Standardmäßig nicht-destruktiver Restore
Von Lucas Flores, IT Systeme Flores UG. Zuletzt aktualisiert am
Restore ist bei Restow granular oder vollständig (eine einzelne E-Mail, ein Ordner, eine Datei, eine bestimmte Dateiversion, oder ein komplettes Postfach oder OneDrive), ins Originalkonto oder ein anderes. Standardmäßig überschreibt er nichts, was bereits existiert: er schreibt neue Elemente, statt stillschweigend lebende Daten zu ersetzen, denn das einzige, was schlimmer ist als ein fehlendes Backup, ist ein Restore, der etwas zerstört, das gar nicht wirklich verloren war. Bei Mail, Kalender und Kontakten gibt es keinen Modus, der überschreibt: Ein vorhandenes Element bleibt neben dem wiederhergestellten erhalten oder wird übersprungen. Zwei neuere Ziele bieten Überschreiben als ausdrückliche Wahl, unten beschrieben: Dateien in einer SharePoint-Bibliothek und Dateien am ursprünglichen Ort einer Freigabe.
Ein Restore sagt auch klar, wie er geendet hat. Seit 0.4.7 steht ein
abgeschlossener Restore, bei dem Elemente fehlschlugen und keines
wiederhergestellt wurde, als „Nichts wiederhergestellt“ (rot) da und löst
restore.failed und den Webhook job.failed aus; einer,
der jedes Element übersprungen hat, steht als „Alles übersprungen“ (gelb) da
und sagt das, statt zu behaupten, er habe etwas wiederhergestellt. Ein
Restore in das ursprüngliche Postfach, das ursprüngliche OneDrive oder die
ursprüngliche Website eines Kontos, das deaktiviert, unlizenziert oder
gesperrt ist, wird mit dem Grund abgelehnt: Stellen Sie stattdessen in ein
anderes Konto wieder her oder laden Sie die Daten herunter. Ein IMAP-Restore,
dessen Verbindung abbricht, scheitert und wird auf einer neuen Verbindung
wiederholt, wo die Prüfung der Message-ID überspringt, was schon angehängt
wurde, statt als abgeschlossen mit allen übrigen Elementen als fehlgeschlagen
zu enden. Wird ein unterbrochener Restore einer SharePoint-Liste oder von
Kontakten im Modus „Beide behalten“ wiederholt, legt er Elemente oder
Kontakte nicht mehr doppelt an, und ein Restore in ein Postfach, das per
Adresse angegeben ist, löst das Postfach auf, das die API angenommen hat,
sodass eine doppelte Adresse nicht mehr ein anderes wählt. Die Erkennung
deaktivierter, unlizenzierter und gesperrter Konten hinter der Ablehnung wurde
gegen eine simulierte Graph-API getestet, nicht gegen einen echten
Microsoft-365-Tenant.
Selbstbedienung, und Restore für andere
Heute melden sich Endnutzer per Passkey oder dem Notfall-Passwort mit TOTP an und können nur ihr eigenes Postfach oder OneDrive wiederherstellen. Kein Admin-Ticket ist für den häufigen Fall nötig. Die Anmeldung mit einem Microsoft-Konto (Entra ID) ist geplant: Der Code für die Anmeldung existiert, aber noch nichts verknüpft ein Konto mit einer Microsoft-Identität, daher kann sich heute niemand mit Microsoft anmelden, und die Anmeldeseite bietet es nicht an. Single Sign-on (SSO) ist geplant. Eine Wiederherstellung im Namen eines anderen braucht die Rolle Global Admin für diesen Mandanten, oder in der Service-Provider-Edition die Rolle Provider Admin; jeder solche Restore ist Impersonation, und in jeder Edition wird jede Impersonation im änderungserkennenden, hashverketteten Audit-Log von Restow erfasst: wer sie ausgeführt hat, wann, für wen, und von welcher IP. Die Ansicht für dieses Log, mit Suche, Filtern, Details und Prüfung der Kette, gehört zu Business und Service Provider, und seit 0.3.1 auch der Export des Logs, als CSV und als JSON mit Hashes.
Seit 0.4.0 öffnen auch Restore-Operatoren, eine Rolle je Mandant, die Backups sieht und wiederherstellt, ohne Jobs, Speicher oder Benutzer zu verwalten, Server & Clients, Datei-Restore. Sie listen die Rechner, durchsuchen Sicherungsstände, laden Dateien als ZIP herunter und stellen Dateien auf einem Rechner wieder her, und bei Proxmox VE durchsuchen und laden sie Dateien von Container- und VM-Sicherungsständen herunter. Sichern, Jobs, Einstellungen, Tokens und die Wiederherstellung eines ganzen Gasts bleiben bei den Administratoren. Jedes Lesen, Herunterladen und Wiederherstellen steht mit dem Operator als Akteur im Audit-Log.
Ansehen, bevor Sie wiederherstellen
Im Restore-Explorer sehen Sie ein Backup an, bevor irgendetwas geschrieben wird. Am unteren Rand läuft eine schmale Zeitleiste der Wiederherstellungspunkte, der neueste zentriert, damit Sie zwischen Zeitpunkten wechseln können. Ein Ordner ohne Unterordner sagt das ausdrücklich.
Seit 0.4.2 listet der Explorer einen Eintrag je Person. Das Postfach, das OneDrive und ein zugeordnetes IMAP-Konto einer Person stehen zusammen, und die zweite Spalte zeigt E-Mail, Kalender, Kontakte und OneDrive, jeweils mit eigenen Sicherungsständen. SharePoint- und Teams-Websites und seit 0.4.5 Microsoft-365-Gruppen (Gruppenkalender und Unterhaltungen) haben einen eigenen Abschnitt, und ein OneDrive, dessen Konto gelöscht wurde, steht unter dem Namen seines Besitzers als „Konto gelöscht“. Die Liste kommt seitenweise, mit Suche über Namen, Adressen und Konto-IDs und einem Typfilter, sodass ein großer Mandant nie alle auf einmal lädt; bis etwa 10.000 Personen je Mandant ist das unproblematisch, darüber langsamer.
Der Kalender eines Postfachs hat eine Monatsansicht, Tag für Tag über alle seine Kalender oder einen. Eine Serie steht einmal in der Liste und öffnet sich auf ihre Termine, berechnet aus dem gespeicherten Muster mit den geänderten Terminen an ihrer Stelle, wobei die Zeitzone der Serie über Sommer- und Winterzeit gilt. Termine sind nach Beginn sortiert, neueste zuerst oder anstehende zuerst, mit den Spalten Wann, Ort und Organisator. Ein einzeln in Outlook gelöschter Termin ist im Backup nicht vermerkt (Microsoft Graph nennt keine abgesagten Termine), kann hier also noch erscheinen, so wie nach einer Wiederherstellung der Serie.
Seit 0.4.4 öffnet sich ein großes Postfach oder OneDrive in Millisekunden statt in Sekunden bis Minuten. Eine Ordnerliste las früher bei jeder Anfrage zweimal alle Einträge des Sicherungsstands; jetzt liest sie die Kinder des Ordners und die Ordner darunter aus zwei Indizes. In einem Test mit 120.000 Nachrichten und 200.000 Dateien sank die Liste der Mail-Ordner von 2,5 Sekunden auf 15 Millisekunden, die Wurzel des Postfachs und des OneDrives von über einer Minute auf 15 Millisekunden und jeder OneDrive-Ordner von 1,5 bis 2,5 Sekunden auf etwa 10 Millisekunden; ein Ordner mit 50.000 Nachrichten zeigt seine erste Seite in etwa einer halben Sekunde (vorher 1,9 Sekunden). Die Versionen, die OneDrive von einer Datei behielt, und die Monatsansicht des Kalenders nutzen dieselben Indizes, und eine Mail-Vorschau oder ein Anhang-Download liest nur die Bytes, die er braucht, aus dem Speicher statt des ganzen Packs. Sicherungsstände von 0.3.4 und früher, die der Worker noch nicht umgewandelt hat, werden wie bisher aufgelistet. Die Indizes werden gebaut, während das Update läuft, was auf einer großen Installation länger dauert: Planen Sie das Update außerhalb des Sicherungsfensters. Das sind Zahlen eines Tests, kein Versprechen für jede Installation.
Restore aus Mail-Dateien, von Rechnern, Freigaben und Proxmox VE
Ein aus Mail-Dateien importiertes Postfach (siehe
Mail-Import und -Export)
lässt sich in ein Microsoft-365- oder IMAP-Postfach wiederherstellen
oder herunterladen. Es hat kein Originalkonto, daher wird für es kein
Restore ins Original angeboten. Ein mit dem Agent gesicherter Server
oder Client (siehe
Server- und Client-Backup)
wird in einen neuen Ordner auf diesem Rechner wiederhergestellt, nie
über vorhandene Dateien, oder als ZIP heruntergeladen. Eine VM oder
ein Container, der auf Proxmox VE gesichert wurde (eine Preview,
siehe Proxmox-VE-Backup),
wird als neue VMID in den Pool restow-restore
wiederhergestellt. Dateien eines Containers oder, als Preview, einer VM
lassen sich außerdem durchsuchen und als ein ZIP herunterladen, ohne den
Gast wiederherzustellen; sie werden heruntergeladen, nicht in einen
laufenden Gast zurückgelegt.
Eine Freigabe (siehe Dateifreigaben) wird aus einem Sicherungsstand auf einem von vier Wegen wiederhergestellt: als ZIP-Download, in einen neuen Ordner derselben Freigabe, an den ursprünglichen Ort (überschreiben, beide behalten oder vorhandene Dateien überspringen) oder in eine andere Freigabe. Berechtigungen werden zurückgeschrieben, wo das Ziel es zulässt, und die Dateien, deren Berechtigungen sich nicht setzen ließen, werden aufgelistet. Eine Wiederherstellung in eine Freigabe braucht „Wiederherstellung in diese Freigabe erlauben“, das standardmäßig aus ist.
Eine SharePoint-Website (siehe
Microsoft-365- und IMAP-Backup)
wird aus dem Explorer wiederhergestellt: Dateien und Ordner in die
ursprüngliche Bibliothek oder eine andere Bibliothek einer gesicherten
Website derselben Quelle („Beide behalten“, „Überschreiben“, wobei
SharePoint die alte Datei als Version behält, oder „Vorhandene
überspringen“), Listenelemente als neue Elemente in ihre ursprüngliche
Liste oder die ganze Auswahl als ZIP. Das Wiederherstellen braucht die
Anwendungsberechtigung Sites.ReadWrite.All; Berechtigungen
werden nie wiederhergestellt.
Seit 0.4.5 wird auch eine Microsoft-365-Gruppe (siehe Microsoft-365- und IMAP-Backup) aus dem Explorer wiederhergestellt, aus ihren Bereichen „Gruppenkalender“ und „Unterhaltungen“. In das Postfach eines Benutzers derselben Quelle bringt sie Ereignisse und Unterhaltungen zurück (die Unterhaltungen als Mail in einen Ordner Conversations). In die Gruppe selbst bringt sie nur Kalenderereignisse zurück, weil Microsoft Graph keiner App erlaubt, in eine Gruppenunterhaltung zu schreiben: Jeder Beitrag wird als nicht wiederherstellbar gemeldet, mit den Wegen, die funktionieren. Einen Modus „Überschreiben“ gibt es für eine Gruppe nicht: „Beide behalten“ legt Kopien neben das Vorhandene, und „Vorhandene überspringen“ lässt Ereignisse stehen, die schon in der Gruppe sind. Download als ZIP und Export funktionieren wie bei Postfächern.
Wo „standardmäßig nicht-destruktiv“ als Nächstes hingeht
Für OneDrive-Dateien ist ein optionaler Modus „Ersetzen“ geplant: Die aktuelle Datei würde zu einer früheren Version im eigenen Versionsverlauf von OneDrive, gelöscht wird nichts. Mail, Kalender und Kontakte werden nie überschrieben. Vollständige, elementweise Restore-Verifizierung (jedes gesicherte Element zurücklesen und prüfen, nicht nur eine wöchentliche Stichprobe) ist der andere Baustein von „Restore, der tatsächlich bewiesen ist“, behandelt auf der Verifizierungs-Seite.
Häufig gefragt
Kann ein Restow-Restore meine bestehende Mail überschreiben?
Mail, Kalender und Kontakte nicht, und nirgends standardmäßig. Restore schreibt Elemente ins Ziel (das Originalkonto oder ein anderes), statt stillschweigend zu ersetzen, was schon da ist. Bei Mail gibt es keinen Modus, der überschreibt: Die API lehnt ihn ab, ein vorhandenes Element bleibt also neben dem wiederhergestellten erhalten oder wird übersprungen. Zwei neuere Ziele haben Überschreiben als ausdrückliche Wahl: Dateien, die in eine SharePoint-Bibliothek wiederhergestellt werden (SharePoint behält die alte Datei als Version), und Dateien, die an den ursprünglichen Ort einer Freigabe wiederhergestellt werden.
Wer kann Daten für jemand anderen wiederherstellen?
Heute melden sich Endnutzer per Passkey oder dem Notfall-Passwort mit TOTP an und können nur ihr eigenes Postfach oder OneDrive wiederherstellen. Die Anmeldung mit einem Microsoft-Konto (Entra ID) ist geplant: Der Code für die Anmeldung existiert, aber noch nichts verknüpft ein Konto mit einer Microsoft-Identität, daher kann sich heute niemand mit Microsoft anmelden, und die Anmeldeseite bietet es nicht an. Single Sign-on (SSO) ist geplant. Eine Wiederherstellung im Namen eines anderen Nutzers braucht die Rolle Global Admin für diesen Mandanten, oder Provider Admin, und jeder solche Restore (Impersonation) wird in jeder Edition im änderungserkennenden, hashverketteten Audit-Log von Restow erfasst: wer, wann, für wen, von welcher IP. Die Ansicht für dieses Log (Suche, Filter, Details, Prüfung der Kette) gehört zu Business und Service Provider, und seit 0.3.1 auch der Export des Logs, als CSV und als JSON mit Hashes. Ein Restore-Operator, eine Rolle, die Backups sieht und wiederherstellt, ohne etwas zu verwalten, kann seit 0.4.0 Dateien von Rechnern und Proxmox-VE-Gästen durchsuchen und herunterladen und Dateien auf einem Rechner wiederherstellen; jedes Lesen, Herunterladen und Wiederherstellen steht im Audit-Log.
Was lässt sich wiederherstellen: ein ganzes Postfach, oder eine einzelne E-Mail?
Beides, und alles dazwischen: eine einzelne E-Mail, ein Ordner, eine Datei, eine bestimmte Dateiversion, oder ein komplettes Postfach/OneDrive, ab jedem Zeitpunkt, für den Restow ein Backup hat.
Wie listet der Restore-Explorer, was gesichert ist?
Seit 0.4.2 mit einem Eintrag je Person: Das Postfach, das OneDrive und ein zugeordnetes IMAP-Konto einer Person stehen zusammen, und die zweite Spalte zeigt E-Mail, Kalender, Kontakte und OneDrive, jeweils mit eigenen Sicherungsständen. SharePoint- und Teams-Websites und seit 0.4.5 Microsoft-365-Gruppen (Gruppenkalender und Unterhaltungen) haben einen eigenen Abschnitt, und ein OneDrive, dessen Konto gelöscht wurde, steht unter dem Namen seines Besitzers als „Konto gelöscht“. Die Liste kommt seitenweise mit Suche und Typfilter; bis etwa 10.000 Personen je Mandant ist das unproblematisch, darüber langsamer. Seit 0.4.4 öffnen sich die Ordner eines großen Postfachs oder OneDrives in Millisekunden statt in Sekunden bis Minuten: In einem Test mit 120.000 Nachrichten und 200.000 Dateien sank die Wurzel eines Postfachs von über einer Minute auf 15 Millisekunden.
Kann ich den Kalender eines Postfachs vor dem Wiederherstellen nach Monaten ansehen?
Ja, seit 0.4.2. Der Kalender eines Postfachs hat eine Monatsansicht, Tag für Tag über alle seine Kalender oder einen, und eine Serie öffnet sich auf ihre Termine, berechnet aus dem gespeicherten Muster mit den geänderten Terminen an ihrer Stelle. Ein einzeln in Outlook gelöschter Termin kann noch erscheinen, so wie nach einer Wiederherstellung der Serie, weil Microsoft Graph abgesagte Termine nicht nennt.
Kann ich auch etwas anderes als ein Microsoft-365- oder IMAP-Backup wiederherstellen?
Ja. Ein aus Mail-Dateien importiertes Postfach (EML, MSG, MBOX, ein MailStore-Export) lässt sich in ein Microsoft-365- oder IMAP-Postfach wiederherstellen oder herunterladen. Ein mit dem Agent gesicherter Server oder Client lässt sich in einen neuen Ordner auf diesem Rechner wiederherstellen, nie über vorhandene Dateien, oder als ZIP herunterladen. Eine Freigabe lässt sich als ZIP herunterladen, in einen neuen Ordner, an den ursprünglichen Ort oder in eine andere Freigabe wiederherstellen. Eine SharePoint-Website lässt sich als ZIP herunterladen oder in eine Bibliothek oder Liste wiederherstellen. Eine VM oder ein Container von Proxmox VE wird als neue VMID in den Pool restow-restore wiederhergestellt, und Dateien eines Containers oder (als Preview) einer VM lassen sich als ZIP herunterladen.
Was sagt Restow, wenn ein Restore nichts wiederhergestellt hat?
Seit 0.4.7 sagt es das. Ein abgeschlossener Restore mit fehlgeschlagenen Elementen und keinem wiederhergestellten steht als „Nichts wiederhergestellt“ (rot) da und löst restore.failed und den Webhook job.failed aus; einer, der jedes Element übersprungen hat, steht als „Alles übersprungen“ (gelb) da, statt zu behaupten, er habe etwas wiederhergestellt. Ein Restore in das ursprüngliche Postfach, das ursprüngliche OneDrive oder die ursprüngliche Website eines Kontos, das deaktiviert, unlizenziert oder gesperrt ist, wird mit dem Grund abgelehnt, und ein IMAP-Restore, dessen Verbindung abbricht, wird auf einer neuen Verbindung wiederholt, wo die Prüfung der Message-ID überspringt, was schon angehängt wurde.
Wie Restore verifiziert wird →
Mehr in Wissen: RPO und RTO, und was bestimmt, wie schnell Sie wieder laufen →