Instagram story viewer> @sjt.solutions> Posts

SJT SOLUTIONS GmbH

@sjt.solutions

374

followers

4

following

Wir sind Deine digitalen Bodyguards!
🏢IT-Infrastruktur
🛡️IT-Sicherheit
🔐Backup-Lösungen
🗄️Cloud Computing
Norddeutsch ehrlich und leicht nerdig 😉

POSTS STORIES REELS

by @sjt.solutions

by @sjt.solutions

by @sjt.solutions

Warum einmal täglich sichern nicht reicht.

Nicht nur für SQL-Server. Für die meisten Systeme.

Ich sage das bewusst so. Weil "tägliches Backup" in den meisten Angeboten als Standard steht — und weil es in den meisten Umgebungen schlicht nicht ausreicht.

Fangen wir mit dem offensichtlichsten Fall an.

Ein SQL-Server. Mandantendatenbank einer Kanzlei. 150 GB. Den ganzen Tag läuft da Betrieb drauf — Akten, Fristen, Korrespondenz. Backup läuft um 22:00 Uhr. Um 15:30 Uhr kracht das System.

RPO: fast 18 Stunden. Ein kompletter Arbeitstag ist weg.

Für SQL gibt es eine saubere Lösung: Application-Aware Backup mit Transaktionslog-Sicherung alle 15 Minuten. Das Image kommt einmal täglich, die Logs laufen durch. Im Ernstfall stellst du den Stand von 15:28 Uhr wieder her. Nicht den von gestern Nacht.

Aber jetzt der Punkt, den die meisten übersehen:
Das gilt nicht nur für Datenbanken.

Ein Fileserver, auf dem den ganzen Tag intensiv gearbeitet wird? Tägliches Backup bedeutet, dass alles, was heute zwischen 08:00 und 22:00 Uhr erstellt oder geändert wurde, im schlimmsten Fall weg ist. Für ein Team von 20 Leuten ist das ein massiver Schaden.

Ein ERP-System, ein CRM, ein Dokumentenmanagement — jedes System, das kontinuierlich Daten schreibt, hat dasselbe Problem.

Die Frage ist nicht: "Haben wir ein Backup?"

Die Frage ist: "Was ist unser RPO — und haben wir das mit dem Kunden besprochen?"
Wer darauf keine konkrete Antwort hat, verkauft kein Backup. Er verkauft das Gefühl von Sicherheit.

Wir bauen Backup-Architekturen, bei denen RPO nicht irgendwo im Kleingedruckten steht, sondern technisch umgesetzt und dokumentiert ist. Hinter der Marke des IT-Dienstleisters, der vorne steht.

Wenn du das für deine Kunden genauso liefern willst: Schreib mir direkt. by @sjt.solutions

Die Hardware war vom Feinsten: Server mit viel mehr RAM, als je genutzt wurde, ein schnelles SAN, alles unter Wartung. Trotzdem fragten wir: Wenn hier eine Platte stirbt, wer erfährt davon? Die Antwort: wer zufällig hinschaut.

Moderne Server und Storage können sich selbst melden. Bei HPE über iLO und OneView, bei Dell über iDRAC. Ist eine Platte defekt, schickt das System eine Meldung an den Hersteller, der eine Ersatzplatte oder einen Techniker losschickt, oft bevor jemand im Haus etwas bemerkt. Eingerichtet war davon nichts. Ein Monitoring war lizenziert, aber nur für einen kleinen Teil eingerichtet.

Gerade bei Redundanz ist das gefährlich. Ein RAID verkraftet eine Platte, ein Cluster einen Host. Der erste Ausfall fällt nicht auf, die Redundanz ist aufgebraucht, und niemand weiß es. Der zweite Ausfall ist der, den man bemerkt.

Das war der Befund mit dem besten Verhältnis von Aufwand zu Wirkung. Die Funktion steckt in der Hardware und ist meist im Vertrag bezahlt. Wir richten Call Home an jedem Server und Storage ein, lösen eine Testmeldung aus, gleichen die Verträge mit der Seriennummer ab und hängen die Meldungen zusätzlich ins eigene Monitoring.

Für morgen: Löst eine Testmeldung aus. by @sjt.solutions

Die Hardware war vom Feinsten: Server mit viel mehr RAM, als je genutzt wurde, ein schnelles SAN, alles unter Wartung. Trotzdem fragten wir: Wenn hier eine Platte stirbt, wer erfährt davon? Die Antwort: wer zufällig hinschaut.

Moderne Server und Storage können sich selbst melden. Bei HPE über iLO und OneView, bei Dell über iDRAC. Ist eine Platte defekt, schickt das System eine Meldung an den Hersteller, der eine Ersatzplatte oder einen Techniker losschickt, oft bevor jemand im Haus etwas bemerkt. Eingerichtet war davon nichts. Ein Monitoring war lizenziert, aber nur für einen kleinen Teil eingerichtet.

Gerade bei Redundanz ist das gefährlich. Ein RAID verkraftet eine Platte, ein Cluster einen Host. Der erste Ausfall fällt nicht auf, die Redundanz ist aufgebraucht, und niemand weiß es. Der zweite Ausfall ist der, den man bemerkt.

Das war der Befund mit dem besten Verhältnis von Aufwand zu Wirkung. Die Funktion steckt in der Hardware und ist meist im Vertrag bezahlt. Wir richten Call Home an jedem Server und Storage ein, lösen eine Testmeldung aus, gleichen die Verträge mit der Seriennummer ab und hängen die Meldungen zusätzlich ins eigene Monitoring.

Für morgen: Löst eine Testmeldung aus. by @sjt.solutions

Absichern und unveränderlich machen sind zwei verschiedene Dinge. Das war für mich die Lehre aus diesem Teil des Falls.

Eine SMB-Freigabe lässt sich absichern. Unveränderlich wird sie nie. Solange der Backup-Server dort schreiben darf, kann jeder, der ihn steuert, mit denselben Rechten auch löschen. In diesem Fall hätte schon eine einzige Kopie gereicht, an die der Server nicht herankommt.

Das Ziel ist deshalb kein schwerer zu knackendes Laufwerk, sondern eins, das auch bei einem gekaperten Server Nein sagt. Bei Veeam führen zwei Wege dahin: Linux als gehärtetes Repository oder Object Storage mit Object Lock. Beide lassen den Server schreiben und sperren dann das Ändern und Löschen.

Eine Frage stelle ich seitdem immer dazu: Steht der Backup-Server in der Domäne? Dann reicht ein Domänen-Admin für alles. Und wenn du heute nur einen Handgriff hast: Schau nach, wie jedes Ziel am Server hängt. Wie sieht das bei dir aus? by @sjt.solutions

Eine Datenbank sichern heißt nicht, die Maschine zu sichern, auf der sie läuft.

Dafür gibt es einen eigenen Schalter, er heißt Application Aware. Ist er gesetzt, redet die Sicherung direkt mit der Datenbank und holt sich in kurzen Abständen deren Protokolle. Alle fünfzehn Minuten, oder wie ihr es einstellt.

Der Gewinn zeigt sich erst im Ernstfall. Ihr stellt die Maschine wieder her, sagt der Software dann: spiel die Protokolle ein bis zu diesem Zeitpunkt, und landet genau dort, wo ihr hinwollt. Nicht auf dem Stand der Nacht.

Dasselbe gilt für mehr als Datenbanken. Beim Active Directory lassen sich einzelne Objekte zurückholen, bei Exchange einzelne Postfächer, statt jedes Mal den ganzen Server.

Zwei Dinge gehen dabei oft schief.

Erstens die Rechte. Für SQL braucht es eine Berechtigung in der Datenbank selbst. Nehmt dafür ein eigenes Dienstkonto. Nicht das Konto, mit dem ohnehin schon alles andere läuft.

Zweitens der Zuschnitt. Packt nicht alle Systeme in einen Auftrag. Lieber fünf, die unterschiedlich laufen und sich getrennt überwachen lassen, als einer, in dem alles hängt. Klemmt dann etwas, wisst ihr sofort, welcher Bereich betroffen ist. by @sjt.solutions

Eine Datenbank sichern heißt nicht, die Maschine zu sichern, auf der sie läuft.

Dafür gibt es einen eigenen Schalter, er heißt Application Aware. Ist er gesetzt, redet die Sicherung direkt mit der Datenbank und holt sich in kurzen Abständen deren Protokolle. Alle fünfzehn Minuten, oder wie ihr es einstellt.

Der Gewinn zeigt sich erst im Ernstfall. Ihr stellt die Maschine wieder her, sagt der Software dann: spiel die Protokolle ein bis zu diesem Zeitpunkt, und landet genau dort, wo ihr hinwollt. Nicht auf dem Stand der Nacht.

Dasselbe gilt für mehr als Datenbanken. Beim Active Directory lassen sich einzelne Objekte zurückholen, bei Exchange einzelne Postfächer, statt jedes Mal den ganzen Server.

Zwei Dinge gehen dabei oft schief.

Erstens die Rechte. Für SQL braucht es eine Berechtigung in der Datenbank selbst. Nehmt dafür ein eigenes Dienstkonto. Nicht das Konto, mit dem ohnehin schon alles andere läuft.

Zweitens der Zuschnitt. Packt nicht alle Systeme in einen Auftrag. Lieber fünf, die unterschiedlich laufen und sich getrennt überwachen lassen, als einer, in dem alles hängt. Klemmt dann etwas, wisst ihr sofort, welcher Bereich betroffen ist. by @sjt.solutions

Frag dich, was dein Kunde verliert, wenn er dich morgen wechselt.

Bei einer Lizenz: nichts. Er tippt eine andere Nummer in ein anderes Formular. Zwei Minuten.

Das ist kein Geschäft. Das ist ein Botengang mit Rabatt.

Bei einem betriebenen Backup verliert er den, der weiß, wo seine Daten liegen. Der nachts draufschaut. Der den Restore schon einmal gemacht hat. Das tippt er nirgends ein.

Deshalb ist die Frage nach deiner Marge die falsche. Die richtige lautet: Was von dem, was du lieferst, kann dein Kunde morgen woanders in fünf Minuten bestellen?

Nimm heute deine Kundenliste. Markiere jede Position, die austauschbar ist.

Was übrig bleibt, ist dein Geschäft.

Der Rest ist Umsatz auf Abruf.

Backup gehört auf die zweite Liste. Aber nur, wenn du es betreibst. Nicht, wenn du es durchreichst.

Die Stufen dafür: 40, 60, 100, 140 oder 220 TB. Betrieb inklusive.
https://lp.sjt.de/managed-storage-server.html?utm_source=ig_business&utm_medium=SJT+SOLUTIONS+GmbH&utm_campaign=publer&utm_campaign=social-2026 by @sjt.solutions

Es wäre einfach gewesen, direkt ein Angebot zu schicken.

220 Terabyte Managed Storage Server. Passt doch. Nächster Termin.

Hab ich nicht gemacht.

Weil ich nach 30 Minuten Gespräch immer noch nicht wusste: Was läuft auf dem Server? Welcher Hypervisor? Sind die VMs sicherungswürdig? Was ist der tatsächliche Datendurchsatz? Wie ist das NAS wirklich angebunden?

Ohne diese Antworten ist jedes Angebot eine Vermutung.

Ich mache keine Vermutungen, wenn es um die Kronjuwelen eines Unternehmens geht.

Erstmal verstehen. Dann empfehlen. by @sjt.solutions

Bei einer Prüfung zeichnen wir als Erstes das Netz auf, nicht das aus der Doku, sondern das tatsächlich eingestellte. Die Zeichnung war schnell fertig: ein Netz für die Server, die Clients gleich mit dabei. Exchange, Domain Controller, Fileserver, Clients. Abgetrennt waren nur die Drucker.

Das Muster sehen wir oft: Was stört, wird abgetrennt. Was wertvoll ist, bleibt im großen Netz. Ein flaches Netz ist selten eine Entscheidung, es ist der Zustand, mit dem man anfängt.

Exchange hängt am Internet und ist deshalb der Server, den Angreifer als Erstes sehen. Das BSI hat 2024 gewarnt, dass Angreifer mehrere Lücken in Exchange aktiv ausnutzen. Wer den Mailserver übernimmt, steht im flachen Netz direkt neben den Domain Controllern und der Dateiablage. Ransomware braucht dann keine Tricks, nur Zeit.

Die Abhilfe braucht keine neue Hardware: Die Switche können VLANs, die Firewall ist da. Vier Zonen statt eines Netzes: Domain Controller samt Infrastrukturdiensten, Exchange, Fileserver, Clients. Dazwischen nur, was ein Dienst wirklich braucht. Vorher eine Weile mitschreiben, wer mit wem redet.

Für morgen: Zeichnet euer Netz so, wie es eingestellt ist. by @sjt.solutions