Kurz nach Mitternacht, am 10. März 2021, ging in einem Rechenzentrum in Straßburg ein Feueralarm los. Innerhalb weniger Stunden brannte eines der vier Gebäude auf dem Gelände unkontrolliert – SBG2, eine fünfstöckige Betonhalle voller Server. Feuerwehrleute aus der ganzen Region kämpften die Nacht hindurch. Bei Tagesanbruch war SBG2 eine Ruine.

Das war kein Hinterhof-Hoster. Es war OVHcloud, einer der größten Cloud-Anbieter Europas, mit Millionen von Kunden. Octave Klaba, der Gründer des Unternehmens, postete die ganze Nacht Updates auf Twitter, weil es keine Pressemitteilung gab, die schnell genug für das gewesen wäre, was gerade geschah. Er warnte die Kunden ungeschönt: Aktivieren Sie Ihre Notfallpläne. Am Morgen waren Millionen von Websites dunkel – Behördendienste, Spieleserver, kleine Unternehmen, private Projekte. Und für eine beträchtliche Zahl von Kunden kam etwas Schlimmeres hinzu: Ihre Daten waren einfach weg. Nicht vorübergehend unerreichbar. Weg.

VIDEO · 29 SEKUNDEN

Fast jeder hat ein Geheimnis. Fast niemand hat einen sicheren Ort dafür.

Sehen Sie, wie Everkeep Ihre privatesten Daten offline verwahrt — nummeriert, versiegelt, überwacht.

Jetzt schützen — $199/Jahr

Die Cloud, so stellt sich heraus, ist keine Wolke. Sie ist ein Gebäude. Und Gebäude brennen.

Die Cloud ist ein Gebäude

Wir sprechen von „der Cloud", als wäre sie Wetter – diffus, überall, gegen lokale Katastrophen immun. Die Metapher leistet der Branche stille Dienste, denn sie suggeriert: Was man nicht recht anfassen kann, kann auch nicht recht kaputtgehen. Aber jede Datei, die Sie „in die Cloud legen", liegt auf einer rotierenden Platte oder einem Flash-Chip in einem bestimmten Raum, in einem bestimmten Gebäude, in einer bestimmten Straße. Dieses Gebäude hat ein Dach, einen Stromanschluss, einen Batterieraum – und, wie Straßburg gezeigt hat, eine Brandlast.

Rechenzentren sind mit außerordentlicher Sorgfalt gegen Feuer gerüstet: Gaslöschanlagen, Brandabschnitte, redundante Strompfade, Batterien, die bei einem Netzausfall die Last tragen. Der OVH-Campus war da keine Ausnahme; es war eine moderne, gut geführte Anlage. Und trotzdem brach das Feuer aus, trotzdem griff es um sich, trotzdem war ein ganzes Gebäude verloren. Die Ermittler beschäftigten sich monatelang mit der Ursache und konzentrierten sich auf die elektrischen Anlagen des Gebäudes – dieselben Systeme, die die Server am Leben halten, sind in einer schlechten Stunde genau das, was sie töten kann. Diese Ironie ist nicht OVH-spezifisch. Jedes Rechenzentrum konzentriert enorme elektrische Energie an einem Ort, weil genau das Rechnen im großen Maßstab erfordert. Konzentration ist das Geschäftsmodell. Konzentration ist auch das Risiko.

Was verbrannte – und was nicht zurückkam

Hier liegt das Missverständnis: Die Kunden, die Daten endgültig verloren, verloren sie nicht, weil OVH fahrlässig gewesen wäre. Viele verloren sie, weil ihre Backups im selben Gebäude lagen.

Ein Backup, das in derselben Anlage liegt wie das Original, ist kein Backup. Es ist eine zweite Kopie, die auf dasselbe Feuer wartet. Als SBG2 brannte, stellten Kunden, deren Redundanz aus „einem weiteren Rack in SBG2" bestand, fest, dass Redundanz und Duplizierung nicht dasselbe sind. Echte Duplizierung heißt Trennung – anderes Gebäude, anderes Stromnetz, anderes Ausfallszenario. Eine beträchtliche Zahl von OVH-Kunden hatte diese Trennung nie vorgenommen, weil der Anbieter es leicht machte, nicht darüber nachzudenken. Alles in einem Dashboard, auf einer Rechnung, an einem Ort. Bequemlichkeit hatte still die Widerstandsfähigkeit ersetzt.

Die unbequeme Wahrheit des Vorfalls: Für die meisten funktionierte die Technik genau wie vorgesehen. SBG3 und SBG4, auf demselben Campus, wurden vorsorglich abgeschaltet und später wieder in Betrieb genommen. Kunden mit externen Kopien bauten alles wieder auf. Die, die alles verloren, verloren es wegen einer Annahme, nicht wegen eines Fehlers: der Annahme, eine professionelle Anlage sei für sich genommen schon eine Garantie.

Das ist sie nie. Eine Garantie ist ein Verfahren, kein Ort.

Die 3-2-1-Regel – und die Eins, um die sich niemand kümmert

Die Speicherbranche hat für genau dieses Szenario eine Formel. Sie heißt 3-2-1: drei Kopien Ihrer Daten, auf zwei verschiedenen Medientypen, eine davon extern. Jeder in der Branche kann sie aufsagen. Kaum ein Privatmensch befolgt sie wirklich.

Die ersten beiden Teile sind leicht. Drei Kopien, zwei Medientypen – das ist eine Festplatte und ein Cloud-Abgleich, oder ein NAS und eine externe Platte. So weit kommen die Leute. Es ist die letzte „1" – die externe Kopie, räumlich getrennt, idealerweise offline –, die still unter den Tisch fällt. Sie fällt unter den Tisch, weil sie der einzige Teil der Regel ist, der laufende Mühe verlangt: einen zweiten Ort, eine Routine, jemanden, der sich um die Kopie kümmert, wenn Sie nicht daran denken.

Genau diese ausgelassene „1" hat Straßburg bestraft. Die Kunden, die sie hatten, waren in Tagen wieder da. Die anderen nicht. Der Regel ist egal, ob die Bedrohung Feuer, Hochwasser, Erpressungssoftware oder ein Bagger ist, der ein Glasfaserkabel durchtrennt. Sie interessiert nur, ob Ihre Kopien ein Schicksal teilen.

„Aber mein Anbieter regelt das doch"

Der häufigste Einwand, den wir hören, geht so: Ein seriöser Anbieter repliziert doch sicher über Regionen hinweg, also muss ich nicht darüber nachdenken. Manchmal stimmt das – wenn Sie dafür bezahlt, es eingerichtet und überprüft haben. Aber viele sind im Standardtarif, in dem Replikation „innerhalb des Campus" bedeutet – und der Campus ist, wie wir festgestellt haben, ein Gebäude.

Es gibt ein tieferes Problem damit, das Denken ganz auszulagern. Wenn der Anbieter alles regelt, hören Sie auf, Fragen zu stellen: Welche Version liegt wo, wie alt ist die externe Kopie, hat dieses Jahr schon jemand eine Wiederherstellung getestet? Das Dashboard des Anbieters ist grün, also muss alles in Ordnung sein. Dashboards sind grün, bis sie es nicht mehr sind. Nach dem Brand stellten einige OVH-Kunden fest, dass ihr „geo-redundantes" Setup nie das gewesen war, was sie angenommen hatten. In der Lücke zwischen dem, was die Leute von ihrem Setup glauben, und dem, was es tatsächlich tut, sterben Daten.

Deshalb sind die alten Hasen der Branche so langweilig, wenn es ums Überprüfen geht. Vertrauen Sie dem Gebäude des Anbieters; überprüfen Sie Ihre eigenen Kopien. Die Handwerker-Version der Regel: Wenn Sie nicht persönlich bestätigt haben, dass eine Kopie irgendwo existiert, die ein einziges Feuer nicht erreichen kann, haben Sie kein Backup. Sie haben eine Hoffnung.

Jemand muss derjenige sein, der sich erinnert

Seneca schrieb, wir sollten Missgeschick erwarten und dafür planen – nicht aus Pessimismus, sondern weil Planung das ist, was eine Katastrophe von einem Ende in eine Unterbrechung verwandelt. Der Brand bei OVH ist ein Lehrstück für diesen Unterschied. Für die Kunden mit einer echten externen Kopie war der 10. März eine schreckliche Woche, und dann war es vorbei. Für die Kunden ohne war es ein Ende.

Die Lehre ist nicht „Benutzen Sie keine Cloud". Die Cloud ist ein gutes Werkzeug für Zugriff und Zusammenarbeit. Die Lehre ist: Alles, dessen Verlust Sie sich nicht leisten können, braucht eine Kopie, die kein Schicksal mit dem Original teilt – anderes Gebäude, anderes Netz, anderes Bedrohungsmodell –, und eine Routine, die diese Kopie am Leben hält: in festen Abständen geprüft und ausgewechselt, bevor das Medium altert.

Fast niemand führt diese Routine selbst durch, weil der ganze Sinn eines Backups darin besteht, nicht mehr daran denken zu müssen. Das ist das Paradox – und der Grund, warum Verwahrung als Beruf existiert. Kein Dashboard, kein Sync-Client, sondern ein Mensch, in einem Gebäude, in dem Sie nie waren, dessen gesamte Arbeit die unglamouröse Pflege ist: nummerieren, versiegeln, fotografieren, die Siegel zweimal im Jahr kontrollieren, protokollieren – und das Medium selbst nur dann prüfen, wenn sein Eigentümer schriftlich darum bittet. Die „1" aus 3-2-1, erledigt von jemandem, der nichts anderes tut.

Das Feuer hat Straßburgs Kunden gelehrt, was die alten Hasen schon wussten. Die Cloud ist ein Gebäude. Gebäude brennen. Planen Sie so, als wäre es Ihres.

Everkeep bietet Offline-Verwahrung für verschlüsselte Laufwerke, die Ihnen gehören und die Sie selbst verschlüsseln. Jeder Slot umfasst zweimal jährlich Zustandsprüfungen – die Siegel werden kontrolliert, fotografiert und protokolliert; Ihr Laufwerk wird niemals eingeschaltet, es sei denn, Sie bitten schriftlich darum. Zwei Kopien, zwei getrennte Orte. 199 $/Jahr pro Geräte-Slot.