PBS einrichten und betreiben: WZ-IT unterstützt den vereinbarten Backup-Aufbau mit Proxmox Backup Server. Der Restore-Test prüft auch den Schlüsselzugriff für den ausgewählten Wiederherstellungsweg.
Stand: Oktober 2026.
Inhalt
- PBS oder vzdump
- Verschlüsselung aktivieren
- Schlüssel sichern und zuordnen
- Wiederherstellung mit der Schlüsselkopie
- Verify und Schutz vor Löschen
- Quellen
PBS oder vzdump
PBS unterstützt optionale clientseitige Verschlüsselung mit AES-256-GCM. Für die PVE-Integration wird PBS als Storage unter Datacenter eingerichtet. Transportverschlüsselung ersetzt die zusätzliche Inhaltsverschlüsselung nicht.
Dieser Artikel behandelt PBS-Schlüssel. Für vzdump-Dateien auf einem eingebundenen Share beschreibt die bestehende Anleitung verschlüsselte Backups auf Hetzner Storage Box einen anderen Weg mit gocryptfs. Beide Verfahren nicht als dieselbe Speicher-Konfiguration behandeln.
Verschlüsselung aktivieren
Prüfen Sie das vorhandene PBS-Storage, den Datastore und den Sicherungsumfang. In der PVE-Storage-Konfiguration lässt sich die Verschlüsselung über die Oberfläche oder encryption-key einrichten. Der offizielle Dokumentationsquelltext zum PBS-Storage nennt autogen zur Erzeugung und /etc/pve/priv/storage/<STORAGE-ID>.enc als Ablage. Die PVE-Integration verwendet dort Schlüsseldateien ohne Passwortschutz. Schützen Sie deshalb auch den Hostzugriff.
Beispiel für einen bereits angebundenen, neuen PBS-Storage ohne bisherigen Schlüssel mit der Beispiel-ID pbs-encrypted: Verschlüsselung vor der ersten Sicherung aktivieren. Die pvesm-Synopsis dokumentiert den Aufruf und autogen:
pvesm set pbs-encrypted --encryption-key autogen
Die Beispiel-ID durch den geprüften Storage-Eintrag ersetzen. Einen vorhandenen Schlüssel nicht mit diesem Beispiel überschreiben. Anschließend die erzeugte Schlüsseldatei getrennt sichern, einen Backup-Job auf dieses Storage ausführen und den neuen Snapshot prüfen.
Für den separaten Backup-Client, etwa eine Dateisicherung außerhalb der PVE-Gastsicherung, zeigt die Client-Dokumentation ein anderes Verfahren:
proxmox-backup-client key create /sicherer/pfad/backup.key
Diesen Schlüssel beim Client-Aufruf mit --keyfile zuordnen. Standardmäßig wird ein Passwort abgefragt. Das ist keine Aufforderung, den vorhandenen PVE-Storage-Schlüssel zu ersetzen. Nach einer Konfigurationsänderung einen neuen Sicherungsstand erstellen und dessen Verschlüsselung sowie Schlüsselzuordnung prüfen; bestehende Snapshots werden dadurch nicht nachträglich umgeschrieben.
Schlüssel sichern und zuordnen
Führen Sie ein Schlüsselverzeichnis mit Storage-ID, Fingerprint, Sicherungszeitraum, Verwahrort und berechtigten Personen. Speichern Sie keine Schlüssel im Prüfprotokoll. Halten Sie eine zugriffsgeschützte Kopie außerhalb des gesicherten Hosts bereit; testen Sie den Notfallzugang zum Verwahrort.
Die Client-Manpage dokumentiert key paperkey für eine druckbare Sicherung sowie key create-master-key und key import-with-master-key für den optionalen RSA-Wiederherstellungsweg. Ein öffentlicher Master-Key allein genügt nicht: Der private Teil muss separat verfügbar bleiben. Alte Schlüssel erst aus der Verwahrung nehmen, wenn kein aufbewahrter Snapshot sie mehr benötigt.
Wiederherstellung mit der Schlüsselkopie
Planen Sie einen isolierten PBS-Restore-Test und verwenden Sie bewusst die unabhängige Schlüsselkopie. Protokollieren Sie Snapshot, Schlüssel-Fingerprint, Zugriffsergebnis und Anwendungsprüfung. Ein Test, der nur den noch funktionierenden Ursprungshost verwendet, beantwortet die Frage nach dessen vollständigem Ausfall nicht.
Bei geändertem Schlüssel zusätzlich einen alten Snapshot prüfen. Fehlenden Schlüsselzugriff als offenen Befund dokumentieren, auch wenn Backup- und Verify-Jobs erfolgreich waren. Ohne entschlüsselbaren Datenstand ist der Wiederherstellungsweg nicht nachgewiesen.
Verify und Schutz vor Löschen
Bei verschlüsselten Chunks kann der Server ohne Schlüssel nur CRC-32 prüfen, nicht den Klartext gegen dessen Prüfsumme (technischer Überblick). Verify ersetzt weder die Entschlüsselungsprüfung noch einen Anwendungsstart.
Behandeln Sie Löschrechte, Aufbewahrung und Offsite-Backups als getrennte Prüfpunkte. Verschlüsselung allein verhindert keine Löschung. Ebenso ist ein separat verwahrter Schlüssel nur brauchbar, wenn die berechtigte Person ihn im Notfall tatsächlich erreichen kann.
Schlüsselzugriff prüfen lassen: Den Proxmox Restore-Test mit Snapshot und Prüfkriterien abgrenzen. Für Einrichtung und laufenden Backup-Betrieb: PBS-Angebot.
