Proxmox richtig sichern: Backup der virtuellen Maschinen im Homelab

Ein Homelab lebt oft von virtuellen Maschinen (kurz VMs – vollständige, vom Rest des Systems abgeschottete Computer, die auf einer gemeinsamen Hardware laufen) und Containern. Läuft das alles auf Proxmox VE, einem kostenlosen Hypervisor (der Software-Schicht, die mehrere virtuelle Maschinen gleichzeitig auf einem Server betreibt), stellt sich früher oder später eine Frage: Was passiert, wenn die Platte stirbt, ein Update schiefgeht oder Ransomware zuschlägt? Ohne Backup ist dann alles weg – Konfiguration, Daten, Zeit. Dieser Artikel zeigt, wie ein Backup-Konzept für Proxmox im Homelab tatsächlich robust wird.

Warum vzdump allein nicht reicht

Proxmox bringt mit vzdump ein eingebautes Backup-Werkzeug mit. Es funktioniert zuverlässig, hat aber eine Eigenheit: Jedes Backup ist logisch immer vollständig – VM-Konfiguration und sämtliche Daten werden komplett gesichert, egal ob sich seit dem letzten Mal viel oder wenig geändert hat. Bei einer 500-GB-VM kann das ohne Weiteres 40 Minuten dauern und entsprechend viel Speicherplatz fressen.

Proxmox Backup Server: Deduplizierung macht den Unterschied

Genau hier setzt der Proxmox Backup Server (PBS) an, ein eigenständiges Programm speziell fürs Sichern von Proxmox-VMs. Er zerlegt Backups in kleine Bausteine, sogenannte Chunks, und speichert jeden Chunk nur einmal – über alle VMs und alle Sicherungen hinweg. Ändert sich an einer VM nur wenig, muss PBS auch nur wenige neue Chunks übertragen. In der Praxis heißt das: Aus den erwähnten 40 Minuten für eine 500-GB-VM werden mit aktiviertem Change Block Tracking (CBT, einer Funktion, die nur geänderte Datenblöcke erkennt) oft nur noch 2 bis 4 Minuten. Wichtig zu wissen: Strukturell sind das trotzdem vollständige Backups, kein klassisches inkrementelles Backup im engeren Sinn – das Ergebnis wirkt nur so, weil eben nur die geänderten Chunks tatsächlich übertragen werden.

Ein verbreiteter Irrglaube ist außerdem, PBS sei ohne kostenpflichtiges Abo eingeschränkt. Das stimmt nicht: Deduplizierung, Verschlüsselung, inkrementelle Übertragung und Sync-Jobs funktionieren im kostenlosen Community-Repository vollständig. Ein Abo kauft ausschließlich Zugang zum stabileren Enterprise-Repository und Support – keine Zusatzfunktionen.

Wie genau PBS Änderungen erkennt

Beim Backup-Job lässt sich über den Parameter für die Änderungserkennung steuern, wie PBS vorgeht: im Standardmodus liest er beim nächsten Lauf alles neu ein, im Datenmodus trennt er Nutzdaten und Metadaten, und im Metadaten-Modus nutzt er die Metadaten des letzten Laufs, um unveränderte Dateien zu erkennen, ohne sie erneut zu lesen, und verwendet die passenden Chunks einfach wieder. Diese letzte, neuere Optimierung bringt nochmal spürbar Tempo für inkrementelle Läufe.

Hardware für den Backup-Server

PBS läuft offiziell schon mit einer 64-Bit-CPU, 2 GB RAM und 32 GB Systemplatte – für den echten Dauerbetrieb ist das aber ausdrücklich zu wenig. Als grober Richtwert gilt: Für rund 10 TB deduplizierte Daten sollten etwa 12–14 GB RAM eingeplant werden. Für die Systemplatte lohnt sich außerdem eine SSD mit Power-Loss-Protection (PLP), also einem Schutz gegen Datenverlust bei Stromausfall – PBS schreibt durchgehend Protokolle, und das wirkt sich sowohl auf die Lebensdauer der SSD als auch auf die Datensicherheit im Ernstfall aus. Als Ziel für den eigentlichen Datenspeicher (Datastore) taugen klassische NAS-Systeme wie TrueNAS SCALE oder Synology DSM über NFS ebenso wie lokal angeschlossene Platten.

Unsere Empfehlung

Seagate IronWolf Pro, NAS interne Festplatte 12TB HDD (ST12000NE0008)
Für einen Proxmox-Backup-Datastore, der über die Jahre wächst, bietet eine NAS-taugliche 12-TB-Platte genug Reserve, ohne gleich beim nächsten Speicherengpass nachrüsten zu müssen.

Preis prüfen *

Die 3-2-1-1-0-Regel fürs Homelab

Ein einzelner PBS im selben Rack ist besser als nichts, reicht als alleiniger Schutz aber nicht: Brennt der Serverschrank oder verschlüsselt Ransomware das ganze Netz, sind Original und Backup gleichermaßen weg. Als Faustregel hat sich die 3-2-1-1-0-Regel etabliert: mindestens drei Kopien der Daten, auf zwei verschiedenen Medien, davon eine Kopie außer Haus (offsite) und eine davon unveränderlich beziehungsweise physisch getrennt (air-gapped) – und null Fehler, also regelmäßig verifizierte Backups. Auch reine Snapshots, etwa ZFS-Snapshots auf demselben Host, zählen dabei nicht als Backup: Sie schützen nicht vor einem Totalausfall der Hardware oder des Storage-Pools.

Pull statt Push: die sicherere Sync-Richtung

Um eine Offsite-Kopie zu erzeugen, bietet PBS Sync-Jobs in zwei Richtungen an. Beim Push-Modell schickt der lokale PBS seine Daten aktiv zum entfernten Ziel. Beim Pull-Modell holt sich umgekehrt der entfernte PBS die Daten aktiv ab. Proxmox empfiehlt ausdrücklich das Pull-Modell, denn beim Push-Modell muss der produktive PBS die Zugangsdaten und Schreibrechte für das Offsite-Ziel kennen. Wird der produktive Server kompromittiert – etwa durch Ransomware oder einen gestohlenen Admin-Zugang –, kann ein Angreifer darüber auch das Offsite-Backup verschlüsseln oder löschen. Beim Pull-Modell kennt die Quelle das Ziel dagegen gar nicht und kann es folglich auch nicht erreichen.

Unveränderliche Backups mit S3 Object Lock

Seit Proxmox Backup Server 4.0 lässt sich als Datastore auch S3-kompatibler Objektspeicher einbinden, vorerst als Technology Preview (eine Vorschau-Funktion, die noch nicht als vollständig ausgereift gilt) – ein lokaler Cache reduziert dabei die Anzahl der API-Aufrufe. Der eigentliche Fortschritt liegt in Object Lock: Bei Anbietern wie AWS S3, Backblaze B2, Wasabi, Cloudflare R2 oder selbst gehostetem MinIO lassen sich Backups damit für eine festgelegte Frist wirklich unveränderlich machen – nicht einmal ein Root-Zugang kann sie vor Ablauf löschen. Das ist ein wirksamer Schutz gegen Ransomware, die gezielt auch Backups angreift. Tape-Laufwerke (LTO-5 und neuer werden unterstützt, LTO-4 nur eingeschränkt) galten bislang als einzig echter Weg zu unveränderlichen Backups – seit PBS 4.0 ist S3 mit Object Lock eine gleichwertige Alternative ohne Bandlaufwerk. Ein Haken bleibt: S3-Datastores lassen sich aktuell nicht direkt auf Band schreiben, wer beides kombinieren will, braucht ein Scale-out-Repository als Zwischenziel.

Mehrere Proxmox-Server im Blick: Proxmox Datacenter Manager

Wer im Homelab mehr als einen Proxmox-Node betreibt, bekommt mit dem im Dezember 2025 vorgestellten Proxmox Datacenter Manager (PDM) eine zentrale Verwaltungsebene: Er bündelt mehrere PVE- und PBS-Umgebungen in einer Oberfläche und erlaubt Live-Migrationen auch über Cluster-Grenzen hinweg. Für die reine Backup-Frage ist er nicht zwingend nötig, erleichtert aber den Überblick, wenn Backup-Jobs auf mehreren Servern laufen.

Update-Pflicht: Proxmox VE 8 ist Geschichte

Neben der eigentlichen Backup-Strategie gehört auch der Software-Stand selbst zur Absicherung. Proxmox VE 8 ist seit dem 31.08.2026 End of Life – es gibt keine Sicherheitspatches mehr über die Repositories, laufende VMs und Container starten zwar weiter, bleiben aber ungeschützt. Wer hier noch unterwegs ist, sollte zunächst ein Backup ziehen und danach zeitnah auf die aktuelle 9er-Linie umsteigen. Noch dringlicher ist die Lage bei alten 7.x-Installationen: Am 01.09.2026 wurde mit PSA-2026-00043-1 ein kritischer Authentifizierungs-Bypass in der Zugriffskontrolle bekannt, der EOL-Versionen ab 7.0-7 und unter 8.0.4 betrifft. Auch für 8.4 gab es zuletzt eine gemeldete Sicherheitslücke (CVE-2025-57540, eine gespeicherte XSS-Schwachstelle im WebAuthn-Feld), für die inzwischen ein Fix im Enterprise-Repository vorliegt.

Fazit

Für ein solides Backup-Konzept im Homelab braucht es kein kompliziertes Setup: Proxmox Backup Server als lokales Ziel, ein Sync-Job im Pull-Modell auf einen zweiten Server oder ein NAS, und wo möglich eine unveränderliche Kopie – sei es per S3 Object Lock oder klassisch auf Band. Wichtiger als die perfekte Lösung ist, überhaupt anzufangen und regelmäßig zu prüfen, ob die Backups im Ernstfall auch wirklich einspielbar sind.