Generationenprinzip (Großvater-Vater-Sohn, GFS) bei der Datensicherung erklärt

Von Lucas Flores, IT Systeme Flores UG. Zuletzt aktualisiert am 2026-10-16

Was bedeuten Großvater, Vater und Sohn?

GFS benennt drei Generationen von Backups. Die Söhne sind die neuesten Sicherungen, täglich erstellt. Die Väter sind eine wöchentliche Sicherung, die länger aufbewahrt wird. Die Großväter sind eine monatliche Sicherung, die am längsten aufbewahrt wird. Viele Werkzeuge ergänzen eine vierte Stufe, jährlich. Kommt ein neuer Sohn, fällt der älteste Sohn weg, aber Väter und Großväter bleiben.

Der Sinn: Alter erkauft gröbere Schritte. Gestern und letzten Dienstag sind beide erreichbar, aber für letztes Frühjahr haben Sie womöglich nur die Sicherung vom Monatsende.

Das BSI beschreibt dasselbe in seinen Umsetzungshinweisen zur Datensicherung (CON.3) unter dem Namen Generationenprinzip. Eine Vollsicherung nennt es eine Generation, und ein Generationenprinzip lässt sich durch zwei Größen kennzeichnen: das Mindestalter der ältesten Generation und die Zahl der verfügbaren Generationen. Wenn ein Verlust womöglich erst sehr spät bemerkt wird, empfiehlt das BSI zusätzliche Quartals- oder Jahressicherungsbestände.

Wie sieht ein GFS-Kalender aus?

Hier ist eine Beispielrichtlinie, als Zahlen geschrieben: 7 tägliche, 4 wöchentliche, 12 monatliche und 3 jährliche Sicherungsstände behalten. Die Zahlen sind ein Beispiel und keine Empfehlung, und es gibt keinen Standardsatz von Zahlen. Der Kalender nimmt ein nächtliches Backup an, wöchentliche Sicherungsstände sonntags, monatliche am letzten Tag des Monats und jährliche am 31. Dezember, und er zeigt, was am Donnerstag, 15. Oktober 2026, aufbewahrt wird.

Das sind 26 Plätze, aber der 11. Oktober und der 31. Dezember 2025 füllen je zwei davon, sodass 24 verschiedene Sicherungsstände die letzten 7 Tage in Tagesschritten, die letzten 4 Wochen in Wochenschritten, die letzten 12 Monate in Monatsschritten und die letzten 3 Jahre in Jahresschritten abdecken. Jede Nacht fällt der älteste tägliche Stand aus der Richtlinie, jeden Sonntag der älteste wöchentliche und an jedem Monatsende der älteste monatliche.

Nur ein Beispiel. Es sind 26 Punkte gezeichnet; zwei Sicherungsstände füllen zwei Rollen, gespeichert werden also 24.

Worin unterscheidet sich GFS von einer einfachen Aufbewahrung über N Tage?

Einfache Aufbewahrung behält jeden Sicherungsstand N Tage lang und löscht ihn dann. GFS behält weniger Sicherungsstände, dafür länger. Verglichen mit dem Aufbewahren jedes nächtlichen Backups über 30 Tage:

Die Aufbewahrung über N Tage ist leichter zu erklären und hält jede Nacht in Reichweite. GFS ist ein Tauschgeschäft: Sie geben feine Schritte in der Vergangenheit auf, um weiter zurückzureichen. Was passt, hängt davon ab, wie spät Sie ein Problem zu bemerken erwarten und was ein Vertrag oder eine Compliance-Regel von Ihnen verlangt, später nachweisen zu können. Die Aufbewahrung von Backups und die Aufbewahrungsfrist eines Archivs sind getrennte Fragen; siehe Backup und Archivierung. Die Aufbewahrung entscheidet auch, wie lange gelöschte personenbezogene Daten noch in Ihren Backups zu finden sind; siehe DSGVO und Backups.

Woher kommt GFS, und wie lässt es sich auf Platte und Objektspeicher übertragen?

GFS ist ein Medienrotationsschema aus der Bandzeit: Jede Generation war ein Satz physischer Bänder, der nach einem Zyklus wiederverwendet wurde, und die Rotation sagte dem Bediener, welches Band als Nächstes einzulegen ist. Die Dokumentation der Hersteller beschreibt es bis heute als Bandrotationsschema. Für eine Fünf-Tage-Woche zählt die Dokumentation von Arcserve vier tägliche, fünf wöchentliche und zwölf monatliche Bänder, rund 21 Bänder für ein Jahr. Acronis dokumentiert das Schema mit eigenen Beispieleinstellungen: tägliche inkrementelle Backups, zwei Wochen aufbewahrt, wöchentliche differenzielle Backups, zwei Monate aufbewahrt, und monatliche Vollsicherungen, ein Jahr aufbewahrt. Keine der beiden Quellen datiert das Schema, diese Seite tut es also auch nicht.

Auf Platte und Objektspeicher überträgt sich dieselbe Idee so:

• Aus dem Wiederverwenden von Bändern wird das Entfernen von Sicherungsständen. Es gibt keine Medien zu rotieren. Eine Aufbewahrungsregel markiert die Sicherungsstände, die bleiben, und entfernt den Rest.
• Aus wöchentlichen und monatlichen Vollsicherungen werden Bezeichnungen. Auf Band waren diese Sätze Vollsicherungen, weil jeder Satz für sich bestehen musste. Mit Deduplizierung und synthetischen Vollsicherungen (siehe Vollsicherung, inkrementell, differenziell und synthetisch voll im Vergleich) kann ein aufbewahrter Sicherungsstand für sich bestehen, ohne die Quelle erneut zu lesen.
• Die Kosten sind Speicher, nicht Bänder. Einen alten Sicherungsstand zu behalten, kostet nur die Daten, die kein anderer Sicherungsstand teilt, und das ist mit Deduplizierung oft weit weniger als eine volle Kopie.
• Aus dem Auslagern von Bändern wird ein zweiter Standort. Ein Kopie-Repository oder die Replikation an einen anderen Standort übernimmt diese Aufgabe; siehe die 3-2-1-Regel.

Eine Randbedingung nennt das BSI ausdrücklich: Der zeitliche Abstand der Generationen darf ein Mindestmaß nicht unterschreiten. Brechen automatische Läufe wiederholt ab, könnten sonst nacheinander sämtliche Generationen überschrieben werden; das BSI schlägt vor, vor dem Überschreiben das Mindestalter einer Generation zu prüfen. Fragen Sie bei Ihrem Werkzeug nach, ob ein fehlgeschlagener Lauf einen älteren Sicherungsstand verdrängen kann.

So macht es Restow

Restow behält Sicherungsstände nach einer Aufbewahrungsregel, und die Regel hängt davon ab, was Sie sichern. Das ist genau das, was heute gilt.

Server und Clients, Dateifreigaben sowie Gäste von Proxmox VE: tägliche, wöchentliche und monatliche Anzahlen

Ein Backup-Job für Rechner legt fest, wie viele tägliche, wöchentliche und monatliche Sicherungsstände behalten werden (in der Oberfläche „Tägliche Sicherungsstände“, „Wöchentliche Sicherungsstände“ und „Monatliche Sicherungsstände“ unter „Aufbewahrung der Rechner“). Der Standard sind 30 tägliche, 12 wöchentliche und 12 monatliche, die Obergrenzen liegen bei 3.650 täglichen, 520 wöchentlichen und 240 monatlichen. Die Aufbewahrung läuft auf dem Restow-Server, nie auf dem Rechner, ein gekaperter Rechner kann sie also nicht verkürzen. Eine jährliche Stufe gibt es nicht; eine lange monatliche Anzahl deckt das ab, denn 240 monatliche Stände reichen 20 Jahre zurück. Jobs für Dateifreigaben nutzen dieselben drei Anzahlen mit denselben Standardwerten, angewendet als Aufbewahrungsregel von restic, genau wie bei Rechnern. Jobs für Proxmox VE (eine Preview, in jeder Edition) nutzen dieselben drei Anzahlen, mit den Standardwerten 7 täglich, 4 wöchentlich und 6 monatlich.

Mail- und Microsoft-365-Jobs: Altersstufen

Jobs für Exchange Online, OneDrive, SharePoint-Websites und IMAP nutzen keine täglichen, wöchentlichen und monatlichen Anzahlen. Sie nutzen eine Aufbewahrungsrichtlinie aus Altersstufen: Jede Stufe deckt einen Altersbereich ab und behält entweder jeden Sicherungsstand („Jeden aufbewahren“) oder einen je N Tage („Einen je N Tage“). Die empfohlene Richtlinie („Empfohlen: 30 Tage, danach täglich bis 90 Tage, danach wöchentlich bis 1 Jahr“) behält 30 Tage lang jeden Sicherungsstand, dann einen je Tag bis 90 Tage, dann einen je Woche bis zu einem Jahr und nichts Älteres. Die anderen Voreinstellungen behalten jeden Sicherungsstand 30 Tage, 90 Tage, 1 Jahr, 3 Jahre oder 7 Jahre oder alles ohne Grenze („Alles aufbewahren“), und mit einer benutzerdefinierten Richtlinie bauen Sie eigene Stufen. Eine Richtlinie kann der Standard des Mandanten sein oder für ausgewählte Objekte gelten, und ein Job nennt die Richtlinie, die er nutzt. Ohne Richtlinie bleibt jeder Sicherungsstand erhalten.

Das ist Ausdünnen nach Art von GFS, in Tagen statt in benannten Generationen geschrieben. Die Zeitfenster sind feste N-Tage-Fenster, keine Kalendermonate, „einer je 30 Tage“ ist also nicht „einer je Kalendermonat“, und eine jährliche Stufe ist eine Stufe, die Sie selbst ergänzen (einer je 365 Tage). Der neueste Sicherungsstand jedes Objekts und sein neuester geprüfter werden nie entfernt, Sicherungsstände unter einem Legal Hold oder bei angehaltener Aufbewahrung bleiben, und die Aufbewahrungsseite zeigt vorab, was der nächste Lauf entfernen würde, bevor Sie eine Richtlinie speichern („Entfernte Sicherungsstände“).

Sperren und angehaltene Aufbewahrung verschieben, wann ein Sicherungsstand geht, nicht welche die Regel behält

Zwei Funktionen können einen Sicherungsstand über den Zeitpunkt hinaus behalten, an dem die Regel ihn verwerfen würde. Sind unveränderbare Backups für ein Repository eingeschaltet, ist ein Sicherungsstand für die Sperrfrist plus sieben Tage nach dem Schreiben gesperrt. Die Aufbewahrung behandelt ein Löschen, das der Speicher ablehnt, als „noch nicht“: Der Sicherungsstand bleibt sichtbar und wiederherstellbar, und sein Speicherplatz kommt erst zurück, wenn die Sperre abgelaufen ist. Ein täglicher Sicherungsstand, der aus einer 30-Tage-Regel herausfällt, bleibt also bis zum Ende seiner Sperre, wenn die Sperrfrist länger ist. Ein täglicher Lauf erneuert außerdem die Sperre von allem, was neuere Sicherungsstände noch nutzen; ein monatlicher Sicherungsstand, der Daten mit jungen teilt, hält diese Daten also gesperrt. Die Regel bleibt gleich, nur der Zeitpunkt des Löschens verschiebt sich.

Eine angehaltene Aufbewahrung, die zur Ransomware-Erkennung gehört, pausiert die Aufbewahrung für ein Objekt, solange es einen verdächtigen Sicherungsstand hat, den niemand bearbeitet hat: Kein Sicherungsstand dieses Objekts wird gelöscht, saubere ältere Sicherungsstände werden also nicht ausgedünnt, während sich verschlüsselte ansammeln. Die Backups laufen weiter, der Speicher wächst. Nur ein Administrator beendet das Anhalten, mit „Als Fehlalarm markieren“ oder „Aufbewahrung freigeben“, und dann wendet der nächste Aufbewahrungslauf die Regel wieder an.

Noch etwas, das stimmt

Ein Sicherungsstand bei Restow ist in dem, was er auflistet, vollständig; die Aufbewahrung kann also jeden entfernen, ohne die anderen zu zerbrechen, und die Garbage Collection der Speicherprüfung entfernt später die Chunks, die kein Sicherungsstand mehr braucht, auf unveränderbarem Speicher erst, wenn ihre Sperre abgelaufen ist. Das Archiv hat eigene Aufbewahrungsregeln (durchgesetzte Aufbewahrung gehört zu Business und Service Provider), getrennt von den Sicherungsständen des Backups. Restow rotiert keine Medien und hat keine Bandunterstützung. Siehe Server- und Client-Backup, Dateifreigaben (SMB und NFS), Microsoft-365- und IMAP-Backup und Proxmox-VE-Backup.

Häufig gestellte Fragen

Quellen

Gelesen am 16. Oktober 2026.

1. BSI: Umsetzungshinweise zum Baustein CON.3 Datensicherungskonzept. Das Generationenprinzip: Zahl der Generationen und Mindestalter der ältesten, zusätzliche Quartals- oder Jahressicherungen bei spät bemerktem Verlust
2. Arcserve-Backup-Dokumentation: Funktionsweise von GFS-Rotationen. Tägliche, wöchentliche und monatliche Bandsätze und die Zahl der Bänder bei einer 5-Tage-Woche
3. Acronis-Dokumentation: Verwenden des Rotationsschemas „Großvater-Vater-Sohn“. GFS als Bandrotationsschema, mit Beispieleinstellungen für die drei Sätze

Verwandte Artikel

• Voll, inkrementell, differenziell und synthetisch voll Vergleichstabelle zu Speicherbedarf, Sicherungsdauer, Restore-Aufwand und Kettenrisiko, dazu Forever-Incremental, Changed Block Tracking und Deduplizierung.
• Die 3-2-1-Backup-Regel Drei Kopien, zwei Arten von Speicher, eine Kopie an einem anderen Ort, dazu die Erweiterung um eine unveränderliche Kopie und null Fehler. Mit Microsoft-365-Beispiel.
• Sichert Microsoft 365 Ihre Daten? Was Microsoft aufbewahrt und wie lange (Papierkorb, Versionsverlauf, Aufbewahrung), warum Aufbewahrung kein Backup ist und was Microsoft 365 Backup ist.
• RPO und RTO erklärt Die beiden Wiederherstellungsziele nach BSI, NIST und SNIA, wie Sicherungsintervall und Restore-Weg sie bestimmen, ein Rechenbeispiel und ein kleiner Rechner.
• DSGVO und Backups Was Artikel 17 von einem Backup verlangt, was der EDSA und deutsche Aufsichtsbehörden sagen, warum Backups üblicherweise auslaufen und wo Sperren dem Löschverlangen begegnen. Keine Rechtsberatung.
• Backup-Glossar Nachschlagewerk Kurze Definitionen zu Backup, Restore, Aufbewahrung, Speicher und DSGVO, von 3-2-1-Regel bis WORM, mit Links zu den Artikeln und Funktionsseiten.