Backup mit restic in den Cloud-Speicher

Passphrase erzeugen

Entsteht in Ihrem Browser und verlässt dieses Fenster nicht — es geht kein Aufruf an uns hinaus. Übertragen Sie sie in Ihren Passwortspeicher, bevor Sie weiterlesen.

24 Zeichen aus einem Alphabet ohne verwechselbare Buchstaben — rund 117 Bit. Die Bindestriche sind nur zum Lesen da; sie gehören mit in die Passphrase.

Warum restic für gemischte Umgebungen

restic ist immer verschlüsselt — es gibt keinen Schalter, mit dem man es versehentlich abschaltet. Und es läuft unter Linux, Windows und macOS mit denselben Befehlen: Wer mehrere Betriebssysteme betreut, muss sich nur einen Ablauf merken. Der Preis gegenüber Borg: Das Aussortieren doppelter Blöcke passiert bei Ihnen und nicht auf der Gegenseite, das erste Sichern dauert also etwas länger.

Was Sie brauchen

• restic auf dem Rechner, der gesichert wird — Linux, Windows oder macOS; unter Windows genügt die einzelne .exe.
• Server, Benutzername und Passwort Ihres Speichers aus dem Kundenbereich unter Cloud-Speicher. Das Passwort brauchen Sie einmal, um den Schlüssel zu hinterlegen.
• Ein SSH-Schlüsselpaar — keine Kür, sondern Pflicht: restic meldet sich am SFTP-Ziel nur mit einem Schlüssel an. Es entsteht in Schritt 3.
• Die Passphrase aus dem Kasten oben — im Passwortspeicher, bevor es losgeht.

Einrichten

1. restic installieren

   # Debian, Ubuntu apt install restic # macOS brew install restic # Windows (PowerShell, als Administrator) winget install restic.restic

   Unter Windows geht es auch ohne Installationsprogramm: Auf github.com/restic/restic/releases liegt eine einzelne .exe. Herunterladen, in einen Ordner legen, fertig — kein Konto, keine Anmeldung, nichts, was im System zurückbleibt.

2. Den Zugang in die SSH-Konfiguration schreiben

   In der kurzen Schreibweise (sftp:host:/pfad) nimmt restic keinen Port entgegen. Ein Eintrag in ~/.ssh/config (unter Windows: C:\Users\<Name>\.ssh\config) erledigt das ein für alle Mal:

   Host speicherbox HostName kunde1-7.speicher.idodns.de User kunde1 Port 23

   Danach ist speicherbox überall ein gültiger Name — und der Port steht an genau einer Stelle statt in jedem Befehl.

   Es geht auch ohne diese Datei, dann muss der Port in die lange Schreibweise: sftp://kunde1@kunde1-7.speicher.idodns.de:23//home/sicherung. Die zwei Schrägstriche vor home sind kein Tippfehler — sie bedeuten „absoluter Pfad". Mit einem landet restic im Wurzelverzeichnis, und dort dürfen Sie nicht schreiben.

3. Schlüssel hinterlegen — bei restic keine Kür

   restic kann sich am SFTP-Ziel nicht mit einem Passwort anmelden. Das ist Absicht und steht so in seiner Dokumentation: Ein Lauf, der nachts um drei startet, kann kein Passwort eintippen — also gibt es nur den Schlüssel. Wer lieber Benutzername und Passwort eingibt, nimmt Duplicati.

   ssh-keygen -t ed25519 ssh-copy-id -p 23 -s kunde1@kunde1-7.speicher.idodns.de

   Unter Windows gibt es ssh-copy-id nicht; dort den Inhalt von .ssh\id_ed25519.pub mit einem SFTP-Programm in die Datei .ssh/authorized_keys auf dem Speicher ablegen.

4. Repository anlegen

   export RESTIC_REPOSITORY='sftp:speicherbox:/home/sicherung' export RESTIC_PASSWORD_FILE='/root/.restic-passphrase' restic init

   Der Pfad beginnt mit /home/. Im Wurzelverzeichnis dürfen Sie nicht schreiben — ein SSH-Zugang, der in ein Verzeichnis eingesperrt ist, bekommt genau dieses schreibgeschützt. /sicherung scheitert deshalb mit einem nichtssagenden „Failure“.

   Die Passphrase aus dem Kasten oben kommt in /root/.restic-passphrase (Rechte 600) — und in Ihren Passwortspeicher. Unter Windows: eine Datei im Profil, für die nur Ihr Konto Leserechte hat, und $env:RESTIC_PASSWORD_FILE.

5. Die erste Sicherung

   # Linux, macOS restic backup /etc /home /var/www # Windows restic backup C:\Daten C:\Users\Mueller\Dokumente

6. Nachsehen, ob es angekommen ist

   restic snapshots restic stats

Täglich laufen lassen

Unter Linux ein Skript und ein Cron-Eintrag:

Unter Windows legen Sie dieselben Befehle als .ps1 ab und rufen sie über die Aufgabenplanung auf — täglich, mit „Unabhängig von der Benutzeranmeldung ausführen“.

Wiederherstellen

Wenn es nicht klappt

Wie es weitergeht

Läuft restic snapshots jeden Morgen eine Zeile länger, ist die Sicherung im Betrieb. Legen Sie sich jetzt den Termin in drei Monaten an, an dem Sie eine einzelne Datei mit restic restore zurückholen — eine Minute, und der einzige Beweis, dass Passphrase und Schlüssel zusammen funktionieren. Weil restic überall dieselben Befehle hat, ist der zweite Rechner danach eine Sache von Minuten: dieselbe ~/.ssh/config, ein eigener Schlüssel, ein eigenes Repository.

Für einen Linux-Server, der sich täglich kaum ändert, ist BorgBackup die schnellere Wahl; wer unter Windows lieber klickt, nimmt Duplicati. Steht der gesicherte Rechner in einem Kundennetz, bringt Sie der Fernzugriff per WireGuard hin, um die Sicherung im Blick zu behalten — ohne Portfreigabe, auch hinter DS-Lite.