Proxmox Backup Server installieren: Backups für deine VMs

So funktioniert Proxmox Backup Server

#

Bevor es losgeht, lohnt sich ein kurzer Blick auf die Begriffe, die dir in der Oberfläche begegnen:

• Datastore: der Speicherort für die Backups, also ein Ordner auf einer Platte, einem ZFS-Pool oder einem S3-Bucket.
• Chunks: PBS zerlegt jedes Backup in kleine Stücke und speichert jedes Stück nur einmal. Sichert eine zweite VM dieselben Daten, wird nichts doppelt abgelegt. Das nennt man Deduplizierung.
• Prune: legt fest, welche Backups behalten werden, zum Beispiel die letzten 7 Tage und 4 Wochen. Alle anderen werden als gelöscht markiert.
• Garbage Collection: gibt danach den Speicher der Chunks frei, die von keinem Backup mehr gebraucht werden.
• Verify: prüft regelmäßig, ob die gespeicherten Chunks noch unbeschädigt sind.

Proxmox Backup Server installieren

#

Du hast zwei Wege: das offizielle ISO, das ein komplettes System inklusive ZFS einrichtet, oder die Installation auf einem bestehenden Debian 13. Für einen eigenen Backup-Rechner ist das ISO der einfachere Weg.

wget https://enterprise.proxmox.com/debian/proxmox-archive-keyring-trixie.gpg -O /usr/share/keyrings/proxmox-archive-keyring.gpg

cat > /etc/apt/sources.list.d/pbs-no-subscription.sources << 'EOF'
Types: deb
URIs: http://download.proxmox.com/debian/pbs
Suites: trixie
Components: pbs-no-subscription
Signed-By: /usr/share/keyrings/proxmox-archive-keyring.gpg
EOF

apt update && apt full-upgrade -y
apt install -y proxmox-backup-server

proxmox-backup-manager versions
systemctl status proxmox-backup-proxy

Melde dich als root mit dem Realm Linux PAM an. Die Zertifikatswarnung im Browser kannst du bestätigen, PBS nutzt anfangs ein selbst signiertes Zertifikat.

Paketquellen einrichten und aktualisieren

#

Ohne Subscription liefert die Enterprise-Paketquelle beim Update nur Fehler. Stell deshalb auf die kostenlose No-Subscription-Quelle um. Am einfachsten geht das in der Oberfläche unter Administration → Repositories: Dort deaktivierst du enterprise und fügst über Add das Repository No-Subscription hinzu.

Per Kommandozeile geht es so:

sed -i '/^Types:/a Enabled: false' /etc/apt/sources.list.d/pbs-enterprise.sources

cat > /etc/apt/sources.list.d/pbs-no-subscription.sources << 'EOF'
Types: deb
URIs: http://download.proxmox.com/debian/pbs
Suites: trixie
Components: pbs-no-subscription
Signed-By: /usr/share/keyrings/proxmox-archive-keyring.gpg
EOF

apt update && apt full-upgrade -y

Datastore anlegen

#

Jetzt bekommt PBS seinen Speicherplatz. Mit zwei Datenplatten richtest du am besten einen ZFS-Mirror ein, dann übersteht dein Backup-Speicher auch den Ausfall einer Platte. Mehr dazu findest du in meinem Beitrag über RAID-Level.

Datenplatten prüfen

#

Unter Administration → Storage / Disks siehst du alle Platten. Datenplatten, auf denen noch alte Partitionen liegen, bereinigst du dort mit Wipe Disk.

ZFS-Pool und Datastore erstellen

#

1. Wechsle zu Administration → Storage / Disks → ZFS und klicke auf Create: ZFS.
2. Name: backup, RAID-Level: Mirror, Komprimierung: zstd oder lz4.
3. Wähle beide Datenplatten aus und setze den Haken bei Add as Datastore.
4. Klicke auf Create.

PBS legt den Pool an und richtet gleichzeitig einen Datastore mit demselben Namen ein. Er erscheint links in der Navigation unter Datastore.

Hast du nur eine einzelne Platte oder ein bereits eingebundenes Laufwerk, legst du den Datastore per Kommandozeile auf einem Ordner an:

proxmox-backup-manager datastore create backup /mnt/datastore/backup

Benutzer und API-Token für Proxmox VE

#

Proxmox VE sollte sich nicht als root am Backup-Server anmelden. Leg einen eigenen Benutzer mit einem API-Token an, der nur Backups schreiben darf:

proxmox-backup-manager user create pve@pbs
proxmox-backup-manager user generate-token pve@pbs pve01

Der zweite Befehl gibt das Token-Secret aus. Kopier es sofort in deinen Passwortmanager, es wird nur dieses eine Mal angezeigt.

Jetzt bekommt der Token die nötigen Rechte auf den Datastore:

proxmox-backup-manager acl update /datastore/backup DatastoreBackup --auth-id 'pve@pbs!pve01'

Die Rolle DatastoreBackup erlaubt es, neue Backups anzulegen und eigene Backups zu lesen und wiederherzustellen. Bestehende Backups löschen kann der Token nicht. Kommt Ransomware auf deinen Proxmox-Host und an die Zugangsdaten, kann sie deine Backups also nicht vernichten.

Fingerprint auslesen

#

Proxmox VE prüft beim Verbinden das Zertifikat des Backup-Servers anhand eines Fingerprints. Den findest du im Dashboard über Show Fingerprint oder so:

proxmox-backup-manager cert info | grep Fingerprint

Backup-Server in Proxmox VE einbinden

#

Wechsle jetzt in die Oberfläche deines Proxmox VE:

1. Gehe zu Datacenter → Storage → Add → Proxmox Backup Server.
2. Fülle die Felder aus:
   • ID: pbs
   • Server: IP oder Hostname deines Backup-Servers
   • Username: pve@pbs!pve01
   • Password: das Token-Secret
   • Datastore: backup
   • Fingerprint: der Wert aus dem letzten Schritt
3. Wechsle auf den Reiter Encryption und wähle Auto-generate a client encryption key.
4. Klicke auf Add.

Alternativ per Kommandozeile auf dem Proxmox-VE-Host:

pvesm add pbs pbs --server IP-deines-PBS --datastore backup --username 'pve@pbs!pve01' --password 'TOKEN-SECRET' --fingerprint 'FINGERPRINT' --encryption-key autogen

Backup-Job einrichten

#

Noch in Proxmox VE legst du fest, was wann gesichert wird:

1. Gehe zu Datacenter → Backup → Add.
2. Storage: pbs
3. Schedule: zum Beispiel 02:00 für jede Nacht um zwei Uhr
4. Selection Mode: All, damit auch neu angelegte VMs automatisch mitgesichert werden
5. Mode: Snapshot, die VMs laufen während der Sicherung weiter
6. Die Aufbewahrung lässt du auf dem Reiter Retention leer, die regelt PBS gleich selbst.
7. Mit Create speichern und mit Run now einen ersten Test starten.

Das erste Backup dauert etwas, weil alle Daten einmal komplett übertragen werden. Ab dem zweiten Lauf sichert PBS nur noch die Änderungen, bei VMs, die durchgelaufen sind, oft in wenigen Sekunden.

Aufbewahrung und Wartung planen

#

Zurück in der PBS-Oberfläche kümmerst du dich jetzt um drei Wartungsaufgaben. Alle findest du, wenn du links deinen Datastore backup auswählst.

Prune Job: welche Backups bleiben

#

Auf dem Reiter Prune & GC Jobs legst du unter Prune Jobs → Add fest, wie viele Backups behalten werden. Eine bewährte Aufteilung:

Dank Deduplizierung kosten diese vielen Stände kaum zusätzlichen Platz, denn unveränderte Daten liegen nur einmal auf der Platte.

Garbage Collection: Speicher freigeben

#

Im selben Reiter stellst du bei Garbage Collection den Zeitplan auf daily, zeitlich nach dem Prune Job. Per Kommandozeile:

proxmox-backup-manager datastore update backup --gc-schedule 'daily'

Verify Job: Backups prüfen

#

Auf dem Reiter Verify Jobs legst du mit Add eine regelmäßige Prüfung an, zum Beispiel jeden Sonntag mit dem Zeitplan sun 03:00. Setze Skip Verified auf aktiv und Re-Verify After auf 30 Tage. So prüft PBS neue Backups sofort und ältere einmal im Monat erneut, ohne die Platten jede Woche komplett zu lesen.

Benachrichtigungen einrichten

#

Damit du merkst, wenn ein Backup fehlschlägt oder eine Platte Probleme macht, richtest du unter Configuration → Notifications ein Ziel ein. Am zuverlässigsten ist SMTP mit deinem eigenen Mailserver: Server, Port, Benutzer und Absender eintragen, dann mit Test prüfen. Unter Notification Matchers legst du fest, dass Fehler an dieses Ziel gehen.

In Proxmox VE stellst du beim Backup-Job auf dem Reiter Notifications ebenfalls ein, dass du bei Fehlern eine Mail bekommst.

Backups wiederherstellen

#

Ein Backup ist nur so gut wie die Wiederherstellung. Teste sie deshalb gleich nach dem ersten Lauf.

Ganze VM wiederherstellen: In Proxmox VE klickst du links auf den Storage pbs, wählst unter Backups einen Stand und klickst auf Restore. Vergib für den Test eine neue VM-ID, dann bleibt die Original-VM unberührt. Achte darauf, die Test-VM nicht mit derselben IP ins Netz zu bringen wie das Original.

Einzelne Dateien wiederherstellen: Wähl das Backup aus und klicke auf File Restore. Du kannst dann im Dateisystem der VM blättern und einzelne Dateien oder Ordner herunterladen, ohne die ganze VM zurückzuspielen.

Backup-Server absichern

#

Dein Backup-Server ist die letzte Verteidigungslinie, also behandle ihn entsprechend:

• Nicht ins Internet: Port 8007 gehört nur ins interne Netz. Für Zugriff von außen nutzt du ein VPN.
• Zwei-Faktor-Anmeldung: Unter Configuration → Access Control → Two Factor Authentication richtest du TOTP für root ein.
• Kein root für Proxmox VE: Bleib beim eingeschränkten Token mit der Rolle DatastoreBackup.
• Schlüssel sichern: Den Verschlüsselungsschlüssel aus Proxmox VE bewahrst du getrennt auf, sonst sind die Backups im Ernstfall wertlos.
• Eine zweite Kopie: Nach der 3-2-1-Regel gehört eine Kopie außer Haus. Mit einem Sync Job spiegelst du den Datastore auf einen zweiten PBS, zum Beispiel bei Freunden oder in einem Rechenzentrum. Seit Version 4.2 kannst du auch einen S3-Datastore bei einem Anbieter wie Hetzner oder Backblaze als Ziel nutzen.

Proxmox Backup Server aktualisieren

#

Updates spielst du in der Oberfläche unter Administration → Updates ein oder per Kommandozeile:

apt update && apt full-upgrade -y

Plane Updates so, dass gerade kein Backup läuft. Nach einem Kernel-Update ist ein Neustart nötig, den du ebenfalls außerhalb des Backup-Fensters erledigst.