Der Betrieb, der gar keine Sicherung hatte

Bei einer Übernahme gehört eine Frage zu den ersten, die wir stellen: Wo liegt das Backup, und wann wurde es zuletzt zurückgespielt? Diesmal war die Antwort kürzer als erwartet. Es gab kein Backup. Nicht veraltet, nicht heimlich kaputt. Es existierte schlicht nicht.

Man rechnet mit vielem, wenn man einen Bestand übernimmt. Mit veralteten Sicherungen, mit einem Job, der seit Wochen ins Leere läuft, mit einem Speicher, der voll ist und nichts mehr annimmt. Sowas findet man, sowas repariert man. Womit man weniger rechnet: dass es überhaupt nichts zu reparieren gibt, weil nie etwas eingerichtet wurde.

Die kurze Suche

Die Produktivumgebung lief. Die Anwendung war erreichbar, die Datenbank gefüllt, es wurde täglich damit gearbeitet. Von außen: ein gesundes System. Ich habe an den üblichen Stellen nachgesehen, wo eine Sicherung liegen würde, ein Backup-Verzeichnis, ein Cronjob, ein Speicherziel, irgendein Skript, das nachts läuft. Nichts. Kein alter Stand, kein neuer, kein Ziel, in das gesichert worden wäre. Die Daten dieses Betriebs existierten genau einmal: auf der einen Festplatte, auf der sie liefen.

Das ist ein Zustand, den man leicht unterschätzt, solange nichts passiert. Ein System ohne Backup funktioniert ja tadellos, jeden Tag, jahrelang vielleicht. Bis zu dem einen Tag, an dem eine Platte ausfällt, ein Update schiefgeht oder jemand den falschen Befehl tippt. Dann ist nicht ein Teil weg, sondern alles. Ohne zweite Kopie gibt es keinen Weg zurück.

Am selben Tag

Hier gibt es wenig zu erzählen, und das ist die gute Nachricht. Wir haben noch am selben Tag eine Sicherung eingerichtet, für Produktiv- und Testumgebung, verschlüsselt, auf Speicher in Deutschland. Jeder Server sichert sich seither selbst nach außen, jede Nacht. Dazu die gestaffelte Aufbewahrung, damit man nicht nur den Stand von gestern hat, sondern auch den von letzter Woche und letztem Monat. Und der Wächter, der Alarm schlägt, falls eine Sicherung ausbleibt oder zu alt wird.

Der wichtigste Teil kommt danach und wird am häufigsten vergessen: Wir spielen die Sicherung probeweise zurück. Ein Backup, das nie zurückgespielt wurde, ist kein Backup, sondern eine Hoffnung. Erst die bestandene Wiederherstellungs-Probe macht aus „wir sichern“ ein „wir könnten es im Ernstfall wirklich wiederherstellen“. Das steht dann schwarz auf weiß im Betriebsbericht, mit Datum.

Warum ich das aufschreibe

Der Betrieb hier hatte kein Backup, und niemand dort war fahrlässig oder dumm. Es hatte sich einfach nie jemand zuständig gefühlt. Genau so entstehen diese Löcher: nicht durch eine falsche Entscheidung, sondern durch eine, die keiner getroffen hat. Das System läuft, alle arbeiten, und die Frage „was, wenn das hier morgen weg ist?“ stellt niemand, weil es ja jeden Tag da war.

Wir stellen sie zuerst. Bei einer anderen Übernahme fanden wir ein Backup, das seit 57 Tagen still ins Leere lief, auch das ein Vorgänger-Erbe, das niemand bemerkt hatte. Der Unterschied zwischen den beiden Fällen ist kleiner, als er klingt: einmal gab es eine Sicherung, die nicht funktionierte, einmal gar keine. Für den Ernstfall wäre das Ergebnis dasselbe gewesen.

Ein Backup, das nie wiederhergestellt wurde, ist keins. Und keins ist keins.

Wie wir Sicherung und Wiederherstellungs-Probe technisch betreiben, steht auf koetting.io/de/betrieb/backup.