LitArbi Server auf Amazon S3 sichern – Schritt für Schritt

Bevor Sie anfangen

Sie brauchen dreierlei: ein Konto bei Amazon Web Services, an dem Sie sich als dessen Administrator anmelden können, ein Administratorkonto auf Ihrem LitArbi Server und einen sicheren Ort für das Backup-Kit – den Passwortmanager der Kanzlei oder einen Drucker und einen Tresor. Planen Sie 20 Minuten ein; das erste Backup läuft danach von selbst.

Diese fünf Dinge legen Sie an, in dieser Reihenfolge:

Alles, was der Server sendet, ist verschlüsselt, bevor es den Server verlässt – mit einem Schlüssel, den nur Ihre Kanzlei hat. Amazon speichert Daten, die es nicht lesen kann; LitArbi kann sie ebenso wenig lesen.

Kosten. Amazon berechnet für Speicher in Frankfurt wenige Cent je Gigabyte und Monat, dazu Kleinstbeträge je Anfrage. Ein Server mit 20 GB Anlagen kostet deutlich unter einem Euro im Monat.

Schritt 1 – Den Bucket anlegen

1. Melden Sie sich an der AWS-Managementkonsole an. Wählen Sie oben rechts die Region Europa (Frankfurt) eu-central-1 – oder eine andere EU-Region; merken Sie sich, welche.
2. Öffnen Sie S3 („S3“ in die Suche eingeben) und klicken Sie auf Bucket erstellen.
3. Bucket-Typ: Allzweck. Bucket-Name: etwas Eindeutiges, etwa litarbi-backup-ihrekanzlei – Kleinbuchstaben, Ziffern und Bindestriche; der Name darf in ganz AWS noch nicht vergeben sein.
4. Lassen Sie die Voreinstellungen: ACLs deaktiviert, Blockieren des gesamten öffentlichen Zugriffs angehakt, Standardverschlüsselung SSE-S3.
5. Öffnen Sie Erweiterte Einstellungen. Wählen Sie unter Objektsperre Aktivieren und haken Sie die Bestätigung an, dass Objekte dauerhaft gesperrt werden können. Die Versionsverwaltung wird damit eingeschaltet.
6. Klicken Sie auf Bucket erstellen.

Die Objektsperre lässt sich nur jetzt, beim Anlegen, einschalten – und nie wieder aus. AWS schlägt danach eine „Standardaufbewahrung“ vor: Lassen Sie das. LitArbi sperrt jede Datei selbst, für die Tage, die Sie in Schritt 5 eintragen.

Schritt 2 – Die Aufräumregel

Die Objektsperre braucht die Versionsverwaltung, und mit ihr versteckt ein Löschen eine Datei nur. Entfernt LitArbi einen alten Wiederherstellungspunkt, löscht die Regel die versteckte Fassung 30 Tage später endgültig.

1. Öffnen Sie den neuen Bucket, Reiter Verwaltung, und klicken Sie auf Lebenszyklusregel erstellen.
2. Lebenszyklusregelname: litarbi-cleanup. Regelumfang auswählen: Auf alle Objekte im Bucket anwenden, und die Bestätigung anhaken.
3. Haken Sie unter Lebenszyklusregelaktionen Nicht aktuelle Versionen von Objekten endgültig löschen und Abgelaufene Objekt-Löschmarkierungen oder unvollständige mehrteilige Uploads löschen an.
4. Tage, nach deren Ablauf Objekte nicht mehr aktuell sind: 30. „Anzahl der zu behaltenden neueren Versionen“ bleibt leer.
5. Haken Sie Löschmarkierungen für abgelaufenes Objekt löschen und Für unvollständige mehrteilige Uploads an, Anzahl der Tage: 7.
6. Klicken Sie auf Regel erstellen.

Haken Sie nicht „Aktuelle Objektversionen ablaufen lassen“ an – das würde die Backups selbst löschen.

Schritt 3 – Die Richtlinie: was der Server darf

1. Öffnen Sie IAM („IAM“ in die Suche eingeben), dann Richtlinien und Richtlinie erstellen.
2. Stellen Sie den Richtlinien-Editor von Visualisierung auf JSON um, markieren Sie alles darin und ersetzen Sie es durch die Richtlinie unten. Tragen Sie Ihren Bucket-Namen an beiden Stellen ein, an denen litarbi-backup-yourfirm steht.
3. Klicken Sie auf Weiter. Richtlinienname: LitArbiServerBackup. Klicken Sie auf Richtlinie erstellen.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "ListTheBackupBucket",
      "Effect": "Allow",
      "Action": "s3:ListBucket",
      "Resource": "arn:aws:s3:::litarbi-backup-yourfirm"
    },
    {
      "Sid": "ReadWriteBackupFiles",
      "Effect": "Allow",
      "Action": ["s3:GetObject", "s3:PutObject", "s3:PutObjectRetention", "s3:DeleteObject"],
      "Resource": "arn:aws:s3:::litarbi-backup-yourfirm/*"
    }
  ]
}

Mit dieser Richtlinie kann der Server die aktuellen Dateien in diesem einen Bucket auflisten, lesen, schreiben und löschen. Alte Versionen entfernen kann er nicht – s3:DeleteObjectVersion fehlt mit Absicht. Wer den Server übernimmt, kann Dateien also nur verstecken, nie vernichten; die versteckten Fassungen bleiben 30 Tage lang wiederherstellbar.

Verdoppelt der Editor beim Tippen Klammern oder Anführungszeichen, fügen Sie die Richtlinie ein, statt sie zu tippen.

Schritt 4 – Der Benutzer des Servers und sein Zugriffsschlüssel

1. Öffnen Sie in IAM IAM-Benutzer und klicken Sie auf Person hinzufügen. Personenname: litarbi-server-backup. Den Zugriff auf die AWS-Managementkonsole lassen Sie aus. Weiter.
2. Berechtigungsoptionen: Direktes Anfügen von Richtlinien. Suchen Sie LitArbiServerBackup, haken Sie die Richtlinie an, Weiter, dann Person hinzufügen.
3. Öffnen Sie den neuen Benutzer, Reiter Sicherheitsanmeldeinformationen, und klicken Sie unter Zugriffsschlüssel auf Zugriffsschlüssel erstellen.
4. Anwendungsfall: eine Anwendung außerhalb von AWS (englisch „Application running outside AWS“). Weiter, wahlweise die Beschreibung „LitArbi Server“, dann Zugriffsschlüssel erstellen.
5. AWS zeigt den Zugriffsschlüssel (er beginnt mit AKIA) und den geheimen Zugriffsschlüssel – den geheimen nur dieses eine Mal. Lassen Sie die Seite für Schritt 5 offen.

Geheimen Schlüssel verloren? Löschen Sie den Zugriffsschlüssel, legen Sie einen neuen an und tragen Sie das neue Paar in LitArbi ein. Sonst ändert sich nichts.

Schritt 5 – Die Backup-Seite in LitArbi Server

Öffnen Sie in LitArbi Web Administration ▸ Backups. Die Seite hat drei nummerierte Teile; die Beschriftungen sind englisch.

1 · Backup key

Klicken Sie auf Create the backup key. Die Seite zeigt das Backup-Kit ein einziges Mal: einen Schlüssel LABK-… und seinen Fingerabdruck. Drucken Sie es aus oder legen Sie es im Passwortmanager der Kanzlei ab, getrennt vom Server, und sorgen Sie dafür, dass eine zweite Person weiß, wo es liegt. Der Server behält nur die öffentliche Hälfte: Er kann Backups schreiben, aber nie lesen. Ohne das Kit kann sie niemand öffnen – nicht Sie, nicht Ihr Hoster, nicht Amazon, nicht LitArbi.

2 · Backup place

Wählen Sie S3-compatible storage und tragen Sie ein:

Bestätigen Sie mit Ihrem eigenen LitArbi-Passwort und klicken Sie auf Test and save. Der Server schreibt, liest und löscht zuerst eine Testdatei, ein Fehler zeigt sich also sofort (siehe „Wenn etwas schiefgeht“ unten). Die Zugangsdaten liegen verschlüsselt auf dem Server.

3 · Keep restore points for

14 Tage, 8 Wochen und 12 Monate sind ein guter Anfang: Behalten wird der neueste Wiederherstellungspunkt jedes Tages, jeder Woche und jedes Monats. Berufsrechtliche Aufbewahrungspflichten können mehr Monate verlangen.

Klicken Sie zum Schluss auf Back up now. Das erste Backup sendet alles und kann eine Weile dauern – es läuft im Hintergrund weiter. Spätere Backups senden nur, was neu ist.

Schritt 6 – Prüfen, ob es läuft

• Auf der Backup-Seite zeigt Last backup das heutige Datum und At the backup place Ihren Bucket mit „Object Lock 30 days“.
• Die Übersicht meldet nicht mehr, dass keine Backups eingerichtet sind.
• Geben Sie den Schlüssel aus Ihrem Kit unter Check the kit ein. Er öffnet den neuesten Wiederherstellungspunkt einmal und wird nicht gespeichert – der Beweis, dass das Kit funktioniert, bevor Sie es brauchen.
• Check the backups vergleicht den neuesten Wiederherstellungspunkt mit dem, was gesendet wurde; der Server wiederholt das jede Woche von selbst.

Das Backup läuft im Hintergrund in kurzen Abschnitten, während LitArbi benutzt wird. Bietet Ihr Hosting Cronjobs, ist es zuverlässiger, es jede Nacht zu einer festen Zeit zu starten – die Installationsanleitung im Server-Paket zeigt die Zeile.

Wenn etwas schiefgeht

Scheitert Test and save, zeigt die Seite Amazons Begründung. Die üblichen:

Andere S3-Anbieter

Jeder S3-kompatible Speicher funktioniert genauso – etwa Hetzner Object Storage, IONOS S3 Object Storage, Backblaze B2 oder Wasabi. Drei Dinge zählen überall:

• Objektsperre (und mit ihr die Versionsverwaltung) beim Anlegen des Buckets einschalten, wenn der Anbieter sie hat.
• Einen Zugriffsschlüssel anlegen, der nur diesen einen Bucket benutzen darf, wenn der Anbieter das erlaubt.
• Endpoint und Region aus der Dokumentation des Anbieters übernehmen und in Schritt 5 eintragen.