Automatisierte Backups mit Restic und n8n: So sicherst du deinen Self-Hosting-Stack

Stell dir vor, dein Server fällt heute Abend aus: Festplattendefekt, Ransomware oder ein fehlgeschlagenes Update. Nextcloud mit allen Kundendateien, Vaultwarden mit allen Passwörtern, die n8n-Workflows, die deine Rechnungen verschicken – alles weg. Wer in diesem Moment keine geprüften automatisierten Backups mit Restic und n8n hat, verliert nicht nur Daten, sondern oft das Vertrauen seiner Kunden. Die gute Nachricht: Ein professionelles Backup deines kompletten Self-Hosting-Stacks kostet 0 CHF an Lizenzgebühren, wenige Euro Speicher im Monat und ein paar Stunden Einrichtungszeit.

Was ist Restic – und warum eignet es sich für Self-Hosting-Backups?

Restic ist ein modernes Backup-Programm unter der BSD-2-Clause-Lizenz – also komplett kostenlos und Open Source. Das Projekt ist aktiv entwickelt; die aktuelle Version 0.19.1 wurde am 5. Juli 2026 veröffentlicht. Das Motto des Projekts lautet 'Backups done right': Sicherungen müssen überprüfbar sein, damit du sicher weisst, dass deine Daten im Notfall wirklich wiederhergestellt werden können. Genau das unterscheidet Restic von einem simplen rsync-Cronjob.

Für Self-Hosting-Umgebungen ist Restic aus vier Gründen die erste Wahl:

• Verschlüsselung clientseitig: Alle Daten werden bereits auf deinem Server mit AES-256 verschlüsselt, bevor sie das Repository erreichen. Selbst wer Zugriff auf den Speicher bekommt, kann nichts mit den Daten anfangen.
• Deduplizierung und inkrementelle Snapshots: Restic überträgt nur geänderte Datenblöcke. Ein tägliches Backup von 200 GB Daten erzeugt nach dem ersten Lauf oft nur wenige Megabytes Traffic – ideal für VPS mit begrenztem Upstream.
• Verifizierbarkeit: Der Befehl restic check prüft die Integrität des kompletten Repositories. Ein Backup, das du nie überprüft hast, ist keine Sicherung, sondern eine Hoffnung.
• Flexible Ziele: Restic schreibt in lokale Verzeichnisse, per SFTP auf zweite Server, auf einen eigenen REST-Server oder in S3-kompatiblen Object Storage, Backblaze B2 und Azure Blob Storage.

Welche Daten deines Self-Hosting-Stacks musst du überhaupt sichern?

Bevor du die erste Zeile Konfiguration schreibst, brauchst du ein Inventar. In einem typischen Schweizer KMU-Stack mit Docker laufen meist diese Dienste – und jeder hat andere Sicherungsbedürfnisse:

• Nextcloud: Das Datenverzeichnis mit allen Dateien plus die Datenbank (Postgres oder MariaDB). Am saubersten mit 'occ maintenance:mode --on' kurz einfrieren oder per Dump der DB.
• NocoDB: Die Datenbank hinter deinen Bases inklusive Attachments-Ordner – hier laufen bei vielen KMU längst Geschäftsprozesse.
• Vaultwarden: Das Datenverzeichnis mit der Datenbank, Attachments und Sends. Kritisch, weil hier alle Passwörter liegen – deshalb sind verschlüsselte Offsite-Kopien Pflicht.
• n8n: Die Workflow-Datenbank plus N8N_ENCRYPTION_KEY. Die offizielle Dokumentation empfiehlt hierfür die CLI-Befehle n8n export:workflow --backup und n8n export:credentials --backup.
• DocMost und Vikunja: Datenverzeichnisse und zugehörige Datenbanken für Wiki und Aufgabenmanagement.
• InvoiceNinja: Rechnungsdaten, PDFs und die Datenbank – wegen der zehnjährigen Aufbewahrungspflicht für Geschäftsunterlagen in der Schweiz besonders schützenswert.
• Konfiguration: docker-compose.yml, .env-Dateien, Caddy- oder Traefik-Konfiguration, Homarr-Dashboard. Ohne sie ist ein Restore mühsam.

Ein Hinweis zur Datenbank: n8n nutzt standardmässig eine eingebaute SQLite-Datenbank; für Produktivumgebungen mit mehreren Nutzern und rund um die Uhr laufenden Workflows empfiehlt die offizielle Dokumentation ausdrücklich Postgres. Für das Backup heisst das: SQLite-Sicherung per Dateikopie bei gestopptem Container oder ein sauberer pg_dump bei Postgres. Beides lässt sich in ein und demselben Skript abhandeln, das n8n später anstösst.

Wie richtest du ein verschlüsseltes Restic-Repository ein?

Als Backup-Ziel empfehle ich Schweizer KMUs S3-kompatiblen Object Storage – etwa von Exoscale, einem Schweizer Anbieter mit Rechenzentren in der Schweiz und DSGVO-konformem Betrieb. So bleiben deine verschlüsselten Daten im Land, was Kunden- und Auditing-Fragen deutlich vereinfacht. Alternativ reicht für den Start auch ein zweiter Server per SFTP. Die Einrichtung selbst ist in wenigen Befehlen erledigt:

# Repository initialisieren (Passwort IMMER sicher verwahren!)
export RESTIC_REPOSITORY="s3:https://sos-ch-gva-8.exo.io/mein-kmu-backup"
export RESTIC_PASSWORD_FILE="/root/.restic-pass"
restic init

# Nächtliches Backup des gesamten Stacks
restic backup /srv/stack --tag daily --host kmu-server

# Aufbewahrung: 7 Tages-, 5 Wochen-, 12 Monats-Snapshots
restic forget --keep-daily 7 --keep-weekly 5 --keep-monthly 12 --prune

# Integrität prüfen
restic check

Das Passwort ist der Schlüssel zu allen Daten: Restic verschlüsselt clientseitig, selbst der Speicheranbieter sieht nur verschlüsselte Blöcke. Verlierst du das Passwort, sind die Backups unwiederbringlich verloren – sichere es deshalb im Vaultwarden und zusätzlich physisch (Papier im Tresor). Mit restic key add vergibst du ausserdem einen Zweitschlüssel als Absicherung. Die Aufbewahrungsregel oben hält automatisch sieben Tages-, fünf Wochen- und zwölf Monats-Snapshots vor und räumt mit --prune auf. Dank Deduplizierung bleibt ein solches Repository bei typischen KMU-Stacks erstaunlich klein.

Du hast keinen zweiten Server und keine Zeit fürs Feintuning? Synara plant und implementiert deine komplette Backup-Strategie mit Restic – inklusive Repository, Verschlüsselung und dokumentiertem Restore-Drill. Jetzt Beratung vereinbaren →

Wie orchestriert n8n den kompletten Backup-Workflow?

Restic allein weiss nicht, wann es laufen soll – und es meldet sich auch nicht, wenn etwas schiefgeht. Genau hier kommt n8n ins Spiel, das auf demselben Server oder separat läuft. Der Workflow ist bewusst einfach gehalten und in einer Stunde gebaut:

1. Schedule Trigger startet den Workflow jede Nacht, etwa um 02:30 – ausserhalb der Geschäftszeiten.
2. Ein SSH-Knoten hält die Datenbanken kurz an oder erzeugt Dumps (pg_dump für Postgres, occ maintenance:mode für Nextcloud).
3. Ein Execute-Command-Knoten startet das Restic-Backup-Skript inklusive forget und prune.
4. Ein IF-Knoten prüft Exit-Code und Output; bei Erfolg wird das Ergebnis in eine NocoDB-Log-Tabelle geschrieben – so hast du ein lückenloses Backup-Protokoll für Audits.
5. Bei Fehler schlägt der Error-Workflow an: n8n bietet dafür ein eigenes Error-Trigger-Modul, das jeden Fehlschlag abfängt und sofort eine Nachricht über Telegram, E-Mail oder Teams sendet.

Der Unterschied zu einem simplen Cronjob ist die Aktionskette: Cron schreibt bei Misserfolg maximal eine Log-Zeile, die niemand liest. Ein n8n-Error-Workflow dagegen meldet sich um 02:31 auf deinem Handy – du erfährst vom kaputten Backup, bevor es zum Datenverlust kommt. Zusätzlich richtest du einen zweiten, monatlichen Workflow ein, der den Restore-Drill anstösst und als Vikunja-Aufgabe dem Verantwortlichen zuweist. So bleibt Wiederherstellbarkeit kein Papierversprechen, sondern ein gelebter Prozess.

Wie testest du den Restore – und warum ist das der wichtigste Schritt?

Ein Backup zählt erst, wenn die Wiederherstellung nachweislich funktioniert. Der Restore-Drill gehört deshalb fest in den Kalender: einmal pro Monat ein Verzeichnis oder eine Datenbank in ein Testziel zurückspielen und das Ergebnis prüfen. Restic macht das angenehm einfach:

# Snapshots anzeigen
restic snapshots

# Einzelnes Verzeichnis aus Snapshot zurücksichern
restic restore latest --target /tmp/restore-test --include /srv/stack/nocodb

# Oder per Mount direkt hineinschauen (FUSE)
restic mount /mnt/restic

Praxis-Tipp für den Drill: Spiel nicht nur Daten zurück, sondern durchlaufe den kompletten Wiederherstellungsprozess – Container stoppen, Daten zurückspielen, Container starten, Funktion testen. Dokumentiere Dauer und Stolpersteine in DocMost. Wenn dann der Ernstfall kommt, läufst du ein geübtes Verfahren ab, statt improvisieren zu müssen. Für kritische Dienste wie Nextcloud lohnt sich zusätzlich ein zweiter VPS als Warm-Standby, auf dem du den Restore gleich produktionsnah testest.

Welches Backup-Ziel passt zu deinem Schweizer KMU?

Die 3-2-1-Regel gilt weiterhin als Goldstandard: drei Kopien der Daten, auf zwei verschiedenen Medien, eine davon ausser Haus. Für den Offsite-Teil kommen für Schweizer KMU vor allem diese Ziele infrage:

Warum ist Wiederherstellbarkeit eine revDSG-Anforderung?

Die revidierte Datenschutzgrundverordnung (revDSG) ist seit dem 1. September 2023 in Kraft, mit Geldbussen von bis zu 250'000 CHF. Artikel 22 verlangt angemessene technische und organisatorische Massnahmen für die Sicherheit der Datenbearbeitung – und das umfasst ausdrücklich nicht nur Vertraulichkeit, sondern auch Verfügbarkeit und Wiederherstellbarkeit der Systeme und Daten. Ein verschlüsseltes, getestetes Backup mit Protokoll ist damit nicht nur good practice, sondern deine dokumentierbare Antwort auf eine konkrete gesetzliche Anforderung.

Praktisch heisst das für dein KMU: Führe ein Backup-Log (die NocoDB-Tabelle aus dem n8n-Workflow erledigt das automatisch), dokumentiere den Restore-Drill und sichere den Verschlüsselungsschlüssel getrennt vom Repository. Sollte es je einen Vorfall geben, kannst du damit nachweisen, dass du die Integrität deiner Kunden- und Personaldaten ernst genommen hast. Zusätzlich greift bei US-Cloud-Diensten oft der Cloud Act – bei Restic mit clientseitiger Verschlüsselung und Schweizer Storage-Zone ist dieses Thema vom Tisch.

Wie schnell wäre dein KMU nach einem Totalausfall wieder arbeitsfähig? Wenn du die Antwort nicht kennst, ist jetzt der richtige Moment. Synara analysiert deinen Stack und setzt Backups um, die im Ernstfall wirklich funktionieren. Jetzt Beratung vereinbaren →

Was kostet das komplette Backup-Setup für ein KMU?

Die ehrliche Antwort: deutlich weniger als ein einziger Datenverlust-Vorfall. Konkret: Restic kostet 0 CHF, n8n läuft ohnehin auf deinem Stack. Dazu kommen die Speicherkosten – für einen typischen 100-GB-Stack mit Deduplizierung liegen die bei Backblaze B2 bei unter 1 USD, bei Exoscale in einer ähnlichen Grössenordnung, bei Hetzner mit 1 TB Storage Box bei rund 4 EUR. Der grösste Posten ist die einmalige Einrichtung: Repository, Backup-Skript, n8n-Workflow inklusive Error-Alerts und der erste dokumentierte Restore-Drill nehmen erfahrungsgemäss einen halben bis einen Tag in Anspruch. Danach läuft das System autonom – und du investierst monatlich 15 Minuten in den Drill.

Häufige Fragen (FAQ)

Bereit für Backups, die im Ernstfall wirklich funktionieren? Synara (Tell a Friend Pascucci) aus St. Gallen implementiert automatisierte Restic-Backups mit n8n-Orchestrierung für Schweizer KMU – inklusive Restore-Drill und revDSG-tauglicher Dokumentation. Jetzt Beratung vereinbaren →