Restic oder Borg: Was ist besser für Offsite-Backups auf Ihren eigenen Server?

Was braucht der Server für restic und für Borg?

restic braucht serverseitig nichts Eigenes. Die Dokumentation verlangt einen SSH-Server, der Ihren öffentlichen Schlüssel kennt, da eine Passwortabfrage automatische Backups stoppen würde. Für ein Append-only-Ziel betreiben Sie stattdessen restics rest-server; er lauscht standardmäßig auf Port 8000.

Borgs Schnellstart sagt, dass Remote-Repositories am schnellsten und einfachsten sind, wenn Borg auf dem Remote-Host installiert ist. Der Client spricht dann über SSH mit borg serve. Ohne Borg auf dem Server können Sie das Remote-Dateisystem einbinden, aber die Docs warnen, dass nicht jedes Dateisystem stabil genug für Backups ist.

restic macht aus jedem SSH-Konto ein Backup-Ziel; Borg verlangt ein Serverpaket und liefert ein engeres Forced Command.

# restic over SFTP: only SSH and a key on the server
restic -r sftp:[email protected]:/tank/restic init

# Borg over SSH: Borg 1.4.5 installed on both sides
borg init --encryption=repokey-blake2 ssh://[email protected]/tank/borg

# On the server, ~backup/.ssh/authorized_keys pins the key to one repository:
command="borg serve --append-only --restrict-to-path /tank/borg",restrict ssh-ed25519 AAAA... client@laptop

Wie verschlüsseln restic und Borg, und wer hält den Schlüssel?

Beide verschlüsseln auf dem Client, sodass der Server nur Ciphertext speichert. Sie unterscheiden sich darin, wie viel Wahlfreiheit sie Ihnen lassen.

• restic verschlüsselt alles im Repository mit AES-256 im Counter-Modus und authentifiziert es mit Poly1305-AES. Ihr Passwort schließt den Schlüssel über scrypt auf. Sogar der lokale Cache ist verschlüsselt.
• Borg legt den Modus bei borg init fest. repokey behält den verschlüsselten Schlüssel im Repository; keyfile behält ihn auf dem Client. Borgs Docs empfehlen, den Schlüssel mit borg key export zu exportieren und getrennt vom gesicherten System aufzubewahren.
• Kopia hat keinen unverschlüsselten Modus. Es verschlüsselt Inhalte und Dateinamen mit AES-256 oder ChaCha20.

Das größere Bild steht unter Client-seitige Verschlüsselung für Backups.

Welche hält alte Backups sicher, wenn der Client gehackt wird?

Beide, wenn Sie es einrichten. Der Modus --append-only von rest-server erlaubt neue Backups, verhindert aber das Löschen und Ändern bestehender. Borgs Append-only-Modus weigert sich, festgeschriebene Daten zu überschreiben oder zu löschen.

Borg dokumentiert den Haken. Prune und Delete laufen im Append-only-Modus trotzdem; sie markieren Daten nur als gelöscht. Der nächste Schreibvorgang im normalen Modus, etwa ein Prune von Ihrem Admin-Rechner, entfernt diese Daten endgültig. Führen Sie also borg check vor jedem Pruning aus und behalten Sie eine Hardlink-Kopie, wenn Sie einen Angriff vermuten. Rezepte für beide Tools stehen unter Backups auf Ihrem eigenen Server unveränderlich machen.

Ist Borg 2 bereit, und was passiert mit Borg-1-Repositories?

Noch nicht für den Produktivbetrieb. Borg 2.0 ist in der Beta: 2.0.0b25 erschien am 27. September 2026, und die 1.4-Reihe bleibt die als Latest markierte Version. Borg 2 verwendet ein neues Repository-Format. borg transfer --from-borg1 kopiert Archive aus einem Borg-1.x-Repository in ein neues Borg-2-Repository. Borg 2 muss dann auf Client und Server laufen.

Starten Sie neue Offsite-Repositories heute auf Borg 1.4.5, und planen Sie den Umzug auf Borg 2 als Transfer, nicht als Upgrade an Ort und Stelle.

Wo passt Kopia hin?

Kopia ist die dritte Option und die mit einer offiziellen grafischen Oberfläche. Version 0.23.1, veröffentlicht am 16. Juni 2026, behebt eine seltene Race Condition, die zu Datenverlust führen konnte, und die Maintainer empfehlen das Upgrade. Es schreibt auf SFTP, S3-kompatiblen Speicher und mehrere Clouds oder auf einen Kopia Repository Server, den Sie selbst betreiben. Der Ransomware-Leitfaden stützt sich auf S3 Object Lock im Compliance-Modus oder auf Zugriffsschlüssel ohne Löschrechte. Wählen Sie Kopia, wenn die Leute, die Backups betreiben, ein Fenster wollen, keine Shell.

Wie groß muss ein Server für restic oder Borg sein?

Bemessen Sie den Pool für eine vollständige Kopie Ihrer Daten plus die geänderten Blöcke jeder Version, die Sie behalten. Deduplizierung und Komprimierung verkleinern beides; um wie viel, hängt von Ihren Daten ab. Dann fügen Sie Parität hinzu: Zehn 10-TB-Festplatten in RAIDZ2 lassen 80 TB für das Repository übrig.

Auf 2 November 2026 berechneten No-KYC-Hosts, die Krypto annehmen, ab 36 TB einen Median von $6.70 pro TB im Monat. Ab 72 TB sank der Median auf $4.86. Hold 40 kostet $5.02/TB und Hold 100 $3.77/TB, roh. Jeder Tarif steht auf der Preisliste für Hold. Für ganze virtuelle Maschinen passt ein Offsite-Proxmox-Backup-Server besser.