Backup mit rclone, rsync und SFTP in den Cloud-Speicher

Passphrase erzeugen

Entsteht in Ihrem Browser und verlässt dieses Fenster nicht — es geht kein Aufruf an uns hinaus. Übertragen Sie sie in Ihren Passwortspeicher, bevor Sie weiterlesen.

24 Zeichen aus einem Alphabet ohne verwechselbare Buchstaben — rund 117 Bit. Die Bindestriche sind nur zum Lesen da; sie gehören mit in die Passphrase.

Was der Zugang kann — und was nicht

Ihr Speicher ist ein SSH-Zugang: SFTP und rsync funktionieren darüber, ebenso Borg und restic. Was nicht geht, ist eine Anmeldung mit Shell — ssh kunde1@… öffnet keine Kommandozeile, und das ist so gewollt. Deshalb wandert auch der SSH-Schlüssel per SFTP hinüber, nicht per Shell.

Die zweite Grenze ist wichtiger: SFTP und rsync verschlüsseln den Inhalt nicht. Sie verschlüsseln den Weg; was ankommt, liegt bei uns lesbar. Für eine Sicherung, die uns gehört, ist das genau das, was nicht passieren soll. Jedes Werkzeug auf dieser Seite braucht deshalb eine Verschlüsselung vor dem Hochladen — bei rclone ist sie eingebaut, bei rsync und SFTP kommt sie von außen.

Was Sie brauchen

• Server, Benutzername und Passwort Ihres Speichers aus dem Kundenbereich unter Cloud-Speicher — Port 23, Verzeichnis /home/.
• Für Läufe ohne Nachfrage (Cron, Aufgabenplanung) einen SSH-Schlüssel statt des Passworts — er entsteht in Schritt 1. Ein SFTP-Programm zum Hinsehen kommt mit dem Passwort aus.
• Das Werkzeug: rclone (Linux, Windows, macOS — eine einzelne Datei), rsync (Linux, macOS) oder ein SFTP-Programm wie WinSCP, FileZilla oder Cyberduck.
• Die Passphrase aus dem Kasten oben — im Passwortspeicher, bevor es losgeht. Bei rclone ist sie das Passwort des crypt-Ziels, bei den anderen das des Archivs oder Behälters.

Einrichten

1. Schlüssel hinterlegen, damit kein Passwort mehr nötig ist

   # Falls noch kein Schlüssel da ist ssh-keygen -t ed25519 # Auf den Speicher übertragen. Das -s ist nötig: Dort gibt es # keine Shell, der Schlüssel geht über SFTP hinüber. ssh-copy-id -p 23 -s kunde1@kunde1-7.speicher.idodns.de

   Das -s braucht OpenSSH 8.5 oder neuer. Auf älteren Systemen und unter Windows legen Sie den Inhalt von id_ed25519.pub mit einem SFTP-Programm in die Datei .ssh/authorized_keys auf dem Speicher ab. Prüfen: sftp -P 23 kunde1@kunde1-7.speicher.idodns.de — ohne Passwortfrage.

2. Mit einem SFTP-Programm hinsehen

   WinSCP, FileZilla oder Cyberduck: Protokoll SFTP, Server kunde1-7.speicher.idodns.de, Port 23, Benutzername kunde1, Passwort oder Schlüssel. Was Sie unter /home/ sehen, ist Ihr Bereich — dort legen Sie Verzeichnisse an, im Wurzelverzeichnis nicht.

   Zum Hochladen von Hand nur, was schon verschlüsselt ist — ein 7-Zip-Archiv mit AES-256 und Passwort etwa. Ein unverschlüsselter Ordner, den Sie mit der Maus hinüberziehen, liegt bei uns lesbar.

3. rclone: den Speicher als Ziel eintragen

   rclone von rclone.org/downloads — eine einzelne Datei, kein Konto. Dann rclone config, oder gleich in einer Zeile:

   rclone config create speicher sftp \ host kunde1-7.speicher.idodns.de user kunde1 port 23 \ key_file ~/.ssh/id_ed25519 # Prüfen: zeigt Ihr Verzeichnis rclone lsd speicher:/home/

   Ohne Schlüssel geht es mit pass statt key_file; rclone verschleiert das Passwort dann in seiner Konfigurationsdatei — verschlüsselt ist es damit nicht. Der Schlüssel ist der bessere Weg.

4. rclone: die Verschlüsselung davorlegen — hier entscheidet sich alles

   Ein zweites Ziel vom Typ crypt, das in ein Verzeichnis des ersten schreibt. Alles, was durch geheim: geht, kommt verschlüsselt an — Inhalt und Dateinamen:

   rclone config create geheim crypt \ remote speicher:/home/sicherung \ filename_encryption standard directory_name_encryption true

   rclone fragt dabei nach dem Passwort — das ist die Passphrase aus dem Kasten oben — und nach einem zweiten „Salt“; auch den in den Passwortspeicher. Fragt es nicht, tragen Sie beides in rclone config beim Eintrag geheim nach. Ohne beide ist die Sicherung nicht mehr lesbar, und wir können dabei nicht helfen: Bei uns liegt nur Zeichensalat.

5. rclone: die erste Sicherung

   # Spiegeln: was lokal weg ist, ist danach auch drüben weg rclone sync /srv/daten geheim: --progress # Vorsichtiger: nur hinzufügen und aktualisieren, nichts löschen rclone copy /srv/daten geheim: --progress # Nachsehen, was angekommen ist (entschlüsselt gelistet) rclone ls geheim:

   sync hält keine Versionen vor: Eine Datei, die Sie heute versehentlich löschen, ist beim nächsten Lauf auch in der Sicherung weg. Wer alte Stände braucht, nimmt --backup-dir mit einem Datum im Pfad — oder gleich restic, das Versionen von Haus aus führt.

6. rsync: nur mit verschlüsseltem Behälter

   rsync läuft über den SSH-Zugang, aber es verschlüsselt nichts. Der einzige saubere Weg ist ein LUKS-Abbild, das lokal entsteht und als eine Datei hinübergeht — Schritt für Schritt in der NAS-und-rsync-Anleitung. Der Upload selbst:

   rsync --progress -e 'ssh -p 23' /srv/sicherung.img \ kunde1@kunde1-7.speicher.idodns.de:/home/

7. Regelmäßig laufen lassen

   # Linux: crontab -e, täglich um 3:15 Uhr 15 3 * * * /usr/bin/rclone sync /srv/daten geheim: --log-file /var/log/rclone.log

   Unter Windows dieselbe Zeile als Aufgabe in der Aufgabenplanung, „Unabhängig von der Benutzeranmeldung ausführen“ — mit dem Schlüssel aus Schritt 1, weil niemand nachts ein Passwort eintippt.

8. Einmal zurückholen

   rclone copy geheim:vertraege/2026 /tmp/zurueck --progress

   Erst wenn eine Datei entschlüsselt zurückkommt und sich öffnen lässt, wissen Sie, dass Passphrase, Salt und Zugang zusammenpassen.

Wenn es nicht klappt

Wie es weitergeht

Läuft der nächtliche Lauf durch und kommt eine Datei entschlüsselt zurück, ist die Sicherung im Betrieb — der Termin in drei Monaten, an dem Sie das wiederholen, gehört gleich in den Kalender. Sobald Sie Versionen brauchen — den Stand von letzter Woche, nicht nur den von heute Nacht —, sind restic und BorgBackup die besseren Werkzeuge: dieselben Zugangsdaten, derselbe Schlüssel, und beide übertragen nur, was sich geändert hat.

Steht der Rechner, den Sie sichern, beim Kunden, sehen Sie mit dem Fernzugriff nach, ob der Lauf wirklich durch war — per WireGuard, ohne Portfreigabe, auch hinter DS-Lite. Und für das NAS daneben gibt es Hyper Backup und Hybrid Backup Sync mit Verschlüsselung am Gerät.