FISI // Backup und Datensicherung: voll, differenziell, inkrementell

Irgendwann ist eine Platte kaputt, jemand löscht den falschen Ordner oder ein Verschlüsselungstrojaner legt den Fileserver lahm. Dann zählt nur eine Frage: Kommst du an die Daten wieder heran, und wie lange dauert das? In der Abschlussprüfung taucht das Thema regelmäßig auf, meist als Rechenaufgabe („Welche Bänder brauchst du für die Wiederherstellung am Donnerstag?“) oder als Konzeptfrage zu Backup-Arten, Aufbewahrung und Lagerung.

Gleich vorweg, weil es in jeder zweiten Klausur als Falle dient: Ein RAID ist kein Backup. Es schützt vor dem Ausfall einer Festplatte, aber eine gelöschte Datei ist auf allen Platten des Verbunds gleichzeitig weg. Wie RAID funktioniert, steht im Beitrag zu RAID-Level und Storage.

Ziel

Nach dem Beitrag kannst du

• Vollsicherung, differenzielle und inkrementelle Sicherung unterscheiden und sagen, welche Sicherungen du für eine Wiederherstellung brauchst,
• erklären, wie das Archivbit bei den drei Verfahren gesetzt und zurückgesetzt wird,
• das Generationenprinzip (Großvater, Vater, Sohn) und die 3-2-1-Regel anwenden,
• Backup und Archivierung auseinanderhalten und die wichtigsten Aufbewahrungsfristen einordnen,
• Komprimierung, Deduplizierung und Cloud-Backup bewerten.

Erst die Bedarfsanalyse, dann die Technik

Ein Backup-Konzept beginnt mit Fragen an den Betrieb, die Software kommt später. Welche Daten gibt es, wo liegen sie und wie schlimm ist ihr Verlust? Wie viele Stunden Arbeit darf im Ernstfall verloren gehen? Wie schnell muss der Betrieb wieder laufen?

Für die beiden letzten Fragen gibt es feste Begriffe, die du kennen solltest:

Aus den Antworten ergeben sich Sicherungsart, Rhythmus, Speichermedien, Lagerort und Aufbewahrungsdauer. Ein Steuerbüro mit Mandantendaten braucht ein anderes Konzept als ein Handwerksbetrieb mit drei PCs.

Die drei Sicherungsarten

Vollsicherung

Bei der Vollsicherung wird jedes Mal der komplette Datenbestand gesichert. Das ist das einfachste Verfahren: Für die Wiederherstellung brauchst du genau eine Sicherung. Dafür dauert jeder Lauf lange und belegt viel Speicherplatz. Deshalb läuft eine Vollsicherung in der Praxis meist nur einmal pro Woche, oft am Wochenende.

Differenzielle Sicherung

Die differenzielle Sicherung speichert alles, was sich seit der letzten Vollsicherung geändert hat. Am Montag sind das die Änderungen vom Montag, am Dienstag die von Montag und Dienstag, am Donnerstag die der ganzen Woche. Die Sicherungen wachsen also von Tag zu Tag.

Der Vorteil zeigt sich bei der Wiederherstellung: Du brauchst nur die letzte Vollsicherung und die letzte differenzielle Sicherung, also immer genau zwei Sicherungen.

Inkrementelle Sicherung

Die inkrementelle Sicherung speichert nur, was sich seit der letzten Sicherung geändert hat, egal ob das eine Voll- oder eine inkrementelle Sicherung war. Jeder Lauf ist klein und schnell.

Bei der Wiederherstellung musst du dafür die Vollsicherung und anschließend jede inkrementelle Sicherung in der richtigen Reihenfolge einspielen. Fehlt eine davon oder ist ein Band defekt, fehlen ab dieser Stelle Daten.

Vergleich

Rechenbeispiel

Ein Server hat 400 GB Daten. Pro Arbeitstag ändern sich rund 20 GB, und zwar jeden Tag andere Dateien. Am Sonntag läuft eine Vollsicherung, von Montag bis Freitag jeweils eine Teilsicherung. Am Donnerstagabend fällt der Server aus.

Differenziell: Die Donnerstag-Sicherung enthält die Änderungen von Montag bis Donnerstag, also 80 GB. Wiederhergestellt werden Vollsicherung (400 GB) und die Donnerstag-Sicherung (80 GB). Über die Woche hast du 20 + 40 + 60 + 80 = 200 GB an Teilsicherungen geschrieben.

Inkrementell: Jede Sicherung ist 20 GB groß, bis Donnerstag also 80 GB insgesamt. Für die Wiederherstellung brauchst du aber fünf Sicherungen: Sonntag, Montag, Dienstag, Mittwoch und Donnerstag.

Ändern sich jeden Tag dieselben Dateien, sieht die Rechnung anders aus. Dann bleibt auch die differenzielle Sicherung bei etwa 20 GB. Lies in der Prüfung deshalb genau, was die Aufgabe über die Änderungen sagt.

Synthetische Vollsicherung

Eine Mischform ist die synthetische Vollsicherung. Der Backup-Server baut aus der letzten Vollsicherung und den inkrementellen Sicherungen selbst eine neue Vollsicherung zusammen. Der Produktivserver wird dabei nicht belastet, weil keine Daten erneut von ihm gelesen werden. Du bekommst die schnelle Wiederherstellung einer Vollsicherung, ohne jede Woche das volle Datenvolumen über das Netz zu schicken.

Das Archivbit

Woher weiß ein Backup-Programm, welche Dateien sich geändert haben? Unter Windows gibt es dafür ein Dateiattribut, das Archivbit. Das Betriebssystem setzt es, sobald eine Datei neu angelegt oder geändert wird. Die Sicherungsarten gehen unterschiedlich damit um:

Hier erklärt sich das Verhalten von selbst: Weil die differenzielle Sicherung das Bit stehen lässt, landet eine am Montag geänderte Datei auch am Dienstag wieder in der Sicherung. Die inkrementelle Sicherung löscht das Bit, also wird dieselbe Datei erst nach der nächsten Änderung wieder gesichert.

Moderne Backup-Software arbeitet meist mit eigenen Änderungsprotokollen, Zeitstempeln oder Snapshots statt mit dem Archivbit. Für die Prüfung ist das Archivbit trotzdem das Modell, an dem die Verfahren erklärt werden. Damit Zeitstempel zuverlässig funktionieren, sollten alle Server ihre Uhrzeit per NTP (Network Time Protocol) von derselben Quelle beziehen. Weicht die Uhr eines Servers ab, laufen Zeitpläne zur falschen Zeit oder Änderungen werden falsch zugeordnet.

Generationenprinzip

Wer jede Nacht auf dasselbe Medium sichert, hat ein Problem: Fällt ein Fehler erst nach drei Tagen auf, ist die fehlerfreie Version längst überschrieben. Das Generationenprinzip (Großvater-Vater-Sohn) löst das, indem Medien in festen Zyklen wiederverwendet werden.

In diesem Beispiel brauchst du 4 + 4 + 12 = 20 Medien und kannst trotzdem bis zu einem Jahr zurückgehen, allerdings mit abnehmender Genauigkeit: Für die letzte Woche hast du jeden Tag, für das letzte Jahr nur den Monatsstand. Wie viele Medien pro Generation nötig sind, hängt davon ab, an welchen Tagen gesichert wird. Prüfungsaufgaben geben das vor, also zähle genau nach.

Die 3-2-1-Regel

Eine einfache Faustregel für jedes Backup-Konzept:

• 3 Kopien der Daten (das Original plus zwei Sicherungen),
• auf 2 unterschiedlichen Medientypen (zum Beispiel NAS und Band oder Cloud),
• davon 1 Kopie außer Haus.

Viele Konzepte ergänzen heute eine Kopie, die offline oder unveränderbar gespeichert ist. Ein Verschlüsselungstrojaner, der mit Administratorrechten im Netz unterwegs ist, verschlüsselt sonst auch das per Freigabe eingebundene Backup-Ziel.

Lagerung der Medien

Ein Band, das im Serverschrank neben dem Server liegt, verbrennt im Ernstfall mit. Sicherungsmedien gehören deshalb in einen anderen Brandabschnitt des Gebäudes oder an einen anderen Standort. Bleiben sie vor Ort, dann in einem Datensicherungsschrank oder Tresor, der

• hitzebeständig ist (Datenträger vertragen deutlich weniger Wärme als Papier),
• vor Rauch schützt,
• vor Wasser und Feuchtigkeit schützt, etwa durch Löschwasser.

Dazu kommt der Zugriffsschutz, denn wer das Band hat, hat die Daten. Sicherungen sollten deshalb verschlüsselt sein. Die Grundlagen dazu findest du im Beitrag zur Verschlüsselung.

Backup oder Archivierung?

Die beiden Begriffe werden im Alltag gern vermischt, haben aber verschiedene Aufgaben.

Ein Archiv sollte vom Backup getrennt sein. Für die Unveränderbarkeit gibt es WORM-Speicher (Write Once, Read Many): Daten lassen sich einmal schreiben und danach nur noch lesen, bis die eingestellte Aufbewahrungszeit abgelaufen ist.

Aufbewahrungsfristen und GoBD

Für Unternehmen schreiben Handelsgesetzbuch und Abgabenordnung vor, wie lange Unterlagen aufbewahrt werden müssen. Die gängigen Fristen:

Bei den Buchungsbelegen lohnt ein zweiter Blick: Bis 2024 galten dafür 10 Jahre, seit 2025 sind es 8. Viele ältere Unterlagen und Bücher nennen noch die alte Zahl. Frag im Zweifel nach, welcher Stand in deiner Prüfung gilt. Die Frist beginnt jeweils mit dem Ende des Kalenderjahres, in dem das Dokument entstanden ist. Eine E-Mail ist übrigens kein eigener Dokumenttyp: Ist sie ein Geschäftsbrief, gilt die Frist für Geschäftsbriefe, hängt eine Rechnung an, die für Buchungsbelege.

Für digital aufbewahrte Unterlagen kommen die GoBD hinzu (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff). Für die Prüfung reicht der Kern: Die Unterlagen müssen vollständig, unveränderbar und während der Frist jederzeit verfügbar sein und sich unverzüglich lesbar machen lassen. Digital entstandene Dokumente bleiben digital, ein Ausdruck reicht nicht.

Platz sparen: Komprimierung und Deduplizierung

Komprimierung

Ein einfaches Beispiel für verlustfreie Komprimierung: Statt „0000000000“ speichert man „10 × 0“. Das spart Platz, und beim Entpacken entsteht wieder genau dieselbe Zeichenfolge. Für ein Backup kommt nur verlustfreie Komprimierung in Frage, denn eine Datenbank mit „fast richtigen“ Werten nützt niemandem. Bereits komprimierte Dateien wie JPEG-Fotos oder Videos lassen sich übrigens kaum weiter verkleinern.

Deduplizierung

Deduplizierung erkennt identische Daten und speichert sie nur einmal. Jede weitere Kopie wird durch einen Verweis auf das bereits gespeicherte Original ersetzt. Liegen auf einem Fileserver 50 Kopien derselben Präsentation in verschiedenen Benutzerordnern, landet sie nur einmal im Backup. Viele Systeme arbeiten dabei nicht mit ganzen Dateien, sondern mit Blöcken. Dann reicht es, wenn sich zwei Dateien nur teilweise gleichen.

Clustergröße

Auch das Dateisystem beeinflusst den Platzbedarf. Eine Datei belegt immer ganze Cluster. Ist der Cluster 64 KiB groß und die Datei nur 2 KiB, sind 62 KiB verschenkt. Große Cluster passen deshalb zu Volumes mit wenigen großen Dateien, etwa Backup-Images oder Videos, weil weniger Verwaltungsaufwand anfällt. Für viele kleine Dateien sind kleine Cluster besser.

Cloud-Backup

Die Sicherung zu einem Cloud-Anbieter erfüllt ganz nebenbei die „1“ der 3-2-1-Regel, denn die Daten liegen außer Haus.

Dazu kommt der Datenschutz: Bei personenbezogenen Daten brauchst du einen Vertrag zur Auftragsverarbeitung mit dem Anbieter und solltest wissen, in welchem Land die Rechenzentren stehen. Verschlüsselst du die Daten schon vor dem Hochladen, kann der Anbieter selbst sie nicht lesen.

Praxis: Archivbit mit PowerShell und Robocopy

Du kannst dir das Archivbit auf jedem Windows-Rechner selbst ansehen. Das folgende Beispiel zeigt alle Dateien in einem Ordner, deren Archivbit gesetzt ist, also alle, die seit der letzten Sicherung neu sind oder geändert wurden. Die Pfade passt du an deine Umgebung an.

# Alle Dateien mit gesetztem Archivbit anzeigen
$quelle = "D:\Daten"

Get-ChildItem -Path $quelle -Recurse -File |
    Where-Object { $_.Attributes -band [System.IO.FileAttributes]::Archive } |
    Select-Object FullName, LastWriteTime, Length

Robocopy, das bei Windows dabei ist, kann die drei Sicherungsarten über Schalter nachbilden:

$quelle = "D:\Daten"
$ziel   = "E:\Sicherung"

# Vollsicherung: alles kopieren, danach das Archivbit bei allen Dateien löschen
robocopy $quelle "$ziel\Voll" /E
attrib -A "$quelle\*" /S

# Differenziell: nur Dateien mit Archivbit kopieren, Bit bleibt stehen (/A)
robocopy $quelle "$ziel\Diff_$(Get-Date -Format yyyy-MM-dd)" /E /A

# Inkrementell: nur Dateien mit Archivbit kopieren und das Bit danach löschen (/M)
robocopy $quelle "$ziel\Inkr_$(Get-Date -Format yyyy-MM-dd)" /E /M

Probier es in einem Testordner aus: Ändere eine Datei, lass die differenzielle Variante zweimal laufen und die Datei taucht in beiden Ordnern auf. Mit der inkrementellen Variante landet sie nur im ersten. Für echte Server nimmst du natürlich eine richtige Backup-Lösung mit Protokollierung, Verschlüsselung und Überwachung. Wenn dir die PowerShell-Syntax noch fremd ist, hilft der Beitrag zu den PowerShell-Grundlagen.

Stolperfallen

• RAID mit Backup verwechseln. RAID schützt vor Hardwareausfall, nicht vor Löschen, Überschreiben oder Verschlüsselung.
• Differenziell und inkrementell vertauschen. Merkhilfe: differenziell bezieht sich immer auf die letzte Vollsicherung, inkrementell auf die letzte Sicherung überhaupt.
• Falsche Anzahl Sicherungen bei der Wiederherstellung. Differenziell sind es immer zwei, inkrementell die Vollsicherung plus alle Teilsicherungen bis zum Ausfall.
• Archivbit falsch zuordnen. Nur die differenzielle Sicherung lässt das Bit stehen.
• Backup nie testen. Eine Sicherung ist erst dann etwas wert, wenn die Wiederherstellung einmal ausprobiert wurde. Dazu gehört auch, die Protokolle der Sicherungsläufe regelmäßig zu lesen, statt sich auf eine grüne Statusanzeige zu verlassen.
• Backup und Archiv gleichsetzen. Ein Backup wird überschrieben, ein Archiv muss für die gesamte Frist unverändert bleiben.
• Verlustbehaftete Komprimierung im Backup. Für Sicherungen ist nur verlustfreie Komprimierung zulässig.

Fazit

Welches Verfahren das richtige ist, hängt von der Frage ab, wie viel Datenverlust und wie viel Ausfallzeit ein Betrieb verkraftet. Üblich ist eine Kombination: wöchentliche Vollsicherung, tägliche differenzielle oder inkrementelle Sicherungen, rotierende Medien nach dem Generationenprinzip und mindestens eine Kopie außer Haus. Für die Prüfung solltest du die Wiederherstellung für jeden Wochentag durchspielen können und wissen, was mit dem Archivbit passiert. Den Rest erledigt ein sauberes Konzept, das jemand regelmäßig testet.