Zum Inhalt

NAS-Backup außer Haus speichern

Veröffentlicht am 15. September 2026 · Geschätzte Lesezeit: 8 Minuten

Ein verschlüsseltes restic-Backup in Backblaze B2 schützt wichtige NAS-Daten zusätzlich außer Haus. Hier legst du die clientseitig verschlüsselte Kopie an, prüfst das Repository und holst eine Testdatei zurück. Für die Einrichtung brauchst du etwa 45 bis 70 Minuten; der erste Upload kann je nach Datenmenge und Internetanschluss mehrere Stunden dauern. Grundlage dieser Anleitung ist die offizielle restic-Dokumentation zur Repository-Einrichtung.[1]

Voraussetzungen

  • Ein Linux-basiertes NAS oder ein kleiner Linux-Server mit sudo und SSH-Zugang
  • Ein Backblaze-B2-Konto mit einem leeren privaten Bucket
  • Ausgewählte NAS-Ordner, deren Inhalt während des Backups konsistent gelesen werden kann
  • Ein separat verwahrtes starkes Repository-Passwort und genügend Upload-Bandbreite

1. Daten und Rückweg festlegen

Notiere zuerst, welche unersetzbaren Ordner außer Haus gesichert werden sollen. Ersetze <QUELLPFAD-1> durch den vollständigen Pfad deines ersten NAS-Ordners. Ersetze <QUELLPFAD-2> durch den vollständigen Pfad des zweiten Ordners, zum Beispiel deiner Foto- und Dokumentordner.

Prüfe Größe und Erreichbarkeit der Auswahl:

sudo du -sh <QUELLPFAD-1> <QUELLPFAD-2>

Der Befehl verändert nichts. Er zeigt, ob die Pfade stimmen und wie groß der erste Upload ungefähr wird.

Laufende Datenbanken nicht ungeprüft kopieren

Sichere keine aktiven Datenbankdateien oder virtuellen Maschinen auf diese Weise. Stoppe den zugehörigen Dienst kurz oder erstelle zuerst einen anwendungskonsistenten Export. Temporäre Dateien, Papierkörbe und Vorschaudaten kannst du ausschließen.

Lege außerdem fest, wie du im Notfall an B2-Konto, Zugangsschlüssel und Repository-Passwort kommst. Das Passwort gehört in einen Passwortmanager und zusätzlich in eine geschützte Notfallkopie, die nicht nur auf dem NAS liegt. Ohne ein gültiges Repository-Passwort sind die verschlüsselten Sicherungen nicht wiederherstellbar.[1]

2. restic installieren

Aktualisiere auf Debian oder Ubuntu zuerst die Paketinformationen:

sudo apt update

Installiere danach restic:

sudo apt install restic

Prüfe, ob das Programm aufrufbar ist:

restic version

Andere NAS-Systeme besitzen eigene Paketquellen oder Apps. Verwende dort die vom Hersteller vorgesehene Installationsmethode und prüfe anschließend ebenfalls mit restic version.

3. B2-Bucket und eingeschränkten Schlüssel anlegen

Erstelle in der Backblaze-B2-Oberfläche einen privaten Bucket. Verwende für das Backup einen Standard Application Key, der auf genau diesen Bucket beschränkt ist und Lesen sowie Schreiben erlaubt. Ein eingeschränkter Schlüssel ist sicherer als der Master Application Key mit Zugriff auf das gesamte Konto.[9]

Notiere diese Werte nur vorübergehend an einem sicheren Ort:

  • Ersetze <B2-S3-ENDPOINT> durch den in B2 angezeigten S3-Endpunkt ohne vorangestelltes Protokoll, zum Beispiel nach dem Muster s3.REGION.backblazeb2.com.
  • Ersetze <BUCKET-NAME> durch den Namen deines privaten Backup-Buckets.
  • Ersetze <B2-KEY-ID> durch die Key ID des eingeschränkten Application Keys.
  • Ersetze <B2-APPLICATION-KEY> durch den geheimen Schlüssel, der bei der Erstellung nur einmal vollständig angezeigt wird.

Die offizielle B2-Anleitung bestätigt die Nutzung der S3-kompatiblen Schnittstelle mit restic und beschreibt Bucket, Application Key und Repository-Konfiguration.[6]

4. Passwort und Umgebungsdatei schützen

Erstelle einen nur für root zugänglichen Konfigurationsordner:

sudo install -d -m 700 /root/.config/restic

Öffne die Passwortdatei:

sudoedit /root/.config/restic/repository-password

Trage genau eine Zeile mit einem langen, zufälligen Repository-Passwort ein. Verwende hier keinen Beispielwert. Sichere die Datei anschließend gegen andere Benutzer:

sudo chmod 600 /root/.config/restic/repository-password

Öffne nun die Umgebungsdatei:

sudoedit /root/.config/restic/nas-offsite.env

Trage die folgenden Zeilen ein und ersetze alle vier zuvor erklärten Platzhalter:

export AWS_ACCESS_KEY_ID='<B2-KEY-ID>'
export AWS_SECRET_ACCESS_KEY='<B2-APPLICATION-KEY>'
export RESTIC_REPOSITORY='s3:<B2-S3-ENDPOINT>/<BUCKET-NAME>/nas-offsite'
export RESTIC_PASSWORD_FILE='/root/.config/restic/repository-password'

Schütze auch diese Datei:

sudo chmod 600 /root/.config/restic/nas-offsite.env

RESTIC_REPOSITORY legt das entfernte Ziel fest. RESTIC_PASSWORD_FILE verweist auf das lokale Verschlüsselungspasswort. Die beiden AWS-Variablen werden von der S3-kompatiblen B2-Schnittstelle für Key ID und Application Key verwendet.[1][6]

Geheimnisse nicht veröffentlichen

Kopiere weder Umgebungsdatei noch Passwortdatei in ein Git-Repository, einen Screenshot oder einen Chat. Gib die Schlüssel nicht direkt in Befehlen ein, weil sie sonst in der Shell-History landen können.

5. Verbindung laden und Repository initialisieren

Lade die geschützten Werte in die aktuelle Root-Shell:

sudo -i

source /root/.config/restic/nas-offsite.env

Initialisiere das neue Repository genau einmal:

restic init

restic init erzeugt Repository-Struktur, Metadaten und Verschlüsselungsschlüssel am entfernten Ziel.[1] Beende bei einer Fehlermeldung die Root-Shell mit exit, prüfe Endpoint, Bucket und Schlüssel und führe noch kein Backup aus.

6. Erstes verschlüsseltes Backup erstellen

Lade die Umgebung nach einer neuen SSH-Anmeldung erneut:

sudo -i

source /root/.config/restic/nas-offsite.env

Ersetze die beiden Quellpfade und starte das erste Backup:

restic backup --tag nas-offsite <QUELLPFAD-1> <QUELLPFAD-2>

restic legt einen Snapshot an und überträgt beim nächsten Lauf nur neue oder geänderte Datenblöcke; jeder Snapshot bleibt dennoch als vollständiger Dateistand auswählbar.[2] Eine Praxisanleitung mit lokaler NAS- und zusätzlicher Offsite-Kopie setzt denselben Ablauf aus Initialisierung, Backup, Prüfung und Testwiederherstellung ein.[7]

Lass die SSH-Sitzung beim ersten Lauf geöffnet. Ein erfolgreicher Lauf meldet am Ende eine gespeicherte Snapshot-ID. 0 errors und eine Snapshot-ID sind wichtiger als die reine Fortschrittsanzeige.

7. Snapshot und Repository prüfen

Zeige die vorhandenen Snapshots an:

restic snapshots --tag nas-offsite

Die Ausgabe muss mindestens den gerade erzeugten Snapshot mit richtigem Host, Datum, Tag und den erwarteten Pfaden enthalten.[4]

Prüfe anschließend die interne Repository-Struktur:

restic check

restic check untersucht Repository-Strukturen, Snapshots, Bäume und Datenblöcke. Auch die B2-Praxisdokumentation empfiehlt diese Prüfung regelmäßig.[6]

Prüfung und Wiederherstellung sind zwei verschiedene Tests

Ein fehlerfreies restic check ersetzt keinen Restore-Test. Erst eine tatsächlich zurückgeholte und geöffnete Datei belegt, dass dein Wiederherstellungsweg funktioniert.

8. Eine Datei testweise wiederherstellen

Suche zunächst den exakten Pfad einer kleinen, bekannten Datei in den Snapshots:

restic find '<DATEINAME>'

Ersetze <DATEINAME> durch den vollständigen Namen einer vorhandenen Testdatei. Notiere aus der Ausgabe den Pfad im Snapshot.

Erstelle ein leeres Testziel:

mkdir -p /tmp/restic-restore-test

Ersetze <PFAD-IM-SNAPSHOT> durch den von restic find ausgegebenen vollständigen Pfad und stelle nur diese Datei wieder her:

restic restore latest --include '<PFAD-IM-SNAPSHOT>' --target /tmp/restic-restore-test

Bei einer Wiederherstellung mit --include muss der Pfad so angegeben werden, wie er im Snapshot liegt; restic schreibt ihn unterhalb des Zielordners mit seiner Verzeichnisstruktur zurück.[3]

Öffne die zurückgeholte Datei oder vergleiche sie mit dem Original. Für zwei Dateien kannst du nach Anpassung beider Pfade Prüfsummen erzeugen:

sha256sum '<ORIGINALDATEI>' '/tmp/restic-restore-test<PFAD-IM-SNAPSHOT>'

Ersetze <ORIGINALDATEI> durch den vollständigen Pfad der unveränderten Originaldatei. Stimmen beide SHA-256-Werte überein, sind die verglichenen Inhalte identisch. Lösche das Testziel erst danach:

rm -rf /tmp/restic-restore-test

9. Aufbewahrung erst nach dem Test festlegen

Wenn mehrere erfolgreiche Backups und der Restore-Test vorhanden sind, kannst du alte Snapshots nach einer Aufbewahrungsregel entfernen:

restic forget --tag nas-offsite --keep-daily 14 --keep-weekly 8 --keep-monthly 12 --prune

Die Beispielregel behält bis zu 14 tägliche, 8 wöchentliche und 12 monatliche Stände der passenden Snapshot-Gruppe. forget entfernt nicht mehr benötigte Snapshots; --prune bereinigt anschließend unreferenzierte Daten. Pruning kann lange dauern, sperrt dabei das Repository und sollte nicht parallel zu einem Backup laufen.[5]

Führe danach erneut die Strukturprüfung aus:

restic check

Automatisiere Backup und Aufbewahrung erst, wenn alle manuellen Schritte zuverlässig funktionieren. Plane außerdem regelmäßige Restore-Tests ein. Eine aktuelle Self-Hosting-Praxisquelle empfiehlt ausdrücklich eine getrennte Offsite-Kopie und einen konkreten Wiederherstellungstest statt nur vorhandener Backup-Dateien.[11]

10. Sitzung beenden und Zugang absichern

Entferne die geladenen Geheimnisse, indem du die Root-Shell beendest:

exit

Bewahre B2-Zugang und Repository-Passwort getrennt vom NAS auf. Aktiviere für das Backblaze-Konto Zwei-Faktor-Authentisierung und kontrolliere regelmäßig, ob der Application Key weiterhin nur den vorgesehenen Bucket erreicht.

Als ergänzende visuelle Einführung ist das öffentlich erreichbare Video How to use Restic for backups verlinkt.[10] Es ersetzt nicht die Befehle und Sicherheitsregeln der offiziellen Dokumentation. Das Video Unplug Your Backup ergänzt den Hinweis, eine erreichbare Sicherung nicht mit einer offline getrennten Kopie zu verwechseln.[8]

Backup, Rückweg und Sicherheitsrisiken

Die Offsite-Kopie ist eine zusätzliche Sicherung. Lösche weder Originale noch deine lokale NAS-Sicherung, nur weil der erste Cloud-Upload erfolgreich war. Beim Ausfall des NAS installierst du restic auf einem Ersatzsystem, legst die vier Konfigurationswerte neu an, lädst die Umgebung und stellst zunächst in einen leeren Ordner wieder her. Überschreibe beschädigte Originalpfade erst, nachdem du die zurückgeholten Dateien geöffnet und geprüft hast.

Wichtige Risiken bleiben:

  • Ein verlorenes Repository-Passwort macht die Sicherung unzugänglich.
  • Ein entwendeter B2-Schlüssel kann je nach Rechten Backups lesen, verändern oder löschen.
  • Ein dauerhaft erreichbares Cloud-Ziel ist keine unveränderliche oder offline gespeicherte Kopie.
  • Unbemerkte Pfadänderungen können dazu führen, dass wichtige Ordner im nächsten Snapshot fehlen.
  • Offsite-Speicher verursacht laufende Speicher- und gegebenenfalls Downloadkosten.

Typische Fehler beheben

  • repository does not exist: Prüfe, ob die Umgebungsdatei geladen wurde und ob Endpoint, Bucketname und Unterordner exakt stimmen.
  • Access Denied: Prüfe Key ID, Application Key und die Bucket-Beschränkung. Ersetze nicht vorschnell das Repository-Passwort.
  • Backup enthält zu wenig Daten: Kontrolliere die Quellpfade mit du -sh und die Snapshot-Pfade mit restic snapshots.
  • Datei wird beim Restore nicht gefunden: Übernimm den mit restic find ermittelten Pfad unverändert für --include.
  • Backup meldet Lesefehler: Prüfe Dateirechte und behandle aktive Datenbanken mit deren eigenem Export- oder Snapshot-Verfahren.
  • Prune läuft sehr lange: Brich nicht unüberlegt ab. Plane Wartung und Backup künftig in getrennten Zeitfenstern.

Fertig

Dein NAS besitzt nun eine verschlüsselte zweite Kopie außerhalb der Wohnung. Die Einrichtung ist erst vollständig geprüft, wenn restic snapshots den erwarteten Stand zeigt, restic check ohne Fehler endet und eine Testdatei unter /tmp/restic-restore-test geöffnet oder per SHA-256 mit dem Original verglichen wurde.

Sources

[1] https://restic.readthedocs.io/en/stable/030_preparing_a_new_repo.html — restic: Preparing a new repository [2] https://restic.readthedocs.io/en/stable/040_backup.html — restic: Backing up [3] https://restic.readthedocs.io/en/stable/050_restore.html — restic: Restoring from backup [4] https://restic.readthedocs.io/en/stable/045_working_with_repos.html — restic: Working with repositories [5] https://restic.readthedocs.io/en/stable/060_forget.html — restic: Removing backup snapshots [6] https://www.backblaze.com/docs/cloud-storage-integrate-restic-with-backblaze-b2 — Backblaze: How to Use Restic for Backups with B2 [7] https://kerezovic.de/en/blog/guides/backups-with-restic — Backups with restic – secure 3-2-1 setup [8] https://youtube.com/watch?v=cPdKHC7LWHU — Unplug Your Backup - Here is Why [9] https://www.backblaze.com/docs/cloud-storage-application-keys — Backblaze: Application Keys [10] https://www.youtube.com/watch?v=5DjNjqLuLSs — Backblaze: How to Use Restic to Back Up Your Data [11] https://eastkode.in/articles/self-hosted-backups-restic-borg — EastKode: Self-Hosted Backups That Actually Restore