Die letzte Stufe der 3-2-1-Regel: eine Kopie an einem anderen Ort. Wir stellen dafür einen kleinen Thin Client zu Eltern oder Freund:innen. Er bekommt jede Nacht nur die Änderungen – verschlüsselt, über einen VPN-Tunnel, den er selbst aufbaut. Vor Ort braucht er nur Strom und einen LAN-Anschluss. Wo das im Gesamtbild steht: Stufe 4 des empfohlenen Setups.

Du brauchst:

  • einen Proxmox-VE-Server zu Hause
  • einen Router mit OpenWrt und WireGuard und eine DuckDNS-Adresse
  • einen Thin Client – ideal ist dein erster Server, wenn er durch einen größeren abgelöst wurde (wird komplett neu installiert, vorher alles umziehen!) – und eine externe USB-Festplatte (mindestens so groß wie deine Daten)
  • einen Boot-Stick mit dem Proxmox-Backup-Server-ISO von proxmox.com
  • ca. 1–2 Stunden, plus Zeit für die erste Vollsicherung

Warum Proxmox Backup Server?

  • Inkrementell: Nach der ersten Vollsicherung werden nur Änderungen übertragen
  • Dedupliziert: Gleiche Daten werden nur einmal gespeichert – viele Sicherungen brauchen kaum mehr Platz als eine
  • Verschlüsselt: Die Daten werden auf deinem Server verschlüsselt, bevor sie das Haus verlassen – vor Ort liegt nur Datensalat
  • Geprüft: Der Backup-Server kontrolliert regelmäßig, ob die Sicherungen noch lesbar sind

Schritt 1: Installieren – noch zu Hause!

Alles wird zu Hause eingerichtet, damit die erste große Sicherung über dein schnelles Heimnetz läuft statt über die Internetleitung.

  1. Thin Client vom Boot-Stick starten, Install Proxmox Backup Server (Graphical) wählen
  2. Der Installer ist fast identisch mit dem von Proxmox VE: interne SSD als Ziel, Zeitzone, Passwort, feste IP im Heimnetz (z. B. 192.168.50.11/24)
  3. Weboberfläche öffnen: https://192.168.50.11:8007, Anmeldung mit root, Realm Linux PAM
  4. Update-Quellen auf No-Subscription umstellen (Administration → Repositories: Enterprise deaktivieren, No-Subscription hinzufügen) und über Administration → Updates aktualisieren

Schritt 2: Backup-Festplatte als Datenspeicher

  1. USB-Platte anschließen
  2. Administration → Storage / Disks – Platte ggf. mit Wipe Disk leeren (löscht alles darauf)
  3. Directory → Create: Directory
    • Disk: die USB-Platte
    • Filesystem: ext4
    • Name: backup
    • Add as Datastore: angehakt
  4. Create

Schritt 3: Benutzer, der nur sichern darf

Dein Proxmox-Server soll Backups anlegen, aber nicht löschen dürfen. Wird er jemals kompromittiert, kann ein Angreifer die Backups dann nicht mit vernichten.

  1. Configuration → Access Control → User Management → Add
    • User name: pve, Realm: pbs, Passwort vergeben
  2. Datastore → backup → Permissions → Add → User Permission
    • User: pve@pbs, Role: DatastoreBackup

Schritt 4: Aufräumen und Prüfen regelt der Backup-Server

Unter Datastore → backup:

  1. Prune & GC: einen Prune-Job anlegen, z. B. Keep Daily 7, Keep Weekly 4, Keep Monthly 6. Die Garbage Collection wöchentlich laufen lassen – erst sie gibt den Speicherplatz wirklich frei
  2. Verify Jobs: eine wöchentliche Überprüfung anlegen

Schritt 5: Backup-Server in Proxmox VE eintragen

  1. Im Backup-Server auf dem Dashboard → Show Fingerprint → Wert kopieren
  2. In Proxmox VE: Datacenter → Storage → Add → Proxmox Backup Server
    • ID: offsite
    • Server: 192.168.50.11 (zunächst die Adresse im Heimnetz)
    • Username: pve@pbs, Password: wie vergeben
    • Datastore: backup
    • Fingerprint: einfügen
  3. Tab Encryption: Auto-generate a client encryption key → Add

Den Schlüssel sofort sichern! Proxmox bietet ihn direkt zum Download und als druckbaren QR-Code an. Ohne diesen Schlüssel sind die Backups wertlos – und er liegt sonst nur auf dem Server, den du im Ernstfall wiederherstellen willst. Bewahre ihn an zwei Orten auf: z. B. in Vaultwarden und ausgedruckt zu Hause.

Schritt 6: Backup-Job und erste Vollsicherung

  1. Datacenter → Backup → Add
    • Storage: offsite
    • Schedule: z. B. 03:00 – nach dem lokalen USB-Backup
    • Selection mode: All
    • Mode: Snapshot
  2. Tab Retention leer lassen – das regelt der Prune-Job auf dem Backup-Server
  3. Create, dann den Job auswählen und Run now

Die erste Vollsicherung läuft jetzt über dein Heimnetz. Je nach Datenmenge dauert das Minuten bis Stunden – über eine normale Internet-Upload-Leitung wären es bei großen Fotosammlungen eher Tage.

Schritt 7: VPN-Tunnel vorbereiten

Der Backup-Server baut später von sich aus eine Verbindung zu dir nach Hause auf. Deshalb funktioniert es auch, wenn der Anschluss vor Ort keine öffentliche IP hat – und dort muss niemand etwas einstellen.

Auf dem Flint 2 einen neuen Peer anlegen, wie im VPN-Guide:

  • Description: backupserver
  • Generate new key pair
  • Allowed IPs: 10.10.10.10/32

Über Generate configuration… die Konfiguration anzeigen:

  • Endpoint: deine DuckDNS-Adresse
  • Allowed IPs: 10.10.10.0/24, 192.168.50.0/24

Auf dem Backup-Server über Administration → Shell:

apt install -y wireguard
nano /etc/wireguard/wg0.conf

Die angezeigte Konfiguration einfügen und im Abschnitt [Peer] ergänzen, damit der Tunnel dauerhaft offen bleibt:

PersistentKeepalive = 25

Speichern, dann starten und beim Systemstart aktivieren:

systemctl enable --now wg-quick@wg0
wg show

Zu Hause funktioniert der Tunnel meist noch nicht (der Server sitzt ja im selben Netz) – getestet wird nach dem Umzug.

Schritt 8: Umzug

  1. Im BIOS des Thin Clients "Power on after AC loss" (o. ä.) aktivieren – nach einem Stromausfall startet er dann von selbst
  2. Einen Zettel aufs Gerät kleben: was es ist, dass es an bleiben soll, deine Telefonnummer
  3. Vor Ort: Strom, USB-Platte und LAN-Kabel zum Router anschließen, einschalten – fertig
  4. Von zu Hause prüfen, ob der Backup-Server erreichbar ist: https://10.10.10.10:8007
  5. In Proxmox VE den Storage offsite bearbeiten und als Server 10.10.10.10 eintragen (der Fingerprint bleibt gleich)
  6. Am nächsten Morgen prüfen, ob der nächtliche Job erfolgreich war

Schritt 9: Benachrichtigungen

  • Proxmox VE: beim Backup-Job Notification auf On failure stellen, E-Mail-Versand unter Datacenter → Notifications testen
  • Backup-Server: unter Configuration → Notifications ebenfalls ein E-Mail-Ziel einrichten – er meldet fehlgeschlagene Prüfungen und Garbage Collection
  • Einmal im Monat kurz ins Dashboard des Backup-Servers schauen, ob die letzten Sicherungen da sind

Notfallplan

Fall Was tun
Einzelne VM kaputt Schneller aus dem lokalen USB-Backup wiederherstellen
Server komplett weg (Defekt, Diebstahl, Feuer) Neue Hardware, Proxmox VE installieren, Storage offsite mit gesichertem Schlüssel hinzufügen, alle VMs aus dem Backup-Server wiederherstellen
Ransomware auf dem Server Server neu aufsetzen, aus dem Backup-Server wiederherstellen – der Server durfte die Backups dort nicht löschen
Backup-Server vor Ort defekt Dein Server läuft weiter, nur die dritte Kopie fehlt. Neuen Thin Client einrichten, diesmal reicht die Leitung – oder wieder erst zu Hause voll sichern
Internet bei Eltern weg Backups schlagen fehl (Benachrichtigung!), laufen danach automatisch weiter

Wiederherstellung üben: In Proxmox VE unter offsite eine Sicherung auswählen, Restore mit einer neuen, freien VM-ID – wie in der Backup-Anleitung beschrieben. Erst wenn das einmal geklappt hat, ist das Offsite-Backup wirklich fertig.