Überallbackup

von Martin Loschwitz

Bacula Enterprise v16 bietet sich dem Administrator als Universalwerkzeug in Sachen Backup und Datensicherung an. Neben den klassischen Backupmethoden beansprucht die Software zudem die Position des Klassenprimus in Hinblick auf Cloudumgebungen für sich. Das Produkt hält fast immer, was der Hersteller verspricht, auch wenn beim Cloudbackup ein Quäntchen Komfort fehlt.

Über den Sinn und Unsinn von Backups muss man in der Regel zum Glück nicht mehr streiten. Zu groß ist die Gefahr, die von einem katastrophalen Fehler in der eigenen Umgebung ausgeht und etwa die produktive Geschäftsanwendung samt ihrer Datenbank in den Abgrund reißt. Wer dann keine Sicherung vorweisen kann, hat ein großes Problem – und wird den Vorfall wirtschaftlich mit einiger Wahrscheinlichkeit nicht überleben. Getreu dem Motto "Nobody wants backups, everybody wants restore" ist es besonders wichtig, ein vorhandenes Backup möglichst schnell einzuspielen und so den produktiven Betrieb fortzusetzen oder wiederaufzunehmen. Nicht zuletzt verschärft sich der Bedarf an Sicherungen durch die aktuellen Compliance- und Datenschutzregelwerke der Industrie. Wer etwa Daten unkontrolliert einfach verliert, muss dies im Rahmen der DSGVO regelmäßig den Behörden melden und obendrein mit empfindlichen Strafen rechnen.

Backupwerkzeuge existieren deshalb am Markt mittlerweile in vielfältiger Form und Art und Weise, beispielsweise Shells für UNIX-artige Betriebssysteme oder grafische Desktops für Linux. Fast alle Probanden versprechen viel: Nach der anfänglichen Einrichtung müsse der Admin sich nur noch im Bedarfsfall um das Thema Backups kümmern. Der Rest passiere komplett automatisch im Hintergrund. Ebenso zum guten Ton gehört quer über alle Produkte hinweg heute das Versprechen, eben nicht mehr nur mit lokalen VMs und (lokalen) Diensten zurechtzukommen. Längst hat sich ein gehöriger Teil der Anwendungslandschaft in SaaS-Angebote wie Microsoft 365 verschoben, und PaaS-Angebote tragen ebenso ihr Scherflein bei. Umfassende Sicherungsstrategien auf der Ebene eines Unternehmens müssen auch diese Angebote einbeziehen. Hier trennt sich in vielen Fällen bereits die Spreu vom Weizen.

Bacula als Universallösung

Bacula von Bacula Systems steht grundsätzlich unter einer freien Lizenz und gehört zu den Urgesteinen der Open-Source-Community. Aus Bacula ging später Bareos hervor, ein ebenfalls weit verbreitetes und beliebtes Werkzeug in der F/LOSS-Welt. Das ist auch deshalb spannend, weil Bareos und Bacula heute ein durchaus vergleichbares Set an Features bieten – die Unterschiede liegen eher im Detail. Den Thron der Sicherungstools auf Basis freier Software beansprucht nichtsdestoweniger Bacula für sich. Wobei die Aussage so zumindest unvollständig ist – denn Bacula Enterprise unterscheidet sich von der Community-Edition erheblich. Der Hersteller druckst bei der Bezeichnung etwas herum und bezeichnet Bacula Enterprise dabei als "Free Core". Das weist daraufhin, dass bei der Enterprise- wie bei der Community-Edition unter der Haube in weiten Teilen dieselbe Software zum Einsatz kommt. Die Enterprise-Edition allerdings ist um zahllose zusätzliche Funktionen angereichert, deren Quelltext der Endanwender grundsätzlich nicht zu Gesicht bekommt. Open-Source-Verfechter rümpfen dabei zumindest die Nase. Der Anbieter hingegen verweist auf das eigene Geschäftsmodell und stellt klar, dass der riesige Funktionsumfang von Bacula Enterprise ohne den proprietären Teil nicht nachhaltig realisierbar wäre.

Grund genug, die aktuelle Version Bacula Backup Enterprise 16 in fünf Kategorien auf den Prüfstand zu stellen. Zunächst muss Bacula bei der Pflicht zeigen, dass es die Grundfunktionen einer Sicherungssoftware beherrscht. Klar: Sollte das Werkzeug hier bereits versagen, wären die vom Hersteller mannigfaltig angepriesenen Features in Sachen Cloud und Verschlüsselung letztlich egal. Um eben diese Zusatzfeatures geht es dann nämlich bei den anderen Kategorien des Tests. Bacula behauptet, für die Sicherung von virtuellen Instanzen in der Cloud ebenso geeignet zu sein wie für das Sichern virtueller Cloudspeicher, etwa Amazon S3. Auch für SaaS-Aufgaben wähnt die Lösung sich bestens gewappnet. Wer also Daten in Google Workplace oder Microsoft 365 liegen hat, soll laut Hersteller dank Bacula ruhiger schlafen können. Schließlich wirbt der Anbieter neuerdings mit ausgefeilten Sicherheitsfunktionen, etwa der Fähigkeit, verschlüsselte Backups anzulegen und selbst lokale Daten beim Sichern zu verschlüsseln. Der Testparcour ist mithin definiert – los geht's.

Deduplikation ab Werk

Holt ein Administrator sich ein komplettes Werkzeug wie Bacula ins Haus, erwartet er selbstverständlich, dass verschiedene Funktionen Teil des Gesamtpakets sind und reibungslos arbeiten. Um das zu garantieren, haben die Bacula-Entwickler sich ein komplexes Konstrukt ausgedacht, das aus etlichen Komponenten besteht. Der zentrale Dreh- und Angelpunkt ist dabei der Bacula Director (Bild 1), in dem alle Backupaufgaben sowie alle Speicherziele verzeichnet sind und der im Hintergrund auf eine SQL-Datenbank (MySQL oder PostgreSQL) setzt, um seine eigenen Metadaten zu verwalten. Der Director selbst spielt im eigentlichen Backuppfad allerdings keine Rolle; ihm kommt stattdessen eine rein koordinierende Funktion zu.

Dringend auf diese Koordination angewiesen ist zum Beispiel der Storage-Daemon, ebenfalls eine Bacula-Komponente. Dieser kümmert sich im Wesentlichen um das Einsammeln von Daten von den Zielanwendungen und das Sichern der Informationen auf den angebundenen Speichern im Hintergrund. Ihm zur Seite steht ein Dienst namens "Global Endpoint Deduplication". Der soll einerseits Speicherplatz auf den genutzten Backupmedien sparen und andererseits Bandbreite beim Übertragen von Daten. Dazu legt sich der Dienst quasi über sämtliche im Hintergrund konfigurierten Storage-Backends und überwacht deren Inhalte. "Global" steckt im Namen, weil ein Bacula-Settup nicht auf einen Standort begrenzt sein muss, sondern auch verschiedene RZs oder Clouddienst abdecken kann.

Beim Sichern von Daten schlägt dann die Stunde des Deduplication-Dienstes: Statt dieselben generischen Daten – etwa Systemdateien von Linux-Distributionen – zum x-ten Mal auf dem Backupspeicher abzulegen, erkennt der Dienst, dass die Daten auf einem Medium bereits vorhanden sind, und referenziert in der neu angelegten Sicherung auf diese. Wer also 20 Ubuntu-22.04-Systeme auf diese Weise sichert, hat am Ende ein vollständiges Backup einer Instanz und 19 "virtuelle" Backups, die ebenfalls wie volle Backups aussehen, auf den Medien im Hintergrund aber viel weniger Platz beanspruchen. Das ist ausgesprochen praktisch.

Für die Steuerung des Directors stehen dem Administrator in Bacula mehrere Wege offen. Neben einer grafischen Konsole und einer CLI-basierten Verwaltung spielt die Bacula Web Management Suite die zentrale Rolle (Bild 2). Sie ist eine HTTP-basierte GUI, die über definierte APIs im Hintergrund direkt mit dem Director kommuniziert und so die dortige Konfiguration bearbeitet.

Breite Auswahl an Quellen und Zielen

Das letzte Element im Bacula-Schema sind die sogenannten Clients und Plugins. Ein Client ist dabei ein speziell für eine Backupquelle geschriebenes Werkzeug, das die Eigenheiten dieser Quelle kennt und deshalb maßgeschneiderte Sicherungen anlegen kann. Clients stehen etwa für alle gängigen Linux-Distributionen ebenso wie für verschiedene BSD-Varianten oder macOS zur Verfügung. Dort laufen sie als eigenständiger Dienst ("file daemon"). Je nach Sicherungsziel funktioniert dieser Ansatz aber nicht oder ergibt keinen Sinn, etwa für das Backup von MySQL-Datenbanken. Hier kommen die Plug-ins ins Spiel, die in einer eigenen Instanz eines Clients auf der Bareos-Seite laufen und anwendungsspezifische Backups anlegen.

Auf diesem Weg lassen sich Sicherungen etwa nicht nur aus laufenden VMs heraus konfigurieren, sondern auch auf der Ebene von VMware vCenter oder KVM. Sämtliche Backupfunktionen für einzelne Programme wie Active Directory, Kubernetes oder SAP sind auf diese Weise implementiert. Und hier lässt Bacula es durchaus krachen: Über 25 Anwendungen listet der Anbieter auf, von denen Bacula native Backups anfertigen kann, darunter alle gängigen Datenbanken, aber auch weit verbreitete Dienste wie Microsoft Exchange, MySQL oder PostgreSQL und Oracle. Über Bacula-Unterstützung ab Werk freut sich zudem die Container- Fraktion, denn Docker steht ebenfalls auf der Liste. Wer lieber voll- oder paravirtualisiert, greift zur Bacula-Integration für Xen oder Proxmox. Kurzum: Bei der Unterstützung basaler Backupziele leistet Bacula sich keinen Lapsus.

Einfache Backups von Zielanwendungen sind im Jahr 2023 allerdings längst nicht mehr genug. So weist Bacula gebetsmühlenartig darauf hin, dass sich Daten nicht nur sichern, sondern dabei auch intelligent behandeln lassen. Das Beispiel der globalen Deduplikation kam ja bereits zur Sprache, doch bietet Bacula weiterhin etwa umfassende Snapshot-Fähigkeiten für virtuelle Instanzen inklusive eines ausgefeilten Sicherungsmanagements. Ein Snapshot einer virtuellen Instanz lässt sich aus Bacula heraus etwa mit wenigen Mausklicks auf der Zielplattform wiederherstellen. Der limitierende Faktor ist dabei vor allem die Netzwerkverbindung zwischen Speicherort und Zielsystem. Hinzu kommt ein umfassendes Management für Snapshots.

Ausgefeilt sind die Backupfunktionen bis auf die Ebene einzelner Anwendungen hinunter. Wer beispielsweise eine Sicherung für MySQL einspielen will, muss nicht zwangsläufig die gesamte Datenbank wiederherstellen. Stattdessen sind auch einzelne Tabellen oder einzelne Einträge spezifisch wiederbelebbar. Wer Bacula für sein Exchange-Setup nutzt, stellt auf Zuruf eines Anwenders den Zustand einzelner Mailboxen aus der Sicherung ebenfalls mit nur wenigen Mausklicks wieder her.

In Summe bietet Bacula bei den Grundfunktionen und den unterstützten Anwendungen ein absolut solides Fundament für nahezu alle alltäglichen Aufgaben der gegenwärtigen IT. Dienste wie der globale Dienst zur Deduplikation erleichtern dem Administrator zudem das Leben, kommen so oder so ähnlich aber auch bei anderen Anbietern vor. Das Grundpaket ist solide und technisch auf der Höhe der Zeit sowie der Höhe der Konkurrenz.

Cloudinstanzen solide abgedeckt

Bekanntlich sind die Zeiten längst vorbei, in denen das Gros der Administratoren beim Thema Backup auf die eigenen vier Wände, also das eigene Rechenzentrum, beschränkt waren. Immer häufiger sind Workloads der Gegenwart hybrid oder liegen gleich ganz in der Cloud. Das entbindet den Admin aber nicht von der Notwendigkeit, Sicherngen anzulegen und verwertbar bereitzuhalten. Schließlich ist die Gefahr des "fat fingering" – also des versehentlichen Löschens von Daten durch den Admin – in der Cloud nicht kleiner als in einer lokalen Installation. Auch katastrophale Ausfälle in der Cloud sind potenziell ein Problem. Geht bei Azure, AWS & Co. etwas schief, muss der Administrator selbst Hand anlegen. Das gilt umso mehr, da die großen Anbieter in ihren SLAs technischen Support sowie irgendeine Form der Verantwortung für Datenverlust weitgehend ausschließen.

Bacula hinterlässt an dieser Stelle einen insgesamt gemischten Eindruck. Die beste Unterstützung für virtuelle Instanzen in der Cloud realisiert der Anbieter über sein Azure-VM-Modul. Es geht also um die öffentliche Microsoft-Cloud, und für die bietet Bacula Enterprise ein Plug-in, das über die Azure-APIs relevante Daten ausliest und mittels Azure-Bordfunktionalität die eigentlichen Daten der VMs sichert. Ein vergleichbares Plug-in steht für Nutanix zur Verfügung. Schon weniger rosig sieht es aus, wenn der Platzhirsch AWS zur Sprache kommt. Beim Lesen der Bacula-Doku macht sich fast der Eindruck breit, der Anbieter habe das Feld hier AWS und dessen Backupfunktionen komplett überlassen. Ein EC2-Plugin für AWS sucht man in Bacula jedenfalls vergebens. Ähnliches gilt für GCP, also Googles Plattform. Und auch für private Cloudumgebungen, etwa OpenStack, findet sich in Bacula keine native Integration.

In den meisten Fällen dürfte das zwar kein KO-Kriterium sein. Denn völlig zurecht verweist Bacula darauf, dass auch eine Ubuntu- oder Red-Hat-Instanz in der Cloud ja durch die ohnehin vorhandenen Clients für eben diese Distributionen nahtlos abgedeckt wird. Sichern lassen sich die Inhalte in der Cloud also jedenfalls. Hier macht sich allerdings eine gewisse Komforteinschränkung bemerkbar. Denn das Sichern ganzer virtueller Instanzen kann – wie Bacula für Azure ja selbst unter Beweis stellt – durchaus praktische Vorteile haben, insbesondere beim schnellen Recovery. Für VMware, KVM, Xen & Co. bietet Bacula eben diese Features ja spezifisch an, aber eben nur lokal. Wer seine Workloads in AWS, GCP oder OpenStack mit Bacula sichern möchte, muss dort aber eben auf die Bordmittel auf Systemebene zurückgreifen und bekommt keine übergreifende Lösung vom Hersteller geliefert. Andere kommerzielle Backupprodukte wie das von Veeam sind hier schon einen Schritt weiter.

Dezentral nach S3 sichern

Wieder auf der Höhe der Zeit hingegen präsentiert Bacula sich, wenn es um die Nutzung von Speicher in der Cloud als Backupziel geht. Das AWS-Modul für Bacula bietet hier mannigfaltige Optionen. Zunächst ist es natürlich problemlos möglich, Daten aus AWS herunterzuladen und lokal zu sichern. Die Gegenrichtung funktioniert ebenfalls: S3 lässt sich also als Speicherziel für Bacula nutzen, und insbesondere aus diesem Konstrukt ergeben sich im Alltag viele praktische Vorteile.

Insbesondere Administratoren, denen nicht mehrere physische Standorte zur Verfügung stehen, sind beispielsweise mit dem Problem konfrontiert, wie sie ihre Daten gegen katastrophale Ereignisse wie Hochwasser oder Brände sichern. Das schönste Backup ist schließlich nichts wert, wenn es zusammen mit dem gesamten Setup den Gang in die ewigen Jagdgründe antritt und verbrennt. Dienste wie S3 haben sich hier vor Jahren schon als Alternative etabliert. Denn dass das lokale RZ zusammen mit dem gesamten S3-Dienst von Amazon abbrennt, ist ausgesprochen unwahrscheinlich. Ist eine gute Kopie der eigenen Daten in S3 verfügbar, lässt diese sich zudem an praktisch jedem beliebigen Ort auf der Welt wiederherstellen. Das Nadelöhr ist dann nur die Netzwerkverbindung zwischen der Vor-Ort-Umgebung und S3 selbst.

Entsprechend speichert Bacula Daten munter in S3-Buckets ab, und zwar in einem Format, das das Tool im Anschluss für eine unmittelbare Wiederherstellung verwenden kann. Dazu genügt es, Bacula einen Satz S3-Zugangsdaten zu spendieren und S3 als Speicherziel zu konfigurieren (Bild 3). Mittels Director lassen sich anschließend beliebige Daten auch in S3 ablegen. Wer Panik wegen DSGVO und Compliance-Vorschriften bekommt, sei beruhigt: Bacula bietet über seine PKIFunktion Verschlüsselung. Die in S3 lagernden Daten lassen sich dann nur mit den Schlüsseln wiederherstellen, mit denen sie ursprünglich verschlüsselt waren. Den Administrator zwingt das freilich dazu, den Schlüssel als eigenen zu sichernden Faktor zu betrachten und mit diesem ganz besonders sorgfältig umzugehen. Das ist aber nicht Bacula-spezifisch, sondern Teil der regulären Systemadministration.

SaaS-Dienste gut integriert

Software-as-a-Service-Angebote haben in den vergangenen Jahren viel Zulauf erhalten. Klar: Wer zentrale Dienste wie Mailserver oder Office-Umgebungen an einen externen Anbieter auslagern kann, wird sich zweimal überlegen, ob er sich eben diese Mühe lokal noch antun möchte. Gerade die Pflege eines Mailservers etwa ist kein Zuckerschlecken, wie jeder Admin weiß, der mit dieser Aufgabe schonmal betraut war. Für den Betrieb zentraler Anwendungen wie einer Groupware-Lösung gelten ganz ähnliche Vorzeichen.

Allen Compliance- und Datenschutzbedenken zum Trotz erfreuen sich Microsoft 365, Google Workplace & Co. weiterhin großer Beliebtheit. Weit weniger beliebt ist die Frage, wie sich etwaige Dienste in die lokale Sicherungsstrategie integrieren lassen. Manche Unternehmen tun hier schlicht gar nichts, was im schlimmsten Fall zur Katastrophe führen kann: Fallen etwa die Zugangsdaten zur Microsoft-365-Instanz eines Unternehmens einem Angreifer in die Hand, müssen die hinterlegen Dokumente nicht nur als abgefischt gelten, sondern auch als kompromittiert. Dasselbe gilt für andere Umgebungen wie Google Workplace.

Kommen solche Dienste im Unternehmen zum Einsatz, müssen sie integraler Bestandteil der eigenen Backupstrategie sein. Und Bacula liefert sowohl für Microsoft 365 als auch für Google Workplace. So bietet Bacula native Unterstützung für die APIs beider Dienste und kann diesen gegenüber dadurch wie ein Client auftreten. Auf Wunsch sichert das Werkzeug den gesamten Datenbestand einer Microsoft-365-Umgebung vollständig und inkrementell. Einzelne Mailboxen lassen sich ebenso komplett oder inkrementell wiederherstellen wie einzelne Dateien oder Inhalte etwa von Microsoft OneDrive. Das für Googles Workplace-Umgebung verfügbare Feature-Setup ist mit dem von Azure gut vergleichbar und ähnlich leistungsstark.

Thema Sicherheit mitgedacht

Last but not least darf auch im Backupkontext das Thema Sicherheit nicht fehlen. Eine Sicherungssoftware sieht ja quasi den gesamten Datenverkehr eines Unternehmens direkt oder indirekt, und sie ist mithin ein ausgezeichneter Ansatzpunkt, um Sicherheitsprobleme zu erkennen und auf diese hinzuweisen. Bacula hat die entsprechende Features der Version 16 in verschiedenen Arten aufgemöbelt. Die Software profitiert davon nicht nur unter der Haube. So kann Bacula Backupziele nun auch verschlüsseln, wenn diese in der Cloud liegen.

Hinzu gesellt sich eine umfangreiche Integration in SIEM-Systeme vor Ort. SIEM steht für "Security Information and Event Management" und bezeichnet ein Konzept, bei dem Unternehmen auf Sicherheitsprobleme schon dadurch aufmerksam werden, indem sie die lokalen Prozesse sorgfältig überwachen und dokumentieren. Bacula bietet mehrere Schnittstellen, um Daten für SIEM-Lösungen abzugreifen und zu verarbeiten, etwa per SNMP (Bild 4). Parallel dazu überwacht das Werkzeug die Daten, die es verarbeitet, selbst. Für Windows-Systeme liefert das Produkt etwa einen integrierten Malware- und Virusschutz, der – natürlich wieder in einem SIEMkompatiblen Format – Warnungen ausgibt, wenn er verdächtige Inhalte im Backupmaterial findet.

Fazit

Bacula Enterprise 16 präsentiert sich als stabile Rundumlösung fürs Backup im Unternehmen. Die Software bietet einen soliden Grundstock an Funktionalität für die allermeisten Arten von Anwendungen und Diensten, die im Rechenzentrum der Gegenwart zu finden sind. Dabei integriert es Cloudanwendungen und moderne Container-Dienste ebenso geschickt wie SaaS-Angebote und Komponenten zum Schutz und zur Erhöhung der Sicherheit. Das Feature zur globalen Deduplikation schont Leitung und Speichermedien und mithin letztlich auch das Portemonnaie. Wer ein zuverlässiges Back upwerkzeug für das eigene Unternehmen benötigt, sollte Bacula Enterprise v16 in die eigene Evaluation einbeziehen.

Produkt	Backupsoftware für lokale, virtualisierte und Cloudumgebungen.
Hersteller	Bacula Systems https://www.baculasystems.com/de/
Preis	2750 Euro pro Jahr für einen Director in der "Small Business Edition" mit 20 Zielinstanzen; danach ansteigendes Preismodell mit zum Beispiel 110.000 Euro pro Jahr für 2000 Zielsysteme und 247.500 Euro pro Jahr für 5000 Zielsysteme (Platinum-Paket). In den unteren Editionen sind unter Umständen Aufpreise für Features wie das Microsoft-365-Plugin zu zahlen. Uneingeschränkten Funktionsumfang besitzt lediglich das Platinum-Paket (mit Ausnahme SAP S/4 HANA). Features wie telefonischer Support sind aufpreispflichtig.
Systemanforderungen	Zwei vCPUs, 32 GByte RAM und mindestens 250 GByte Speicherplatz für den Bacula Director sowie eine der gängigen Enteprise-Distributionen.
Technische Daten	https://www.it-administrator.de/downloads/datenblaetter/