Rechner
Teil von Datenspeicher im Betrieb planen: NAS, SAN und Cloud nach Kriterien auswählen
Datenspeicher absichern mit Checkliste für RAID, Backup und Zugriffsrechte
Checkliste für Datenspeicher absichern: RAID 1, 5, 6 und 10 im Vergleich, Backup-Frequenzen, AES-256, Rechtekonzepte und BSI-Grundschutz für KMU.
Das Wichtigste auf einen Blick
- Ein RAID-Verbund sichert die Verfügbarkeit, nicht die Daten. Gegen Löschen, Erpressungstrojaner und Brand hilft nur eine Kopie auf getrennten Medien.
- RAID 1 und RAID 10 sind schnell und beim Wiederaufbau robust. RAID 5 und RAID 6 sparen Platten, brauchen aber lange Rebuild-Zeiten.
- Verschlüsselung nach AES-256 schützt ruhende Daten auf Platte, Band und NAS, jedoch nicht den laufenden Zugriff über das Netz.
- Backup-Frequenzen gehören schriftlich festgelegt: stündlich für Datenbanken, täglich für Dateifreigaben, monatlich für eine Kopie außer Haus.
- Rechte werden nach Rollen vergeben, Administratorkonten getrennt geführt, Mehrfaktor-Anmeldung ist Pflicht.
RAID-Level im Vergleich
Vier Level decken die meisten Anforderungen in kleinen und mittleren Betrieben ab.
Show the numbers
| RAID 1 | 2 |
|---|---|
| RAID 5 | 3 |
| RAID 6 | 4 |
| RAID 10 | 4 |
RAID 1 spiegelt zwei Platten vollständig. Fällt eine aus, läuft der Betrieb weiter, es fehlen aber 50 Prozent der Rohkapazität. RAID 5 verteilt Daten und eine Prüfsumme über mindestens drei Platten und übersteht einen Ausfall.
RAID 6 arbeitet mit zwei unabhängigen Prüfsummen. Das ist bei Platten ab 8 TB die sicherere Wahl, weil der Wiederaufbau viele Stunden dauert. In dieser Zeit läuft der Verbund ohne Redundanz.
RAID 10 verschachtelt Spiegelung und Striping. Es ist schnell und baut nur ein Spiegelpaar neu auf, kostet aber die Hälfte der Kapazität.
Kein Level schützt vor versehentlichem Löschen, Verschlüsselungstrojanern oder einem Brand im Serverraum.
Beispielkonfigurationen mit 4 bis 12 Festplatten
| Festplatten | Level | Nutzbar bei 8 TB je Platte | Ausfallpuffer |
|---|---|---|---|
| 4 | RAID 6 | 16 TB | 2 Platten |
| 6 | RAID 6 | 32 TB | 2 Platten |
| 8 | RAID 10 | 32 TB | 1 Platte je Spiegelpaar |
| 12 | RAID 6 | 80 TB | 2 Platten |
Rechenbeispiel für einen Verbund mit zwölf Platten
Zwölf Platten mit je 8 TB ergeben 96 TB brutto. Bei RAID 6 bleiben 80 TB nutzbar, also zwölf minus zwei mal acht TB. Bei acht Platten im RAID 10 bleiben 32 TB nutzbar, dafür sinkt die Wiederaufbauzeit auf ein Spiegelpaar.
Solche Verbünde richten NAS-Systeme ein, etwa Geräte von Synology, die in der Produktübersicht von Synology mit Angaben zu RAID-Leveln unterstützte Verbundarten und maximale Plattenzahlen nennen.
Für Blockzugriff über Fibre Channel oder iSCSI kommen SAN-Systeme infrage. Dell führt in seinem Speicherbereich NAS-, SAN- und Netzwerklösungen mit technischen Daten: Speicher- und Netzwerklösungen von Dell im Überblick.
Backups: Frequenz und Aufbewahrung
Backups folgen der 3-2-1-Regel: drei Kopien, zwei Medientypen, eine Kopie außer Haus.
Bewährte Frequenzen: stündlich für Datenbanken und Verzeichnisdienste, täglich für Dateifreigaben, wöchentlich als Vollkopie, monatlich auf ein Medium, das nur offline liegt oder eine Aufbewahrungssperre trägt.
Erpressungstrojaner verschlüsseln innerhalb weniger Stunden auch angeschlossene Sicherungsplatten. Eine Sicherung im selben Netz ist deshalb kein Schutz. Unveränderbare Kopien, im Fachjargon immutable Backups, halten Angriffe aus.
Die Aufbewahrung richtet sich nach den handelsrechtlichen Fristen: sechs Jahre für Handelsbriefe, zehn Jahre für Buchungsbelege.
Verschlüsselung mit AES-256
AES-256 gilt als geeignetes Verfahren für ruhende Daten. Auf Festplattenebene übernehmen das selbstverschlüsselnde Laufwerke, auf Betriebssystemebene LUKS unter Linux und BitLocker unter Windows. NAS-Systeme verschlüsseln einzelne Freigaben oder ganze Volumes.
Entscheidend ist die Schlüsselverwaltung. Liegt der Schlüssel auf demselben Gerät, gehen bei Diebstahl Daten und Schlüssel zusammen verloren. Schlüssel gehören getrennt aufbewahrt, mit klaren Zuständigkeiten und einem Verfahren für den Austausch.
Verschlüsselung im Transport betrifft ein anderes Feld: SMB 3, TLS oder IPsec sichern die Übertragung. Ruhende Daten sind damit nicht geschützt.
Zugriffsrechte nach Rollen vergeben
Rechtekonzepte beginnen mit einem Verzeichnisdienst: Active Directory, FreeIPA oder LDAP. Freigaben erhalten Gruppen, keine Einzelpersonen. Rechte werden nach dem Minimalprinzip vergeben und jährlich überprüft.
Administrative Konten bleiben getrennt und erhalten Mehrfaktor-Anmeldung. Geteilte Kennwörter, Dienstkonten mit Vollzugriff und dauerhaft interaktive Administratorkonten sind typische Schwachstellen. Das BSI liefert dazu Empfehlungen zur Absicherung von Servern, die Speicherdienste, Zugriffswege und Protokollierung abdecken.
Zugriffe auf Freigaben und administrative Aktionen gehören in ein Protokoll, das nicht auf demselben System liegt wie die Daten.
BSI-Grundschutz-Maßnahmen für Speicher
Fünf Schritte zur Prüfung:
- Baustein SYS.1.1 Allgemeiner Server durchgehen und Speicher- sowie Serverdienste bewerten.
- Baustein CON.1 Kryptokonzept: Verfahren, Schlüsselverwaltung und Aufbewahrung festlegen.
- Baustein ORP.4 Identitäts- und Berechtigungsmanagement: Rollen definieren, Rechte regelmäßig überprüfen.
- Baustein OPS.1.1.5 Protokollierung: Zugriffe mitschreiben, Protokolle getrennt speichern.
- Baustein CON.6 Löschen und Vernichten: ausgemusterte Platten sicher löschen oder vernichten.
Die Bausteine stammen aus dem IT-Grundschutz-Kompendium des BSI und lassen sich auf Speichersysteme jeder Größe anwenden.
Häufige Fragen
Reicht RAID 5 für einen Dateiserver?
Bis 4 TB pro Platte ist RAID 5 vertretbar, wenn der Wiederaufbau überwacht wird und ein aktuelles Backup vorliegt. Ab 8 TB steigt das Risiko eines zweiten Ausfalls während des Rebuilds deutlich, dann ist RAID 6 die bessere Wahl.
Wie oft sollte eine Sicherung laufen?
Stündlich für Datenbanken, täglich für Dateifreigaben, wöchentlich als Vollkopie, monatlich auf ein Medium außer Haus. Die Frequenz ergibt sich aus dem maximal tolerierbaren Datenverlust.
Was bedeutet Verschlüsselung nach AES-256 auf einem NAS?
Ein Volume oder eine Freigabe wird mit einem 256 Bit langen Schlüssel verschlüsselt. Ohne Schlüssel sind die Daten nicht lesbar. Der laufende Zugriff über das Netz bleibt unberührt.
Welche Rechte braucht ein Dienstkonto?
Nur die Rechte, die der Dienst tatsächlich nutzt, meist Lesen und Schreiben auf einem Unterverzeichnis. Vollzugriff auf die Wurzel oder Domänen-Administratorrechte sind tabu.
Ab wie vielen Platten lohnt sich RAID 10?
Ab vier Platten überall dort, wo Schreiblast und kurze Wiederaufbauzeit wichtiger sind als Kapazität, etwa für virtuelle Maschinen. Für reine Dateiablage mit vielen Platten ist RAID 6 wirtschaftlicher.