Windows-Server-Backup mit Volume Shadow Copy – verschlüsselt, ohne Installation

Einen laufenden Windows Server zu sichern, ist vor allem ein Kampf mit offenen Dateien: eine laufende Datenbank, ein Exchange- oder Mail-Speicher, eine von IIS gesperrte Datei. Kopierst du sie, während sie geschrieben werden, kann das Backup inkonsistent sein – eine Wiederherstellung, die sich nicht einhängen lässt. Die Standardantwort von Windows ist der Volume Shadow Copy Service (VSS), und genau den nutzen Termalins Backups unter Windows. Du bekommst ein verschlüsseltes Archiv, außer Haus, ohne dass auf dem Server etwas installiert wird außer dem Connector.

Was gesichert wird und wie VSS es konsistent hält

Du listest die gewünschten Ordner auf – etwa C:\inetpub und ein Datenverzeichnis. Bevor es sie liest, fordert das Backup von Windows eine Volume Shadow Copy an (Win32_ShadowCopy.Create) und liest deine Dateien aus diesem zeitpunktbezogenen Snapshot. Offene Datenbanken und Mail-Speicher werden in einem konsistenten Zustand erfasst, nicht mitten im Schreiben. Der Snapshot wird am Ende des Laufs immer entfernt, auch wenn ein Lauf fehlschlägt.

Eine Voraussetzung, die du kennen solltest: VSS verlangt, dass der Login-Benutzer des Connectors Administrator ist. Ist er es nicht, werden die Dateien stattdessen direkt gelesen, und das Archiv trägt einen Hinweis, dass offene Dateien inkonsistent sein können – gib dem Connector für einen Server mit Live-Daten also ein Administratorkonto.

Ein paar Regeln für Pfade:

• Ein vollständiger Pfad pro Zeile, bis zu 50 Pfade pro Auftrag.
• Kein ganzes Laufwerk (du kannst es nicht allein auf C:\ richten) und keine Netzwerkpfade.
• Im Archiv behalten die Pfade den Laufwerksbuchstaben, z. B. C/inetpub/….

Einrichtung: ein Connector, dann ein Auftrag

Auf dem Server wird nichts installiert außer dem Connector. Installiere ihn über den Reiter Installationsbefehl abrufen → Windows im Web-Kabinett und führe die eine Zeile, die du bekommst, in PowerShell aus (es fragt selbst nach Administratorrechten):

irm https://termal.in/i/<token>.ps1 | iex

Es funktioniert mit Windows PowerShell 5.1, und der Installationslink ist einmalig und eine Stunde gültig. Der Connector fügt den eingebauten OpenSSH-Server hinzu, falls er fehlt, aber Port 22 bleibt geschlossen – sshd lauscht nur auf der Maschine selbst –, und alles läuft über den eigenen ausgehenden Tunnel des Connectors. Es gibt x64- und ARM64-Builds.

Erstelle dann den Auftrag unter Konto → Backups → + Backup hinzufügen: Wähle den Server, die Pfade, einen Zeitplan, wie viele Kopien behalten werden, und ein Lese-Limit. Das Backup packt die Ordner mit dem eingebauten tar.exe bei unterhalb-normaler Priorität, es braucht also Windows 10 1803 / Windows Server 2019 oder neuer.

Zeitpläne und Aufbewahrung

• Wann: manuell, stündlich (zur nächsten vollen Stunde), täglich (zu einer Stunde, :00 UTC) oder wöchentlich (sonntags zu dieser Stunde, UTC).
• Letzte N behalten: die neuesten N erfolgreichen Archive, 1–365, standardmäßig 7. Das älteste wird entfernt, sobald ein neueres gelingt.
• Lese-Limit: standardmäßig 20 MB/s, damit ein Lauf die Platte und das Netzwerk, die der Server braucht, nicht aushungert; 0 hebt es auf.
• Ein einzelner Lauf ist auf sechs Stunden begrenzt.

Wohin die Archive gehen

Wähle ein Ziel pro Auftrag:

• Termalin-Speicher – ein Kontingent, das mit Sitzungsaufzeichnungen geteilt wird (25 GB in Pro, 100 GB in Team).
• Dein eigener S3-kompatibler Bucket – AWS, Backblaze B2, Cloudflare R2, Hetzner, MinIO.
• Mein Server (über Connector) – per SFTP an einen anderen deiner Server, der einen Connector hat.

Nur der Termalin-Speicher zählt zum Kontingent deines Tarifs; ein S3-Bucket oder dein eigener Server nicht.

Verschlüsselung – nur du kannst es öffnen

Jedes Archiv bekommt einen frischen Datenschlüssel, der für den X25519-Schlüssel des Auftrags verpackt wird (AES-256-GCM). Die private Hälfte liegt in deinem Tresor hinter deinem Master-Passwort, sodass Termalin-Speicher, dein Bucket und dein eigener Server immer nur verschlüsselte Daten enthalten.

Um genau zu sein, wo die Verschlüsselung passiert: Sie läuft auf Termalins Backend, bevor irgendetwas in den Speicher geschrieben wird – das ist keine clientseitige Ende-zu-Ende-Verschlüsselung, und wir nennen es nicht so. Wahr ist: Nichts wird im Klartext gespeichert, und nur dein Schlüssel öffnet ein Archiv.

Wiederherstellen

Eine automatische Wiederherstellung auf den Server gibt es nicht. Um Dateien zurückzubekommen, nutze Entschlüsseln & speichern – im Browser oder in der Desktop-App –, um eine unverschlüsselte .tar.gz zu erzeugen, kopiere sie dann per SFTP auf den Server und entpacke sie. Weil du den Schlüssel hast, führst du die Wiederherstellung von Anfang bis Ende selbst aus.

Alarme, wenn ein Backup ausbleibt

Ein fehlgeschlagener geplanter Lauf wird so gemeldet, wie deine übrigen Alarme ankommen – E-Mail, Push, Telegram oder Webhook. Auch ein Auftrag, der einfach verstummt, wird erfasst: Gab es etwa das Doppelte seines Intervalls lang keinen erfolgreichen Lauf (3 Stunden bei stündlich, zwei Tage bei täglich, zwei Wochen bei wöchentlich), geht ein Alarm raus. Ein manuelles Jetzt ausführen zeigt einen Fehler sofort an.

Tarife und was passiert, wenn du gehst

• Free: keine Backups. Testphase: bis zu 5 GB.
• Pro: 20 Aufträge, größtes Archiv 4 GB, 25 GB Speicherkontingent.
• Team: 100 Aufträge, größtes Archiv 20 GB, 100 GB Kontingent.
• Mehr Platz nötig: +100 GB für 2,99 $/Monat oder +1 TB für 19,99 $/Monat, aus deinem Guthaben.

Endet ein Tarif, bleiben Archive im Termalin-Speicher 30 Tage lang herunterladbar (14 in der Testphase), mit E-Mails, bevor etwas entfernt wird. Backups in deinem eigenen S3-Bucket oder auf deinem eigenen Server werden nie angetastet.

Ein KI-Agent sichert vor einer riskanten Änderung

Über Termalins gehosteten MCP-Endpoint kann ein Assistent backup_create aufrufen, um vor einer Migration oder einer Massenänderung ein Backup anzulegen, und backup_list, um zu bestätigen, dass der Lauf von letzter Nacht geklappt hat. backup_create ist als Tool gekennzeichnet, das Daten entfernen kann, weil das Behalten der neuesten N Kopien die ältesten löscht – es wird also mit derselben Vorsicht behandelt wie alles Destruktive.

---

Termalin sichert Linux-, Windows- und macOS-Server auf dieselbe Weise – siehe die Seite Server-Backups. Für den Rest der Windows-Geschichte gibt es Windows Server über SSH und Windows-Server-Monitoring.