch getrennten Medium — idealerweise Tape (LTO-9 mit 18 TB nativ / 45 TB komprimiert) oder Cloud-Object-Storage. Die Medienvielfalt schützt vor medienspezifischen Ausfällen: ein Firmware-Bug im SAN-Controller betrifft nicht gleichzeitig die Tape-Library. Tipp: Nutzen Sie Veeam Scale-Out Backup Repository mit Performance-Tier (lokal), Capacity-Tier (S3) und Archive-Tier (Glacier/Tape).
• Offsite & Offline/Immutable: Die Offsite-Kopie schützt vor standortweiten Katastrophen (Brand, Hochwasser, Stromausfall). Die Offline-/Immutable-Kopie schützt vor Ransomware, die gezielt Backup-Systeme verschlüsselt. Air-Gapped-Backups (physisch getrennte Medien, die nur während des Backup-Fensters verbunden sind) bieten den höchsten Schutz. Alternativ nutzen Sie S3 Object Lock mit Governance oder Compliance Mode: im Compliance Mode kann selbst der Root-Account die Retention nicht verkürzen. Konfigurieren Sie aws s3api put-object-lock-configuration --bucket backup-immutable --object-lock-configuration '{"ObjectLockEnabled":"Enabled","Rule":{"DefaultRetention":{"Mode":"COMPLIANCE","Days":30}}}'.
• Null Fehler — Automatisierte Restore-Tests: Ein Backup ohne verifizierte Wiederherstellung ist wertlos. Veeam SureBackup startet VMs automatisch aus dem Backup in einem isolierten Lab-Netzwerk und prüft: Boot-Fähigkeit (Heartbeat), Netzwerk-Ping, Applikations-Verfügbarkeit (HTTP 200, SQL-Query, SMTP-Handshake). Konfigurieren Sie SureBackup-Jobs: Virtual Lab → Application Group → Verification Scripts. Für wbadmin-basierte Backups automatisieren Sie Restore-Tests über PowerShell: wbadmin start recovery -version:03/10/2026-22:00 -itemType:File -items:"C:\TestData" -recoveryTarget:"D:\RestoreTest" -quiet und vergleichen Sie Checksummen mit Get-FileHash.
• Backup-Dokumentation & Runbooks: Jede Backup-Strategie muss in einem Runbook dokumentiert sein, das folgende Informationen enthält: geschützte Systeme mit Klassifizierung (Tier 1/2/3), Backup-Zeitpläne und -Fenster, Retention-Policies pro Datenklasse, Wiederherstellungsreihenfolge bei totalem Datenverlust, Kontaktliste der Verantwortlichen und Eskalationspfade. Das Runbook muss offline verfügbar sein (ausgedruckt im Tresor), da bei einem Ransomware-Angriff das Wiki/SharePoint möglicherweise nicht erreichbar ist. BSI-Grundschutz (Baustein OPS.1.2.2) fordert explizit dokumentierte und getestete Wiederherstellungspläne.

Veeam Backup & Replication Deep-Dive

Veeam Backup & Replication ist die marktführende Lösung für Backup, Replikation und Disaster Recovery virtualisierter und physischer Workloads. Mit agentenloser VM-Sicherung, Instant Recovery und umfassendem Cloud-Tiering bietet Veeam Enterprise-Funktionalität für jede Infrastrukturgröße.

• Backup-Architektur & Komponenten: Eine Veeam-Infrastruktur besteht aus dem Backup Server (Verwaltung, Scheduling, Datenbank), Backup Proxies (Datenverarbeitung, Kompression, Deduplizierung) und Backup Repositories (Speicherziele). Für Hyper-V nutzt der Proxy Off-Host-Backup über VSS; für VMware den Virtual Appliance Mode (Hot-Add) oder Network Mode (NBD). Skalierung: Ein Proxy verarbeitet ca. 1,5–3 TB/Stunde (abhängig von Kompression und Netzwerk). Für große Umgebungen setzen Sie 1 Proxy pro 30 VMs ein. Das Repository sollte auf ReFS (Windows) oder XFS (Linux) formatiert sein für Block-Cloning (Fast Clone) bei synthetischen Full-Backups.
• Instant VM Recovery & Explorer: Instant Recovery startet eine VM direkt aus dem Backup-Repository — die VM läuft innerhalb von 2–5 Minuten, während die Daten im Hintergrund auf den Produktions-Storage migriert werden (Storage vMotion). Konfigurieren Sie mit Start-VBRInstantRecovery -RestorePoint $rp -Server "HV-HOST01" -VMName "SRV-DB01-Recovered" (PowerShell). Veeam Explorer ermöglicht granulare Wiederherstellung: einzelne Exchange-Mails, SQL-Datenbanken, Active-Directory-Objekte oder SharePoint-Elemente — ohne die gesamte VM wiederherstellen zu müssen. Besonders wertvoll: Veeam Explorer for Active Directory kann gelöschte OUs, GPOs und Benutzerkonten gezielt zurückholen.
• Backup Copy & WAN Acceleration: Backup Copy Jobs erstellen offsite-Kopien auf entfernten Repositories oder Cloud-Tiering-Zielen. Für WAN-Verbindungen nutzen Sie Veeam WAN Accelerator: Dieser nutzt globale Deduplizierung mit einem lokalen Digest-Cache, um nur neue, einzigartige Datenblöcke zu übertragen — typische WAN-Reduktion: 80–95 %. Konfigurieren Sie den Cache-Größe mit der Formel: Quell-Datenmenge × 1,2 % = benötigter Cache (z.B. 10 TB Quelldata → 120 GB Cache-SSD). Für Cloud-Tiering nutzen Sie Set-VBRScaleOutBackupRepository -Repository "SOBR-Prod" -EnableCapacityTier -ObjectStorageRepository "S3-Offsite".
• Veeam ONE Monitoring & Reporting: Veeam ONE überwacht die Backup-Infrastruktur und generiert Compliance-Reports. Kritische Alarme: "Backup Job Failed", "VM not protected for X days", "Repository running low on space". Konfigurieren Sie Business View für management-taugliche Reports: geschützte vs. ungeschützte VMs, erfolgreiche vs. fehlgeschlagene Jobs, RPO-Compliance pro SLA-Gruppe. Der Report "Protected VMs" identifiziert VMs, die in keinem Backup-Job enthalten sind — ein häufiges Problem, wenn neue VMs erstellt, aber nicht dem Backup hinzugefügt werden. Automatisieren Sie dies über Tags: Set-VBRJob -Job "Daily-Backup" -ObjectsInTag "Backup-Tier1".

Windows Server Backup & wbadmin

Windows Server Backup (WSB) ist die integrierte Backup-Lösung von Microsoft — kostenlos, zuverlässig und für kleinere Umgebungen oft ausreichend. Das Kommandozeilen-Tool wbadmin ermöglicht die vollständige Automatisierung über Scheduled Tasks und PowerShell-Skripte.

• Installation & Konfiguration: Installieren Sie WSB als Feature: Install-WindowsFeature Windows-Server-Backup -IncludeManagementTools. Erstellen Sie eine Backup-Policy über PowerShell: $policy = New-WBPolicy; $volume = Get-WBVolume -VolumePath "C:"; Add-WBVolume -Policy $policy -Volume $volume; $target = New-WBBackupTarget -NetworkPath "\\NAS01\Backup\SRV01" -Credential (Get-Credential); Add-WBBackupTarget -Policy $policy -Target $target; Set-WBSchedule -Policy $policy -Schedule 22:00; Set-WBPolicy -Policy $policy -Force. WSB nutzt VSS für applikationskonsistente Snapshots und unterstützt Bare-Metal-Recovery, System State und einzelne Volumes.
• wbadmin-Kommandozeile für Automatisierung: Für skriptgesteuerte Backups nutzen Sie wbadmin start backup -backupTarget:\\NAS01\Backup -include:C:,D: -vssFull -quiet. Der Parameter -vssFull ist kritisch: Er setzt nach dem Backup die VSS-Writer zurück und markiert die Dateien als gesichert, was für inkrementelle Backups anderer Tools (z.B. Azure Backup Agent) erforderlich ist. Für System-State-Backup (Active Directory, Zertifikatsdienste, DHCP): wbadmin start systemstatebackup -backupTarget:E: -quiet. Planen Sie dies als Scheduled Task: schtasks /create /tn "NightlyBackup" /tr "wbadmin start backup -backupTarget:\\NAS01\Backup -allCritical -vssFull -quiet" /sc daily /st 22:00 /ru SYSTEM.
• Einschränkungen & Workarounds: WSB hat bekannte Limitierungen: maximal ein Backup-Zeitplan pro Server, keine granulare Dateiwiederherstellung aus VM-Backups, kein Tape-Support, kein Backup-Catalog-Management über die GUI für Netzwerkziele. Workaround für multiple Zeitpläne: Erstellen Sie mehrere Scheduled Tasks mit unterschiedlichen wbadmin-Parametern. Für Backup-Rotation auf Netzwerkzielen nutzen Sie PowerShell: Get-ChildItem "\\NAS01\Backup\SRV01\WindowsImageBackup" | Where-Object { $_.LastWriteTime -lt (Get-Date).AddDays(-30) } | Remove-Item -Recurse -Force. Beachten Sie: WSB speichert nur das letzte Backup pro Netzwerkziel — nutzen Sie unterschiedliche Unterordner für historische Versionen.
• Azure Backup Agent (MARS): Für die Cloud-Erweiterung von WSB installieren Sie den Microsoft Azure Recovery Services (MARS) Agent. Dieser sichert Dateien, Ordner und System State direkt in einen Azure Recovery Services Vault. Konfigurieren Sie über Start-OBRegistration -Vault $vault -Confirm:$false und New-OBPolicy | Add-OBFileSpec -FileSpec (New-OBFileSpec -FileSpec "C:\Data") | Set-OBSchedule -DaysOfWeek Monday,Wednesday,Friday -TimesOfDay 22:00 | Set-OBRetentionPolicy -RetentionDays 30 | Set-OBPolicy. MARS unterstützt AES-256-Verschlüsselung und Bandwidth Throttling für WAN-Optimierung: Set-OBMachineSetting -WorkDay Monday,Tuesday,Wednesday,Thursday,Friday -StartWorkHour 9 -EndWorkHour 18 -WorkHourBandwidth 512000 -NonWorkHourBandwidth Unlimited.

Immutable Backups & Ransomware-Schutz

Ransomware-Angriffe zielen zunehmend gezielt auf Backup-Infrastrukturen ab, um eine Wiederherstellung zu verhindern und das Lösegeld zu maximieren. Immutable Backups — unveränderbare Sicherungen, die während der Retention-Periode weder gelöscht noch modifiziert werden können — sind die letzte Verteidigungslinie.

• Linux Hardened Repository (Veeam): Veeam unterstützt Immutability auf Linux-Repositories über das chattr +i Extended Attribute. Konfigurieren Sie einen dedizierten Ubuntu/Debian-Server mit XFS-Dateisystem, deaktivieren Sie SSH-Zugang nach der Einrichtung und erlauben Sie nur den Veeam Transport Service. In Veeam: Repository → Advanced → "Make recent backups immutable for X days". Der Veeam-Service setzt automatisch das Immutable-Flag auf jede Backup-Datei. Selbst ein kompromittierter Veeam-Server kann die Immutability nicht aufheben, da der Linux-Server keine SSH-Verbindung akzeptiert. Best Practice: Separate Credentials für das Repository, kein Domain-Join, lokale Firewall nur Port 6162 und Datenports erlauben.
• S3 Object Lock & WORM Storage: Amazon S3, MinIO und kompatible Object-Storage-Lösungen unterstützen Object Lock im WORM-Modus (Write Once Read Many). Governance Mode erlaubt privilegierten Benutzern das Überschreiben; Compliance Mode ist absolut — selbst der Root-Account kann die Retention nicht verkürzen. Konfigurieren Sie einen MinIO-Server On-Premises: mc mb myminio/backup-immutable --with-lock, dann mc retention set --default COMPLIANCE 30d myminio/backup-immutable. Veeam nutzt diesen als Capacity Tier im Scale-Out Repository. Für Azure: Blob Immutability Policies mit az storage container immutability-policy create --account-name stbackup --container-name veeam --period 30 --allow-protected-append-writes true.
• Air-Gapped Backup mit Tape: Tape-Medien bieten inhärente Air-Gap-Sicherheit: Sobald das Band aus der Library entnommen und in den Tresor verbracht wird, ist es physisch unerreichbar für Ransomware. Moderne LTO-9-Bänder bieten 18 TB nativ (45 TB komprimiert) und hardware-basierte AES-256-Verschlüsselung. Nutzen Sie Veeam Tape Jobs für automatisierte Backup-to-Tape: Add-VBRTapeServer -Server "TAPE-SRV01" | Add-VBRTapeLibrary. Konfigurieren Sie Media Pools mit GFS-Rotation (Grandfather-Father-Son): tägliche Bänder (1 Woche), wöchentliche Bänder (1 Monat), monatliche Bänder (1 Jahr), jährliche Bänder (7 Jahre). Lagern Sie jährliche Bänder in einem bankschließfach-ähnlichen externen Tresor.
• Backup-Account-Härtung: Ransomware-Akteure kompromittieren häufig Service-Accounts mit Backup-Berechtigungen. Schützen Sie Backup-Konten durch: dedizierte Service-Accounts außerhalb der Domain-Admins-Gruppe, Tier-0-Klassifizierung im Active-Directory-Tiering-Modell, MFA für Veeam-Console-Zugriff (über Veeam Backup & Replication v12 nativ), Credential Guard auf dem Backup-Server (Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "LsaCfgFlags" -Value 1), und Network-Level-Segmentierung — das Backup-VLAN sollte nur die minimal notwendigen Ports zu den geschützten Systemen öffnen (z.B. VSS/WMI für Hyper-V, VDDK für VMware).

RPO/RTO Berechnung & SLA-Design

Recovery Point Objective (RPO) definiert den maximal tolerierbaren Datenverlust, Recovery Time Objective (RTO) die maximal tolerierbare Ausfallzeit. Diese Kennzahlen bilden die Grundlage für jede Backup-Strategie, SLA-Vereinbarung und Business-Continuity-Planung.

• RPO-Berechnung & Backup-Frequenz: Der RPO bestimmt direkt die Backup-Frequenz: RPO 24 Stunden = tägliches Backup, RPO 1 Stunde = stündliche inkrementelle Sicherung, RPO 15 Minuten = CDP (Continuous Data Protection) oder Transaktionslog-Sicherung. Berechnen Sie den geschäftlichen Schaden pro Stunde Datenverlust: Wenn ein E-Commerce-System 50.000 €/Stunde Umsatz generiert und 4 Stunden Daten verloren gehen, beträgt der direkte Schaden 200.000 €. Vergleichen Sie dies mit den Kosten für häufigere Backups (Storage, Netzwerk, Lizenzen). Typische RPO-Klassifizierung: Tier 1 (Geschäftskritisch) = 15 Min., Tier 2 (Wichtig) = 4 Std., Tier 3 (Standard) = 24 Std.
• RTO-Berechnung & Recovery-Methoden: Der RTO umfasst: Erkennung des Ausfalls + Entscheidungsfindung + Wiederherstellung + Validierung. Jeder Schritt muss separat geschätzt werden. Instant VM Recovery (Veeam/Zerto) erzielt RTOs von 2–5 Minuten; klassische VM-Wiederherstellung aus Disk-Backup 15–60 Minuten (abhängig von VM-Größe); Tape-Restore 2–8 Stunden; Cloud-Restore über WAN 4–24 Stunden (abhängig von Datenmenge und Bandbreite). Berechnen Sie die Download-Zeit: 1 TB über 100 Mbit/s = ca. 22 Stunden. Für große Datenmengen nutzen Sie Azure Data Box oder AWS Snowball für physischen Datentransport.
• SLA-Design & Tier-Klassifizierung: Definieren Sie Service Level Agreements pro System-Tier mit verbindlichen RPO/RTO-Werten, Backup-Methode, Aufbewahrungsdauer und Verantwortlichkeiten. Beispiel-SLA: "Tier 1 — Geschäftskritisch: RPO 15 Min., RTO 30 Min., Methode: CDP + Instant Recovery, Retention: 30 Tage lokal / 1 Jahr Cloud / 7 Jahre Archiv, Restore-Test: monatlich automatisiert (SureBackup)". Dokumentieren Sie Ausnahmen und Eskalationspfade. Wichtig: SLAs müssen von der Geschäftsleitung genehmigt und regelmäßig (jährlich) überprüft werden, da sich Geschäftsprozesse und deren Kritikalität ändern.
• DR-Test & Compliance-Nachweis: Vierteljährliche DR-Tests sind Standard; für Tier-1-Systeme empfehlen wir monatliche Tests. Dokumentieren Sie jeden Test mit: Testziel (Bare-Metal, Applikation, Datenbank), Ist-RPO vs. Soll-RPO, Ist-RTO vs. Soll-RTO, identifizierte Probleme und Korrekturmaßnahmen. Automatisieren Sie DR-Tests über Veeam DataLabs (SureBackup/SureReplica) oder benutzerdefinierte PowerShell-Orchestrierung: Start-VBRSureBackupJob -Job "DR-Test-Monthly" | Wait-VBRJob | Export-VBRSureBackupReport -Path "\\NAS01\Reports\DR-Test-$(Get-Date -Format yyyy-MM).html". ISO 27001 (A.17) und BSI 200-4 fordern nachweisliche, dokumentierte DR-Tests als Pflichtmaßnahme.

Bare-Metal Recovery

Bare-Metal Recovery (BMR) bezeichnet die vollständige Wiederherstellung eines Servers auf blanker Hardware — inklusive Betriebssystem, Treiber, Konfiguration und Daten. BMR ist die ultimative Absicherung gegen Hardware-Totalausfall, Ransomware-Verschlüsselung und Standort-Katastrophen.

• Windows Server BMR mit wbadmin: Erstellen Sie ein BMR-Backup mit wbadmin start backup -backupTarget:\\NAS01\BMR -allCritical -vssFull -quiet. Der Parameter -allCritical sichert alle systemrelevanten Volumes (Boot, System, System Reserved, Recovery). Für die Wiederherstellung booten Sie von einem Windows Server-Installationsmedium, wählen "Repair your computer" → "System Image Recovery" und geben den Netzwerkpfad des Backups an. Kritisch: Stellen Sie sicher, dass Netzwerktreiber für die Zielhardware im WinPE-Boot-Image enthalten sind; andernfalls kann das Netzwerk-Backup nicht erreicht werden. Erstellen Sie ein benutzerdefiniertes WinPE mit Dism /Add-Driver /Image:C:\WinPE\mount /Driver:C:\Drivers /Recurse.
• Veeam Bare-Metal Recovery: Veeam erstellt BMR-fähige Backups automatisch, wenn "Entire Machine" als Backup-Objekt konfiguriert ist. Die Wiederherstellung erfolgt über das Veeam Recovery Media (ISO), das auf USB oder PXE gebootet wird. Veeam Recovery Media enthält Netzwerktreiber und einen integrierten Restore-Wizard. Für Hardware-übergreifende Wiederherstellung (P2V, V2P, P2P mit unterschiedlicher Hardware) nutzt Veeam automatisch die Windows-eigene Hardware-Abstraktion (Sysprep nicht erforderlich). Erstellen Sie das Recovery Media über: Veeam Console → Recovery Media → Create. Tipp: Speichern Sie das ISO auf einem USB-Stick und im Cloud-Storage, damit es auch bei Standort-Verlust verfügbar ist.
• Linux Bare-Metal mit ReaR: Relax-and-Recover (ReaR) ist der Standard für Linux-BMR. Konfigurieren Sie /etc/rear/local.conf: OUTPUT=ISO, BACKUP=NETFS, BACKUP_URL=nfs://nas01/backup/rear. Erstellen Sie das Rettungsmedium und Backup: rear -v mkbackup. ReaR erstellt ein bootfähiges ISO mit allen Treibern und einem automatisierten Wiederherstellungsskript, das Partitionen, Dateisysteme, Bootloader und Daten wiederherstellt. Für UEFI-Systeme: USING_UEFI_BOOTLOADER=1. ReaR unterstützt auch BMR auf unterschiedlicher Hardware durch automatische Partitions-Anpassung (MIGRATION_MODE).
• BMR-Praxis & häufige Fallstricke: Die größten Probleme bei BMR: fehlende Netzwerktreiber im Recovery-Medium (insbesondere bei neuer Server-Hardware), UEFI/BIOS-Inkompatibilitäten (Backup von BIOS-System, Restore auf UEFI-Hardware), und zu große Backup-Disks für die Ziel-Hardware (ein 2-TB-System-Volume kann nicht auf eine 1-TB-Disk wiederhergestellt werden). Lösungen: Erstellen Sie Recovery-Medien nach jedem Hardware-Wechsel neu, testen Sie BMR jährlich auf aktueller Hardware, und halten Sie die System-Partition klein (<100 GB) — Daten auf separate Volumes. Für virtuelle Umgebungen: BMR in eine neue VM ist in der Regel problemlos, da Standard-virtuelle Hardware (virtio, SCSI) universell unterstützt wird.

Cloud-Backup (Azure Blob, S3, Backblaze B2)

Cloud-Backup bietet nahezu unbegrenzten Speicher, geografische Redundanz und pay-per-use-Abrechnung ohne Vorabinvestitionen in Hardware. Die Wahl zwischen Azure Blob Storage, Amazon S3 und Backblaze B2 hängt von Kosten, Compliance-Anforderungen und bestehender Cloud-Strategie ab.

• Azure Blob Storage für Backup: Azure Blob bietet drei Zugriffs-Tiers: Hot (häufiger Zugriff, 0,018 €/GB/Monat), Cool (seltener Zugriff, 0,01 €/GB/Monat, 30 Tage Mindest-Retention) und Archive (Langzeitarchiv, 0,002 €/GB/Monat, 180 Tage Mindest-Retention, Rehydrierung 3–15 Stunden). Für Veeam-Integration: erstellen Sie einen Blob Container mit az storage container create --name veeam-backup --account-name stbackup --auth-mode key. Aktivieren Sie Lifecycle Management für automatisches Tiering: Backups älter als 30 Tage → Cool, älter als 90 Tage → Archive. Für DSGVO-Compliance nutzen Sie die Region "Germany West Central" mit Customer-Managed Keys (CMK) aus Azure Key Vault.
• Amazon S3 & S3-kompatible Dienste: Amazon S3 bietet mit S3 Standard, S3 Glacier Instant Retrieval, S3 Glacier Flexible Retrieval und S3 Glacier Deep Archive vier Speicherklassen für unterschiedliche Zugriffsmuster. Für Backup-Szenarien konfigurieren Sie S3 Lifecycle Rules: aws s3api put-bucket-lifecycle-configuration --bucket backup-prod --lifecycle-configuration '{"Rules":[{"ID":"Archive","Filter":{"Prefix":""},"Status":"Enabled","Transitions":[{"Days":30,"StorageClass":"GLACIER_IR"},{"Days":90,"StorageClass":"DEEP_ARCHIVE"}]}]}'. S3-kompatible On-Premises-Lösungen wie MinIO, Wasabi oder Cloudian bieten dieselbe API ohne Daten die Organisation zu verlassen — ideal für Unternehmen mit strikten Datenresidenz-Anforderungen.
• Backblaze B2 als kosteneffiziente Alternative: Backblaze B2 bietet mit 0,006 $/GB/Monat (Storage) und kostenlosem Egress über Cloudflare (Bandwidth Alliance) die günstigste Kombination für Backup-Szenarien mit gelegentlichen Restores. Integration mit Veeam: Fügen Sie B2 als S3-kompatibles Object Storage Repository hinzu (Endpoint: s3.us-west-004.backblazeb2.com). Aktivieren Sie Object Lock für Immutability: b2 update-bucket --defaultServerSideEncryption=SSE-B2 --fileLockEnabled backup-immutable. B2 unterstützt auch rclone für Linux-basierte Backup-Workflows: rclone sync /backup/daily b2:backup-bucket/daily --transfers=16 --b2-hard-delete. Nachteil: Nur zwei Rechenzentren (US West, EU Central), weniger Redundanz als Hyperscaler.
• Hybrid-Cloud-Backup-Strategie: Die optimale Backup-Architektur kombiniert lokalen und Cloud-Speicher: Primäres Backup auf schnellem lokalen Storage (NAS/SAN) für RTOs unter 1 Stunde, Copy-Job auf Cloud-Object-Storage für Offsite-Schutz und Langzeit-Archivierung, und optionales Tape für Air-Gap-Sicherheit. Berechnen Sie die Total Cost of Ownership (TCO) über 5 Jahre: Cloud-Kosten (Storage + Egress bei Restore + API-Calls) vs. On-Premises (Hardware + Strom + Kühlung + Wartung + Personalaufwand). Für 50 TB Backup-Daten ist die Kombination aus lokalem NAS (Einmalkauf ~5.000 €) + Backblaze B2 (~36 €/Monat) oft günstiger als reine Cloud-Lösungen mit häufigen Restores.