Backup vs. Archiv

Restow führt Backup und Archiv im selben zugrunde liegenden Speicher, aber sie beantworten unterschiedliche Fragen, folgen unterschiedlichen Regeln und (das ist der Punkt, den man leicht falsch erwartet) keines von beiden löscht etwas aus Ihrem Postfach.

Die kurze Antwort

	Backup	Archiv
Beantwortete Frage	„Kann ich das zurückholen?“	„Kann ich beweisen, was hier stand und wann es ankam?“
Erfassung	Nach Zeitplan (Delta-Sync)	Bevor ein Nutzer lesen, ändern oder löschen kann (Exchange-Online-Journaling oder eine Kopie, die der Mailanbieter weiterleitet; ab Business), kurz nach der Zustellung aus dem Postfach (Graph-Erfassung und IMAP-Archivierung, zeitnah und nicht vollständig; ab Business, seit 0.4.4) oder beim Import aus Dateien mit der Archiv-Option (jede Edition)
Aufbewahrungsdauer	Nach Aufbewahrungsrichtlinie (ein Mandanten-Standard plus Abweichungen für einzelne Objekte, auf dem Reiter Aufbewahrung der Mandanten-Einrichtung); ohne Richtlinie wird jeder Sicherungsstand behalten	Gesetzliche Frist: fest 8 Jahre, die am 31. Dezember des Jahres des Eingangs plus 8 Jahre endet (noch keine Einstellung für eine andere Frist)
Vorzeitig löschbar	Ja, nach Richtlinie oder durch eine Administration, außer das Repository hat unveränderbare Backups eingeschaltet (seit 0.4.0): Dann weigert sich der Speicher, einen gesperrten Sicherungsstand vor seinem Datum zu löschen, und die Aufbewahrung lässt ihn bis dahin in Ruhe. Ein ungeklärter Ransomware-Befund hält außerdem die Aufbewahrung seines Objekts an	Nicht über Restow: Die Anwendung hat keinen Weg, ein Element vor Fristablauf zu ändern oder zu löschen, und ein Legal Hold stoppt selbst die geplante Löschung. Auf lokalen und NFS-Zielen erzwingt das die Anwendung, nicht der Speicher (siehe was das Speicherziel durchsetzt)
Wirkung auf das lebende Postfach	Keine	Keine
Restore	In das Original oder ein anderes Postfach, nicht-destruktiv	Export als EML in einer ZIP-Datei oder als MBOX; das Zurückspielen von Archivelementen in ein Postfach ist geplant

Keines von beiden ist „kopieren und aus dem Postfach löschen“

Das ist es wert, klar ausgesprochen zu werden, weil „Archivierung“ manchmal so verstanden wird, als würde Mail aus dem Postfach entfernt, um Platz zu sparen, so wie manche älteren Archivierungsprodukte das Original nach der Erfassung durch einen Verweis ersetzen oder entfernen (Stubbing). Das tut Restow nicht. Sowohl Backup als auch Archiv sind additiv: Sie erzeugen eine unabhängige Kopie an anderer Stelle. Was danach mit dem Original im lebenden Postfach geschieht, liegt vollständig bei den eigenen Aufbewahrungsrichtlinien und Holds Ihrer Organisation in Exchange Online sowie beim Nutzer. Restow greift nicht in ein Postfach ein, um als Nebeneffekt der Sicherung oder Archivierung etwas zu löschen.

Die direkte Antwort also: Backup ist eine wiederherstellbare Kopie Ihres Postfachs, und das Archiv ist eine unabhängige, manipulationserkennbare Kopie für den rechtlichen Nachweis: keines von beiden ist dadurch definiert, dass das Original aus dem Postfach entfernt wird.

Warum es zwei getrennte Systeme braucht

Wären Backup und Archiv derselbe Mechanismus, ginge eines von zwei Dingen schief:

Läuft er nach den Regeln des Backups (rotierend, kürzbar, nach Zeitplan erfasst), ist er als Nachweis unbrauchbar: Ein Stunden nach Eingang erfasstes Element auf einem System, aus dem eine Administration löschen kann, erfüllt weder die zeitgerechte Erfassung noch den Schutz vor Änderung.
Läuft alles nach den Regeln des Archivs (nur anhängbar, lange Aufbewahrung), wird die gewöhnliche betriebliche Wiederherstellung unnötig starr und teuer für Daten, die nie rechtlicher Nachweis sein mussten.

Konkret in Restow:

Backup läuft nach Zeitplan, über Microsoft-Graph-Delta-Abfragen (Exchange Online, OneDrive), IMAP-Sync oder, bei Servern und Clients, den Restow-Agent, und seine Aufbewahrung ist eine betriebliche Entscheidung: wie viele Zeitpunkte Sie erreichen können möchten.
Archiv (in jeder Edition; Journal-Empfang, Erfassung aus dem Postfach, durchgesetzte Aufbewahrung und Legal Hold ab Business; siehe Archivierung) wird über Exchange-Online-Journaling (ab Business) gefüllt, was Restow eine Kopie einer Nachricht gibt, bevor ein Nutzer überhaupt etwas damit tun kann, über Kopien, die ein Mailanbieter weiterleitet, über die Erfassung aus dem Postfach kurz nach der Zustellung (Graph für Microsoft 365, IMAP-Archivierung für IMAP und Google Workspace; zeitnah und nicht vollständig) und über den Mail-Import mit Archivierung (jede Edition). Es ist nur anhängbar, mit einer Prüfkette, die Änderungen erkennbar macht, für eine feste Frist von 8 Jahren (die deutschen Fristen stehen unter GoBD und Nachweise), die die Anwendung vor Ablauf nicht verkürzen kann. Auf lokalen und NFS-Zielen erzwingt das die Anwendung, nicht der Speicher; auf S3 mit Object Lock sind die Datensätze der Archivelemente bis zum Ende der Aufbewahrung gesperrt, und der Nachrichteninhalt ist zusammen mit den Backup-Daten gesperrt, wo unveränderbare Backups für das Repository eingeschaltet sind. Object Lock, das der eigenen Aufbewahrung des Archivs folgt, ist geplant. Siehe Archivierung und Journaling.

Journaling ist keine Postfach-Sicherung

Journaling erfasst jede Mail, während sie durch den Exchange-Online-Transport geht, im Stand beim Versand, und hält sonst nichts fest: keine Kalender, Kontakte, Ordner, Gelesen-Status oder späteren Änderungen. Die Erfassung aus dem Postfach (Graph, IMAP-Archivierung) holt jede Mail kurz nach der Zustellung und hält dasselbe fest: die Mail, nicht das Postfach. Die Postfach-Sicherung stellt Ordner, Kalender, Kontakte und ganze Postfächer so wieder her, wie sie zu einem Sicherungsstand waren, verfehlt aber Mail, die zwischen zwei Läufen eingeht und gelöscht wird, und ist nicht manipulationserkennbar. Zum Wiederherstellen brauchen Sie die Sicherung, zum Nachweisen das Archiv; mit Archiv genügt eine seltenere Sicherung (der Job-Editor schlägt alle 8 Stunden vor). Der ganze Vergleich steht unter Archivierung und Journaling.

Vorhandene Mail und dieselbe Mail zweimal (seit 0.4.4)

Wird die Erfassung aus dem Postfach (Graph oder IMAP-Archivierung, ab Business) für ein Postfach eingeschaltet, wird Mail, die schon dort liegt, einmalig übernommen und als nachträglich erfasst markiert, weil das Archiv nicht zeigen kann, dass sie vor dem Beginn der Erfassung niemand geändert hat. Dieselbe Mail, die auf mehreren Wegen im Archiv ankommt, etwa über die Weiterleitung und über die IMAP-Archivierung, wird an Message-ID und Inhalt erkannt und als ein Element mit dem stärkeren Weg behalten; die Suche blendet die schwächere Erfassung aus, es sei denn, Sie verlangen sie. Nichts davon berührt die Postfach-Sicherung. Beides steht unter Archivierung, und dort unter Bekannte Probleme, was getestet wurde und was nicht erkannt wird.

Sicherungsstände, kein „Feature für Server-Backups“

Jeder Sicherungslauf erzeugt einen Sicherungsstand (englisch „restore point“), Restows eigene, allgemeinverständliche Bezeichnung für das, was der zugrunde liegende Code einen Snapshot nennt: den Zustand eines Postfachs, eines OneDrives oder eines IMAP-Kontos zum Zeitpunkt, zu dem dieser Lauf endete. Ein inkrementeller Lauf liest nur das Geänderte erneut, aber der dabei entstehende Sicherungsstand ist trotzdem eine vollständige Momentaufnahme des ganzen Objekts, kein Diff, das gegen ältere Stände abgespielt werden müsste. Unveränderte Elemente werden einfach vom vorherigen Sicherungsstand übernommen.

Aus einem Sicherungsstand wiederherzustellen ist keine Alles-oder-nichts-Operation und kein Feature, das server-artigen Datei-Backups vorbehalten wäre: Derselbe Mechanismus stellt eine einzelne Mail, eine einzelne Datei, einen ganzen Ordner, eine ältere Dateiversion, die Restow selbst gesichert hat (eine ältere Version, die OneDrive selbst aufbewahrt hat, ist nur herunterladbar, nicht wiederherstellbar, siehe Backup und Restore), oder das gesamte Postfach/OneDrive/IMAP-Konto zu diesem Zeitpunkt wieder her, für Microsoft 365 ebenso wie für IMAP. Wie das in der Oberfläche konkret funktioniert, steht unter Backup und Restore, wie der letzte Sicherungsstand durch stichprobenartiges Zurücklesen geprüft wird (nicht nur gespeichert), unter Wie Restow prüft, ob eine Sicherung wiederherstellbar ist.

Server und Client-Rechner werden anders gesichert, vom Restow-Agent in restic-Repositories; siehe Endpoint-Backup. Die VMs und Container von Proxmox VE (eine Preview) werden als geänderte Festplattenblöcke und über restic gesichert; siehe Proxmox-VE-Backup. Aus Dateien importierte Mail wird gar nicht gesichert: Sie liegt als importiertes Postfach vor, und Sie können sie optional zusätzlich archivieren, mit einer Aufbewahrung, die ab dem Importdatum zählt; siehe Mail-Dateien importieren und exportieren.

Wie lange ein Sicherungsstand aufbewahrt wird

Die Backup-Aufbewahrung ist eine betriebliche Entscheidung, getrennt von der Archiv-Aufbewahrung: wie viele Sicherungsstände Sie erreichen können möchten, keine gesetzliche Mindestfrist. Mandanten-Administrationen legen sie auf dem Reiter Aufbewahrung der Mandanten-Einrichtung fest (Mandanten-Einstellungen → Backup-Aufbewahrung): ein Mandanten-Standard plus Abweichungen für einzelne geschützte Objekte. Die Engine, die Sicherungsstände nach Richtlinie kürzt, läuft täglich, entfernt still, was eine Richtlinie für nicht mehr nötig erklärt, behält dabei immer mindestens den neuesten abgeschlossenen Sicherungsstand jedes Objekts und kürzt nie etwas unter aktivem Legal Hold. Ein Legal Hold (ab Business) wird je Mandant oder je Postfach mit einer Begründung angelegt und auditiert. Ein geschütztes Objekt, auf das keine Richtlinie zutrifft, behält jeden Sicherungsstand. Zwei Dinge können einen Sicherungsstand länger halten, als seine Richtlinie sagt: Ein ungeklärter verdächtiger Befund der Ransomware-Erkennung hält die Aufbewahrung dieses Objekts an, bis eine Administration ihn klärt (seit 0.4.0), und bei einem Repository mit unveränderbaren Backups bleibt ein Sicherungsstand, solange seine Sperre nicht abgelaufen ist, sodass der Platz später zurückkommt.

Das ist unabhängig von der Archiv-Aufbewahrung (in 0.4.7 fest 8 Jahre, siehe Archivierung und Journaling), die regelt, wie lange die getrennte Archivkopie aufbewahrt wird. Nur der tägliche Löschlauf (ab Business) löscht aus dem Archiv, und nie, solange ein Legal Hold gilt.

Postfach-Bereinigung ist eine getrennte Entscheidung

Ob Ihre Organisation alte Mail aus einem lebenden Postfach entfernt (über die eigenen Aufbewahrungs- oder Archivrichtlinien von Exchange Online, eine manuelle Bereinigung, oder schlicht weil ein Nutzer etwas löscht), ist ausschließlich Ihre eigene Entscheidung, getroffen in Exchange Online selbst, nicht in Restow. Restow braucht Mail nicht im Postfach, um sie gesichert oder archiviert zu haben, und eine Postfach-Bereinigung entfernt nichts aus einem bestehenden Restow-Sicherungsstand oder aus der Archivkopie; beides ist unabhängig voneinander.

Wahl je Postfach: nur Backup, oder Backup und Archiv

Nicht jedes Postfach braucht denselben Schutz. Ein geteiltes Postfach wie bestellung@ oder noreply@ lohnt sich oft zu sichern (damit es sich erholen lässt, wenn etwas kaputtgeht), ohne dieselbe dauerhafte Archivierung zu brauchen, die normale Mitarbeiterkorrespondenz aus Beweisgründen erhält. Diese Wahl je Postfach ist geplant und nicht in 0.4.7: Derselbe Regelmechanismus, den der Backup-Umfang bereits nutzt (alle, eine Gruppe, eine Ausschlussliste, Einzelentscheidungen), soll auch für den Archiv-Umfang gelten, dargestellt als getrennte Spalten Backup und Archiv nebeneinander auf dem Reiter Schutz. Heute bestimmen die Erfassungswege des Jobs je Art von Postfach (seit 0.4.4), die Journal-Regel, die Sie in Exchange Online festlegen, und das, was Sie importieren, was im Archiv ankommt. Das Design steht unter Archivierung und Journaling.

Wiederherstellen aus beiden

Der Restore aus einer Sicherung ist auf nicht-destruktiv ausgelegt. Standardmäßig überschreibt er kein vorhandenes Original in einem Postfach: wiederhergestellte Elemente kommen daneben, und jeder Restore wird protokolliert; siehe Backup und Restore für die praktische Umsetzung, und Die ersten Schritte für die Endnutzer-Seite. Mail aus dem Archiv holen Sie als Export heraus (EML in einer ZIP-Datei oder MBOX; siehe Mail-Dateien importieren und exportieren). Das Zurückspielen von Archivelementen in ein Postfach, auch für Endnutzer, ist geplant.

Weiterlesen

Wie Restow prüft, ob eine Sicherung wiederherstellbar ist: was die automatisierte Wiederherstellbarkeits-Prüfung tut und was sie noch nicht prüft.
Archivierung und Journaling: Journaling, Mail-Import, Prüfkette, was das Speicherziel durchsetzt, Aufbewahrung, Legal Hold und Archiv-Umfang je Postfach, vollständig.
GoBD und Nachweise: was die GoBD-Anforderungen „unveränderbar“ und „zeitgerecht“ nach deutschem Recht tatsächlich bedeuten und wie das Archiv von Restow darauf zielt.
Archivierung: die Zusammenfassung und der aktuelle Stand (verfügbar und geplant).
Unveränderbare Backups und Ransomware-Erkennung: wie Backups vor dem Löschen geschützt werden und wie verdächtige Sicherungsstände markiert werden.