Backup mit Kopia in den Cloud-Speicher

Passphrase erzeugen

Entsteht in Ihrem Browser und verlässt dieses Fenster nicht — es geht kein Aufruf an uns hinaus. Übertragen Sie sie in Ihren Passwortspeicher, bevor Sie weiterlesen.

24 Zeichen aus einem Alphabet ohne verwechselbare Buchstaben — rund 117 Bit. Die Bindestriche sind nur zum Lesen da; sie gehören mit in die Passphrase.

Kopia — Oberfläche, kein Konto

Kopia hat eine richtige Windows-Anwendung, verschlüsselt immer (es gibt keinen Schalter, mit dem man es versehentlich abstellt) und verlangt keine Anmeldung — weder bei uns noch beim Hersteller. Herunterladen, installieren, loslegen.

Es dedupliziert außerdem: Was sich zwischen zwei Sicherungen nicht geändert hat, geht nicht noch einmal über die Leitung. Bei einem Laptop mit langsamem Upload ist das der Unterschied zwischen „läuft nachts durch“ und „läuft immer noch“.

Was Sie brauchen

• Windows und Administratorrechte für die Installation von KopiaUI.
• Server, Benutzername und Passwort Ihres Speichers aus dem Kundenbereich unter Cloud-Speicher — Kopia meldet sich damit an, ein Schlüsselpaar ist nicht nötig.
• Die Serverkennung aus dem Kundenbereich (Zugangsdaten → Serverkennung), alle Zeilen — Kopia fragt danach als „Known Hosts“.
• Die Passphrase aus dem Kasten oben — im Passwortspeicher, bevor es losgeht. Sie ist nicht das Zugangspasswort.

Einrichten

1. KopiaUI herunterladen und installieren

   Von kopia.io/docs/installation die Datei für Windows (KopiaUI). Kein Konto, keine Seriennummer, keine E-Mail-Adresse.

2. Die Serverkennung aus dem Kundenbereich kopieren

   Kopia will wissen, mit welchem Server es spricht — sonst könnte sich jemand dazwischenschieben. Die Kennung steht bei Ihrem Speicher unter Zugangsdaten → Serverkennung: aufklappen, markieren, kopieren. Kein Befehl nötig.

   In vielen Anleitungen im Netz steht dafür ssh-keyscan. Unter Windows funktioniert das nicht: Der mitgelieferte SSH-Client bricht mit choose_kex: unsupported KEX method ab und gibt nur Zeilen aus, die mit # beginnen — die sehen aus wie ein Ergebnis, sind aber keines. Sparen Sie sich das; nehmen Sie die Zeile aus dem Kundenbereich.

3. Repository anlegen: SFTP

   In KopiaUI Create Repository → SFTP Server und eintragen:

   Host: kunde1-7.speicher.idodns.de Port: 23 Username: kunde1 Path: /home/kopia Password: das Zugangspasswort Ihres Speichers Known Hosts: die Serverkennung aus Schritt 2 einfügen

   Port 23, nicht 22 — das Feld steht auf 22, wenn Sie nichts tun, und ist die häufigste Ursache für „connection refused“.

   Der Pfad muss mit /home/ beginnen. Im Wurzelverzeichnis / dürfen Sie nicht schreiben — das ist keine Schikane, sondern Bedingung: Ein SSH-Zugang, der in ein Verzeichnis eingesperrt ist, bekommt genau dieses Verzeichnis schreibgeschützt, sonst verweigert der Dienst die Anmeldung ganz. Geschrieben wird darunter. /kopia scheitert deshalb mit einem nichtssagenden „Failure“.

4. Die Passphrase — das ist die wichtige Stelle

   Im nächsten Schritt fragt Kopia nach einem Repository Password. Das ist nicht das Zugangspasswort von eben, sondern die Passphrase aus dem Kasten oben: Sie macht die Daten unlesbar, bevor sie zu uns gehen.

   Zwei verschiedene Dinge, und der Unterschied entscheidet alles: Das Zugangspasswort öffnet die Tür — das kennen wir auch. Die Passphrase macht den Inhalt lesbar — die kennen nur Sie, und ohne sie ist die Sicherung verloren.

5. Es gibt nichts zum Hochladen — hier hört die Ähnlichkeit mit einem Dateimanager auf

   Nach dem Anlegen des Repositorys sucht man unwillkürlich das Fenster, in das man Dateien zieht. Es gibt keins, und das ist richtig so: Sie sagen Kopia, welchen Ordner auf Ihrem Rechner es sichern soll — den Rest erledigt es allein, verschlüsselt und immer wieder.

   Wer den Speicher mit WinSCP ansieht, findet dort keine Dateien und keine Ordnernamen, sondern Verzeichnisse wie p6a, q2f, s0b und daneben kopia.repository.f. So sieht ein funktionierendes Repository aus — es ist kein Fehler, sondern der Beweis: Die p…-Verzeichnisse enthalten Ihre Daten, verschlüsselt und in Blöcke zerlegt. Selbst ein Dateiname wie „Lohnabrechnung 2026.pdf“ wäre ja schon eine Auskunft. Zurück kommen Sie ausschließlich über Kopia — mit Ihrer Passphrase.

6. Auswählen, was gesichert wird

   Oben auf Snapshots, dann New Snapshot, und den Ordner wählen — das ist die Stelle, an der die Sicherung entsteht. Sinnvoll sind C:\Users\<Name> und die Verzeichnisse Ihrer Fachanwendungen — nicht das ganze Laufwerk: Windows ist in einer Stunde neu installiert, Ihre Daten nicht.

   Datenbanken vorher als Datei exportieren. Eine laufende .mdf oder .fdb ist mitten im Schreiben und danach unbrauchbar.

7. Zeitplan und Aufbewahrung

   Beim Snapshot auf Policy → Snapshot Frequency (etwa alle 12 Stunden) und Retention. Ohne Begrenzung wächst die Sicherung, bis der Speicher voll ist.

8. Einmal zurückholen

   Snapshots → einen Eintrag anklicken → Restore, Ziel „an einen anderen Ort“. Oder Mount as drive und wie in einem Laufwerk darin blättern. Erst wenn das einmal geklappt hat, wissen Sie, dass die Passphrase stimmt.

Andere Wege

Duplicati ist der kürzere Weg: Assistent im Browser, Anmeldung mit Benutzername und Passwort, kein Schlüssel und keine Serverkennung zum Einfügen.

restic ist eine einzelne .exe — kein Installationsprogramm, kein Konto. Es läuft über die Aufgabenplanung und ist auf einem Server leichter zu prüfen als ein Dienst mit eigener Oberfläche: Es gibt ein Skript, das man lesen kann, und einen Rückgabewert. Dafür verlangt es zwingend einen SSH-Schlüssel.

Wenn es nicht klappt

Wie es weitergeht

Nach den ersten Snapshots zeigt Kopia unter „Snapshots“ je Lauf eine Zeile, und der Kundenbereich die Belegung — die p…-Verzeichnisse dort sind Ihre Daten. Der Termin für den Kalender: in drei Monaten einen Snapshot per Mount as drive einhängen und eine Datei öffnen. Die zweite Maschine ist danach schnell erledigt — dieselbe Serverkennung, ein eigener Pfad unter /home/, eine eigene Passphrase.

Wer es noch einfacher will, nimmt Duplicati; für Server, deren Sicherung als Skript lesbar sein soll, restic. Und wenn der Rechner beim Kunden steht, bringt Sie der Fernzugriff per WireGuard hin, um nachzusehen — ohne Portfreigabe, auch hinter DS-Lite.