Das Symptom
Die Sicherung lief seit Jahren, jede Woche, brav und unbemerkt. Dann fällt die Festplatte aus – und mit ihr verschwindet nicht nur der Arbeitsordner, sondern auch der Ordner daneben, in dem die Sicherung lag. Manchmal ist es eine zweite Partition, manchmal ein Ordner namens Backup direkt auf C:, manchmal ein Zeitmaschinen-Schnappschuss. Das Ergebnis ist dasselbe: Es gibt keine Kopie mehr, die man zurückspielen könnte.
Die „Layer 8“-Wahrheit
Der Denkfehler steckt in einem einzigen Wort, das zwei völlig verschiedene Dinge meint: Kopie. Eine zweite Datei auf demselben Datenträger ist eine Kopie im Sinne des Dateimanagers – zwei Einträge, zwei Namen, doppelter Platzverbrauch. Sie ist keine Kopie im Sinne einer Datensicherung, denn eine Datensicherung ist nicht als Antwort auf gelöschte Dateien gebaut, sondern als Antwort auf ein verschwundenes Gerät.
Ein Datenträger fällt selten teilweise aus. Er fällt als Ganzes aus. Die Elektronik brennt durch, der Controller der SSD nimmt keine Befehle mehr an, der Schreib-Lese-Kopf setzt auf, der Anschluss bricht ab, das Netzteil schickt eine Überspannung durch. In jedem dieser Fälle ist die Partitionierung ohne jede Bedeutung: Partitionen sind eine Vereinbarung darüber, wie das Gerät seine Blöcke einteilt, und diese Vereinbarung steht auf demselben Gerät. Deshalb formuliert das BSI seine Anforderung nicht über Ordner oder Laufwerksbuchstaben, sondern über Medien: Datensicherungen müssen immer auf separaten Speichermedien gespeichert werden, und diese Medien müssen räumlich getrennt vom gesicherten System aufbewahrt werden, nach Möglichkeit sogar in einem anderen Brandabschnitt.
Besonders lehrreich ist der Fall Time Machine, weil hier ausnahmsweise der Hersteller selbst die Falle beschreibt, in die man tappen kann. macOS legt auf Systemen mit APFS stündlich lokale Schnappschüsse an. Die sind praktisch, sie brauchen kaum Platz, und sie holen ein versehentlich überschriebenes Dokument in Sekunden zurück. Apple schreibt aber im selben Atemzug dazu, wo diese Schnappschüsse liegen: auf derselben Platte wie die Originaldateien, aufbewahrt für bis zu 24 Stunden oder bis der Platz gebraucht wird. Und daraus zieht Apple selbst die Empfehlung, die Dateien zusätzlich an einem anderen Ort als der internen Platte zu sichern, damit sich bei einem Schaden an der Platte oder am Mac das ganze System auf ein anderes Gerät zurückholen lässt. Wer nur die Schnappschüsse hat, hat eine Rückgängig-Funktion mit 24 Stunden Reichweite – und das ist etwas anderes als eine Sicherung.
Die zweite Hälfte des Problems betrifft die Leute, die den ersten Teil schon verstanden haben und deshalb eine externe Platte gekauft haben, die seither dauerhaft am Rechner hängt. Ein permanent verbundenes, frei beschreibbares Laufwerk teilt sein Schicksal mit dem Rechner bei fast allem, was nicht der reine Hardwaredefekt ist: Ein Verschlüsselungstrojaner verschlüsselt es mit, ein falscher Löschbefehl trifft es mit, eine Überspannung über dasselbe Netzteil erwischt es mit. Das BSI verlangt deshalb ausdrücklich sicherzustellen, dass Datensicherungen nicht absichtlich oder unbeabsichtigt überschrieben werden können, und nennt für kleinere Umgebungen den einfachen Weg: das Medium nur während der Sicherung verbinden. Für einen Haushalt heißt das eine externe Platte, die nach dem Sichern wieder abgezogen wird und im Idealfall nicht im selben Zimmer liegt. Das klingt nach 1995 und ist trotzdem die wirksamste Maßnahme in diesem ganzen Text.