NAS-Backup richtig planen: die 3-2-1-Regel in der Praxis

Ein NAS-Backup steht auf vielen To-do-Listen, sobald das Speichergerät im Büro oder Homeoffice läuft. Der Denkfehler dabei: Viele halten das NAS selbst schon für das Backup. Tatsächlich ist ein Synology-, QNAP- oder UGreen-System zunächst nur ein zentraler Speicherort – und damit ein zentraler Ausfallpunkt. Dieser Beitrag zeigt, wie Sie Ihr NAS mit der 3-2-1-Regel wirklich absichern und welche Rolle ein externes Sicherungsziel dabei spielt.

Warum ist ein NAS allein kein Backup?

Ein RAID-Verbund schützt vor dem Ausfall einzelner Festplatten, mehr nicht. Gegen die häufigsten Ursachen für Datenverlust hilft er nicht: Ransomware verschlüsselt auch die Freigaben auf dem NAS, ein Blitzschlag oder Brand trifft alle Platten gleichzeitig, versehentliches Löschen wird auf alle RAID-Platten synchronisiert, und bei Diebstahl ist das komplette Gerät weg. Aus unserer Support-Praxis wissen wir: Die teuersten Datenverluste passieren fast nie durch defekte Hardware, sondern durch Verschlüsselungstrojaner und menschliche Fehler – beides Fälle, in denen das RAID nichts rettet.

Was besagt die 3-2-1-Regel?

Die 3-2-1-Regel ist der bewährte Standard für Datensicherung: drei Kopien Ihrer Daten, auf zwei verschiedenen Medientypen, davon eine Kopie außer Haus (offsite). Übersetzt auf ein typisches Firmen-Setup: Das Original liegt auf den Arbeitsrechnern, die zweite Kopie auf dem NAS, die dritte außerhalb des Standorts. Genau an dieser dritten Kopie scheitern die meisten Setups – die externe USB-Platte im Schrank neben dem NAS erfüllt den Zweck nicht, denn sie brennt im Ernstfall mit.

Welches Offsite-Ziel eignet sich für das NAS-Backup?

Für die Offsite-Kopie brauchen Sie einen Speicher, den Ihr NAS automatisch und verschlüsselt erreicht. Drei Kriterien entscheiden: Protokoll-Unterstützung (das Ziel muss mit der Backup-Software Ihres NAS sprechen), Standort (für DSGVO-relevante Daten gehört das Backup in ein deutsches oder europäisches Rechenzentrum mit AVV) und Wiederherstellbarkeit (im Ernstfall zählt, wie schnell Sie an Ihre Daten kommen). Ein Backup-Speicher wie NextDrive ist genau dafür gebaut: Er unterstützt SSH/SFTP, rsync, WebDAV und SMB, läuft ausschließlich in deutschen ISO-zertifizierten Rechenzentren und startet bei 5,90 € im Monat für 500 GB. Im Profi-Tarif wird die Offsite-Kopie zusätzlich geo-redundant an einem zweiten Standort gesichert – aus der 3-2-1-Sicherung wird dann faktisch eine 3-2-2.

Wie richten Sie das NAS-Backup konkret ein?

Der Weg hängt vom Gerät ab, das Prinzip ist immer gleich: Backup-Aufgabe anlegen, Ziel und Zugangsdaten eintragen, Verschlüsselung aktivieren, Zeitplan setzen.

• Synology: Hyper Backup als Aufgabe mit rsync- oder WebDAV-Ziel anlegen, clientseitige Verschlüsselung aktivieren, Versionierung auf 30 bis 60 Versionen einstellen.
• QNAP: Hybrid Backup Sync (HBS 3) mit einem rsync- oder SFTP-Auftrag konfigurieren.
• UGreen und UniFi UNAS: integrierte Backup-Funktion mit SMB- oder WebDAV-Ziel nutzen.
• Proxmox-Server: den externen Speicher direkt als Backup-Ziel für VM-Sicherungen einbinden.
• Mac ohne NAS: Time Machine sichert direkt auf ein WebDAV-/SMB-Ziel; für einzelne Arbeitsplätze ist alternativ ein Cloud-Backup die einfachere Lösung.

Wer sich die Einrichtung nicht zutraut: Bei webhostone übernimmt das auf Wunsch der Managed-Assist-Service (9,90 € im Monat) – inklusive Konfiguration von Hyper Backup, rsync oder Time Machine und Hilfe beim ersten Restore.

Wie oft sichern – und wie testen Sie den Ernstfall?

Für Geschäftsdaten hat sich eine tägliche Sicherung außerhalb der Arbeitszeiten bewährt, bei häufig geänderten Daten auch mehrmals täglich. Mindestens so wichtig wie der Zeitplan ist der Restore-Test: Stellen Sie einmal im Quartal eine zufällig gewählte Datei aus dem Offsite-Backup wieder her und stoppen Sie die Zeit. Ein Backup, dessen Wiederherstellung nie geprüft wurde, ist nur eine Hoffnung. Prüfen Sie dabei auch die Versionierung: Nach einem Ransomware-Befall brauchen Sie einen Datenstand von vor der Infektion, nicht die zuletzt synchronisierte (und damit verschlüsselte) Version.