Einleitung
Zuverlässige Backups sind das Rückgrat jeder stabilen IT-Infrastruktur. Gerade im Hosting-Bereich und bei Virtualisierungsumgebungen wie Proxmox VE kommt es darauf an, Daten schnell, effizient und sicher zu sichern und im Notfall auch wiederherstellen zu können.
Wir von Becker Software setzen seit Jahren auf den Proxmox Backup Server (PBS), eine leistungsstarke und zugleich kostenfreie Open-Source-Lösung, die speziell für Proxmox VE entwickelt wurde. In diesem Artikel zeigen wir Ihnen, wie Sie PBS einrichten, absichern und optimal nutzen – inklusive unserer bewährten Best Practices aus dem Praxisalltag.
Was ist der Proxmox Backup Server?
Der Proxmox Backup Server ist eine speziell auf Proxmox Virtual Environment (Proxmox VE) abgestimmte Backup-Lösung. Er ermöglicht schnelle, inkrementelle und deduplizierte Sicherungen von virtuellen Maschinen und Containern.
Vorteile auf einen Blick:
- Open-Source-Software ohne Lizenzkosten
- Nahtlose Integration in Proxmox VE
- Dediziertes, sicheres Backup-Format
- Inkrementelle Backups und Deduplizierung für effiziente Speicherung
- Hohe Sicherheit und umfangreiche Rechteverwaltung
Im Vergleich zu anderen Lösungen wie Veeam oder Bareos punktet PBS durch seine enge Verzahnung mit Proxmox VE und seine einfache Verwaltung über ein modernes Webinterface.
Systemanforderungen und Vorbereitung
Damit der Proxmox Backup Server stabil und performant läuft, sollten folgende Voraussetzungen erfüllt sein:
Hardware-Empfehlung:
- Mindestens 4 CPU-Kerne (amd64)
- Wir empfehlen 8 GB RAM (besser 16 GB+), laut Herstellerangabe reichen hier auch 4 GB.
- Separate Redundante Datenspeicher-Festplatte (SSD oder Enterprise-HDD je nach Datenmenge) alternativ, externer netzwerkbasierter Storage.
- 1 Gbit/s-Netzwerk oder schneller
Software-Voraussetzungen:
- Aktuelle PBS-ISO-Datei von der Proxmox-Website. Hier erhalten Sie die ISO Datei von der Proxmox Website.
- Möglichkeit, ISO über IPMI, iLO oder USB zu mounten.
Netzwerk und Sicherheit:
- Separates VLAN oder dediziertes Netzwerk für Backups
- Firewall-Regeln für Zugriffsschutz
- Optional: VPN für Offsite-Backup-Ziele
Installation Schritt für Schritt
1. PBS-ISO herunterladen und installieren
Zunächst laden wir uns das aktuelle Proxmox Backup Server ISO-Image direkt von der offiziellen Proxmox-Website herunter. Dies garantiert, dass wir stets mit der aktuellsten und sicher abgesicherten Version arbeiten.
So gehen wir vor:
- Wir rufen die Downloadseite unter https://www.proxmox.com/en/downloads auf.
- Dort wählen wir den Bereich Proxmox Backup Server und laden die ISO-Datei herunter.
- Anschließend übertragen wir das ISO-Image entweder per Rufus oder dem balenaEtcher auf einen USB-Stick.
- Den Zielserver starten wir nun von diesem USB-Stick und folgen dem Installationsassistenten.
Während der Installation wählen wir den passenden Installationsdatenträger aus und bestätigen die weiteren Schritte.
2. Festplatten partitionieren und Systemdatenträger wählen
Im nächsten Schritt legen wir fest, welche Festplatte das Systemlaufwerk für den Proxmox Backup Server wird. Das ist entscheidend für den stabilen und performanten Betrieb.
Unsere Best Practices:
- Wir verwenden für das Betriebssystem grundsätzlich eine separate SSD oder NVMe-Festplatte.
- Zusätzliche Festplatten für Backup-Datenspeicher werden nicht während der Installation eingebunden, sondern erst nach der Erstkonfiguration.
- Das Standard-Partitionierungsschema von Proxmox passen wir bei Bedarf an — etwa wenn spezielle RAID- oder LVM-Konfigurationen gewünscht sind.
Nachdem der Installationsassistent die Partitionierung abgeschlossen hat, fahren wir mit der Netzwerkkonfiguration fort.
3. Netzwerkkonfiguration und Hostname vergeben
Eine stabile und klar definierte Netzwerkkonfiguration ist für Backup-Server besonders wichtig. Hier legen wir den Hostnamen und die Netzwerkeinstellungen direkt während der Installation fest.
Wichtige Punkte, auf die wir achten:
- Wir vergeben einen eindeutigen Hostnamen nach unserem internen Schema, z. B.
pbs01.domain.local. - Die IP-Adresse wird fest zugewiesen und nicht per DHCP vergeben, um eine zuverlässige Erreichbarkeit zu gewährleisten.
- Das Gateway und die DNS-Server tragen wir entsprechend unserer Netzwerkstruktur manuell ein.
- Für zukünftige Let's Encrypt-Zertifikate oder DNS-basierte Dienste sollte der Hostname extern auflösbar sein.
Nach Abschluss dieses Schrittes startet der Server und ist bereit für die erste Anmeldung über das Webinterface.
Erste Konfiguration: Datastore anlegen
Nachdem die Installation abgeschlossen und der Proxmox Backup Server über das Webinterface erreichbar ist, nehmen wir die erste grundlegende Konfiguration vor. Der wichtigste Schritt dabei ist das Anlegen eines Datastores, also dem Speicherort für Ihre Backups.
Warum ein eigener Datastore?
Ein Datastore ist in PBS nichts anderes als ein Verzeichnis auf einem Laufwerk, das für die Sicherung von Backups verwendet wird. Der große Vorteil: Die Backups sind nicht an ein spezielles Dateisystem oder eine komplexe Datenbank gebunden. Die Daten werden direkt als Dateien und Verzeichnisse in einer gut strukturierten und nachvollziehbaren Ordnerstruktur abgelegt.
So legen wir den Datastore an:
- Im Webinterface navigieren wir zu Datastore → Create.
- Wir wählen das gewünschte Laufwerk aus, auf dem die Backups gespeichert werden sollen.
- Anschließend legen wir ein Verzeichnis fest, z. B.
/mnt/datastore01. - Dem Datastore geben wir einen eindeutigen Namen (z. B.
pbs-backup01). - Speichern und fertig – der Datastore steht nun für Backup-Jobs zur Verfügung.
So speichert PBS die Backups intern
Proxmox Backup Server arbeitet mit einem sehr robusten und durchdachten Backup-Format:
- Deduplizierte Chunk-Dateien: Die eigentlichen Daten Ihrer VMs und Container werden in kleine, verschlüsselte Chunks aufgeteilt. Jeder Chunk ist eine einzelne Datei auf dem Backup-Speicher und wird nur einmal abgelegt, auch wenn er in mehreren Backups vorkommt. Das spart enorm Speicherplatz.
- Metadaten-Dateien: Für jedes Backup werden Metadaten und ein Index erstellt. Darin steht, welche Chunks zu welchem Backup gehören und wie diese wieder zusammengesetzt werden. Diese Metadaten sind der Schlüssel für den Restore.
- Robustheit durch Datei-basiertes Konzept:
Der große Vorteil:
Sie können das gesamte Backup-Verzeichnis, also den kompletten Datastore-Ordner, problemlos auf einen anderen Proxmox Backup Server übertragen – etwa per rsync, ZFS-Snapshot oder physischem Plattentausch.
Solange die Metadaten-Dateien vorhanden sind, kann der neue Server die Backups vollständig einlesen und wiederherstellen, selbst wenn die Daten verschlüsselt sind.
Dadurch entsteht eine extrem ausfallsichere und flexible Backup-Struktur, die sich auch hervorragend für Offsite-Backups und Disaster-Recovery-Szenarien eignet.
Unsere Empfehlung
Wir legen für jede Backup-Strategie oder jeden Cluster einen eigenen Datastore an. Das sorgt für Übersicht und macht das Berechtigungsmanagement deutlich einfacher.
Tipp: Sollten Sie das Backup-Verzeichnis jemals auf ein neues System umziehen müssen, genügt es, die Verzeichnisstruktur zu kopieren und den Datastore im neuen PBS erneut einzubinden. Innerhalb weniger Minuten sind alle Backups wieder verfügbar – ohne Neuinstallation oder Datenbank-Restore.
Backup-Nutzer und Rechteverwaltung
Ein oft unterschätzter, aber enorm wichtiger Aspekt bei der Einrichtung eines Backup-Systems ist die sorgfältige Verwaltung der Benutzerrechte. Gerade im Zusammenspiel mit Proxmox VE als Backup-Quelle kann eine unbedachte Rechtevergabe dazu führen, dass Backups versehentlich oder absichtlich gelöscht werden.
Wir legen besonderen Wert darauf, dass kein Host und kein automatisierter Prozess die Möglichkeit hat, Backups zu entfernen. In diesem Abschnitt zeigen wir Ihnen, wie wir das mit dem Rechtemanagement des Proxmox Backup Servers (PBS) sicherstellen.
Warum ist das so wichtig?
Wenn ein Proxmox VE-Host uneingeschränkte Rechte auf den Datastore erhält, könnte bei einer Kompromittierung oder durch eine Fehlkonfiguration im schlimmsten Fall das gesamte Backup-Verzeichnis gelöscht werden. Das ist ein kritisches Risiko, dem wir konsequent begegnen.
Unsere Lösung: Backup-Nutzer mit eingeschränkten Rechten
Für jeden Proxmox VE-Host, der Backups auf den PBS schreibt, richten wir einen eigenen dedizierten Benutzer ein. Dieser bekommt nur die notwendigen Rechte für das Anlegen und Lesen von Backups, aber keine Löschrechte.
So richten wir den Backup-Nutzer ein
- Im PBS-Webinterface navigieren wir zu Permissions → User.
- Dort legen wir einen neuen Benutzer an, z. B.
pve01-backup@pbs. - Für diesen Benutzer erstellen wir ein API-Token, welches später im Proxmox VE für den Backup-Job verwendet wird.
- Unter Permissions → Datastore vergeben wir für den entsprechenden Datastore die Berechtigung „DatastoreBackup“ an diesen Benutzer.
- Diese Rolle erlaubt das Anlegen von Backups und das Lesen bestehender Backups.
- Das Löschen von Backups ist mit dieser Rolle nicht möglich.
- Optional können wir für das Webinterface-Login auch ein eigenes starkes Passwort hinterlegen, sofern der Zugang über ein Passwort benötigt wird.
Rechte auf Datastore-Ebene definieren
Die Rechte in PBS sind Datastore-spezifisch. Das bedeutet:
- Ein Benutzer kann exakt auf dem Datastore arbeiten, für den ihm Rechte zugewiesen wurden.
- Pro Datastore lässt sich damit granular steuern, wer darauf zugreifen und was dort getan werden darf.
Unser Sicherheitsprinzip: Jeder Host, der Backups schreibt, bekommt nur Schreib- und Leserechte für den eigenen Datastore. Backups werden über API-Token authentifiziert, und das Löschen von Backups ist über die verwendete Rolle explizit ausgeschlossen.
Vorteil dieser Methode
Dieses Vorgehen hat mehrere entscheidende Vorteile:
- Minimiertes Risiko bei kompromittierten Hosts: Ein kompromittierter Proxmox VE-Host kann keine Backups löschen.
- Saubere Rechte-Trennung: Jeder Host arbeitet mit seinem eigenen API-Token und hat nur Zugriff auf den für ihn vorgesehenen Datastore.
- Volle Kontrolle: Löschvorgänge können nur von einem dedizierten PBS-Admin durchgeführt werden.
Backup-Jobs in Proxmox VE anlegen und verwalten
Nachdem der Proxmox Backup Server (PBS) bereit ist und wir einen Datastore sowie die passenden Benutzer mit restriktiven Rechten eingerichtet haben, richten wir auf den Proxmox VE-Hosts die automatisierten Backup-Jobs ein. Damit sichern wir regelmäßig und zuverlässig Ihre virtuellen Maschinen und Container.
So legen wir Backup-Jobs in Proxmox VE an
- Im Proxmox VE Webinterface wählen wir in der linken Navigation Datacenter und dann den Reiter Backup.
- Über Add erstellen wir einen neuen Backup-Job.
- In den Einstellungen geben wir an:
- Backup-Mode: Wir empfehlen hier Snapshot, um konsistente Sicherungen im laufenden Betrieb zu erstellen.
- Storage: Der zuvor eingebundene PBS-Datastore.
- Schedule: Das gewünschte Backup-Intervall (z. B. täglich um 02:00 Uhr nachts).
- E-Mail Benachrichtigung: Aktivieren wir für Erfolg und Fehler, um jederzeit informiert zu bleiben.
- Unter Selection Mode wählen wir, ob wir alle Maschinen sichern möchten oder nur eine definierte Auswahl.
- Über Add fügen wir die gewünschten VMs und Container dem Backup-Job hinzu.
Besonderheit der Authentifizierung
Für die Authentifizierung zum PBS verwenden wir das API-Token des zuvor eingerichteten Backup-Benutzers. Damit bleibt der Zugriff auf den PBS auf ein Minimum an Rechten beschränkt — löschen kann der Proxmox VE-Host nichts. Das erhöht die Sicherheit Ihrer Backup-Umgebung deutlich.
Prune-Jobs und Aufbewahrungsregeln definieren
Damit Ihr Datastore nicht unkontrolliert mit alten Sicherungen vollläuft, legen wir sogenannte Prune-Jobs an. Diese definieren, wie viele Backups je Maschine aufbewahrt werden sollen und ab wann alte Sicherungen automatisch gelöscht werden.
Prune-Simulator: Regeln vorab sicher testen
Ein besonders hilfreiches Werkzeug ist der Prune-Simulator von Proxmox Backup Server:
- Er simuliert anhand einer bestehenden Backup-Historie und der geplanten Aufbewahrungsregeln, welche Sicherungen bei einem Prune-Lauf gelöscht würden.
- So lassen sich Löschregeln sicher und risikofrei testen.
Sie finden den Simulator unter: https://pbs.proxmox.com/docs/prune-simulator/
Empfohlene Aufbewahrungsregeln für Backups
Wir setzen in der Praxis folgende bewährte Einstellungen für produktive Systeme ein:
- keep-last: 7 (Die letzten 7 Backups bleiben immer erhalten.)
- keep-daily: 14 (Die letzten 14 täglichen Backups werden behalten.)
- keep-weekly: 4 (4 wöchentliche Backups sichern Langzeitstände.)
- keep-monthly: 12 (Die letzten 12 Monats-Backups für maximale Sicherheit.)
- keep-yearly: 1 (Mindestens ein Jahres-Backup für historische Sicherung.)
Vorteile:
- Ausreichend Rückhaltezeiträume für tägliche Notfälle und Langzeit-Archive.
- Automatische Löschung veralteter Backups ohne manuelle Eingriffe.
- Durch Deduplizierung sind selbst viele alte Sicherungen sehr platzsparend.
Prune-Job im PBS einrichten
- Im PBS-Webinterface unter Datastore → Prune Jobs auf Add klicken.
- Den Datastore auswählen.
- Zeitplan für die Prune-Läufe definieren (z. B. täglich um 03:30 Uhr).
- Die gewünschten Aufbewahrungsregeln eintragen (siehe oben).
- API-Token für Authentifizierung wählen.
- Aktivieren und speichern.
Damit bleibt Ihr Backup-Storage dauerhaft aufgeräumt und performant.
PBS Sync-Jobs für Offsite-Backups
Um Ihre Backups zusätzlich abzusichern, erstellen wir sogenannte Sync-Jobs zwischen mehreren Proxmox Backup Servern. Damit übertragen wir die gesicherten Backups automatisch auf einen zweiten Server — beispielsweise in ein anderes Rechenzentrum, eine Außenstelle oder ein verschlüsseltes Offsite-Storage.
Warum Sync-Jobs?
Backups auf nur einem Server zu lagern, ist ein Risiko. Ein Hardware-Defekt, ein Verschlüsselungstrojaner oder ein Standortausfall kann sämtliche Sicherungen unbrauchbar machen. Durch regelmäßige Synchronisationen auf einen zweiten PBS minimieren wir dieses Risiko.
So richten wir Sync-Jobs ein:
- Im PBS-Webinterface navigieren wir zu Datastore → Sync Jobs.
- Über Add legen wir einen neuen Sync-Job an.
- Wir wählen:
- Remote Datastore: Den Ziel-Datastore auf dem entfernten PBS.
- Local Datastore: Den zu synchronisierenden lokalen Datastore.
- Schedule: Den gewünschten Intervall, z. B. jede Nacht um 03:00 Uhr.
- Remove Vanished: Optional, um entfernte Backups auch auf der Gegenseite zu löschen — aus Sicherheitsgründen lassen wir dies meist deaktiviert.
- Authentifiziert wird der Sync-Job ebenfalls über ein eigenes, restriktiv konfiguriertes API-Token.
Wie läuft der Sync ab?
PBS überträgt dabei nur die neuen oder veränderten deduplizierten Chunks sowie die zugehörigen Metadaten-Dateien. Das reduziert den Netzwerktraffic erheblich und beschleunigt die Synchronisation. Die Backups sind auch auf dem Zielserver vollständig wiederherstellbar — dank der robusten Metadaten- und Chunk-Struktur.
Wichtig: Selbst wenn ein Sync unterbrochen wird, kann er jederzeit nahtlos fortgesetzt werden, ohne dass Backups beschädigt oder unvollständig bleiben.
Wartung und Monitoring: PBS immer im Blick behalten
Damit Ihre Backups dauerhaft sicher und zuverlässig bleiben, kümmern wir uns um eine regelmäßige Wartung und ein effektives Monitoring des Proxmox Backup Servers.
Monitoring des Backup-Status
Wir binden den PBS in unser zentrales Monitoring-System ein, um den Zustand der Datastores, den Status der Sync-Jobs und die Systemressourcen permanent zu überwachen. Zusätzlich aktivieren wir die E-Mail-Benachrichtigungen für:
- Fehlgeschlagene Backups
- Warnungen zu Speicherplatzengpässen
- Verbindungsprobleme zu Proxmox VE-Hosts
- Sync-Fehler bei Offsite-Backups
So sind wir immer unmittelbar informiert, falls es zu Problemen kommt, und können direkt eingreifen.
Direkte SMTP-Benachrichtigung ohne Sendmail oder Postfix
Sowohl im Proxmox Backup Server als auch in Proxmox VE lassen sich die Notification-Dienste bequem über die Weboberfläche einrichten. Dabei wird direkt ein SMTP-Server für den Mailversand hinterlegt — ohne dass ein lokaler Mailserver wie Sendmail oder Postfix auf dem Server laufen muss.
Vorteile:
- Schnelle und unkomplizierte Einrichtung.
- Zuverlässige E-Mail-Benachrichtigungen über Fehler und Statusmeldungen.
- Volle Kontrolle über die Absender-Adresse und SMTP-Verbindungsdaten.
- Unterstützung von TLS/SSL und Authentifizierung für sichere Zustellung.
Wir nutzen diese Möglichkeit konsequent für alle unsere Installationen, da sie eine stabile und saubere Lösung für das Alarming darstellt — ohne zusätzliche Serverdienste, die gewartet und abgesichert werden müssten.
Regelmäßige Wartung
Zum Betriebskonzept gehört für uns auch die regelmäßige Pflege des PBS:
- Kontrolle der freien Speicherkapazitäten auf allen Datastores
- Prüfung der Log-Dateien und der Benachrichtigungsberichte
- Test-Wiederherstellungen zur Überprüfung der Integrität der Backups
- Kontrolle und Verlängerung von SSL-Zertifikaten
- Updates und Sicherheitspatches für das PBS-System
Wichtig: Wir empfehlen, mindestens einmal im Monat eine vollständige Test-Wiederherstellung durchzuführen. Das gibt Ihnen die Sicherheit, dass alle Sicherungen im Notfall auch wirklich verfügbar und funktionsfähig sind.
Automatisierte Protokollierung
Sämtliche Backup- und Sync-Jobs werden automatisch protokolliert. Diese Protokolle stehen sowohl im PBS-Webinterface als auch über die API zur Verfügung und ermöglichen eine lückenlose Nachverfolgung sämtlicher Sicherungsvorgänge.