Microsoft-365-Backup, das nachweislich wiederherstellbar ist.

Wir kündigen es mindestens zwölf Monate vorher an und veröffentlichen danach die Business- und Service-Provider-Module als Open Source unter der Lizenz des Kerns, Apache 2.0. Ihre Installation läuft ohne Lizenzschlüssel weiter.

Nicht für Lizenzen aus dem Vorverkauf: Sie enthalten alle Updates der Versionsreihe 1.x. Ab Version 1.0 enthält eine Lizenz 12 Monate Updates; danach kostet ein freiwilliges Update-Jahr 295 € (Business) oder 595 € (Service Provider) netto, jeweils für ein Jahr gekauft und nie automatisch verlängert. Ohne Update-Jahr läuft jede bis dahin erschienene Version mit allen Modulen weiter, ältere Versionen erhalten aber keine Sicherheitsupdates. Nach einer Lücke kostet das nächste Update-Jahr den normalen Preis, ohne Nachzahlung.

Dort, wohin Sie Restow zeigen lassen: lokaler Speicher, S3-kompatibler Objektspeicher, NFS. Betreibt Ihr IT-Dienstleister Restow für Sie, sagt er Ihnen wo. Restow selbst speichert Ihre Daten nie auf unserer Infrastruktur. Wo eine Sicherung landet, steht auf den Seiten von Gast, Rechner und Dateifreigabe und in den Job-Editoren, mit einer Warnung, wenn es ein Verzeichnis auf der eigenen Platte des Servers ist.

Eine Entra-ID-App-Registrierung, der Ihr Tenant-Administrator einmal zustimmt, mit Graph-Anwendungsberechtigungen, die auf Backup und Restore beschränkt sind. Alternativ kann eine Quelle seit 0.2.2 über eine eigene Graph-App laufen, die Ihr Tenant-Administrator im eigenen Tenant anlegt. Restow nutzt nur Graph, nie EWS (Microsoft hat am 1. Oktober 2026 begonnen, EWS für Exchange Online abzuschalten) und nie Legacy-Authentifizierung. Das Backup von SharePoint Online braucht die zusätzliche Anwendungsberechtigung Sites.ReadWrite.All (Sites.Read.All genügt zum Sichern, nicht zum Wiederherstellen) und eine neue Zustimmung Ihres Tenant-Administrators. Die genaue Liste steht in der Dokumentation.

Ja, mit Einschränkungen, ab 0.1.0. Jede Edition, auch Community, hat das Archiv: einen nur anhängbaren Speicher mit SHA-256-Hash-Kette, Kettenprüfung (jedes Glied, die täglichen Anker und auf Wunsch eine Stichprobe der Nachrichteninhalte), Export, Lesen und Herunterladen als .eml sowie einer Suche über Betreff, Adressen und den Nachrichtentext importierter Mail, mit Filtern nach Absender, Datum und Postfach (Anhänge werden nicht durchsucht). Gefüllt wird es durch Mail-Import mit Archivierung; seit 0.3.1 gibt es ein Archiv je Mail-Job, und seit 0.4.2 fragt der Mail-Job-Editor zuerst, ob ein Job sichert, archiviert oder beides. Business und Service Provider ergänzen die für den GoBD-konformen Einsatz ausgelegte Schicht: Empfang von Exchange-Online-Journalberichten per SMTP und, seit 0.4.4, von Kopien, die ein Mailanbieter weiterleitet (beides erfasst beim Transport; der Empfänger braucht ein eigenes TLS-Zertifikat, und die Journalberichte werden den Postfächern zugeordnet, die sie nennen), durchgesetzte Aufbewahrung und Legal Hold. Seit 0.4.4 erfassen sie außerdem aus den Postfächern: Microsoft 365 per Graph-Änderungsbenachrichtigungen sowie IMAP und Google Workspace per IMAP-Abgleich, jeweils mit einer einmaligen Übernahme der Mail, die schon da ist, und einem archivierten Element je Mail, egal über wie viele Wege sie erfasst wurde. Diese Erfassung ist zeitnah und nicht vollständig (eine Mail, die gleich nach der Zustellung verschoben oder gelöscht wird, kann fehlen) und wurde gegen simulierte Dienste getestet, nicht gegen einen echten Microsoft-365- oder Google-Workspace-Mandanten. Ein Mail-Job, der schon vor 0.4.4 archiviert hat, behält nur das Journaling, bis ein Administrator einen weiteren Weg einschaltet. Seit 0.4.0 kann ein Administrator die Unveränderbarkeit je Repository einschalten: S3 Object Lock sperrt die Packs, Manifeste und Schlüssel des Chunk-Stores, und bei lokalen Verzeichnissen und NFS-Freigaben sorgt eine Löschverzögerung dafür, dass der Code von Restow selbst nicht löscht oder überschreibt; das schützt vor Missbrauch von Restow, ist aber keine Unveränderbarkeit durch den Speicher. Sie ist aus, bis sie eingeschaltet wird, und wurde gegen ein simuliertes S3 getestet, nicht gegen einen echten Dienst. Das Archiv ist für den GoBD-konformen Einsatz ausgelegt, nicht zertifiziert. Die Self-Service-Archivsuche für Endnutzer ist geplant.

Ja, unter Linux und macOS, in jeder Edition, auch in Community. Die Sicherungen laufen mit restic, dem bekannten Open-Source-Backupprogramm: Die Sicherung jedes Rechners ist ein gewöhnliches restic-Repository, das restic selbst mit dem Repository-Passwort des Rechners öffnen kann, auch ohne Restow. Sie führen auf dem Rechner einen Installationsbefehl aus; das Skript fragt das Einmal-Token verdeckt ab, prüft die Signatur des Agent-Releases und installiert den Agenten in einen Ordner, den nur root ändern kann. Der Agent verbindet sich nur ausgehend über HTTPS und kann Backups hinzufügen, aber nie löschen. Restores gehen in einen neuen Ordner oder als ZIP-Download, und ein Restore-Test liest Stichproben zurück und vergleicht Hashes. Eine laufende Sicherung lässt sich in der Weboberfläche stoppen (seit 0.4.2) und endet als abgebrochen, nicht als fehlgeschlagen. Windows, Dateisystem-Snapshots und Festplatten-Abbilder (Bare-Metal-Restore) sind noch nicht verfügbar: Der Agent sichert Dateien. Sie sind ohne Termin geplant. Ein Windows-Dateiserver lässt sich ohne Agent als SMB-Freigabe sichern. Richtlinien für Agents legen je Installation, Mandant oder Backup-Job ein Sicherungsfenster, das Nachholen verpasster Sicherungen, ein Upload-Limit, den Betrieb nur am Netzteil und Wiederholungen fest. restic ist ein unabhängiges Open-Source-Projekt (BSD-2-Clause, restic.net); Restow ist nicht mit ihm verbunden.

Ja, seit 0.4.0, in jeder Edition, auch in Community. Restow bindet eine SMB-Freigabe (Windows Server, Samba, ein NAS) oder einen NFS-Export für die Dauer eines Laufs schreibgeschützt vom Server aus ein, ohne Agent auf dem Dateiserver, und sichert sie mit restic in ein eigenes Repository; NTFS-Berechtigungen bleiben erhalten. Jeder neue Sicherungsstand wird geprüft, indem Stichproben-Dateien zurückgelesen werden, und ein laufender Lauf lässt sich in der Lauf-Schublade abbrechen. Wiederherstellen lässt sich als ZIP, in einen neuen Ordner, an den ursprünglichen Ort oder in eine andere Freigabe, mit Berechtigungen, wo das Ziel sie erlaubt. Im Release-Smoke-Lauf wurde es gegen Samba getestet, nicht gegen Windows Server, eine Synology- oder TrueNAS-Freigabe oder echte NFS-Exporte; Dateien, die mit exklusiver Sperre geöffnet sind, werden übersprungen, weil es kein VSS über SMB gibt.

Ja, als Preview seit 0.3.1, in jeder Edition, auch in Community. Restow sichert virtuelle Maschinen und Container auf Proxmox VE ab 8.4 über die Backup-Provider-API von Proxmox: VM-Festplatten über NBD mit Dirty Bitmaps, sodass nur geänderte 4-MiB-Blöcke hochgeladen werden, und Container über restic. Ein Restore legt eine neue VMID im Pool restow-restore an. Seit 0.3.2 bindet ein einziger Befehl einen Knoten an. Die Knotenseite ist ein Storage-Plugin-Shim (ein eigenes Werk unter AGPL-3.0-or-later) und der Helfer restow-pve (Apache-2.0). Seit 0.4.0 zeigt es außerdem den Fortschritt laufender Sicherungen, kann den neuesten Sicherungsstand eines Gasts isoliert als Startprüfung booten und durchsucht und lädt Dateien von Containern und, als eigene Vorschau, von VMs herunter. Seit 0.4.2 lässt sich eine wartende oder laufende Sicherung in der Weboberfläche stoppen, jeder neue Sicherungsstand wird binnen Minuten nach seiner Sicherung zurückgelesen, und ein Container, dessen Repository fehlt, beginnt eine neue Sicherungskette. Es ist eine Preview: Es wurde gegen qemu-nbd, qemu-img und restic getestet und, für die neueren Funktionen, gegen den simulierten Knoten der Testsuiten, nicht gegen einen echten Proxmox-VE-Cluster. Als einzige Sicherung wird es noch nicht empfohlen.

Zwei Dinge, beide seit 0.4.0 und in jeder Edition, und keines ist ein Virenscanner. Unveränderbare Backups, aus, bis ein Administrator sie je Repository einschaltet: S3 Object Lock (Compliance oder Governance) hindert den Speicher selbst daran, gesperrte Daten zu löschen, bis die Sperre abgelaufen ist, und bei lokalen Verzeichnissen und NFS-Freigaben sorgt eine Löschverzögerung dafür, dass der Code von Restow selbst nicht löscht oder überschreibt; das schützt vor Missbrauch von Restow, aber nicht vor jemandem mit Zugriff auf den Server. Die Ransomware-Erkennung beurteilt jeden neuen Sicherungsstand anhand von Daten, die das Backup ohnehin hat (Menge der Änderungen, Massenlöschungen, umbenannte oder bekannte Ransomware-Endungen, Lösegeldforderungen, verschlüsselt wirkende Dateien), und hält, solange ein Befund offen ist, die Aufbewahrung an, damit saubere ältere Sicherungsstände nicht gelöscht werden. Sie blockiert nie ein Backup. Object Lock wurde gegen ein simuliertes S3 getestet und die Erkennung mit simulierten Angriffen, nicht mit echter Ransomware; das Standard-Repository der Installation lässt sich nicht unveränderbar machen.

EML, MSG, MBOX (Thunderbird, Apple Mail) und MailStore-Exporte in EML- oder MSG-Form lassen sich als Altpostfach importieren, das Sie durchsuchen, in Microsoft 365 oder IMAP wiederherstellen, herunterladen und optional archivieren können. PST- und OST-Dateien werden erkannt und mit einer Erklärung abgelehnt; PST- und OST-Import ist geplant. Das interne Archivformat von MailStore kann Restow nicht lesen, exportieren Sie deshalb zuerst aus MailStore.

Nur, wenn Sie es einschalten. Die Update-Prüfung ist aus, bis ein Administrator sie einschaltet, und liest dann nur die Release-Liste der von Ihnen gewählten Quelle (standardmäßig die öffentlichen GitHub-Releases). Ein optionaler Updater, ein eigenes Compose-Profil, kann ein Update einspielen, zuerst mit Datenbanksicherung und mit automatischem Rollback; seit 0.4.0 fragt der Update-Dialog, was mit laufenden Sicherungen geschehen soll (sauber anhalten, abwarten oder nicht warten), und seit 0.4.2 lässt sich ein Update für ein gewähltes Datum und eine Uhrzeit planen, und Proxmox-VE-Knoten und Agenten ziehen bei einem Server-Update nach, während neue Läufe warten, höchstens 15 Minuten. Das Rollback gilt nur, solange die Datenbankmigrationen noch nicht gelaufen sind; nach einer Migration hält der Updater an, behält den Dump und sagt, wie Sie ihn einspielen. Er braucht den Docker-Socket, der auf dem Host Root-Rechte bedeutet; lesen Sie vor dem Einschalten die Abwägung in der Dokumentation.

Jedes Release erscheint in zwei Builds, vollständig und Community, als vier Images (restow, restow-web, restow-community, restow-web-community), jedes für amd64 und arm64 gebaut, mit cosign signiert und mit SBOM; die Dokumentation zeigt den Befehl, der eine Signatur prüft. Jedes Agent-Release signiert der Maintainer mit einem Ed25519-Schlüssel, und Installer und Agent prüfen diese Signatur, bevor sie etwas ausführen; vergleichen Sie bei einer Erstinstallation den Fingerabdruck des Release-Schlüssels, den der Installer ausgibt, mit dem veröffentlichten, SHA256:2LB7RPpIS0wqbcZ2NA8MjuQN7ZfFPqBX3CwrGFSu76o (auch in den Release-Notes). Vor der Veröffentlichung muss für beide Builds ein Smoke-Lauf bestehen: Neuinstallation, Restores mit Hash-Vergleich, Endpoint-Backup, Mail-Import, Freigaben-Backup gegen Samba. Die Microsoft-365-Prüfung gegen einen Dev-Tenant (Prüfung 4) ist noch nicht aktiv: Sie wurde in jedem bisherigen Release übersprungen. In den Release-Prüfungen läuft der Agent-Installer nur in einem Linux-Container.

Der Kern ist Open Source unter der Apache License 2.0, auf GitHub. Die Business- und Service-Provider-Module stehen unter den Restow-Lizenzbedingungen.

Ja, unter demo.restowbackup.com: zwei fiktive Mandanten mit synthetischen Mails und 30 Tagen Verlauf. Durchsuchen, Statistik, Backups, Restore-Prüfungen und Wiederherstellen als Download funktionieren; die Wiederherstellung ins Postfach und Änderungen an Quellen, Einstellungen oder Benutzern sind gesperrt. Alles wird jede Nacht um 03:00 Uhr zurückgesetzt, und es wird keine Besucher-IP gespeichert.