Proxmox PBS Tape-Out: Cold-Storage für Langzeit-Backups

Tape gilt vielen als Relikt. Wer in den letzten Jahren mit Ransomware-Vorfällen zu tun hatte, sieht das anders. Ein Tape, das nach dem Backup-Lauf physisch aus dem Drive genommen und in einen Schrank gelegt wird, ist die ehrlichste Air-Gap, die es gibt — kein Netzwerkprotokoll, keine API, keine Zugangsdaten, die jemand erbeuten könnte.

Proxmox Backup Server unterstützt Tape nativ über das proxmox-tape-Toolset. Dieser Artikel zeigt, wie eine Tape-basierte Cold-Storage-Ebene im KMU-Umfeld realistisch aufgebaut wird — von der Hardware-Auswahl über die Rotation bis zum Restore-Test.

Warum Tape — und warum gerade jetzt

Drei Argumente sprechen für eine Tape-Ebene neben dem klassischen Disk-basierten PBS:

1. Echte Air-Gap. Ein Tape im Schrank kann nicht verschlüsselt werden — keine Ransomware-Variante kann ein Medium angreifen, das physisch nicht im System steckt.
2. Langzeit-Aufbewahrung zu niedrigen Kosten pro TB. LTO-9-Medien liegen bei ca. 90–130 EUR pro Cartridge (18 TB nativ) — das sind etwa 5–7 EUR pro TB Cartridge-Kapazität. Disk-Storage ist für tägliche Backups günstiger im Zugriff, für 10-Jahres-Archive wird Tape pro TB unschlagbar.
3. Compliance. GoBD, KRITIS, ISO 27001 — viele Anforderungen lassen sich mit einer physisch getrennten Backup-Kopie sauberer dokumentieren als mit reinen Online-Replikaten.

Wer nur eine dieser Begründungen hat, sollte Tape evaluieren. Wer alle drei hat, sollte es einplanen.

LTO-9 — der aktuelle Mainstream-Standard

Seit Ende 2021 ist LTO-9 verfügbar, inzwischen breit am Markt. LTO-10 ist als Roadmap-Generation angekündigt, die Verbreitung ist Stand 2026 aber noch gering — für eine heutige Investitionsentscheidung bleibt LTO-9 die naheliegende Wahl.

Eigenschaft	LTO-9 (laut LTO-Konsortium / IBM / Quantum)
Native Kapazität	18 TB
Komprimiert (2,5:1 vom Konsortium beworben)	45 TB
Native Transferrate	bis 400 MB/s
Hardware-Encryption	AES-256 (LTO-9 verpflichtend in Drive-Firmware)
WORM-Variante	ja (Write-Once-Read-Many-Cartridges erhältlich)
Lebensdauer Medien	bis 30 Jahre bei sachgemäßer Lagerung

Wichtig: Die “45 TB komprimiert” sind eine Konsortiums-Angabe mit Annahme 2,5:1. In der Realität hängt das Komprimierungsverhältnis stark vom Inhalt ab — VM-Backups aus PBS sind bereits dedupliziert und komprimiert, weitere Tape-Komprimierung bringt dort wenig. Planen Sie konservativ mit 18 TB nutzbarer Kapazität pro LTO-9-Cartridge für PBS-Tape-Ausgaben.

LTO-Drive vs. Tape-Library

Zwei Hardware-Klassen kommen in Frage:

Standalone-LTO-Drive (Single-Drive):

• Eine Drive (intern oder extern via SAS) mit einem geladenen Tape
• Manueller Cartridge-Wechsel
• Investition: ca. 4.500–7.000 EUR für ein LTO-9-SAS-Drive (HP/IBM/Quantum, Listenpreise variieren)
• Passt für: KMU mit < 100 TB Backup-Volumen, wöchentlicher Rotation, IT-Mitarbeiter wechselt Tapes manuell

Tape-Library (Autoloader oder Library):

• Mehrere Slots (8 bis mehrere hundert) mit Robotik-Wechsler
• Vollautomatischer Backup-Lauf über mehrere Tapes hinweg
• Investition: ab ca. 8.000 EUR (z.B. HPE MSL2024 oder Quantum Scalar i3 mit 1 Drive und 24 Slots), nach oben offen
• Passt für: KMU mit > 100 TB Backup-Volumen, nächtliche Voll-Backups über mehrere Cartridges, kein manueller Eingriff gewünscht

Für klassisch-mittelständische Setups bis ca. 200 TB Backup-Bestand reicht oft ein Single-Drive plus disziplinierte Wochenrotation — das ist kostengünstig und gut beherrschbar.

Tape-Encryption: AES-256 hardware

LTO-9-Drives haben AES-256-Hardware-Encryption — d.h. die Verschlüsselung läuft im Drive-Controller, nicht in der CPU des PBS-Servers. Keine Performance-Einbußen, keine Software-Abhängigkeit.

PBS verwaltet die Schlüssel über Tape-Encryption-Keys, die im PBS hinterlegt werden. proxmox-tape encryption-key create legt einen Schlüssel an, der dann pro Tape-Pool aktiviert werden kann.

Achtung — Schlüssel-Management:

• Schlüssel mehrfach sichern. Ein verlorener Tape-Encryption-Key macht alle damit geschriebenen Tapes unbrauchbar. Schlüssel-Export auf USB-Stick, ausgedruckt im Tresor, mindestens an zwei räumlich getrennten Stellen.
• Schlüssel rotieren — mit Bedacht. Neue Schlüssel für neue Backup-Generationen können sinnvoll sein, aber dann müssen alte Schlüssel weiter zugänglich bleiben, solange alte Tapes noch lesbar sein sollen.
• Schlüssel von Tapes physisch trennen. Wer Tape und Key gemeinsam in den Tresor legt, hat keine echte Defense-in-Depth.

Air-Gap-Schutz gegen Ransomware

Die Ransomware-Schutz-Strategien für 2026 betonen alle eine Komponente: mindestens eine Backup-Kopie muss offline oder immutable sein. Tape erfüllt das Offline-Kriterium per Definition — sobald die Cartridge ausgeworfen ist, ist sie für jeden Angreifer im Netz unerreichbar.

Konkrete Air-Gap-Praxis mit PBS und Tape:

1. Nächtliches Disk-Backup von PVE auf PBS (warm tier)
2. Wöchentlicher oder monatlicher Tape-Out: proxmox-tape backup --pool weekly --drive lto9-drive --snapshot 'vm/100/2026-07-06T22:00:00Z'
3. Tape physisch entnehmen, beschriften, in Tape-Schrank legen
4. Bei Sicherheitsvorfall: Tape aus Schrank, Restore über proxmox-tape restore

Wichtig: Solange das Tape im Drive steckt, ist es theoretisch erreichbar. Echte Air-Gap entsteht erst nach physischem Auswerfen und Wegschließen.

GVS-Rotation für KMU (Großvater-Vater-Sohn)

Das klassische Großvater-Vater-Sohn-Schema ist im KMU-Kontext immer noch ein guter Startpunkt:

Generation	Frequenz	Aufbewahrung	Beispiel mit 8 Tapes
Sohn (Tag)	täglich Mo–Do	1 Woche	4 Tapes (Mo, Di, Mi, Do)
Vater (Woche)	freitags	1 Monat	3 Tapes (Freitag W1, W2, W3)
Großvater (Monat)	letzter Freitag im Monat	12 Monate	1 rotierendes Tape, monatlich neu beschrieben — besser: 12 Tapes für ein Jahr Vollarchiv

Pragmatische Variante für KMU mit LTO-9:

• 5 Wochentapes (täglich, eine Woche Vorhalt)
• 4 Wochentapes (jeden Freitag, ein Monat Vorhalt)
• 12 Monatstapes (letzter Freitag, ein Jahr Vorhalt)
• 5 Jahrestapes (Dezember-Backup, 5 Jahre Vorhalt)
• Summe: 26 Cartridges, ca. 2.500–3.500 EUR Medienkosten einmalig

Mit 18 TB pro Cartridge reicht das für die meisten KMU-Datenbestände — wer mehr braucht, fasst mehrere Cartridges zu Spans zusammen oder geht auf eine kleine Library.

PBS-Konfiguration in der Praxis

Die wichtigsten Kommandos im täglichen Tape-Betrieb:

# Drive registrieren
proxmox-tape drive create lto9-drive --path /dev/nst0

# Encryption-Key anlegen
proxmox-tape encryption-key create --hint "DATAZONE Tape Pool 2026"

# Tape-Pool definieren
proxmox-tape pool create weekly --drive lto9-drive --allocation continue \
  --encrypt 1 --retention 28d

# Tape inventarisieren (Barcode lesen)
proxmox-tape inventory --drive lto9-drive

# Backup-Snapshot auf Tape schreiben
proxmox-tape backup --pool weekly --drive lto9-drive \
  --snapshot 'vm/100/2026-07-06T22:00:00Z'

# Restore vom Tape
proxmox-tape restore --media-set <UUID> --store backup-store --drive lto9-drive

Die PBS-Wiki-Tape-Dokumentation deckt Edge-Cases ab — insbesondere Label-Strategien, Media-Set-Verwaltung und Fehlerbehandlung bei defekten Tapes.

Offsite-Lagerung

Ein Tape im Schrank desselben Gebäudes schützt gegen Ransomware, aber nicht gegen Brand oder Wasserschaden. Für eine echte 3-2-1-Strategie (siehe 3-2-1-Backup-Regel) gehört mindestens ein Tape-Generationswechsel offsite.

Praktische Optionen:

• Bankschließfach. Robust, kostengünstig, klimatisch stabil. Wechselrhythmus: monatlich. Praxis: IT-Verantwortlicher fährt zur Bank, tauscht das Tape im Schließfach.
• Zweitstandort (Filiale, Privatadresse, externer DC). Wechsel per Kurier oder Mitarbeiter. Wichtig: Transport-Versicherung und protokollierte Übergabe.
• Iron-Mountain-artige Dienstleister. Abholung, klimatisierte Einlagerung, dokumentierte Rückführung bei Bedarf. Höhere laufende Kosten, dafür auditiert.

Klimatische Anforderungen für LTO-Lagerung (laut LTO-Konsortium):

• Temperatur: 16–25 °C für Langzeitlagerung
• Relative Luftfeuchte: 20–50 %
• Magnetfeld-frei (keine Lagerung neben großen Trafos oder ungeschirmten Lautsprechern)

Restore-Tests — Pflichtprogramm

Ein Tape, das nie zurückgespielt wurde, ist im Zweifel keine Backup-Kopie. Tapes können defekt sein, das Drive kann falsch konfiguriert sein, der Encryption-Key kann verloren gegangen sein — all das fällt erst beim Restore-Versuch auf.

Empfehlung für regelmäßige Restore-Tests:

• Quartalsweise: Random-Sample aus einem Tape zurückspielen — eine VM, ein File. Dokumentieren.
• Halbjährlich: Vollständiger Restore eines kleinen Snapshots in eine Test-Umgebung. Boot-Check der VM.
• Jährlich: Vollständige Wiederherstellung eines kritischen Systems auf Ersatz-Hardware. Geschäftsleitung in den Test einbinden — das ist gleichzeitig BCM-Übung.

Restore-Test-Logs aufbewahren. Bei Audits (ISO 27001, Versicherer, KRITIS-Prüfungen) sind das die wichtigsten Belege dafür, dass die Backup-Strategie funktioniert.

Wann lohnt sich Tape nicht?

Ehrlichkeit gehört dazu:

• Sehr kleine Datenbestände (< 5 TB). Cloud-Object-Storage mit Immutability ist hier oft günstiger und einfacher.
• Häufige Restore-Anforderungen. Tape ist sequenziell — wer alle zwei Tage einzelne Files restoren muss, ist mit Disk besser bedient.
• Reines Home-Office / Solo-Selbstständige. Eine zweite externe Disk plus Cloud-Sync reicht meist aus.

Tape lohnt sich, wenn Kapazität, Compliance und echter Air-Gap-Schutz zusammenkommen. Für die meisten KMU mit > 20 TB Backup-Volumen und Compliance-Bezug ist es nach wie vor die kostengünstigste und ehrlichste Cold-Storage-Lösung.

DATAZONE-Empfehlung

Tape ist kein Ersatz für Disk-basiertes PBS — es ist die dritte Ebene in einer durchdachten 3-2-1-Strategie:

1. Produktive VMs auf TrueNAS-iSCSI / NVMe-oF oder Proxmox-internem Storage
2. Tägliches Disk-Backup auf PBS (warm tier, schneller Restore)
3. Wöchentlicher / monatlicher Tape-Out + Offsite-Cartridge (cold tier, Disaster-Recovery & Compliance-Archiv)

Wir helfen bei der Hardware-Auslegung — vom Single-LTO-9-Drive für den klassischen Mittelständler bis zur HPE-MSL-Library für regulierte Branchen. Mehr unter unserer Backup-Strategie-Beratung.

Quellen und weiterführende Artikel

• PBS Tape-Backup — offizielle Dokumentation
• LTO-Konsortium — LTO-9-Spezifikationen
• Proxmox Backup Server 4.0 — Neuerungen
• 3-2-1-Backup-Regel für KMU
• Ransomware-Schutzmaßnahmen 2026
• Immutable Backups gegen Ransomware
• Backup-Strategie mit Proxmox und TrueNAS