Storage-VPS oder Storage-Box: Was passt besser?

Storage-VPS oder verwaltete Storage-Box: die kurze Antwort

Ein Storage-VPS ist eine virtuelle Maschine mit großen Festplatten, Root-Zugriff und einer Ihnen zugewiesenen Netzwerkadresse. Eine verwaltete Storage-Box ist ein pro Terabyte verkauftes Kontingent, das über SMB, WebDAV, SFTP und rsync über SSH erreichbar ist. Auf der anderen Seite gibt es keine Shell. Wenn die einzige Aufgabe darin besteht, Backups zu empfangen, die bereits vor dem Verlassen Ihres Systems verschlüsselt wurden, ist die verwaltete Box normalerweise die bessere Wahl. Sie bezahlen dann für Speicherkapazität und die Redundanz eines anderen Anbieters. Sobald Sie Code auf den Daten ausführen möchten, hilft Ihnen die Box nicht weiter. Dort gibt es keinen Ort, an dem Code ausgeführt werden kann.

Das ist die gesamte Abgrenzung. Im Folgenden wird deutlich, welche Auswirkungen sie hat. Die separate Frage, wie sich ein Tarif mit großen Festplatten von einem gewöhnlichen Compute-Tarif unterscheidet, wird unter wie sich ein Storage-VPS von einem regulären VPS unterscheidet beantwortet. Dieser Leitfaden vergleicht daher nur den VPS mit dem verwalteten Produkt.

Was eine verwaltete Storage-Box tatsächlich ist

Der Anbieter verwaltet das Dateisystem, die Datenträger und die Daemons. Sie erhalten einen Login, ein Kontingent und eine feste Auswahl an Protokollen. Die meisten dieser Produkte bieten außerdem schreibgeschützte Snapshots, Unterkonten mit eigenem Verzeichnis und Kontingent sowie einen WebDAV-Endpunkt, den Sie mit davfs2 einbinden können. Die genaue Auswahl unterscheidet sich je nach Anbieter. Lesen Sie daher die Funktionsübersicht des Anbieters, die in Ihrem anderen Browser-Tab geöffnet ist.

Eine Funktion verdient einen eigenen Satz, weil sie häufig falsch verstanden wird. „Unterstützt BorgBackup“ bedeutet, dass der Anbieter borg serve auf seiner Seite ausführt. Borg ist ein Client-Server-Programm: Der Client übernimmt Deduplizierung, Komprimierung und Verschlüsselung. Der Server führt die grundlegenden Repository-Operationen aus. Wenn auf dem entfernten Host kein Borg-Prozess läuft, verwendet Borg stattdessen einfache Dateisystemaufrufe über das Netzwerk. Dadurch erfordert jede Operation einen Roundtrip, und die Borg-FAQ rät davon ab. Sie können borg serve nicht auf einer Box ohne Shell installieren. Deshalb ist dies eine Funktion, die der Anbieter entweder bereitstellt oder nicht.

Was Ihnen nur ein Storage-VPS bietet

Root. Dieses eine Wort deckt den größten Teil der Liste ab. Die konkreten Möglichkeiten, die oft fehlen, verdienen jedoch eine eigene Aufzählung.

• Jeden gewünschten Daemon. Einen restic-REST-Server, einen S3-kompatiblen Objektspeicher, einen Synchronisationsclient oder eine Datenbank. Mit MinIO für eine eigene S3-API werden dieselben Festplatten zu einem Dienst, mit dem Ihr Anwendungscode kommunizieren kann.
• Von Ihnen erzwungenes Append-only. Das ist der wichtigste Unterschied bei den Funktionen für Backups und erhält weiter unten einen eigenen Abschnitt.
• Rechenleistung neben den Daten. restic check --read-data und borg check --verify-data lesen jedes Byte im Repository. Auf einem VPS führen Sie sie per SSH über einen lokalen Pfad aus. Dabei verlässt nichts das System über das Internet. Bei einem Managed-System lädt derselbe Befehl das gesamte Repository über Ihre Leitung herunter.
• Ihre eigene SSH-Konfiguration. Erzwungene Befehle pro Schlüssel, die Option restrict, einen nicht standardmäßigen Port und einen Match-Block für den Backup-Benutzer. Auf einem Managed-System erhalten Sie ein Formular, in das Sie einen öffentlichen Schlüssel einfügen. Für den Rest ist der Anbieter zuständig.
• Docker und alles, was darauf aufbaut. Eine Nextcloud-Instanz mit TLS und eigenen Backups ist auf einem Storage-VPS eine Compose-Datei. Auf einem Managed-System ist sie nicht möglich.
• Lokal beginnende Wiederherstellungen. Binden Sie ein Borg-Archiv direkt auf dem Storage-System ein und kopieren Sie nur das benötigte Verzeichnis heraus. So müssen Sie nicht zuerst einen vollständigen Snapshot auf Ihr lokales System übertragen.

Ein Punkt klingt so, als gehörte er in diese Liste, tut es aber nicht: die von Ihnen kontrollierte Verschlüsselung ruhender Daten auf dem Server. Sie können auf einem VPS ein Datenvolumen mit LUKS verschlüsseln. Das Volume muss jedoch beim Booten entsperrt werden. Entweder geben Sie daher nach jedem Reboot eine Passphrase in einer Konsole ein, oder die Schlüsseldatei liegt auf demselben System. Der Hypervisor-Betreiber kann außerdem den Speicher eines laufenden Gasts lesen. Bei beiden Produkten schützt tatsächlich die clientseitige Verschlüsselung die Daten. Borg oder restic führen sie durch, bevor Daten das Quellsystem verlassen. Der Unterschied besteht darin, dass Sie auf einem VPS zusätzlich den Prozess kontrollieren, der die Daten entgegennimmt.

Warum Append-only-Backups einen VPS benötigen

Ein Backup-Client speichert die Zugangsdaten für das Backup-Repository. Das ist unvermeidbar, weil er Schreibzugriff benötigt. Übernimmt jemand den Quellcomputer, kann diese Person daher auch auf das Repository zugreifen und es löschen. Der Append-only-Modus ist die Lösung: Der Repository-Host akzeptiert neue Daten und verweigert Löschvorgänge. Gestohlene Zugangsdaten reichen dann nicht aus, um die Sicherungshistorie zu zerstören.

Bei Borg wird Append-only auf dem Repository-Host als erzwungener Befehl in authorized_keys konfiguriert.

command="borg serve --append-only --restrict-to-path /srv/borg/web01",restrict ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAA... web01-backup

Diese Zeile steht in /home/borg/.ssh/authorized_keys auf dem Computer, der das Repository enthält. Zum Schreiben der Zeile benötigen Sie eine Shell auf diesem Computer. Bei einem Managed Server erhalten Sie ein Formular zum Hochladen eines Schlüssels. Der erzwungene Befehl hinter diesem Formular stammt vom Anbieter. Append-only ist daher nur verfügbar, wenn der Anbieter diese Funktion als Produktmerkmal bereitstellt. Lesen Sie die Dokumentation des Anbieters, statt dies vorauszusetzen.

Bei restic ist der Unterschied größer. Das SFTP-Backend verwendet ein Dateisystemprotokoll. Ein Client mit Schreibzugriff kann daher auch löschen. Es gibt keinen serverseitigen Schalter, der dies verhindert. Append-only für restic ist nur im REST-Backend verfügbar, das von einem Daemon namens rest-server bereitgestellt wird. Der Daemon wird mit --append-only gestartet. Für einen Daemon benötigen Sie einen Computer, auf dem Sie Daemons ausführen können.

Auf jedes Repository zeigen

Bei einem verwalteten System läuft SSH häufig nicht auf Port 22. Verwenden Sie den Port, den Ihr Anbieter dokumentiert.

ssh-keygen -t ed25519 -f /root/.ssh/id_backup -C "borg web01"
# paste /root/.ssh/id_backup.pub into the provider's panel
export BORG_RSH='ssh -i /root/.ssh/id_backup'
borg init --encryption=repokey-blake2 \
  ssh://u123456@u123456.storagebox.example:23/./backups/web01

/./ nach dem Port bedeutet, dass der Pfad relativ zum Home-Verzeichnis des Kontos ist. Ein einzelner Schrägstrich macht ihn absolut. Das verweigert ein verwaltetes Konto normalerweise mit einem Berechtigungsfehler. repokey-blake2 speichert den Verschlüsselungsschlüssel im Repository und schützt ihn mit Ihrer Passphrase. Bewahren Sie diese Passphrase daher nicht auf dem gesicherten System auf.

export BORG_PASSPHRASE='...'   # or BORG_PASSCOMMAND reading from a secret store
borg create --stats --compression zstd,3 \
  ssh://u123456@u123456.storagebox.example:23/./backups/web01::web01-{now:%Y-%m-%dT%H:%M} \
  /etc /srv /home

Ein erfolgreicher Lauf endet mit einem Statistikblock, der die Anzahl der Dateien und die deduplizierte Größe aufführt. borg list mit derselben Repository-URL sollte anschließend das Archiv anhand seines Namens ausgeben. Wenn keine Ausgabe erscheint, wurde das Archiv nicht gespeichert.

Auf Ihrem eigenen Storage-VPS ist das Repository ein Verzeichnis, dessen Eigentümer Sie sind.

sudo apt update && sudo apt install -y borgbackup
sudo adduser --disabled-password --gecos "" borg
sudo install -d -m 700 -o borg -g borg /home/borg/.ssh
sudo install -d -m 700 -o borg -g borg /srv/borg/web01

Fügen Sie die Befehlszeile mit dem erzwungenen Befehl aus dem vorherigen Abschnitt zu /home/borg/.ssh/authorized_keys hinzu. Initialisieren Sie das Repository anschließend vom Client aus mit einem absoluten Pfad.

borg init --encryption=repokey-blake2 ssh://borg@storage.example.com/srv/borg/web01

Führen Sie borg --version auf beiden Seiten aus. Ein Client mit einer neueren Hauptversion verweigert die Verbindung zu einem Server mit einer älteren Version. Bei einem verwalteten System bestimmt der Anbieter die Serverversion, nicht Sie. Auf Ihrem VPS bestimmen Sie beide Versionen und aktualisieren sie gemeinsam.

restic: SFTP zum Server, rest-server auf dem VPS

restic greift über SFTP auf einen verwalteten Server zu. Tragen Sie den ungewöhnlichen Port in ~/.ssh/config ein und nicht im Repository-String, weil die URL-Form mit Port eine unpraktische doppelte Schrägstrichschreibweise benötigt.

Host storagebox
  HostName u123456.storagebox.example
  User u123456
  Port 23
  IdentityFile /root/.ssh/id_backup

restic -r sftp:storagebox:/backups/web01 init
restic -r sftp:storagebox:/backups/web01 backup /etc /srv

Entfernen Sie den führenden Schrägstrich, damit ein Pfad relativ zum Home-Verzeichnis des Kontos entsteht. Das erwarten die meisten verwalteten Konten: sftp:storagebox:backups/web01.

Auf einem Storage-VPS führen Sie stattdessen den REST-Server aus. Dabei ist Append-only bereits integriert. rest-server ist eine einzelne Go-Binärdatei von der Releases-Seite des Projekts. Außerdem können Sie das offizielle Container-Image mit docker pull restic/rest-server:latest abrufen.

sudo apt install -y apache2-utils
sudo install -d -m 700 /srv/restic
sudo htpasswd -B -c /srv/restic/.htpasswd web01
rest-server --path /srv/restic --listen 127.0.0.1:8000 --append-only --private-repos

Binden Sie den Dienst an Loopback und schalten Sie einen TLS-Reverse-Proxy davor. Alternativ können Sie über ein VPN darauf zugreifen. Der Client kommuniziert dann über HTTPS mit dem Dienst.

restic -r rest:https://web01:PASSWORD@storage.example.com/web01/ init

--private-repos bedeutet, dass der Benutzer web01 auf /web01/ und auf nichts anderes zugreifen kann. Dadurch kann ein kompromittierter Host nicht die Snapshots eines anderen Hosts lesen. Wenn restic für Sie neu ist, behandelt die vollständige Einrichtung von restic auf einem VPS die Themen Zeitplanung und Aufbewahrung. Der Vergleich zwischen restic und BorgBackup hilft bei der Auswahl des passenden Werkzeugs für Ihre Daten. Unabhängig von Ihrer Wahl wird das Schreiben jedes Backups in zwei Repositories aus einem einzelnen Speicherziel eine Backup-Strategie.

Was ein deutscher Preis wirklich aussagt

Hosting-Angebote für Unternehmen werden in Deutschland normalerweise netto beworben. Daneben steht dann „zzgl. MwSt.“. Der Mehrwertsteuersatz beträgt seit September 2026 19 Prozent. Die folgenden Zahlen sind Rechenbeispiele und keine Preisliste. Prüfen Sie am Tag des Kaufs die Website des jeweiligen Anbieters.

[
  {
    "label": "5 EUR net",
    "net_eur": "5.00",
    "gross_eur": "5.95"
  },
  {
    "label": "10 EUR net",
    "net_eur": "10.00",
    "gross_eur": "11.90"
  },
  {
    "label": "20 EUR net",
    "net_eur": "20.00",
    "gross_eur": "23.80"
  },
  {
    "label": "40 EUR net",
    "net_eur": "40.00",
    "gross_eur": "47.60"
  }
]

Ein ausgewiesener Nettopreis von 10.00 EUR entspricht auf der Rechnung für einen privaten Kunden in Deutschland 11.90 EUR brutto. 40.00 EUR netto werden zu 47.60 EUR. Ein Unternehmen mit Vorsteuerabzug kann diese Mehrwertsteuer zurückfordern. Für ein Unternehmen sind daher die Nettokosten maßgeblich. Ein Unternehmen in einem anderen EU-Mitgliedstaat mit gültiger Umsatzsteuer-Identifikationsnummer erhält die Rechnung normalerweise mit 0 Prozent Mehrwertsteuer nach dem Reverse-Charge-Verfahren und führt die Steuer im eigenen Land ab. Bestätigen Sie dies im Bestellformular. Es hängt von der dort eingegebenen Nummer ab.

Der Vergleich wird falsch, wenn ein Browser-Tab den Nettopreis und der andere den Bruttopreis anzeigt. Auf Seiten für Verbraucher in Deutschland müssen Bruttopreise angezeigt werden. Auf Seiten für Unternehmen werden normalerweise Nettopreise angezeigt. Dasselbe Produkt wirkt dadurch ohne sachlichen Grund 19 Prozent günstiger. Bringen Sie beide Angebote auf dieselbe Grundlage, bevor Sie den Preis pro Terabyte vergleichen.

Zwei Kosten stehen außerhalb des monatlichen Grundpreises. Die erste ist der Netzwerkverkehr: Verwaltete Server enthalten ihn häufig, während VPS-Tarife ein monatliches Kontingent haben. Beim Wiederherstellen mehrerer Terabytes kann dieses Kontingent überschritten werden, wodurch zusätzliche Kosten entstehen. Die zweite Kostenart ist Ihre Arbeitszeit, denn ein VPS ist eine Maschine, die Sie patchen, überwachen und verantworten müssen. Wenn der Preis ausschlaggebend ist, führen Sie zuerst die ehrliche Rechnung im Vergleich zu einem Consumer-Cloud-Tarif und den Preis eines günstigen Terabytes bei Block- und Objektspeicher durch. Beide Berechnungen beginnen mit einer realistischen Schätzung des benötigten Speicherplatzes. Dieser ist normalerweise kleiner als die Zahl, die Sie aus dem Gedächtnis gewählt haben.

DSGVO: Wo die Datenträger liegen und was Sie unterschreiben

Beide Produkte werden üblicherweise in deutschen oder anderen Einrichtungen in der EU gehostet. Beide Anbieter sind Auftragsverarbeiter nach Artikel 28 der DSGVO, wenn sie personenbezogene Daten für Sie speichern. Dafür benötigen Sie einen Auftragsverarbeitungsvertrag (AVV). Deutsche Anbieter stellen normalerweise einen Vertrag bereit, den Sie im Control Panel akzeptieren. Ein deutsches Rechenzentrum beseitigt diese Anforderung nicht. Es beseitigt die Frage nach einer Übermittlung in Drittländer. Das ist ein anderes Problem.

Verschlüsselung verändert das Risiko, nicht die Formalitäten. Borg und restic verschlüsseln die Daten auf dem Quellsystem. Der Anbieter speichert daher Datenblöcke, für die er keinen Schlüssel besitzt. Das ist eine starke technische Maßnahme nach Artikel 32. Den AVV müssen Sie trotzdem unterschreiben. Fragen Sie, in welcher Stadt die Daten gespeichert werden und ob der Anbieter sie an einem anderen Ort repliziert. „EU“ und „Deutschland“ sind nicht dieselbe Angabe. EU-Datenresidenz und ihre Auswirkungen auf die Kosten behandelt dieses Thema ausführlich.

Wo jedes Modell ausfällt

Dies sind die Fehler bei Managed-Servern, mit denen Sie in der Praxis rechnen müssen.

• Quota voll. Der Schreibvorgang schlägt mitten im Lauf fehl, und das Repository bleibt gesperrt. Entfernen Sie die Sperre vor dem nächsten Lauf mit borg break-lock oder restic unlock. Erhöhen Sie anschließend die Quota oder bereinigen Sie das Repository.
• Eine veraltete Sperre nach einer unterbrochenen Verbindung. Verwenden Sie dieselben beiden Befehle. Das passiert bei einer eingebundenen Freigabe häufiger als über SFTP oder borg serve.
• Ein Repository auf einem davfs2- oder cifs-Mount. Das Sperr- und Umbenennungsverhalten auf solchen Mounts entspricht nicht dem eines lokalen Dateisystems. Deshalb sammeln sich in einem dort abgelegten Repository fehlerhafte Sperren an. Verwenden Sie den SFTP- oder Borg-Transport, statt den Server einzubinden und wie einen Datenträger zu behandeln.
• Die Überprüfung lädt alles. restic check --read-data liest das gesamte Repository. Wenn auf der Gegenseite keine Shell verfügbar ist, läuft dieser Datenverkehr über Ihre Leitung. Planen Sie dafür mehrere Stunden ein und wählen Sie einen Zeitplan, den Sie tatsächlich einhalten können.
• Die Softwareversion des Anbieters folgt dessen Zeitplan. Ein Upgrade auf Ihrer Seite kann der Serverseite vorauslaufen. Die Serverseite können Sie nicht selbst korrigieren.

Für diese Fehler bei Storage-VPS sind Sie verantwortlich.

• Datenträger voll. No space left on device schlägt mitten in einer Sicherung fehl. Anschließend muss eine Sperre entfernt werden. Überwachen Sie den freien Speicherplatz, lange bevor er 100 Prozent erreicht. Ein Repository, das voll läuft, schlägt danach jede Nacht fehl.
• Patching. sshd, der Kernel, die Container-Laufzeitumgebung und jeder Daemon, den Sie nach außen veröffentlicht haben. Niemand sonst übernimmt diese Aufgaben.
• Nur ein Rechner. RAID auf der Host-Seite übersteht den Ausfall eines Datenträgers. Gegen Ihr eigenes rm -rf, eine ausstehende Zahlung oder einen Vorfall im Rechenzentrum hilft es nicht. Ein Storage-VPS allein ist eine Kopie, aber keine Backup-Strategie.
• Missbrauch und Haftung. Die IP-Adresse gehört Ihnen. Eine offene Object-Storage-Konsole oder eine falsch konfigurierte Samba-Freigabe führt zu einem Abuse-Ticket, das Sie bearbeiten müssen.
• Für die Verfügbarkeit sind Sie zuständig. Um 03:00 ist niemand für Ihre systemd-Unit in Bereitschaft.

Die Entscheidungsregel

Wenn der einzige Zweck die externe Speicherung von Daten ist, die bereits vor dem Verlassen des Quellsystems verschlüsselt werden, kaufen Sie die verwaltete Box. Sie bezahlen für Kapazität und für die Redundanz eines anderen Anbieters. Dafür müssen Sie sich weder um Patches noch um eine mögliche Haftung wegen Missbrauchs noch um zu gewährleistende Verfügbarkeit kümmern. Das ist der häufigste Fall, weil ein externes Ziel für ein Borg- oder restic-Repository nicht aktiv betrieben werden muss.

Sobald Sie jedoch etwas mit den Daten ausführen möchten, kaufen Sie den Storage-VPS. „Etwas“ umfasst die Prüfung eines Repositorys, ohne jedes Byte über das Internet übertragen zu müssen, die eigene Durchsetzung des Append-only-Modus, die Bereitstellung von Dateien über eine S3-API, den Betrieb eines Synchronisationsclients, das lokale Extrahieren eines einzelnen Verzeichnisses oder das Scannen der Daten für eine Compliance-Anfrage. Nichts davon ist bei einem Produkt möglich, dessen gesamte Schnittstelle aus einem Dateiübertragungsprotokoll besteht.

Eine dritte Option ist erstaunlich häufig ihr Geld wert: beide. Die verwaltete Box ist die günstige entfernte Kopie bei einem Anbieter. Der Storage-VPS ist die Arbeitskopie, die Sie bei einem anderen Anbieter betreiben können. Beide befinden sich damit in unterschiedlichen Ausfallbereichen. Bevor Sie eine der beiden Optionen kaufen, erspart Ihnen die Checkliste der Punkte, die Sie zuerst mit dem Anbieter klären sollten später eine Migration.

FAQ

Kann ich BorgBackup mit einer verwalteten Storage-Box verwenden?

Nur wenn der Anbieter BorgBackup als unterstützte Funktion aufführt, weil Borg einen borg serve-Prozess auf dem entfernten Host benötigt. Der Client übernimmt Deduplizierung und Verschlüsselung, der Server die Repository-Operationen. Wenn auf der Box keine Shell verfügbar ist, können Sie diesen Prozess dort nicht selbst installieren. Anbieter mit Unterstützung dafür dokumentieren den SSH-Port, der häufig nicht 22 ist, sowie das Format des Repository-Pfads. Dieser ist normalerweise relativ zu Ihrem Home-Verzeichnis und wird nach dem Port als /./backups/name angegeben.

Ist ein Storage-VPS pro Terabyte günstiger als eine verwaltete Storage-Box?

Normalerweise nicht. Verwaltete Boxen werden als Speicherkapazität mit sehr wenig Rechenleistung angeboten. Dadurch ist der Preis pro Terabyte normalerweise niedriger. Vergleichen Sie beide Angebote vor der Entscheidung auf derselben steuerlichen Grundlage. Auf deutschen Geschäftsseiten werden Nettopreise und auf Verbraucherseiten Bruttopreise angezeigt. 19 Prozent können ausreichen, um einen knappen Vergleich umzukehren. Addieren Sie anschließend das Traffic-Kontingent des VPS und die Zeit, die Sie für dessen Aktualisierung benötigen.

Benötige ich für eine der beiden Optionen einen Auftragsverarbeitungsvertrag?

Ja, für beide Optionen, sobald die gespeicherten Daten personenbezogene Daten anderer Personen enthalten. Beide Anbieter handeln gemäß Artikel 28 DSGVO als Auftragsverarbeiter. Eine clientseitige Verschlüsselung hebt die Vertragspflicht nicht auf. Sie macht die Speicherebene jedoch deutlich weniger sensibel, weil der Anbieter nur Blobs ohne den dafür erforderlichen Schlüssel verwaltet. Die meisten deutschen Anbieter stellen einen AVV bereit, den Sie im Control Panel akzeptieren können.

Kann ich auf einer verwalteten Storage-Box Append-only-Backups erstellen?

Nur wenn der Anbieter diese Funktion anbietet. Append-only wird bei Borg auf dem Repository-Host als erzwungener Befehl in authorized_keys umgesetzt. Sie haben dort jedoch keine Shell, um einen solchen Befehl zu hinterlegen. restic verfügt über SFTP überhaupt nicht über einen Append-only-Modus, weil das Protokoll jedem Schreibprozess das Löschen erlaubt. Wenn Append-only für Sie wichtig ist, und das sollte es für den Schutz vor Ransomware sein, führen Sie rest-server mit --append-only auf einem von Ihnen kontrollierten Computer aus.

Ist ein Storage-VPS allein bereits ein Backup?

Nein. Er ist ein einzelner Computer in einem einzelnen Rechenzentrum mit einem einzelnen Dateisystem. RAID auf Host-Seite übersteht den Ausfall eines Datenträgers, aber keine weiteren Fehler. Ein Backup bedeutet eine zweite Kopie in einer zweiten Fehlerdomäne. Deshalb funktionieren eine verwaltete Storage-Box und ein Storage-VPS besser als Kombination als im direkten Vergleich.