Proxmox Restore-Test ab 1.490 € netto - WZ-IT prüft Verschlüsselung, Schlüsselzugriff und Backup-Weg, stellt ein vereinbartes System isoliert wieder her und dokumentiert das Ergebnis. Restore-Test ansehen · Proxmox Backup Server einrichten und betreiben lassen
Eine Hetzner Storage Box lässt sich als Offsite-Ziel für Proxmox-Backups nutzen: Sie ist per SMB/CIFS einhängbar, der Traffic ist unbegrenzt und der Standort wählbar (Deutschland oder Finnland). Der Dienst verschlüsselt die Inhalte nicht clientseitig. Diese Anleitung bindet die Storage Box auf dem Proxmox-Host ein, legt mit gocryptfs eine Verschlüsselungsschicht darüber und richtet das Ergebnis als Directory-Storage für vzdump-Backups ein. Wer Backups mit dem Proxmox Backup Server (PBS) sichert, findet im letzten Abschnitt die Abgrenzung der beiden Wege.
Inhaltsverzeichnis
- Was ist eine Hetzner Storage Box?
- Storage Box vorbereiten
- Storage Box in Proxmox einbinden und mit gocryptfs verschlüsseln
- Backup-Job einrichten und Wiederherstellung testen
- gocryptfs oder Proxmox Backup Server: Welche Variante passt?
Was ist eine Hetzner Storage Box?
Die Hetzner Storage Box ist ein Online-Speicher, den Hetzner in vier Größen anbietet: 1 TB (BX11), 5 TB (BX21), 10 TB (BX31) und 20 TB (BX41). Der Zugriff läuft über FTP, FTPS, SFTP, SCP, SMB/CIFS, rsync über SSH, BorgBackup, Restic, Rclone, HTTPS und WebDAV; als Standort stehen Deutschland oder Finnland zur Verfügung (Hetzner Storage Box, Hetzner-Dokumentation). Die aktuellen Preise nennt die Produktseite von Hetzner (Oktober 2026).
Die Storage Box eignet sich damit als Backup-Speicher außerhalb des eigenen Standorts. Betreiben Sie Proxmox selbst auf einem Hetzner-Server, finden Sie Installation und Netzwerk unter Proxmox auf Hetzner.
Storage Box vorbereiten
Öffnen Sie Ihre Storage Box in der Hetzner Console und wählen Sie die Aktion "Change settings". Aktivieren Sie dort den SMB-Support; steht der Proxmox-Host außerhalb des Hetzner-Netzes, aktivieren Sie im selben Dialog "External Reachability". Legen Sie das Passwort des Hauptnutzers fest (Aktion "Reset password") und notieren Sie es, denn das benötigen wir später. Das Share heißt beim Hauptnutzer backup, die Adresse lautet uXXXXX.your-storagebox.de/backup (Hetzner-Dokumentation: Zugriff per SMB/CIFS).
Eigenständige Storage Boxes verwaltet Hetzner seit dem 29. Juli 2025 nicht mehr im Robot, sondern in der Hetzner Console (Hetzner-FAQ). In der Console heißt die Einstellung SMB-Support unter "Change settings"; in der Robot-Oberfläche lautet sie "Samba support".
Storage Box in Proxmox einbinden und mit gocryptfs verschlüsseln
Melden Sie sich bei Ihrer Proxmox-Weboberfläche an und öffnen Sie die Shell zu Ihrem Proxmox Host über das Menü "Shell" oder per SSH.
Zuerst installieren wir die notwendigen Pakete gocryptfs und cifs-utils, um die Storage Box einzubinden und die Backups zu verschlüsseln:
apt update && apt install gocryptfs cifs-utils -y
Wir legen nun unsere Zugangsdaten zur Storage Box unter /root/.smbcredentials ab. Erstellen Sie die Datei mit folgendem Inhalt:
username=uxxxxxx
password=your_password
Ersetzen Sie uxxxxxx durch Ihren Benutzernamen und your_password durch das Passwort, das Sie in der Hetzner Console gesetzt haben. Speichern Sie die Datei und setzen Sie die Berechtigungen so, dass nur root sie lesen kann:
chmod 600 /root/.smbcredentials
Wir erstellen nun ein Verzeichnis, in dem wir die Storage Box einbinden werden. In diesem Verzeichnis werden auch später die verschlüsselten Daten liegen, daher nennen wir es storagebox_crypt:
mkdir /mnt/storagebox_crypt
Wir legen nun einen Mount Point in fstab an, damit die Storage Box automatisch beim Booten eingebunden wird. Öffnen Sie die Datei /etc/fstab mit einem Texteditor Ihrer Wahl:
nano /etc/fstab
Fügen Sie die folgende Zeile am Ende der Datei hinzu, um die Storage Box einzubinden:
//uxxxxxx.your-storagebox.de/backup /mnt/storagebox_crypt cifs credentials=/root/.smbcredentials,iocharset=utf8,rw,seal,_netdev,uid=0,gid=0,file_mode=0660,dir_mode=0770 0 0
Hetzner weist darauf hin, dass SMB-Verbindungen nicht automatisch verschlüsselt sein müssen. Die Option seal verschlüsselt die SMB-Verbindung selbst (Hetzner-Dokumentation); die Inhalte schützt gocryptfs im nächsten Schritt zusätzlich.
Wir überprüfen nun, ob die Storage Box korrekt eingebunden wird, indem wir den folgenden Befehl ausführen:
mount -a -vvv
Alles wurde korrekt eingerichtet, wenn wir die Nachricht "successfully mounted" sehen.
Wir initialisieren nun das Verzeichnis für die Verschlüsselung mit gocryptfs. gocryptfs -init verlangt ein leeres Verzeichnis (gocryptfs-Manpage):
gocryptfs -init /mnt/storagebox_crypt
Sie werden aufgefordert, ein Passwort für die Verschlüsselung einzugeben. Dieses Passwort wird später benötigt, um auf die verschlüsselten Daten zuzugreifen. Notieren Sie sich dieses Passwort gut, da es nicht wiederhergestellt werden kann.
Nach der Passworteingabe gibt gocryptfs einmalig den Masterkey aus. Mit ihm bleiben die Daten zugänglich, wenn das Passwort verloren geht oder die Konfigurationsdatei beschädigt ist (gocryptfs-README). Bewahren Sie Passwort und Masterkey getrennt von der Storage Box auf, zum Beispiel in einem Passwortmanager.
Die Konfigurationsdatei gocryptfs.conf liegt standardmäßig im Verschlüsselungsverzeichnis, hier also unter /mnt/storagebox_crypt/gocryptfs.conf und damit auf der Storage Box selbst. Ohne sie lassen sich die Daten nur mit dem Masterkey entschlüsseln. Sichern Sie deshalb eine Kopie an einem anderen Ort:
cp /mnt/storagebox_crypt/gocryptfs.conf /root/gocryptfs.conf.backup
Wir bereiten nun das Verzeichnis für die Verschlüsselung vor, indem wir zunächst ein Verzeichnis erstellen, in dem die entschlüsselten Daten liegen werden:
mkdir /mnt/storagebox
Wir legen das Passwort in einer Datei ab, damit wir es später nicht erneut eingeben müssen. Erstellen Sie die Datei /root/.gocryptfs. Sie enthält ausschließlich das Passwort in einer einzigen Zeile, ohne Schlüsselwort davor (gocryptfs-Manpage, Option -passfile):
your_encryption_password
Ersetzen Sie your_encryption_password durch das Passwort, das Sie bei der Initialisierung von gocryptfs verwendet haben. Setzen Sie die Berechtigungen für die Datei:
chmod 600 /root/.gocryptfs
Wir fügen nun einen weiteren Eintrag in die Datei /etc/fstab hinzu, um das Verzeichnis für die Entschlüsselung automatisch einzubinden. Den Pfad zu gocryptfs zeigt which gocryptfs an:
/mnt/storagebox_crypt /mnt/storagebox fuse./usr/bin/gocryptfs rw,nofail,auto,x-systemd.idle-timeout=10,x-systemd.automount,allow_other,quiet,passfile=/root/.gocryptfs 0 0
Wir überprüfen nun, ob das Verzeichnis korrekt eingebunden wird, indem wir den folgenden Befehl ausführen:
mount -a -vvv
Dort müssen wir die Nachricht "successfully mounted" sehen, wenn alles korrekt eingerichtet ist.
Backup-Job einrichten und Wiederherstellung testen
Melden Sie sich bei Ihrer Proxmox-Weboberfläche an und navigieren Sie zu "Datacenter" > "Storage". Klicken Sie auf "Add" und wählen Sie "Directory".
Dort setzen wir dann eine ID, in unserem Beispiel einfach "StorageBox". Als Verzeichnis geben wir /mnt/storagebox an, da dies das Verzeichnis ist, in dem die Storage Box unverschlüsselt anliegt. Als Content wählen wir "Backup" aus, da wir hier unsere Backups speichern möchten.
Nun sehen wir in der Übersicht unseren neuen Storage. Wir können nun Backup Jobs erstellen, die auf diesen Storage zugreifen. Dazu gehen wir zu "Datacenter" > "Backup" und klicken auf "Add".
Wir haben für unser Beispiel eine VM mit der ID 100 angelegt. Bei Schedule wählen wir beispielsweise "Daily" aus, um täglich ein Backup zu erstellen. Bei Storage wählen wir unseren neuen Storage "StorageBox" aus. Die restlichen Einstellungen können wir auf den Standardwerten belassen. Wichtig ist noch, dass falls es sich beispielsweise um eine Datenbank handelt, wir bei Mode "Stop" auswählen, damit wir einen konsistenten Zustand der Datenbank haben.
Ein Backup ist erst belegt, wenn sich daraus wiederherstellen lässt. Proxmox legt die Backup-Dateien eines Directory-Storages im Unterordner dump/ ab, hier also unter /mnt/storagebox/dump/ (Proxmox-Dokumentation: Directory Backend). So testen Sie die Wiederherstellung:
- Prüfen Sie, dass
/mnt/storageboxeingehängt ist und die Backup-Dateien sichtbar sind:ls /mnt/storagebox/dump/. - Stellen Sie ein Backup unter einer freien VM-ID wieder her, damit die produktive VM unangetastet bleibt. In der Weboberfläche: Storage "StorageBox" > "Backups" > Backup auswählen > "Restore". Auf der Kommandozeile:
qmrestore /mnt/storagebox/dump/<archiv> <freie-vmid> --unique 1(bei Containernpct restore). Die Option--uniquevergibt neue MAC-Adressen (Proxmox-Dokumentation: Restore, qmrestore). - Starten Sie die wiederhergestellte VM nur in einem isolierten Netz oder ohne Netzwerkanschluss und prüfen Sie, ob sie bootet und die Daten vorhanden sind.
- Prüfen Sie den Schlüsselweg: Auf einem zweiten Host müssen Storage Box,
gocryptfs.confund das Passwort (oder der Masterkey) genügen, um die Backups zu lesen.
Die separate Anleitung Proxmox-Backups mit PBS verschlüsseln behandelt die native PBS-Verschlüsselung und Schlüsselverwaltung.
gocryptfs oder Proxmox Backup Server: Welche Variante passt?
Diese Anleitung sichert vzdump-Archive in ein Directory-Storage. Der Proxmox Backup Server (PBS) ist der zweite Weg, Proxmox-Backups verschlüsselt auszulagern. Die Unterschiede:
| vzdump + gocryptfs (diese Anleitung) | Proxmox Backup Server | |
|---|---|---|
| Verschlüsselung | gocryptfs auf dem Proxmox-Host, Ziel ist ein eingehängter Share | Clientseitig mit AES-256-GCM, standardmäßig nicht aktiviert, Schlüssel in der Storage-Konfiguration (PBS-Dokumentation) |
| Backup-Format | vzdump-Archive, Proxmox VE sichert immer vollständig (Proxmox-Dokumentation) | Chunk-basierter Datastore, inkrementelle Übertragung und Deduplizierung (PBS-FAQ) |
| Prüfung und Retention | Retention über prune-backups im Backup-Job, Wiederherstellungstest manuell (siehe oben) | Verify-Jobs, Prune-Jobs und Garbage Collection im PBS |
| Hetzner Storage Box als Ziel | direkt per CIFS nutzbar | als Datastore nicht empfohlen, besser lokaler Speicher oder S3 |
Für wenige VMs und ein Offsite-Ziel ohne eigenen Server genügt vzdump mit gocryptfs. Sobald mehrere Generationen, Deduplizierung, Verify-Jobs oder schnelle Restores gefragt sind, ist der PBS die passendere Wahl. Als Datastore-Ziel empfiehlt die PBS-Dokumentation schnellen lokalen Speicher mit hohen IOPS (PBS-Systemanforderungen); eine per CIFS eingehängte Storage Box erfüllt das nicht. Für Offsite-Kopien sind ein zweiter PBS mit Sync-Job oder seit PBS 4.2 ein S3-kompatibler Datastore die geeigneteren Wege. Details dazu stehen in Proxmox Backup Server Offsite: Pull-Architektur und asymmetrische Retention, in Was ist Proxmox Backup Server? und im Blogartikel Proxmox Backup Server 4.2: S3-Storage. Aufbau und Betrieb eines PBS übernimmt WZ-IT unter Proxmox Backup Server einrichten und betreiben.
Die Methode mit Storage Box, CIFS und gocryptfs beschreibt auch ApfelCast in seinem Blog, auf dem diese Anleitung aufbaut: ApfelCast Blog.
Nächster Schritt
Wiederherstellung und Schlüsselzugriff prüfen lassen
Ein eingerichtetes Backup ist belegt, sobald ein Restore gelungen ist. Der Restore-Test von WZ-IT prüft Verschlüsselung, Schlüsselzugriff und Backup-Weg Ihrer Umgebung und stellt ein vereinbartes System isoliert wieder her; das Ergebnis wird dokumentiert.
Weiterlesen: VMware zu Proxmox migrieren · Proxmox Backup Server 4.2: S3-Storage · Private Cloud für KMU
WZ-IT übernimmt Einrichtung und Betrieb von PBS einschließlich vereinbarter Offsite-Architektur und Schlüsselwege. Ein Restore-Test prüft die Wiederherstellung.
