Ransomware-sicheres Backup für kleine Unternehmen

Ein Leitfaden zum Nachbauen — für Mac und Windows, am Beispiel der Hetzner Storage Box

Stand: 31. August 2026

Für wen dieser Leitfaden gedacht ist

Für Betriebe ohne eigene IT-Abteilung: Handwerk, Kanzleien, Praxen, Agenturen, Einzelunternehmen. Sie brauchen keine Vorkenntnisse in Serveradministration. Was Sie brauchen, ist die Bereitschaft, einmal einen Nachmittag zu investieren und danach zweimal im Jahr eine Übung durchzuführen.

Zwei Fragen, mehr nicht

Dieser Leitfaden beantwortet genau zwei:

1. Wie komme ich nach einem Ausfall wieder zum Arbeiten? Festplatte defekt, Gerät gestohlen, Datei versehentlich gelöscht, Wasserschaden.
2. Wie überlebe ich einen Verschlüsselungstrojaner? Also: Wie sorge ich dafür, dass meine Sicherung noch da ist, wenn alles andere verschlüsselt wurde.

Am Ende steht eine Sicherung außer Haus, die ein Trojaner auf Ihrem Rechner nicht löschen kann — plus ein erprobtes Verfahren, sie zurückzuholen.

Was dieser Leitfaden nicht leistet

Er schützt nicht vor dem Befall selbst. Virenschutz, Updates, Rechtekonzept und geschulte Beschäftigte bleiben Ihre Aufgabe. Hier geht es darum, den Befall zu überleben.

Er deckt keine gesetzliche Langzeitarchivierung ab. Das ist die häufigste Verwechslung, und sie kann teuer werden — deshalb hier deutlich:

Eine Sicherung hält den Betrieb am Laufen. Sie ist auf den letzten Stand ausgerichtet, überschreibt sich fortlaufend und räumt alte Stände nach einigen Wochen weg. Genau das soll sie.

Eine gesetzliche Archivierung verlangt das Gegenteil: einzelne Dokumente über viele Jahre unverändert, jederzeit auffindbar und mit einem dokumentierten Verfahren, das belegt, dass niemand nachträglich etwas geändert hat.

Beides brauchen Sie, keins ersetzt das andere. Wer glaubt, mit einer guten Sicherung die Aufbewahrungspflicht erfüllt zu haben, irrt — und wer ein Archivsystem hat, ist damit noch nicht gegen Ransomware geschützt.

Ob und in welchem Umfang Sie zur Archivierung verpflichtet sind, hängt von Ihrer Branche ab. Betroffen sind unter anderem Buchhaltung und steuerrelevante Unterlagen, Patientenakten, Mandatsakten und technische Nachweise. Klären Sie das mit Ihrer Steuerberatung oder Rechtsberatung, nicht anhand einer Broschüre — und planen Sie es als eigenes Vorhaben, nicht als Anhängsel Ihrer Sicherung.

Zur Redlichkeit: Der hier beschriebene Weg für macOS ist in dieser Form aufgebaut und getestet worden — einschließlich der Fallstricke, die im Text benannt sind. Der Windows-Weg beruht auf denselben Werkzeugen und der Herstellerdokumentation, wurde aber nicht von uns durchgespielt. Rechnen Sie dort mit Abweichungen im Detail und prüfen Sie jeden Schritt mit einer Testdatei, bevor Sie sich darauf verlassen.

Teil 1 — Warum die übliche Sicherung nicht reicht

Die meisten kleinen Betriebe sichern auf eine externe Festplatte, die am Rechner hängt, oder auf ein NAS im selben Netz. Beides ist besser als nichts und hilft gegen den häufigsten Schadensfall: eine defekte Platte oder eine versehentlich gelöschte Datei.

Gegen Verschlüsselungstrojaner hilft es nicht. Drei Gründe:

Was der Rechner erreichen kann, erreicht auch die Schadsoftware. Sie läuft mit Ihren Rechten. Ist die Sicherungsplatte angesteckt oder das Netzlaufwerk verbunden, verschlüsselt sie die Sicherung gleich mit. Moderne Erpressersoftware sucht gezielt nach Sicherungen und Schattenkopien und räumt sie zuerst ab.

Der Befall ist älter, als Sie denken. Zwischen dem Eindringen und der Verschlüsselung liegen typischerweise Tage bis Wochen. In dieser Zeit sehen sich die Angreifer um, greifen Zugangsdaten ab und suchen die Sicherungen. Wenn die Erpressernachricht erscheint, sind Ihre letzten Sicherungsstände womöglich schon vom Befall betroffen. Eine Sicherung, die nur den Stand von gestern kennt, nützt dann nichts.

Der Speicherort allein schützt nicht. Eine Sicherung „in der Cloud” ist nicht sicherer, wenn Ihr Rechner dort löschen darf. Ein Cloud-Ordner, der sich automatisch abgleicht, überträgt die Verschlüsselung sogar zuverlässig — das ist ja seine Aufgabe.

Die Regel, die dahintersteht

Die bekannte 3-2-1-Regel lautet: drei Kopien, auf zwei verschiedenen Medientypen, eine davon außer Haus. Gegen Ransomware wurde sie erweitert zu 3-2-1-1-0:

Die vierte Ziffer und die Null sind der Kern dieses Leitfadens. Alles davor haben die meisten Betriebe bereits.

Teil 2 — Das Prinzip: Der sichernde Rechner darf nicht löschen können

Die entscheidende Frage lautet nicht „wo liegt die Sicherung?“, sondern „was darf der Rechner mit der Sicherung tun?“.

Solange Ihr Arbeitsrechner die Sicherung überschreiben oder löschen kann, kann es auch die Schadsoftware, die darauf läuft. Der Schutz entsteht dadurch, dass diese Möglichkeit technisch fehlt.

Vier Verfahren leisten das:

Anhängen erlaubt, löschen verboten (Append-only)

Der Sicherungsdienst nimmt neue Daten entgegen, verweigert aber jedes Löschen. Das ist der Weg, den dieser Leitfaden beschreibt: technisch einfach, mit gewöhnlichem Speicherplatz umsetzbar, kein Spezialanbieter nötig.

Serverseitige Schnappschüsse

Der Anbieter fertigt in festen Abständen unveränderliche Momentaufnahmen an, auf die Ihr Zugang keinen Zugriff hat. Selbst wenn jemand Ihre Sicherung ruiniert, lässt sich der Stand von vorgestern zurückholen. Bei Hetzner sind das 20 automatische Schnappschüsse, ohne Aufpreis.

Objektspeicher mit Schreibsperre (Object Lock)

Dateien werden für einen festgelegten Zeitraum unveränderlich abgelegt — auch der Kontoinhaber kann sie nicht vorzeitig entfernen. Technisch der stärkste Schutz, aber aufwendiger einzurichten und meist teurer.

Offline-Medien

Eine Festplatte, die nach der Sicherung abgezogen und weggeschlossen wird, ist gegen jede Software immun. Der Nachteil ist der Mensch: Es wird vergessen. Als Ergänzung ist es hervorragend, als alleiniger Schutz zu unzuverlässig.

Kombinieren Sie mindestens zwei. Dieser Leitfaden baut auf Append-only plus serverseitige Schnappschüsse. Warum beides nötig ist, steht in Teil 6 — und es ist der Punkt, an dem die meisten Anleitungen zu optimistisch sind.

Teil 3 — Was Sie brauchen

Der Speicherplatz

Wir nutzen eine Hetzner Storage Box. Gründe: europäischer Anbieter mit Rechenzentren in Deutschland und Finnland, Auftragsverarbeitungsvertrag verfügbar, Zugriff über gewöhnliches SSH, ausdrückliche Unterstützung für BorgBackup, Schnappschüsse ohne Aufpreis.

Preise nicht aus diesem Leitfaden übernehmen, sondern beim Anbieter nachsehen. Sie ändern sich, und die Größenordnung liegt im niedrigen zweistelligen Eurobereich pro Monat — deutlich unter dem, was ein einziger Tag Betriebsausfall kostet.

Gleichwertige Alternativen: Storage-Angebote anderer europäischer Anbieter, sofern sie SSH-Zugang bieten. Wichtig ist nur, dass Sie den Zugang auf „nur anhängen” einschränken können — dazu gleich mehr.

Wenn es um Terabyte geht: Objektspeicher als Alternative

Die Storage Box ist eine Festplatte am anderen Ende einer Leitung: fester Preis, feste Größe, gewöhnliche Dateien. Für die meisten Betriebe ist das genau richtig. An ihre Grenze kommt sie, wenn der Bestand stark wächst oder von vornherein sehr groß ist:

• Videoproduktion — Rohmaterial, Schnittfassungen, Renderings. Ein einziges Projekt kann mehrere Terabyte umfassen.
• Arztpraxen und Radiologie — Röntgen-, CT- und MRT-Aufnahmen. Ein einzelner Datensatz liegt schnell im Gigabyte-Bereich, und aufbewahrt werden muss über viele Jahre.
• Architektur, Vermessung, Konstruktion — Punktwolken, Drohnenbefliegungen, Planungsstände.
• Archive, die nur wachsen und praktisch nie gelesen werden.

Für solche Fälle gibt es Objektspeicher. Statt eines festen Kontingents mieten Sie Kapazität, die mit dem Bestand mitwächst. Die gängige Schnittstelle heißt S3 — ursprünglich von Amazon, heute von fast allen Anbietern nachgebaut, sodass dieselbe Software mit verschiedenen Anbietern arbeitet.

Die drei Preisbestandteile — hier liegt die Falle

Bei der Storage Box zahlen Sie einen Betrag im Monat, fertig. Bei Objektspeicher zahlen Sie in der Regel dreifach:

Rechnen Sie den Ernstfall durch, nicht den Normalbetrieb. Sichern ist billig — Sie laden ja nur hoch. Die Rechnung kommt, wenn Sie alles zurückholen müssen, also genau in der Woche, in der Sie ohnehin Schaden haben. Bei 5 TB Wiederherstellung können Abrufgebühren je nach Anbieter im dreistelligen Eurobereich liegen, bei Kaltarchiven zusätzlich Aufschläge für eiliges Herausholen.

Fragen Sie deshalb vor dem Abschluss: Was kostet es, alles einmal komplett zurückzuholen? Wer darauf keine klare Antwort gibt, ist der falsche Anbieter.

Manche Anbieter verzichten ganz auf Abruf- und Anfragegebühren und verlangen dafür mehr pro Terabyte. Für Sicherungen ist das meist das bessere Geschäft — und vor allem das kalkulierbare.

Heiß oder kalt

Amazons S3 Glacier und Glacier Deep Archive sind die bekanntesten Kaltspeicher: extrem günstig in der Lagerung, aber Sie warten auf den Abruf und zahlen dafür extra. Für die zehn- bis dreißigjährige Aufbewahrung von Altbeständen ist das richtig. Für Ihre laufende Sicherung ist es falsch — im Ernstfall wollen Sie nicht stundenlang auf Ihre Daten warten.

Sinnvolle Aufteilung: laufende Sicherung heiß, Altbestände kalt.

Anbieter im europäischen Raum

Stand Mitte 2026, ohne Anspruch auf Vollständigkeit — Preise, Regionen und Bedingungen vor dem Abschluss selbst prüfen, sie ändern sich häufig.

Zur Drittlandfrage: Auch bei Speicherung in einem EU-Rechenzentrum bleibt bei US-Konzernen die Frage nach Zugriffsmöglichkeiten der US-Behörden. Für gewöhnliche Betriebsdaten ist das mit Auftragsverarbeitungsvertrag und Verschlüsselung meist vertretbar. Bei besonderen Kategorien personenbezogener Daten — Gesundheitsdaten gehören dazu — sollten Sie einen europäischen Anbieter wählen und die Entscheidung dokumentieren.

Wenn Sie mit vertraulichen Daten arbeiten

Patientenakten, Mandatsdaten, Personalakten: Zwei Dinge sind hier wichtig.

Verschlüsseln Sie vor dem Hochladen. Borg und Restic tun das von sich aus — der Anbieter sieht nur unlesbare Blöcke und nicht einmal die Dateinamen. Das ist die wirksamste Absicherung überhaupt: Was niemand lesen kann, kann auch niemand offenbaren.

Wählen Sie bei Gesundheitsdaten einen europäischen Anbieter und halten Sie fest, warum Sie sich so entschieden haben.

Alles Weitere — Verträge mit dem Dienstleister, Dokumentationspflichten, Aufbewahrungsfristen — klären Sie mit Ihrer Datenschutz- oder Rechtsberatung. Das hängt vom Einzelfall ab und gehört nicht in eine Broschüre.

Was sich bei großen Beständen praktisch ändert

Die erste Sicherung dauert Tage, nicht Stunden. Bei 5 TB und einer Leitung mit 50 Mbit/s im Upload rechnen Sie mit gut einer Woche Dauerbetrieb. Planen Sie das ein und brechen Sie nicht ab — Borg und Restic setzen zwar wieder auf, aber jeder Neustart kostet Zeit.

Fragen Sie nach einem Datenträger-Versand. Manche Anbieter nehmen für den Erstbestand eine eingeschickte Festplatte entgegen. Das spart bei mehreren Terabyte Tage.

Trennen Sie nach Wert, nicht nach Ordner. Rohmaterial, das sich neu aufnehmen lässt, braucht keine Sicherung außer Haus — Schnittfassungen und Projektdateien schon. Bei Bilddaten aus der Medizin ist die Unterscheidung eine andere: Dort ist praktisch alles aufbewahrungspflichtig.

Prüfen Sie die Wiederherstellung an einem Teilbestand. Bei 5 TB können Sie nicht halbjährlich alles zurückholen. Nehmen Sie stattdessen ein vollständiges Projekt oder einen Patientenjahrgang — genug, um die Kette zu prüfen, ohne die Leitung eine Woche zu belegen.

Die Sicherungssoftware

BorgBackup ist unser Werkzeug der Wahl. Es verschlüsselt vor dem Hochladen, speichert nur Änderungen (spart drastisch Platz und Zeit) und bringt genau die Betriebsart mit, um die es hier geht: borg serve --append-only.

Was Sie sich vorher überlegen

Was gesichert werden muss. Nicht alles. Anwendungen sind neu installierbar, Betriebssysteme auch. Unersetzlich sind: Belege und Buchhaltung, Verträge, Kundendaten, Projektdateien, Fotos, E-Mail-Archive, Datenbanken Ihrer Fachanwendungen.

Wo diese Daten liegen. Schreiben Sie die Pfade auf. Erfahrungsgemäß taucht dabei mindestens ein Ordner auf, an den niemand gedacht hätte.

Wie viel Ausfall Sie verkraften. Wenn eine Sicherung pro Tag läuft, verlieren Sie im schlimmsten Fall einen Arbeitstag. Ist Ihnen das zu viel, sichern Sie stündlich — mit Borg kostet das kaum mehr, weil nur Änderungen übertragen werden.

Teil 4 — Aufbau auf dem Mac

Alle Befehle geben Sie im Programm Terminal ein (zu finden über Spotlight mit ⌘ Leertaste, dann „Terminal” tippen). Die Zeilen sind zum Kopieren gedacht — achten Sie darauf, dass beim Einfügen keine Zeilenumbrüche entstehen; lange Befehle brechen sonst auseinander.

Schritt 1: Borg installieren

Falls Homebrew noch nicht vorhanden ist, installieren Sie es zuerst von brew.sh. Dann:

brew install borgbackup
borg --version

Sie sollten eine Versionsnummer sehen, etwa borg 1.4.5.

Schritt 2: Storage Box bestellen und Zugang einrichten

Bestellen Sie die Storage Box im Kundenkonto. Sie erhalten einen Benutzernamen der Form u123456 und einen Hostnamen u123456.your-storagebox.de.

Wichtig: Der SSH-Zugang läuft auf Port 23, nicht auf dem üblichen Port 22. Diese Abweichung übersieht man leicht, und die Fehlermeldung hilft dabei nicht weiter.

Aktivieren Sie im Kundenkonto den SSH-Zugang für die Box.

Schritt 3: Einen eigenen Schlüssel erzeugen

Verwenden Sie nicht Ihren vorhandenen SSH-Schlüssel, sondern einen eigenen nur für die Sicherung. So können Sie ihn später gezielt einschränken, ohne sich anderswo auszusperren.

ssh-keygen -t ed25519 -f ~/.ssh/storagebox -C "sicherung-buero-mac"

Bei der Frage nach einer Passphrase drücken Sie Enter (also keine) — sonst kann die zeitgesteuerte Sicherung nicht ohne Ihr Zutun laufen. Der Schlüssel liegt danach geschützt in Ihrem Benutzerordner.

Schritt 4: Schlüssel auf der Box hinterlegen

ssh-copy-id -p 23 -s u123456@u123456.your-storagebox.de

Das Passwort dazu steht in Ihrem Kundenkonto. Das -s ist wichtig: Die Storage Box hat keine gewöhnliche Kommandozeile, der Schlüssel muss über SFTP hinterlegt werden.

Prüfen Sie, ob es geklappt hat:

ssh -p 23 u123456@u123456.your-storagebox.de ls

Wenn keine Passwortabfrage kommt, sitzt der Schlüssel.

Schritt 5: Das Archiv anlegen

borg init --encryption=repokey-blake2 \
  ssh://u123456@u123456.your-storagebox.de:23/./sicherung

Sie werden nach einer Passphrase gefragt. Diese Passphrase ist der Generalschlüssel zu Ihren Daten.

Ohne diese Passphrase sind Ihre Daten für immer verloren. Kein Anbieter kann sie zurücksetzen, es gibt keine Hintertür und keinen Kundendienst, der hilft. Legen Sie sie in Ihrem Passwortmanager ab und drucken Sie sie aus. Der Ausdruck gehört an einen anderen Ort als Ihre Rechner — Bankschließfach, Steuerberater, Wohnung statt Büro.

Erzeugen Sie eine lange, zufällige Passphrase. Merken müssen Sie sie sich nicht.

Schritt 6: Den Schlüssel exportieren und sichern

Borg legt den eigentlichen Verschlüsselungsschlüssel im Archiv ab, geschützt durch Ihre Passphrase. Falls das Archiv beschädigt wird, brauchen Sie eine Kopie:

borg key export ssh://u123456@u123456.your-storagebox.de:23/./sicherung ~/schluessel-sicherung.bin
borg key export --paper ssh://u123456@u123456.your-storagebox.de:23/./sicherung ~/schluessel-papier.txt

Die zweite Datei ist zum Ausdrucken gedacht — abgetippte Zeilen mit Prüfziffern, sodass Tippfehler sofort auffallen. Drucken Sie sie aus und legen Sie sie zur Passphrase. Danach löschen Sie beide Dateien vom Rechner.

Schritt 7: Die erste Sicherung

export BORG_REPO='ssh://u123456@u123456.your-storagebox.de:23/./sicherung'
export BORG_RSH='ssh -i ~/.ssh/storagebox -p 23'

borg create --stats --progress --compression zstd,3 \
  ::"$(date +%Y-%m-%d_%H%M)" \
  ~/Documents ~/Desktop ~/Pictures

Passen Sie die Ordnerliste an Ihre Gegebenheiten an. Der erste Lauf dauert je nach Datenmenge und Leitung Stunden — er überträgt alles. Jeder weitere Lauf überträgt nur die Änderungen und ist typischerweise in Minuten fertig.

Schritt 8: Ein Sicherungsskript anlegen

Erstellen Sie eine Datei ~/sicherung.sh mit folgendem Inhalt:

#!/bin/zsh
# Taegliche Sicherung auf die Storage Box.

export BORG_REPO='ssh://u123456@u123456.your-storagebox.de:23/./sicherung'
export BORG_RSH='ssh -i /Users/IHRNAME/.ssh/storagebox -p 23 -o BatchMode=yes'
export BORG_PASSPHRASE="$(security find-generic-password -a borg -s sicherung -w)"

PROTOKOLL=/Users/IHRNAME/sicherung-letzter-lauf.txt

borg create --stats --compression zstd,3 \
    ::"$(date +%Y-%m-%d_%H%M)" \
    /Users/IHRNAME/Documents \
    /Users/IHRNAME/Desktop \
    /Users/IHRNAME/Pictures \
    --exclude '**/node_modules' \
    --exclude '**/.Trash' \
    --exclude '**/Caches' \
    > "$PROTOKOLL" 2>&1

ERGEBNIS=$?
if [ $ERGEBNIS -eq 0 ]; then
  echo "$(date '+%Y-%m-%d %H:%M') erfolgreich" >> "$PROTOKOLL"
elif [ $ERGEBNIS -eq 1 ]; then
  echo "$(date '+%Y-%m-%d %H:%M') mit Warnungen" >> "$PROTOKOLL"
else
  echo "$(date '+%Y-%m-%d %H:%M') FEHLGESCHLAGEN (Code $ERGEBNIS)" >> "$PROTOKOLL"
  osascript -e 'display notification "Die Sicherung ist fehlgeschlagen." with title "Datensicherung"'
fi

Ersetzen Sie IHRNAME durch Ihren Benutzernamen. Die Passphrase holt das Skript aus dem Schlüsselbund — legen Sie sie einmalig dort ab:

security add-generic-password -a borg -s sicherung -w 'IHRE-PASSPHRASE'

Dann ausführbar machen und testen:

chmod 700 ~/sicherung.sh
~/sicherung.sh

Schritt 9: Zeitgesteuert ausführen

macOS nutzt dafür sogenannte LaunchAgents. Erstellen Sie die Datei ~/Library/LaunchAgents/de.firma.sicherung.plist:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN"
  "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>Label</key>
    <string>de.firma.sicherung</string>
    <key>ProgramArguments</key>
    <array>
        <string>/Users/IHRNAME/sicherung.sh</string>
    </array>
    <key>StartCalendarInterval</key>
    <dict>
        <key>Hour</key><integer>12</integer>
        <key>Minute</key><integer>30</integer>
    </dict>
    <key>RunAtLoad</key>
    <false/>
</dict>
</plist>

Aktivieren:

launchctl load ~/Library/LaunchAgents/de.firma.sicherung.plist

Warum 12:30 Uhr und nicht nachts? Weil der Rechner mittags läuft. Ein nächtlicher Termin fällt aus, wenn das Gerät ausgeschaltet oder zugeklappt ist — und genau das merkt niemand.

Beim ersten Lauf fragt macOS nach Zugriff auf Ihre Ordner. Bestätigen Sie das. Wenn Sie auch Schreibtisch, Dokumente und Fotos sichern wollen, geben Sie unter Systemeinstellungen → Datenschutz & Sicherheit → Festplattenvollzugriff dem Terminal die Berechtigung.

Schritt 10: Den Zugang einsperren — der wichtigste Schritt

Bis hierher haben Sie eine gute Sicherung. Sie ist aber noch nicht gegen Ransomware geschützt: Ihr Rechner darf auf der Box alles, also auch löschen.

Jetzt schränken Sie den Schlüssel so ein, dass er nur noch anhängen darf. Dazu bearbeiten Sie die Datei .ssh/authorized_keys auf der Storage Box.

Zuerst eine Sicherungskopie anlegen — ein Fehler hier sperrt Sie aus:

ssh -p 23 u123456@u123456.your-storagebox.de 'cp .ssh/authorized_keys .ssh/authorized_keys.sicherung'

Datei herunterladen:

scp -P 23 u123456@u123456.your-storagebox.de:.ssh/authorized_keys ~/authorized_keys

Öffnen Sie die Datei in einem einfachen Texteditor. Sie enthält eine Zeile pro Schlüssel. Setzen Sie vor Ihren Sicherungsschlüssel den Zwangsbefehl, sodass die Zeile so aussieht:

command="borg serve --append-only --restrict-to-path /home/sicherung",restrict ssh-ed25519 AAAA...ihr-schluessel... sicherung-buero-mac

Achten Sie darauf, dass alles in einer Zeile bleibt und der ursprüngliche Schlüsseltext unverändert ist.

Wieder hochladen:

scp -P 23 ~/authorized_keys u123456@u123456.your-storagebox.de:.ssh/authorized_keys

Sofort prüfen:

export BORG_REPO='ssh://u123456@u123456.your-storagebox.de:23/./sicherung'
export BORG_RSH='ssh -i ~/.ssh/storagebox -p 23'
borg list                    # muss funktionieren
~/sicherung.sh               # muss funktionieren

Wenn beides läuft, ist der Schutz aktiv.

Legen Sie sich einen zweiten Zugang ohne Beschränkung an, bevor Sie diesen Schritt machen — einen weiteren Schlüssel, den Sie nicht auf dem Arbeitsrechner aufbewahren, sondern auf einem USB-Stick im Schrank. Sie brauchen ihn zum Aufräumen alter Stände (siehe Teil 10) und für den Ernstfall.

Teil 5 — Aufbau unter Windows

Borg läuft nicht nativ unter Windows. Es gibt zwei gangbare Wege, und sie unterscheiden sich im Schutzniveau.

Weg A: Borg über WSL2 — gleichwertig zum Mac

WSL2 ist eine von Microsoft mitgelieferte Linux-Umgebung. Sie ist stabil, seit Jahren im Einsatz und für diesen Zweck gut geeignet. Der Aufwand liegt bei etwa einer halben Stunde zusätzlich.

Installation (in der Eingabeaufforderung als Administrator):

wsl --install -d Ubuntu

Nach dem Neustart richten Sie Benutzername und Passwort ein. Dann in der Ubuntu-Umgebung:

sudo apt update && sudo apt install -y borgbackup
borg --version

Ab hier folgen Sie Teil 4 ab Schritt 3 — die Befehle sind identisch. Ein Unterschied: Ihre Windows-Laufwerke erreichen Sie unter /mnt/c/, also etwa:

borg create ::"$(date +%Y-%m-%d_%H%M)" \
  /mnt/c/Users/IHRNAME/Documents \
  /mnt/c/Users/IHRNAME/Desktop

Zeitsteuerung: Cron innerhalb von WSL läuft nicht zuverlässig, wenn keine WSL-Sitzung offen ist. Nutzen Sie stattdessen die Windows-Aufgabenplanung und rufen Sie darüber das Skript in WSL auf:

• Programm: wsl.exe
• Argumente: -d Ubuntu -- /home/IHRNAME/sicherung.sh
• Haken setzen bei „Unabhängig von der Benutzeranmeldung ausführen”

Die Passphrase legen Sie in einer Datei mit eingeschränkten Rechten ab, da Windows keinen Schlüsselbund für WSL bietet:

echo 'IHRE-PASSPHRASE' > ~/.borg-passphrase
chmod 600 ~/.borg-passphrase

Im Skript dann export BORG_PASSPHRASE="$(cat ~/.borg-passphrase)".

Das ist schwächer als der Schlüsselbund auf dem Mac: Wer Ihren Rechner übernimmt, findet die Datei. Dagegen schützt die Append-only-Sperre — er kann die Sicherung lesen, aber nicht vernichten.

Weg B: Restic nativ — einfacher, aber mit Einschränkung

Restic ist ein vergleichbares Werkzeug, das direkt unter Windows läuft. Es ist schneller eingerichtet, hat aber einen wesentlichen Nachteil: Über SFTP lässt sich kein Append-only-Modus erzwingen, wie ihn Borg mit borg serve --append-only bietet. Restic kennt zwar --append-only, aber nur serverseitig über den eigenen REST-Server — den müssten Sie zusätzlich betreiben.

Bei Weg B stützt sich Ihr Ransomware-Schutz also allein auf die serverseitigen Schnappschüsse (Teil 6). Das ist deutlich besser als nichts, aber schwächer als Weg A.

Installation über den Paketmanager von Windows:

winget install restic.restic

Archiv anlegen und sichern:

setx RESTIC_REPOSITORY "sftp:u123456@u123456.your-storagebox.de:23:/sicherung"
restic init
restic backup C:\Users\IHRNAME\Documents C:\Users\IHRNAME\Desktop

Zeitsteuerung über die Windows-Aufgabenplanung, analog zu Weg A.

Weg C: Kopia — mit Oberfläche

Kopia bietet eine grafische Oberfläche und ist für Menschen ohne Kommandozeilenerfahrung die zugänglichste Wahl. Es beherrscht Verschlüsselung, Deduplizierung und Zeitpläne über Fenster und Schaltflächen. Für Append-only gilt dasselbe wie bei Restic: Über SFTP nicht erzwingbar.

Empfehlung: Wenn Sie sich Weg A zutrauen, nehmen Sie Weg A. Der Unterschied im Schutzniveau ist erheblich. Wenn nicht, nehmen Sie Weg C und verlassen Sie sich auf die Schnappschüsse — aber prüfen Sie dann besonders gewissenhaft, dass die Schnappschüsse tatsächlich angelegt werden.

Ein Sonderfall unter Windows: Schattenkopien

Windows legt eigene Wiederherstellungspunkte an (Volumeschattenkopie). Erpressersoftware löscht sie routinemäßig als Erstes. Verlassen Sie sich nicht darauf — sie sind eine Bequemlichkeit, keine Sicherung.

Prüfen Sie außerdem, ob Ihre Sicherungssoftware Dateien sichern kann, die gerade geöffnet sind. Restic und Kopia nutzen dafür den Schattenkopie-Dienst; bei Borg unter WSL2 sollten Sie Datenbanken und Outlook-Archive vor dem Lauf schließen oder gesondert exportieren.

Teil 6 — Der zweite Wall: Schnappschüsse

Hier kommt der Punkt, an dem die meisten Anleitungen zu optimistisch sind — und den wir beim Aufbau nachgemessen haben.

Was Append-only wirklich leistet

Der Name verspricht mehr, als der Modus hält. Ein Löschbefehl vom eingeschränkten Zugang aus läuft ohne Fehlermeldung durch. Das Archiv verschwindet danach aus der Übersicht, und die Software meldet null Byte Inhalt.

Was der Server tatsächlich verweigert, ist allein das physische Löschen der Datenblöcke. Die lagen bei unserem Test anschließend unverändert auf dem Speicher.

Praktisch bedeutet das:

• Ein übernommener Rechner kann Ihre Sicherung unbrauchbar erscheinen lassen, aber nicht vernichten.
• Die Rückholung ist Handarbeit und braucht den unbeschränkten Zweitzugang.
• Wer den Schutz prüfen will, sollte den Löschversuch nicht am produktiven Stand ausprobieren. Genau das ist uns passiert; der Stand musste danach neu hochgeladen werden.

Deshalb genügt Append-only allein nicht. Es braucht die zweite Ebene.

Schnappschüsse aktivieren

Bei der Hetzner Storage Box legen Sie im Kundenkonto einen Schnappschuss-Zeitplan an: täglich, mit einer Aufbewahrung von 20 Ständen. Das kostet nichts extra und läuft über das Verwaltungskonto — Ihr Sicherungsschlüssel hat darauf keinen Zugriff.

Damit gilt: Selbst wenn ein Angreifer Ihren Sicherungszugang übernimmt und die Übersicht leert, holen Sie über einen Schnappschuss den Stand von vorgestern zurück.

Sichern Sie das Kundenkonto ab. Es ist jetzt die letzte Verteidigungslinie:

• Zwei-Faktor-Anmeldung aktivieren (nicht per E-Mail — die hängt am selben Postfach wie ein Passwort-Reset)
• Wiederherstellungscodes ausdrucken und außer Haus legen
• Ein Passwort, das nirgendwo sonst verwendet wird

Teil 7 — Der Notfallzettel

Im Ernstfall sitzen Sie vor einem verschlüsselten Rechner. Alles, was nur dort gespeichert war, ist unerreichbar — auch die Zugangsdaten zu Ihrer Sicherung.

Legen Sie deshalb ein Blatt Papier an, das folgende Angaben enthält:

DATENSICHERUNG — NOTFALLZUGANG                    Stand: TT.MM.JJJJ

Anbieter:      Hetzner Storage Box
Host:          u123456.your-storagebox.de
Port:          23   (nicht 22)
Benutzer:      u123456

Kundenkonto:   accounts.hetzner.com
Benutzername:  ______________________
Passwort:      ______________________
2FA-Wiederherstellungscodes:
               ______________________
               ______________________

ARCHIV-PASSPHRASE (ohne diese ist alles verloren):
               ______________________________________

Wiederherstellung:
  1. Borg installieren (borgbackup.org)
  2. export BORG_REPO='ssh://u123456@u123456.your-storagebox.de:23/./sicherung'
  3. borg list                      -> zeigt alle Staende
  4. borg extract ::<stand>         -> holt alles zurueck

Wenn "borg list" leer ist:
  Im Kundenkonto einen Schnappschuss zurueckspielen, dann erneut versuchen.

Dazu gehört der ausgedruckte Papierschlüssel aus Schritt 6.

Beide Blätter gehören an einen Ort außerhalb des Betriebs. Ein Tresor im selben Gebäude hilft bei Feuer nicht. Bankschließfach, Steuerberater, Privatwohnung.

Und ein Dokument mit diesen Angaben darf nicht auf dem Rechner liegen bleiben — es würde in dieselbe Sicherung wandern, die es aufschließt, und wäre für jeden lesbar, der Ihren Rechner übernimmt. Nach dem Ausdrucken löschen.

Teil 8 — Wiederherstellung: erst geübt, dann geglaubt

Eine ungetestete Sicherung ist eine Vermutung. Die Null in „3-2-1-1-0” steht genau dafür.

Die kleine Übung — monatlich, fünf Minuten

Holen Sie eine einzelne Datei zurück und vergleichen Sie sie mit dem Original:

cd /tmp && mkdir probe && cd probe
borg extract ::2026-08-31_1230 Users/IHRNAME/Documents/wichtig.pdf

Öffnen Sie die Datei. Sieht sie richtig aus? Gut.

Die große Übung — halbjährlich, ein bis zwei Stunden

Stellen Sie einen kompletten Arbeitsplatz wieder her, auf einem anderen Gerät oder in einer virtuellen Maschine. Und zwar so, wie Sie es im Ernstfall müssten: nur mit dem Notfallzettel, ohne Hilfe von Ihrem eingerichteten Rechner.

Diese Übung beantwortet Fragen, die vorher niemand stellt:

• Ist die Passphrase auf dem Zettel wirklich die richtige?
• Fehlt ein Ordner, an den niemand gedacht hat?
• Wie lange dauert das Herunterladen tatsächlich?
• Funktioniert die Fachanwendung mit den zurückgeholten Daten, oder braucht sie eine Lizenzdatei, die nirgends gesichert war?

Halten Sie die Zeit fest. Wenn die Wiederherstellung acht Stunden dauert, wissen Sie, was ein Befall Sie kostet — und können entscheiden, ob Sie damit leben können.

Nützliche Befehle

borg list                          # alle Staende
borg list ::<stand> | less         # Inhalt eines Standes
borg extract ::<stand> pfad/datei  # eine Datei
borg extract ::<stand>             # alles
borg mount ::<stand> /tmp/einblick # als Ordner einbinden, ohne zu entpacken
borg umount /tmp/einblick
borg diff ::<stand-a> ::<stand-b>  # Unterschied zwischen zwei Staenden

Besonders borg mount ist im Ernstfall hilfreich: Sie können den Bestand durchsehen, bevor Sie etwas zurückspielen.

Teil 9 — Prüfen, ob die Sicherung befallen ist

Das ist der Teil, den fast alle Anleitungen auslassen. Er ist der schwierigste — und im Ernstfall der wichtigste.

Warum die Frage überhaupt entsteht

Zwischen Eindringen und Verschlüsselung liegen Tage bis Wochen. Ihre Sicherungsstände aus dieser Zeit können bereits die Schadsoftware enthalten. Spielen Sie einen solchen Stand zurück, holen Sie sich den Befall zurück ins Haus — und der Angreifer hat wieder Zugriff.

Grundregel: Niemals ungeprüft auf ein Produktivsystem zurückspielen

Die isolierte Prüfumgebung

Sie brauchen eine virtuelle Maschine ohne Netzwerkverbindung. Kostenlos verfügbar:

Einrichtung — die Reihenfolge ist wichtig:

1. Virtuelle Maschine anlegen, Betriebssystem frisch installieren
2. Netzwerk in den Einstellungen der VM vollständig deaktivieren — nicht nur trennen, sondern die Netzwerkkarte entfernen
3. Gemeinsame Ordner mit dem Wirtsystem abschalten, Zwischenablage-Austausch ebenfalls
4. Einen Schnappschuss der sauberen VM anlegen, bevor Sie irgendetwas hineinholen

Punkt 3 wird gern übersehen: Ein gemeinsamer Ordner ist eine Brücke, über die Schadsoftware zurück auf Ihren Rechner gelangt.

Die Daten in die VM bekommen — ohne Netz geht das über eine virtuelle Festplatte, die Sie außerhalb befüllen und dann in der VM einbinden. Bei UTM und VirtualBox können Sie ein Abbild anhängen. Alternativ: Netzwerk kurz aktivieren, nur zum Herunterladen der Sicherung, dann vor dem Entpacken wieder deaktivieren.

Woran Sie einen Befall erkennen

Auffällige Dateiendungen. Verschlüsselte Dateien tragen oft eine zusätzliche Endung. Suchen Sie nach allem, was nicht zu Ihren Dateitypen passt:

find . -type f | grep -vE '\.(pdf|docx|xlsx|jpg|png|txt|md|zip)$' | head -50

Erpressernachrichten. Fast jede Ransomware hinterlegt Textdateien in jedem Ordner:

find . -iname "*readme*" -o -iname "*decrypt*" -o -iname "*restore*files*" \
       -o -iname "*how*to*recover*" -o -iname "*ransom*"

Dateien, die nicht mehr das sind, was sie zu sein vorgeben. Verschlüsselte Dateien behalten oft den Namen, verlieren aber ihre innere Struktur:

# Auf Mac und Linux: prueft den tatsaechlichen Typ anhand des Dateikopfes
find . -name "*.pdf" -exec file {} \; | grep -v "PDF document"
find . -name "*.docx" -exec file {} \; | grep -v -E "Zip|Microsoft"

Jede Zeile in der Ausgabe ist verdächtig: Eine Datei, die .pdf heißt, aber kein PDF ist, wurde verschlüsselt.

Verdächtige Zeitstempel. Ransomware verändert sehr viele Dateien in kurzer Zeit:

find . -type f -newermt "2026-08-01" ! -newermt "2026-08-02" | wc -l

Wenn an einem einzigen Tag zehntausende Dateien geändert wurden, an dem niemand gearbeitet hat, haben Sie den Befallszeitpunkt gefunden.

Ausführbare Dateien, wo keine hingehören. In Dokumentenordnern haben .exe, .scr, .js, .vbs und Office-Dateien mit Makros (.docm, .xlsm) nichts zu suchen:

find . -type f \( -name "*.exe" -o -name "*.scr" -o -name "*.js" \
     -o -name "*.vbs" -o -name "*.docm" -o -name "*.xlsm" \)

Virenscanner laufen lassen. In der isolierten VM installieren Sie einen Scanner und prüfen den zurückgeholten Bestand. Unter Windows genügt der eingebaute Defender; plattformübergreifend ist ClamAV kostenlos verfügbar. Ein sauberer Scan ist kein Beweis für Unbedenklichkeit, ein Fund aber ein sicheres Ausschlusskriterium.

Den letzten sauberen Stand finden

Nutzen Sie die Vergleichsfunktion, um den Befallszeitpunkt einzugrenzen:

borg diff ::2026-08-01_1230 ::2026-08-02_1230 | head -40

Ein Stand, in dem plötzlich zehntausende Dateien geändert wurden, ist der Befall. Der Stand davor ist Ihr Kandidat — und der gehört in die isolierte VM zur Prüfung.

Halten Sie deshalb ausreichend viele Stände vor. Dreißig Tage sind ein vernünftiger Richtwert, denn so lange kann ein Befall unbemerkt bleiben. Wer nur sieben Stände hat, hat im Ernstfall womöglich nur befallene.

Eine einfache Frühwarnung: Köderdateien

Legen Sie in mehreren Ordnern eine unauffällige Datei ab, etwa _zzz-pruefdatei.txt mit bekanntem Inhalt. Prüfen Sie bei jeder Sicherung, ob sie noch lesbar ist:

borg extract --stdout ::<stand> pfad/_zzz-pruefdatei.txt | head -1

Kommt statt Ihres Textes wirrer Zeichensalat zurück, wurde verschlüsselt. Das ist keine vollständige Absicherung, aber eine billige Warnung, die früh anschlägt.

Wenn Sie einen Befall feststellen

1. Betroffene Geräte vom Netz nehmen — Kabel ziehen, WLAN aus. Nicht ausschalten: Der Arbeitsspeicher enthält Spuren, die der Forensik helfen.
2. Nicht auf das Produktivsystem zurückspielen, bevor es neu aufgesetzt ist.
3. Meldepflichten prüfen. Sind personenbezogene Daten betroffen, greift Artikel 33 DSGVO: Meldung an die Aufsichtsbehörde binnen 72 Stunden. Bei Betroffenenrisiko zusätzlich Artikel 34. Die Frist läuft ab Kenntnis.
4. Anzeige erstatten. Jedes Bundesland hat eine Zentrale Ansprechstelle Cybercrime.
5. Kein Lösegeld zahlen, ohne fachliche und rechtliche Beratung. Es gibt keine Garantie, und die Zahlung kann selbst strafbar sein.
6. Erst den Zugangsweg schließen, dann wiederherstellen. Sonst kommt der Angreifer über dieselbe Lücke zurück.

Teil 10 — Laufender Betrieb

Alte Stände abräumen

Mit Append-only kann Ihr Arbeitsrechner nichts löschen — auch keine veralteten Stände. Das Aufräumen läuft über den unbeschränkten Zweitzugang, den Sie in Teil 4 angelegt haben:

export BORG_RSH='ssh -i /pfad/zum/zweitschluessel -p 23'
borg prune --keep-daily 30 --keep-weekly 12 --keep-monthly 12 <repo>
borg compact <repo>

Das behält 30 tägliche, 12 wöchentliche und 12 monatliche Stände. Machen Sie das etwa vierteljährlich — von einem Rechner aus, der nicht Ihr Alltagsgerät ist, oder mit einem Schlüssel, der nur für diesen Zweck vom Stick geholt wird.

Prüfen, ob die Sicherung überhaupt läuft

Eine Sicherung, die seit sechs Wochen scheitert, ohne dass es jemand merkt, ist der häufigste Fehler überhaupt. Bauen Sie eine Kontrolle ein:

• Einfach: Das Skript schreibt bei Fehlern eine Mitteilung auf den Bildschirm (im Beispiel in Teil 4 enthalten). Prüfen Sie zusätzlich einmal pro Woche das Protokoll.
• Besser: Ein kostenloser Überwachungsdienst wie Healthchecks.io. Ihr Skript ruft am Ende eine Adresse auf; bleibt der Aufruf aus, bekommen Sie eine Nachricht. Das erkennt auch den Fall, dass das Skript gar nicht erst startet — den ein Fehlerprotokoll niemals bemerkt.

Anhängen an das Skript:

curl -fsS -m 10 --retry 3 https://hc-ping.com/IHRE-KENNUNG

Was Sie regelmäßig tun sollten

Der letzte Punkt ist der am häufigsten vergessene. Eine neue Fachanwendung legt ihre Daten woanders ab — und niemand merkt es, bis sie gebraucht werden.

Teil 11 — Checkliste zum Abhaken

Einrichtung

• Speicherplatz beim Anbieter bestellt
• Eigener SSH-Schlüssel nur für die Sicherung erzeugt
• Zweiter, unbeschränkter Schlüssel angelegt und außerhalb des Rechners verwahrt
• Verschlüsseltes Archiv angelegt
• Passphrase im Passwortmanager und ausgedruckt
• Papierschlüssel exportiert, ausgedruckt, Datei vom Rechner gelöscht
• Beide Ausdrucke an einem Ort außerhalb des Betriebs
• Liste der zu sichernden Ordner vollständig — auch Fachanwendungen und Mail-Archive
• Erste vollständige Sicherung gelaufen
• Zeitsteuerung eingerichtet und einen Tag später überprüft
• Zugang auf Append-only eingeschränkt und danach getestet
• Serverseitige Schnappschüsse aktiviert
• Zwei-Faktor-Anmeldung fürs Kundenkonto, Wiederherstellungscodes ausgedruckt
• Notfallzettel geschrieben und ausgelagert
• Überwachung eingerichtet (Mitteilung bei Fehler oder Ausbleiben)

Vor dem Ernstfall

• Einzelne Datei erfolgreich zurückgeholt
• Vollständige Wiederherstellung geübt, Dauer notiert
• Isolierte virtuelle Maschine eingerichtet und einmal benutzt
• Köderdateien in wichtigen Ordnern abgelegt

Anhang A — Häufige Fehlerbilder

Anhang B — Wenn Sie es sich nicht selbst zutrauen

Dieser Leitfaden ist so geschrieben, dass er ohne Vorkenntnisse nachvollziehbar ist. Trotzdem gilt: Wenn Sie beim Schritt „Zugang einsperren” unsicher werden, holen Sie sich Unterstützung. Ein halber Tag externe Hilfe ist günstiger als eine Sicherung, die im Ernstfall nicht funktioniert.

Achten Sie bei der Auswahl darauf, dass die Dienstleistung folgende Punkte umfasst — nicht nur die Einrichtung:

• Nachweis, dass der Löschschutz tatsächlich greift (mit einem Testarchiv, nicht mit Ihren Daten)
• Übergabe eines Notfallzettels, den Sie verstehen
• Eine gemeinsam durchgeführte Wiederherstellungsübung
• Klärung, wer im Ernstfall erreichbar ist und wie schnell

Anhang C — Einrichtung mit Claude Code

Wenn Sie Claude Code nutzen (im Terminal oder in der Desktop-App), können Sie sich durch die Einrichtung führen lassen, statt die Befehle selbst abzutippen. Sie geben Claude diesen Leitfaden und den Prompt weiter unten — den Rest klärt Claude im Gespräch mit Ihnen und führt aus, was ausführbar ist.

Was Sie vorbereiten: Diese Datei muss für Claude erreichbar sein. Im Terminal legen Sie sie einfach in das Verzeichnis, in dem Sie Claude Code starten. In der Desktop-App wählen Sie den Ordner mit der Datei als Projektordner.

Was Claude nicht kann — und wofür Sie selbst zuständig bleiben:

Der Prompt

Kopieren Sie den folgenden Text vollständig und schicken Sie ihn als erste Nachricht an Claude Code.

Du richtest mit mir gemeinsam eine ransomware-sichere Datensicherung ein.

GRUNDLAGE
Lies zuerst vollständig die Datei "leitfaden-ransomware-sichere-datensicherung.md"
im aktuellen Verzeichnis. Sie enthält das komplette Verfahren einschließlich der
Fallstricke. Halte dich daran. Wo der Leitfaden und deine Gewohnheiten
auseinandergehen, gilt der Leitfaden.

MEINE VORAUSSETZUNGEN
Ich habe keine Vorkenntnisse in Serveradministration. Erkläre in normaler Sprache,
was du tust und warum. Verzichte auf Fachbegriffe, die du nicht erklärst.
Führe Befehle selbst aus, wo du es kannst; wo du es nicht kannst, gib mir die
Zeile fertig zum Kopieren und sag mir, was ich zurückmelden soll.

ABLAUF
Arbeite in fünf Phasen und beginne die nächste erst, wenn die vorige geprüft ist.

Phase 1 — Bestandsaufnahme (nur Fragen, noch nichts einrichten)
  Frage mich nacheinander, nicht alles auf einmal:
  - Welches Betriebssystem, welche Version?
  - Welche Ordner müssen gesichert werden? Frag konkret nach: Buchhaltung,
    Verträge, Kundendaten, Projektdateien, Fotos, E-Mail-Archive,
    Datenbanken von Fachanwendungen. Hilf mir, die Pfade zu finden — sieh nach,
    wo die üblichen Ablagen liegen, und schlage vor, was fehlen könnte.
  - Wie viele Daten sind das? Miss es selbst, statt mich schätzen zu lassen.
  - Wie viel Datenverlust verkrafte ich im Ernstfall: einen Tag, eine Stunde?
  - Habe ich schon Speicherplatz bei einem Anbieter, oder muss ich bestellen?
  Fasse am Ende zusammen, was du verstanden hast, und lass es dir bestätigen.

Phase 2 — Vorbereitung
  - Prüfe, ob die nötige Software vorhanden ist, und installiere sie sonst.
  - Erzeuge einen eigenen SSH-Schlüssel nur für die Sicherung, ohne Passphrase.
  - Erzeuge einen ZWEITEN, unbeschränkten Schlüssel. Erkläre mir, warum:
    Der erste wird später eingesperrt; ohne den zweiten kann niemand mehr
    aufräumen oder im Notfall eingreifen. Sag mir ausdrücklich, dass ich diesen
    zweiten Schlüssel NICHT auf dem Arbeitsrechner lassen soll, sondern auf einem
    USB-Stick, den ich wegschließe.
  - Erzeuge eine lange, zufällige Passphrase für das Archiv.
    Zeig sie mir einmal im Klartext und weise mich an, sie sofort in meinen
    Passwortmanager zu übernehmen und auszudrucken.
    Schreib sie NICHT in eine Datei, die später mitgesichert wird.

Phase 3 — Einrichtung
  - Lege das verschlüsselte Archiv an.
  - Exportiere den Schlüssel, auch als Papierfassung. Lass mich beides ausdrucken
    und lösche die Dateien danach vom Rechner.
  - Führe die erste vollständige Sicherung durch. Sag mir vorher, wie lange das
    ungefähr dauert, und lass es im Hintergrund laufen.
  - Lege ein Sicherungsskript an, das bei Fehlern eine sichtbare Meldung erzeugt.
  - Richte die Zeitsteuerung ein. Wähle eine Uhrzeit innerhalb meiner Arbeitszeit,
    nicht nachts — der Rechner muss laufen. Erkläre mir, warum.

Phase 4 — Den Schutz scharfschalten (der heikelste Teil)
  Halte diese Reihenfolge unbedingt ein:
  1. Vergewissere dich, dass der zweite, unbeschränkte Zugang funktioniert.
     Teste ihn wirklich, verlass dich nicht darauf, dass er angelegt wurde.
  2. Lege eine Sicherungskopie der Zugangsdatei auf dem Server an, bevor du sie
     änderst.
  3. Schränke erst dann den Sicherungsschlüssel auf "nur anhängen" ein.
  4. Prüfe sofort, dass Auflisten und Sichern weiterhin funktionieren.
  Wenn einer dieser Schritte fehlschlägt, mach die Änderung rückgängig und
  sag mir, was du vorgefunden hast. Sperr mich nicht aus.

  Wichtig, mit Begründung erklären: "Nur anhängen" verhindert, dass Daten
  physisch gelöscht werden — es verhindert NICHT, dass jemand die Übersicht
  leert, sodass die Sicherung als verschwunden erscheint. Deshalb brauche ich
  zusätzlich die serverseitigen Schnappschüsse. Weise mich an, sie im
  Kundenkonto einzuschalten, und erkläre mir, dass mein Sicherungszugang
  darauf bewusst keinen Zugriff hat.

  Teste den Löschschutz NICHT an meinem echten Sicherungsstand. Wenn du ihn
  prüfen willst, leg ein leeres Testarchiv an und probier es dort.

Phase 5 — Absichern und übergeben
  - Erstelle den Notfallzettel nach dem Muster im Leitfaden, gefüllt mit meinen
    tatsächlichen Angaben. Lass mich ihn ausdrucken und weise mich an, die Datei
    danach zu löschen — sie enthält die Passphrase im Klartext.
  - Führe mit mir eine Wiederherstellung durch: erst eine einzelne Datei, dann
    einen ganzen Ordner an einen anderen Ort. Ich muss sehen, dass es geht.
  - Miss, wie lange das gedauert hat, und rechne mir hoch, was eine vollständige
    Wiederherstellung kosten würde — in Zeit.
  - Richte eine Überwachung ein, die anschlägt, wenn die Sicherung ausbleibt.
    Erkläre mir, warum eine Fehlermeldung allein nicht reicht: Läuft das Skript
    gar nicht erst, meldet auch nichts einen Fehler.
  - Fasse zum Schluss zusammen: Was läuft wann, wo liegt was, was muss ich
    monatlich, vierteljährlich und halbjährlich tun. Schreib das in eine Datei
    "meine-datensicherung.md" in meinem Ordner.

DAUERHAFTE REGELN
- Erkläre vor jedem Schritt, was du tust und was passieren würde, wenn es
  schiefgeht.
- Prüfe nach jedem Schritt das Ergebnis, statt anzunehmen, dass es geklappt hat.
  Melde mir, was du geprüft hast.
- Wenn ein Befehl fehlschlägt, rate nicht. Sieh dir die Fehlermeldung an, prüfe
  die Ursache und erkläre sie mir.
- Lösche nichts ohne meine ausdrückliche Zustimmung. Zeig mir vorher, was
  betroffen wäre, und nenne die Anzahl.
- Schreib die Passphrase in keine Datei, die in die Sicherung wandert.
- Wenn du unsicher bist, ob ein Schritt mich aussperren könnte, frag mich vorher.
- Halte am Ende jeder Phase kurz an und fasse zusammen, bevor du weitermachst.

BEGINNE
Lies den Leitfaden und stell mir dann die erste Frage aus Phase 1.

Hinweise zur Nutzung

Im Terminal starten Sie Claude Code in dem Ordner, in dem der Leitfaden liegt, und fügen den Prompt als erste Nachricht ein.

In der Desktop-App wählen Sie denselben Ordner als Projekt aus und fügen den Prompt in das Eingabefeld ein. Der Ablauf ist identisch.

Rechnen Sie mit zwei bis vier Stunden, verteilt über mehrere Sitzungen. Die erste vollständige Sicherung läuft dabei im Hintergrund und braucht je nach Datenmenge deutlich länger — das ist Wartezeit, keine Arbeitszeit.

Sie können jederzeit unterbrechen. Sagen Sie Claude, dass Sie später weitermachen wollen, und bitten Sie um eine kurze Notiz zum Stand. Beim nächsten Mal geben Sie dieselbe Notiz und den Prompt erneut.

Bleiben Sie beim heikelsten Schritt aufmerksam. Wenn Claude in Phase 4 den Zugang einsperrt, lassen Sie sich zeigen, dass der zweite Zugang vorher getestet wurde. Das ist die eine Stelle, an der ein Fehler dazu führt, dass niemand mehr an die Sicherung kommt.

Prüfen Sie die Angaben auf dem Notfallzettel selbst nach. Nicht, weil Claude schlampt — sondern weil Sie im Ernstfall allein davor sitzen und wissen müssen, was dort steht.

Zusammenfassung in fünf Sätzen

Sichern Sie verschlüsselt an einen Ort außer Haus. Nehmen Sie dem sichernden Rechner das Recht zu löschen. Setzen Sie serverseitige Schnappschüsse als zweite Ebene darüber, weil der Löschschutz allein die Übersicht nicht schützt. Bewahren Sie Passphrase und Zugangsdaten auf Papier außerhalb des Betriebs auf. Und üben Sie die Wiederherstellung, bevor Sie sie brauchen — alles andere ist eine Vermutung.