Eine zweite Kopie, Byte für Byte geprüft

Backups hat jeder. Die unbequeme Frage ist, was sie an dem Tag wert wären, an dem Sie sie brauchen — denn zwischen „wir machen Kopien“ und „wir können Ihnen Ihr Geschäft zurückgeben“ liegt eine ganze Disziplin. Über getestete Restores haben wir bereits geschrieben; dieser Beitrag handelt von der anderen Hälfte dieser Disziplin: wo die Kopien leben, und wer sie überprüft.

Zwei Kopien im selben Regal sind eine Kopie

Die meisten Backup-Geschichten scheitern an der Geographie. Die Kopie liegt auf derselben Platte, unter demselben Konto, mit denselben Zugangsdaten wie das, was sie schützt — was also das Original zerstört (eine sterbende Festplatte, ein kompromittiertes Konto, ein Befehl im falschen Fenster), zerstört die Kopie im selben Zug. Redundanz, die sich eine Fehlerdomäne teilt, ist Arithmetik, kein Schutz:

Eine Kopie neben dem Original ist keine zweite Kopie.

Der nächtliche Rhythmus

Jede Nacht packt jede Instanz ihre Datenbanken, Dateien und Konfiguration und verschickt sie verschlüsselt in ihren eigenen externen Speicher — mit einer Aufbewahrung von sieben täglichen, vier wöchentlichen und zwölf monatlichen Kopien. Dann pflegt eine zweite, unabhängige Maschine — separate Hardware, ein anderer Ort, eigene Zugangsdaten — einen versionierten Spiegel des gesamten Baums: nicht nur die letzte Kopie, sondern auch die gestrige Version jeder Datei, und die vom letzten Monat. Eines fehlt mit Absicht: Geheimnisse. Zugangsdaten werden nie gesichert; bei einer Wiederherstellung werden sie neu erzeugt — eine Kopie kann also niemals einen Schlüssel verraten.

Geprüft, Byte für Byte

Ein Backup, das niemand liest, ist ein Gerücht. Am 15. jedes Monats stellen wir wirklich wieder her und vergleichen den Spiegel Byte für Byte mit den Primärkopien; am 20. proben wir die vollständige Notfallwiederherstellung — eine Produktionsinstanz, von Null an neu aufgebaut, von Anfang bis Ende. Und Stille gilt als Fehler: Jeder Backup-Job trägt eine Totmannschaltung, sodass die Kopie, die stillschweigend nicht lief, einen Alarm auslöst statt einer Überraschung. Es ist langweilige Maschinerie, monatlich gewartet — genau das, was Sie am schlimmsten Tag unter Ihrem Geschäft haben wollen.