Backup vs. Digitale Archivierung

«Wir haben doch ein Backup.» Der Satz fällt in Beratungsgesprächen regelmässig, sobald die digitale Langzeitarchivierung zur Sprache kommt. Gemeint ist meist: wir sind sicher, falls etwas schiefgeht. Das stimmt, und es ist nicht das, was Archivierung leistet.

Die beiden lösen unterschiedliche Probleme und ergänzen sich, und wer eines durch das andere ersetzt, riskiert auf der einen Seite Datenverlust nach Lösch-Fehlern, auf der anderen den schleichenden Verlust von Inhalten durch Format-Obsoleszenz, Bit-Rot und fehlende Metadaten.

Das typische Szenario

Eine Sammlungsdatenbank wird täglich gesichert, die Backups rotieren über 90 Tage. Vor sechs Monaten hat eine Mitarbeiterin versehentlich einen ganzen Bestand gelöscht. Das Backup hilft nicht: der Lösch-Vorgang liegt jenseits der Rotation.

Selbst wenn er darin läge, wäre wenig gewonnen, denn die Sammlung lag als nicht-normalisierte Original-Files vor, ohne Erhaltungs-Metadaten, ohne Provenienz und ohne Migrations-Plan. In zehn Jahren wäre dasselbe Backup vielleicht nicht mehr lesbar, weil das Quellsystem obsolet ist und niemand mehr weiss, in welchem Container welcher Datentyp steckt.

Backup hätte den Lösch-Vorfall verhindern können, wenn die Rotation länger wäre. Archivierung hätte den Bestand durch die Jahrzehnte gebracht. Beides ist nötig, keines reicht allein.

Vergleich

Aspekt	Backup	Digitale Archivierung
Zweck	Wiederherstellung nach Ausfall, Fehler, Ransomware	langfristige Verfügbarkeit der Information
Zeithorizont	Stunden bis wenige Monate	Jahrzehnte bis Jahrhunderte
Datei-Format	1 : 1 wie in Produktion	normalisiert auf archivtaugliche Formate (PDF/A, FFV1, TIFF, WAV)
Metadaten	minimal: Snapshot-Zeit, Dateipfad	reich: deskriptiv, technisch, administrativ, Provenienz
Integritätsprüfung	implizit (Restore-Test)	explizit, periodisch (Fixity-Checks gegen Hash-Manifeste)
Format-Obsoleszenz	nicht adressiert, das Backup folgt der Produktion	aktiv beobachtet, danach Migration oder Normalisierung
Lebenszyklus	rotiert, wird gelöscht	unveränderlich (AIP), dauerhaft
Storage-Strategie	online oder near-online, oft an einem Standort	mehrfach repliziert an geografisch getrennten Standorten
Zugriff	nur Restore-Workflow für die IT	recherchierbar, ausspielbar als DIP
Disziplin	IT-Operations	archivische Erhaltungspraxis nach OAIS

Was Backup leistet

Backup beantwortet die Frage: Was passiert, wenn jetzt etwas schiefgeht? Vier Grössen legen das Konzept fest.

RPO (Recovery Point Objective): wie viel Datenverlust ist akzeptabel, Stunden oder ein ganzer Tag?
RTO (Recovery Time Objective): wie lange darf die Wiederherstellung dauern?
3-2-1-Regel: drei Kopien, zwei verschiedene Medien, eine ausserhalb des Standorts.
Rotation: typischerweise GFS-Schema, also täglich, wöchentlich, monatlich und jährlich, mit definierter Aufbewahrung pro Stufe.

Vier Dinge liefert es nicht.

Keine Format-Strategie: Das Backup spiegelt das Produktiv-Format. Verstirbt dieses, ist auch das Backup tot.
Keine Provenienz: Man weiss, wann der Snapshot entstand, aber nicht, wer den Inhalt erstellt, geändert oder migriert hat.
Keine Bit-Rot-Erkennung: Ohne expliziten Fixity-Check kann sich ein Speicher-Sektor still verändern, ohne dass es jemand merkt.
Endliche Aufbewahrung: Eine vor fünf Jahren gelöschte Datei ist im typischen Backup nicht mehr vorhanden.

Was digitale Archivierung leistet

Archivierung beantwortet eine andere Frage: Was muss in 50 Jahren noch verlässlich nutzbar sein? Im OAIS-Modell heisst das sechs Dinge.

Ingest mit Format-Normalisierung: Beim Eintritt wird das Original durch Siegfried oder FIDO identifiziert (PRONOM-PUID), über die NARA Risk Levels bewertet und auf das Archiv-Zielformat überführt. Unser Archivinformationssystem Anton kombiniert dafür kraenzle-ritter/puidentify als Siegfried- und FIDO-Wrapper mit kraenzle-ritter/nara-risk für den Risk-Lookup pro PUID.
AIP-Bildung: Das Original oder die normalisierte Kopie wandert mit allen zugehörigen Metadaten in ein unveränderliches Archival Information Package, typischerweise als BagIt-Container, OCFL-Object oder SIP-eCH-0160-Lieferung.
Fixity-Check: Periodisch werden alle Hashes gegen das Manifest geprüft. Eine Abweichung löst Alarm aus und wird als PREMIS-Event festgehalten.
Provenienz: Sämtliche Tätigkeiten am Objekt, also Ingest, Validation, Migration und Replication, sind als PREMIS-Events dokumentiert.
Migration vor Obsoleszenz: Bevor ein Format unleserlich wird, erfolgt die Migration in ein neueres archivtaugliches Format, ebenfalls als PREMIS-Event protokolliert.
Recherchierbar und ausspielbar: Der Bestand ist nicht nur vorhanden, sondern findbar und in Nutzungsformate umwandelbar (DIP).

Wo sich beides berührt

Archivierung braucht Backup-Disziplin als Grundschicht: Der Online-Zugriff auf das Archiv muss nach einem Ausfall schnell wieder verfügbar sein, was klassisches Backup für die Archiv-Anwendung verlangt, und Storage-Redundanz durch Spiegelung, RAID und geografische Verteilung ist ohnehin Anforderung auf beiden Seiten.

Archivierung ohne Backup-Konzept ist fragil; Backup ohne Archivierungs-Konzept ist langfristig wertlos.

In der Praxis greifen die Strategien ineinander. Bewährt hat sich die dreifache Replikation an geografisch getrennten Standorten:

Live-Daten → Backup (Tagesgeschäft, RPO/RTO)
              ↓
              Ingest in Archiv → AIP
                                  ↓
                                  Standort 1 (online, primärer Zugriff)
                                  Standort 2 (georedundante Kopie)
                                  Standort 3 (zweite georedundante Kopie)

Drei Kopien an zwei oder drei räumlich getrennten Standorten erfüllen die 3-2-1-Regel und decken Hardware-Ausfall, Standortverlust durch Brand oder Wasserschaden sowie schleichende Korruption ab. Das letzte allerdings nur, wenn periodisch Fixity-Checks gegen die Manifeste laufen und beschädigte Kopien aus den intakten regeneriert werden.

Entscheidungs-Hilfe

Zwei Fragen genügen meist.

Die erste ist die Backup-Frage: Was kann ich heute verlieren, ohne dass es jemandem auffällt, welche RPO ist akzeptabel, und reicht ein Verlust von 24 Stunden oder muss es Echtzeit-Spiegelung sein?

Die zweite ist die Archivierungs-Frage: Was muss in 50 Jahren noch lesbar sein, in einer Form, die seine ursprüngliche Aussage erhält, und welche Formate, welche Metadaten, welche Migrations-Strategie folgen daraus?

Werden beide Fragen mit «nichts» beantwortet, dann braucht es ehrlicherweise weder Backup noch Archivierung. Fällt die zweite Antwort signifikant aus, braucht es mehr als ein Backup.

Schweiz-Spezifika

BAR und KOST: Das Schweizerische Bundesarchiv und die Koordinationsstelle für die dauerhafte Archivierung elektronischer Unterlagen geben verbindliche Empfehlungen für die Bundesverwaltung sowie für kantonale und kommunale Archive.
eCH-0160: die Lieferschnittstelle für SIPs im Behördenkontext, siehe SIP-eCH-0160.
Memoriav: koordiniert die Erhaltung audiovisueller Bestände und publiziert ergänzende Format-Empfehlungen für Foto, Film, Video und Ton.
DIMAG-Verbund Schweiz: gemeinsame Infrastruktur für viele Kantons- und Gemeindearchive; unsere Schnittstelle Inge verbindet Anton mit Dimag für den SIP-Ingest.
Datenschutz: Das DSG kann mit der Backup-Rotation kollidieren. Eine personenbezogene Datenmenge, die heute gelöscht werden muss, darf nicht über ein 90-Tage-Backup weiter vorgehalten werden. Backup-Konzepte brauchen deshalb einen Lösch- und Anonymisierungs-Workflow auch innerhalb der Backup-Kette.

Häufige Fallen

«Backup = Archiv»: der Klassiker, oft kombiniert mit dem Hinweis, man habe ja eine Cloud.
MP3-Backup statt WAV-Master: Eine verlustbehaftete Kopie reicht für die Tagesnutzung, ist aber kein Master.
Cloud-Backup ohne Format-Migration: Stirbt das Quellformat in 15 Jahren, hilft auch der georedundante S3-Bucket nicht.
Replikation ohne Fixity-Check: Bit-Rot passiert auf jeder Speicher-Hardware, und eine zweite oder dritte Kopie nützt nichts, wenn die intakte Version nicht zuverlässig identifiziert werden kann. Periodische Hash-Verifikation gegen die Manifeste ist Pflicht.
Verschlüsselte Backups ohne Schlüssel-Workflow: In 20 Jahren ist nicht garantiert, dass der Schlüssel noch vorhanden, der Algorithmus noch unterstützt oder die Person noch im Haus ist.
Fehlende Immutability: Ein Ransomware-Angriff verschlüsselt auch das Backup-Volume, wenn dieses online zugreifbar bleibt. Air-gapped oder WORM-Storage ist hier Pflicht und zugleich der Pfad zur Archivierungs-Disziplin.
Backup als Archivierungs-Argument im Förderantrag: BAR und Memoriav erwarten ein Archivierungs-Konzept. Wer das verwechselt, bekommt den Antrag zurück.
Lösch-Anforderung im Backup vergessen: Löschungen nach DSG oder DSGVO müssen auch im Backup-Verlauf nachgezogen werden, sonst ist der vermeintlich archivierte Datensatz die nächste Datenschutz-Welle.