Proxmox Backup Server mit Tape-Out zum Cold Storage: wann LTO noch sinnvoll ist

Tape ist tot. Dachte man zumindest bis vor drei Jahren. Seit die großen Hyperscaler ihre Egress-Preise angezogen haben, seit Ransomware-Gruppen gelernt haben, auch Cloud-Buckets mit S3-Object-Lock zu umgehen, und seit Versicherungen bei Cyber-Policen explizit nach Air-Gap-Konzepten fragen, erleben wir in der Praxis einen Trend zurück zum Band. Nicht als Primär-Backup. Aber als drittes Standbein im 3-2-1-1-Konzept: offline, offsite, unveränderlich.

In diesem Artikel zeigen wir, wie Proxmox Backup Server zusammen mit einem LTO-Autoloader oder einer Tape-Library ein echtes Cold-Storage-Archiv aufbaut. Wir sprechen aus Erfahrung von Kunden-Setups zwischen Ingolstadt und Augsburg, in denen wir PBS seit Version 2.x im Produktivbetrieb haben und Tape-Out seit PBS 3.0 schrittweise ergänzt haben.

Warum Tape 2026 wieder relevant wird

Die Argumente für Tape sind nicht neu, aber sie haben an Gewicht gewonnen:

Air-Gap ist physisch garantiert. Ein Band, das aus dem Laufwerk entnommen und in einen Tresor gelegt wurde, ist für keinen Angreifer erreichbar. Kein Netzwerkprotokoll, keine kompromittierten Zugangsdaten, keine über Monate hinweg schlummernde Backdoor. Diese physische Trennung ist durch Software nicht zu erreichen — auch nicht durch S3-Object-Lock oder WORM-Snapshots auf einer NAS. Wer schon einmal gesehen hat, wie Angreifer über drei Monate hinweg Backup-Credentials sammeln und dann synchron alle verschlüsselbaren Ziele plattmachen, versteht den Unterschied.

Die Haltbarkeit ist konkurrenzlos. LTO-Bänder sind unter normalen Lagerbedingungen für 30 Jahre spezifiziert. Keine Festplatte, keine SSD, kein NAS kommt in diesen Bereich. Für Archive, bei denen Aufbewahrungspflichten über zehn Jahre hinauslaufen — Buchhaltung, Konstruktionsdaten, Behörden-Dokumentation — ist das relevant.

Die TCO rechnet sich wieder. Bei großen Datenmengen, die selten gelesen werden, aber lang aufbewahrt werden müssen, liegt Tape bei den Kosten pro Terabyte und Jahr deutlich unter Cloud-Cold-Tiers, sobald man Egress-, Transfer- und API-Call-Kosten mit einrechnet. Belastbare Zahlen hängen stark vom konkreten Setup ab — wir rechnen das pro Kunde durch und schauen uns dazu die passende Storage-Kostenanalyse Cloud vs TrueNAS an.

Versicherungen fragen danach. Cyber-Versicherungen verlangen zunehmend Nachweise für echte Offline-Backups. Snapshot-Policies und immutable S3-Buckets reichen in Prüfungen nicht mehr überall aus. Ein dokumentiertes Band-Rotations-Konzept liefert diesen Nachweis ohne Diskussion.

LTO-9 und LTO-10: der aktuelle Stand

Für Neu-Investitionen empfehlen wir aktuell LTO-9 als Einstieg und LTO-10 für Umgebungen, die ab 2026/2027 planen und das Budget haben. LTO-9 fasst 18 TB nativ pro Band, LTO-10 geht auf 36 TB nativ hoch. Die herstellerseitig angegebenen komprimierten Werte halten wir für Marketing — im Praxisbetrieb mit PBS, der die Daten bereits dedupliziert und komprimiert anliefert, bringt die hardwareseitige Komprimierung kaum noch etwas. Wir rechnen immer mit den nativen Werten und schlagen keine Luft drauf.

Bei den Laufwerken selbst gilt: LTO-10-Laufwerke lesen und schreiben LTO-10 und LTO-9, kein weiterer Rückwärtssupport. Wer noch LTO-8-Bänder im Umlauf hat und auf LTO-10 upgraden will, braucht entweder parallel ein LTO-9-Laufwerk zum Migrieren oder plant ein geordnetes Auslaufen der LTO-8-Generation. Das ist in der Praxis ein Punkt, der gern übersehen wird und später für Diskussionen sorgt.

Die Preisrahmen für Hardware sind stark in Bewegung. Ein Einzellaufwerk LTO-9 SAS, extern, liegt im unteren vierstelligen Bereich. Ein kleiner Autoloader mit 8 Slots bewegt sich im oberen vierstelligen Bereich. Eine echte Library mit zwei Laufwerken und 24 Slots für mittelständische Umgebungen beginnt niedriger fünfstellig. Belastbare Angebote machen wir auf Anfrage und orientieren uns am konkreten Datenvolumen und Rotations-Konzept.

Proxmox Backup Server Tape-Out: wie das Zusammenspiel wirklich funktioniert

PBS behandelt Tape als eigenständigen Backup-Zielort, nicht als Erweiterung eines Disk-Datastores. Der Workflow ist dreistufig und entkoppelt bewusst Primär-Backup und Tape-Archiv:

1. VMs, Container und Host-Backups laufen wie gewohnt in einen oder mehrere Disk-Datastores. Deduplizierung und Verifikation finden hier statt. Hier liegen auch die operativen Restore-Punkte für den täglichen Betrieb — was in den letzten zwei bis vier Wochen passiert ist.
2. Media Pools definieren Regelwerke dafür, welche Backups auf welche Band-Gruppen geschrieben werden und wie oft Bänder wiederverwendet werden dürfen. Hier passiert das eigentliche Rotations-Management.
3. Tape-Backup-Jobs laufen zeitgesteuert und schreiben neue Snapshots aus dem Disk-Datastore auf Band. Alte Bänder werden nach einer definierten Aufbewahrungszeit zum Überschreiben freigegeben oder dauerhaft als Archiv ausgelagert.

Der Punkt, der in der Doku oft untergeht: PBS schreibt pro Tape-Job die Daten vom Disk-Datastore erneut aus und entschlüsselt sie dafür serverseitig. Das bedeutet: Der PBS-Host braucht ausreichend CPU und einen ordentlichen Durchsatz zwischen Datastore und Laufwerk. In der Praxis landet ein LTO-9-Laufwerk ohne Streaming-Fähigkeit schnell im Shoeshine-Modus — das Band fährt vor und zurück, Durchsatz bricht ein, das Laufwerk nutzt sich übermäßig ab. Wir empfehlen deshalb konsequent NVMe-SSDs oder zumindest schnelle ZFS-Mirrors als Datastore, wenn Tape-Out ernsthaft betrieben wird. Welches ZFS-Layout wann das richtige ist, haben wir im Beitrag zu ZFS-Dataset-Quotas und Reservations ausführlicher diskutiert.

Media Pools sauber planen

Ein typisches Setup mittlerer Größe bei uns sieht so aus:

• Pool “weekly” — wird jede Woche beschrieben, 4 Bänder im Zyklus, Rotation nach vier Wochen. Diese Bänder bleiben im Haus, aber im Serverraum-Tresor oder in einem anderen Brandabschnitt.
• Pool “monthly” — einmal im Monat beschrieben, 12 Bänder, nach zwölf Monaten rotiert oder archiviert. Diese Bänder gehen nach extern — Bankschließfach, zweites Firmengebäude oder zu uns ins DATAZONE-Rechenzentrum.
• Pool “yearly” — einmal pro Jahr beschrieben, dauerhafter Archivbestand, nicht überschrieben. Diese Bänder sind der eigentliche Compliance-Nachweis.

Pro Pool wird im PBS festgelegt, welche VMs und Datastores reingehen, wie lange Aufbewahrungszeit läuft und ob neue Backups verschlüsselt werden. Verschlüsselung auf Band ist Pflicht, sobald Bänder das Haus verlassen — auch wenn der physische Transport eigentlich schon ein Zugriffsschutz ist.

Verifikation und Restore-Tests

Das meistgehasste Thema bei Tape, aus gutem Grund: Ein Backup, das nicht getestet wurde, ist kein Backup. PBS bietet eine automatische Band-Verifikation, die auswählbare Snapshots von Band zurückliest und gegen die Checksumme prüft. Wir fahren diese Verifikation auf einem Teil-Sample monatlich — komplette Verifikation jedes Bands würde die Rotation blockieren.

Zusätzlich fahren wir pro Quartal einen echten Fire-Drill-Restore: Ein zufällig gewähltes VM-Backup von einem beliebigen Monatsband wird komplett zurückgespielt, in einer isolierten Testumgebung gestartet und validiert. Diese Übung findet seinen Platz zusammen mit den anderen operativen Härtungen im Winterzeit-Serverraum-Check — Kälte, Luftfeuchtigkeit und USV-Autonomiezeit sind im November genauso dran wie Restore-Tests.

Rotation und Offsite-Transport in der Praxis

Hier scheitern die meisten Tape-Konzepte. Nicht an der Technik, sondern an der Prozess-Disziplin. Ein paar Punkte, die wir bei Kunden konsequent einfordern:

Dokumentierter Band-Trägerprozess. Wer bringt wann welches Band wohin? Übergabeprotokoll, Barcode-Scan, Quittung. Das klingt bürokratisch, hilft aber im Ernstfall ungemein. Wenn ein Band fehlt oder tauschbereit ist, muss das aus dem Protokoll in weniger als zwei Minuten ersichtlich sein.

Zwei getrennte Brandabschnitte. Der Serverraum und das Band-Depot sollten nicht hinter derselben Brandschutztür liegen. Das Band im Autoloader zählt im Zweifelsfall nicht als Offsite-Backup.

Transport in zertifizierten Daten-Transportboxen. Keine normalen Umschläge, keine Rucksäcke. Magnetische Felder, Temperaturschwankungen und physische Stöße sind reale Risiken. Für den regelmäßigen Transport zwischen Kundenstandort und unserem Rechenzentrum nutzen wir gepolsterte, antistatische Hard-Cases mit Temperatur-Logger.

Lagerung bei kontrollierter Umgebung. 15 bis 25 Grad, 20 bis 60 Prozent relative Luftfeuchte, keine direkte Sonneneinstrahlung, keine Nähe zu Starkstrom. Ein normaler Bürokeller erfüllt das meist, ein feuchter Technikraum ohne Klimatisierung nicht.

Wo Tape nicht die richtige Wahl ist

Ehrlichkeit gehört zum Partner-Ansatz: Tape ist nicht für jedes Szenario die beste Lösung. Konkret ungeeignet ist Tape, wenn:

• Restore-Geschwindigkeit kritisch ist. Ein Fileserver mit 20 TB zurück aus dem Tresor dauert je nach Anzahl Bänder und Laufwerken zwischen vier und zwölf Stunden — bis dahin ist der Transport ins Rechenzentrum noch nicht einmal eingerechnet. Für Primär-Backups mit RTO unter einer Stunde ist das keine Option.
• Datenmengen klein sind. Unter zehn TB Gesamtvolumen rentiert sich die Hardware-Investition oft nicht. Ein zweites TrueNAS mit Replikation ins Air-Gap-Backup oder in ein Hyperscaler-S3-Target ist dann die effizientere Lösung.
• Interne Prozesse nicht sitzen. Ohne verlässliche Band-Rotation ist das teuerste LTO-Laufwerk nutzlos. Wenn klar ist, dass niemand im Betrieb konsequent Bänder tauschen und protokollieren wird, ist Cloud oder Managed-Backup der ehrlichere Weg. Hier bieten wir im DATAZONE-IT-Service auch den operativen Betrieb der Band-Rotation als Service an.

Unsere Empfehlung für den Mittelstand

Für die typische mittelständische Umgebung mit 20 bis 80 TB Nutzdaten, einer Proxmox-Cluster-Umgebung mit zwei bis fünf Nodes und einer bestehenden TrueNAS-Instanz als PBS-Datastore sieht unsere Standard-Empfehlung so aus:

1. Primärbackup auf PBS mit NVMe- oder schnellem ZFS-Datastore — tägliche Backups mit zwei bis vier Wochen Vorhaltezeit.
2. Replikation auf ein zweites PBS oder TrueNAS-Target — entweder im Zweit-Standort oder in unserem TrueNAS-Managed-Service.
3. Tape-Out ab einem definierten Schwellwert — in der Regel wöchentlich für operative Rückgriffe, monatlich für mittelfristige Archive, jährlich für Compliance.
4. Dokumentierte Rotation und quartalsweise Restore-Tests.

Welche konkreten Komponenten dafür sinnvoll sind, hängt vom Datenvolumen, der Netzwerkanbindung und dem Compliance-Bedarf ab. Wir rechnen das pro Setup durch und schauen dabei auch, ob eine TrueNAS-Konfiguration als Primär-Datastore für PBS die passendere Grundlage ist als ein eigenständiges Backup-Target.

FAQ zu Proxmox PBS Tape-Out und LTO Cold Storage

Lohnt sich LTO-9 2026 noch oder gleich auf LTO-10 gehen?

Für Neuinvestitionen tendieren wir zu LTO-10, wenn das Budget reicht. Die Verdopplung der Kapazität pro Band senkt mittelfristig den Betriebsaufwand — weniger Bänder zu rotieren, weniger Slots zu belegen, weniger Transporte. Wer heute noch LTO-8 oder frühere Generationen laufen hat, kann aber durchaus den Zwischenschritt über LTO-9 nehmen, weil LTO-10-Laufwerke keine LTO-8-Bänder mehr lesen.

Wie lange halten LTO-Bänder wirklich?

Spezifiziert sind 30 Jahre bei kontrollierter Lagerung. In der Praxis sehen wir bei korrekt gelagerten Bändern aus den frühen 2000ern bis heute keinen nennenswerten Datenverlust. Entscheidend ist weniger das Alter des Bands, sondern ob die passende Laufwerks-Generation in 15 Jahren noch verfügbar sein wird. Deswegen empfehlen wir alle acht bis zehn Jahre eine Migration des Archivbestands auf eine aktuelle Band-Generation.

Kann man PBS Tape-Out auch ohne Autoloader betreiben?

Technisch ja, mit einem einzelnen Laufwerk und manuellem Band-Wechsel. Praktisch ist das nur für sehr kleine Umgebungen sinnvoll, in denen jemand verlässlich täglich oder wöchentlich ein Band tauscht. Für mittelständische Setups mit mehr als 10 TB Backup-Volumen pro Band-Satz lohnt sich der Autoloader schnell — schon weil er die Rotation automatisiert und menschliche Fehler reduziert.

Was passiert, wenn ein Band physisch beschädigt wird?

PBS schreibt Daten als Datalog-Format mit Checksummen pro Chunk auf das Band. Ein beschädigter Bereich eines Bands macht nicht das ganze Band unbrauchbar, sondern führt zum Verlust einzelner Chunks. Ob das für einen Restore kritisch ist, hängt davon ab, welche Snapshots betroffen sind. Deshalb schreiben wir für wichtige Pools immer auf mindestens zwei Bänder parallel — das kostet die doppelte Kapazität, erhöht aber die Ausfallsicherheit erheblich.

Reichen WORM-Snapshots auf TrueNAS nicht aus statt Tape?

Für ein zweites Standbein ja, für ein drittes nach dem 3-2-1-1-Prinzip nicht ganz. WORM-Snapshots schützen gegen Verschlüsselung durch kompromittierte Zugangsdaten, aber nicht gegen einen Angreifer, der ausreichend lange Admin-Rechte hält, um das Dataset-Retention selbst zu manipulieren. Air-Gap durch physische Trennung ist eine andere Vertrauensebene. In regulierten Branchen und bei größeren Cyber-Policen sehen wir diese Trennung zunehmend verlangt.

Macht DATAZONE auch den operativen Betrieb von Tape-Rotation?

Ja. Für Kunden, die die Technik haben wollen, aber nicht den Prozess, bieten wir die Rotation als Service an: Bänder werden regelmäßig abgeholt, bei uns im Rechenzentrum sicher gelagert und bei Bedarf zurückgebracht. Restore-Tests fahren wir quartalsweise mit und dokumentieren das revisionssicher. Details dazu klären wir im Rahmen eines IT-Service-Gesprächs.