© Christian Draghici / 123rf.com

SEP verspricht mit seiner Backup-Lösung Sesam in der neuen Version Apollon Administratoren göttlichen Rundumschutz: Ganz egal, um welche Art von Daten es im RZ oder auf Clients geht – Apollon kümmert sich darum.

Über Sinn und Unsinn von Backups muss man mit Administratoren heute zum Glück nicht mehr diskutieren. Auch wenn das Thema nicht unbedingt zu den Lieblingsthemen der Gilde gehört: Allein gesetzliche Anforderungen machen Backups alternativlos. So verlangt beispielsweise die DSGVO das Melden eines Verlusts personenbezogener Daten auch dann, wenn kein Angriff ihn verursacht hat. Selbst ohne die Zwänge seitens des Gesetzgebers wäre der Verlust wichtiger Daten für beinahe jedes Unternehmen heute eine Katastrophe, etwa für Business Continuity und den eigenen Ruf. Wie man es auch dreht und wendet: Backups – und mehr noch: Restore – müssen sein.

Ansätze, das Problem zu lösen, existieren zuhauf. Es gibt kleine, auf einzelne Teilbereiche des Themas Backup spezialisierte Werkzeuge, aber auch riesige Suiten, dank deren Hilfe der Administrator seine Daten vollautomatisch sichern kann. SEP Sesam zählt zur letzteren Kategorie: Der Hersteller preist es quasi als eierlegende Wollmilchsau in Sachen Backup an. Daten von Laufwerken, aus virtuellen Instanzen, aus Datenbanken, aus verschiedenen Quellen in der Cloud – ganz egal: SEP Sesam bietet sich dafür an, sogar über die Grenzen einzelner Standorte hinweg.

Praktisch tritt das Werkzeug damit in direkte Konkurrenz zu am Markt verfügbaren Open-Source-Lösungen wie Bareos oder Bacula. Anders als diese steht es allerdings nicht unter einer freien Lizenz. Warum dann ausgerechnet SEP Sesam nutzen? Wir sehen uns im Folgenden an, welche Funktionen die Suite im Detail bietet, was sich bei der Lösung in letzter Zeit getan hat, wie gut das Werkzeug wirklich performt und was das Ganze letztlich kostet.

Funktionale Kontinuität

Dass die aktuelle Version von SEP Sesam den Namen Apollon trägt, ist durchaus bemerkenswert. Bisher benannte SEP seine Releases stets nach Raubtieren, etwa Jaglion (eine virtuelle Kreuzung aus Jaguar und Löwe). Mit den Miezekatzen ist nun aber Schluss. Stattdessen trägt die aktuelle Version den Namen eines griechischen Gottes, der sich nicht nur als Feind der Finsternis und Beschützer der Herden, sondern auch als Führer der Musen hervortat. Das Backup als Gesamtkunstwerk also?

Mancher Administrator bleibt da eher skeptisch, gehören Backups doch zu den eher lästigen Pflichten des administrativen Alltags. Dem Nervfaktor begegnet SEP in Apollon mit einem rundum neu entwickelten Webinterface sowie nach Herstelleraussage mit stark verbesserten Cloud-Fähigkeiten und noch mehr Automation im Hintergrund. Zudem bewirbt SEP die Deduplikationsfähigkeiten beim Sichern in Amazon S3 oder beim kompatiblen Speichern – dazu später mehr.

Trotz aller Verbesserungen ist und bleibt SEP Sesam unter der Haube ein hochkomplexes Werkzeug. Gerade für Admins, die mit der Lösung bisher noch nichts zu tun hatten, bietet sich ein Einstieg in die Basics an, insbesondere in die Architektur der Lösung. Sie ähnelt zwar weitgehend jener von vergleichbaren Lösungen wie Bareos oder Bacula, doch die Begrifflichkeiten unterscheiden sich zum Teil deutlich.

Als Zentrale einer SEP-Installation fungiert stets der SEP-Sesam-Server. Er enthält alle Steuerkomponenten der Lösung und betreibt unter anderem auch die Anwenderschnittstellen in Form einer API sowie des bereits erwähnten, deutlich aufgemöbelten Web-Interfaces (Abbildung 1). Der Server ist in SEP Sesam aber auch so etwas wie das Hirn der Lösung: Hier liegen alle Informationen zu den Backups sowie die Zeitpläne, nach denen die Sicherungen angelegt werden (Abbildung 2). Entsprechend handelt es sich beim SEP-Sesam-Server um eine entscheidende Komponente für die Gesamtlösung. Diesem Umstand trägt das Produkt dadurch Rechnung, dass SEP Sesam sich redundant auslegen lässt, auch im Rahmen von entfernter Sicherung und Disaster Recovery.

Abbildung 1: SEP Apollon stellt eine überarbeitete Benutzeroberfläche bereit, bei der unter anderem das Auswahlmenü links deutliche Verbesserungen erfahren hat. Quelle: SEP

Abbildung 2: Der Sesam Server dient in einer SEP-Sesam-Installation als die zentrale Steuerintelligenz. Hier laufen alle Fäden zusammen, darunter die konfigurierten Backup-Pläne. Quelle: SEP

Dem Server steht in SEP Sesam der Remote Device Server zur Seite. Bei den darüber verwalteten Devices handelt es sich ganz profan um die zur Verfügung stehenden Speichergeräte. Hier erfolgt also die Anbindung an ein SAN oder NAS ebenso wie das Einbinden eventuell vorhandener Bandlaufwerke (Abbildung 3).

Abbildung 3: Praktisch alle Arten von Speicher inklusive Bandlaufwerke lassen sich in SEP Sesam als Backup-Ziel deklarieren. Quelle: SEP

Der Server erfüllt zwei wichtige Zwecke: Er nimmt zu sichernde Daten von den Clients der Sesam-Installation entgegen und spielt sie auch wieder aus, sobald auf einem Zielsystem ein Restore ansteht. Im Hintergrund kommuniziert der Remote Device Server dafür sowohl mit dem Sesam-Server als auch mit der dritten zentralen Komponente des Konstrukts, dem SEP Backup Agent auf den Zielsystemen. Auf diese Weise muss der Sesam-Server nicht als Proxy zwischen den Clients und den Backup-Quellen fungieren, was ihn schnell zum Nadelöhr werden ließe.

Der Client muss nicht zwingend auf demselben System laufen, auf dem die zu sichernden Daten anfallen. Stattdessen kann er sich mit entfernten Diensten verbinden und zu sichernde Daten dort abholen. Das ist beispielsweise nötig, um auf Instanzen des vCenter-Servers von VMware zuzugreifen, auf denen sich der Agent nicht unmittelbar installieren lässt.

Insgesamt fußt SEP Sesam also auf einer Client-Server-Architektur, wobei die integrierten Komponenten jenen vergleichbarer Lösungen ähneln. Bareos und Bacula als unmittelbare Konkurrenz verwenden eine weitgehend analoge Architektur und funktionieren auch zur Nutzerseite hin ähnlich.

Zentrale Funktionen

Die Architektur hinter den Kulissen sagt freilich noch nichts über den Funktionsumfang der Lösung aus. Auch der kann sich bei SEP Sesam Apollon aber durchaus sehen lassen. Alle zentralen Aspekte, die das Thema Backup dominieren, deckt Sesam zumindest grundsätzlich ab.

Die meisten Administratoren denken beim Begriff Backup instinktiv an die zentralen Daten ihrer eigenen Installation. Die kommen häufig in Form von Datenbankdaten und Maschinendaten virtueller Systeme daher. Hier gibt sich Sesam keine Blöße: Der Client für Backups läuft auf einer Vielzahl von Systemen und Architekturen, darunter das klassische x86_64, Intels i386-Architektur, IA64, IBMs Power-System sowie SPARC.

In Sachen Virtualisierung zeigt Sesam sich ebenso auf der Höhe der Zeit und kann die gängigen Virtualisierungslösungen Citrix, Microsoft Hyper-V, KVM, VMware, RHEV, Proxmox und Nutanix sichern und wiederherstellen. Das ist gerade in jenen Szenarien praktisch, in denen Administratoren gleich die komplette Instanz sichern wollen, nicht nur deren Inhalte. Das erscheint zwar vor dem Hintergrund von Lifecycle Management und Continuous Integration nicht sonderlich sinnvoll: Auf diese Weise landet vieles auf den Backup-Medien und frisst dort Speicher, das im Internet bereits auf den Servern der Distributoren liegt. Vielerorts aber ist die Automation einfach noch nicht weit genug gediehen, um das Sichern des minimalen Datensatzes zu ermöglichen. Dann klappt ein Restore ganzer virtueller Instanzen deutlich schneller. Die Administratoren der meisten Unternehmen dürften diese Funktion also durchaus benötigen.

Wer schon etwas moderner unterwegs ist und Systeme selektiv sichern kann, kommt bei SEP Sesam ebenfalls voll auf seine Kosten. Die Lösung sichert Daten aus laufenden Systemen von Windows in zahllosen Versionen über MacOS bis hin zu allen gängigen Linux- und BSD-Varianten. Selbst mittlerweile eher exotische Betriebssysteme wie Novell Netware, Solaris, HP-UX oder Tru64 Unix stehen auf der Liste der unterstützten Backup-Quellen.

Besonders eng ist traditionell die Verbindung zwischen SAP und SEP. Das liegt wohl weniger an den ähnlichen Namen als daran, dass die beiden Firmen bereits vor vielen Jahren eine enge Kooperation eingegangen sind. SEP Sesam sichert heute quasi alles von SAP, was nicht bei drei auf dem Baum ist, darunter S/4 HANA, ASE, Business One, Netweaver und MaxDB. Dafür muss SEP Sesam nicht den Umweg über das Betriebssystem nehmen, sondern kommt mit einer Art vorgefertigtem Profil daher, das aus dem jeweiligen Dienst eine unmittelbare Backup-Quelle macht.

Dasselbe Prinzip nutzt SEP Sesam auch beim Sichern von Datenbanken. Für die allermeisten Unternehmen ist das ein großes Thema, weil Datenbanken in modernen Setups fast immer eine zentrale Einrichtung darstellen. Selbst bei einer Automation aus dem Bilderbuch und optimalem Lifecycle-Management ist die Datenbank der eine zentrale Punkt im Setup mit Nutzdaten, der sich nicht mal eben automatisiert wiederherstellen lässt. Deshalb achtet SEP Sesam auf umfassende Kompatibilität zu klassischen RDBMS-Anwendungen und datenbankähnlichen Diensten. MySQL, MariaDB und PostgreSQL stehen ebenso selbstverständlich auf der Liste der unterstützten Backup-Quellen wie DB2, Informix, EDB, Oracle und MS SQL.

Eine Art Sonderrolle nimmt hier OpenLDAP ein, von dem SEP Sesam ebenfalls nativ Backups zieht. Wer in die Verlegenheit kommt, ein ganzes Setup wegen einer Naturkatastrophe oder einem anderen Desaster an einem neuen Standort schnell wiederherstellen zu müssen, kann somit zumindest relativ flott eine funktionierende Benutzerverwaltung sowie die benötigten Daten wieder anbieten.

Bereit für die Cloud

Eine besondere Bedeutung kommt heute Backups von Clouds und Cloud-ähnlichen Diensten zu, und das aus mehreren Gründen.

Einerseits hat die Nutzung dieser Dienste kontinuierlich zugenommen und wird das absehbar weiter tun. Immer mehr Unternehmen verlagern ihre eigene Infrastruktur gerade deshalb in die Cloud, weil sie sich davon weniger Aufwand versprechen. Die Bedrohungslage sowohl durch Angriffe als auch durch Hardwareausfälle bleibt dabei im Regelfall aber unverändert. AWS, Azure oder GCP etwa interessiert herzlich wenig, ob Daten nach dem Ausfall von Hardware noch zur Verfügung stehen, zumindest ab Werk. Hier muss man entweder die Backup-Funktion der jeweiligen Plattform zubuchen oder sich selbst um das Thema kümmern.

Dieser Punkt gilt zudem nicht nur für klassische Virtualisierung, also IaaS, sondern betrifft auch PaaS-Angebote wie Microsoft 365. Nur mit Offsite-Backups lässt sich verhindern, dass man nach einem Angriff auf die eigenen Daten durch Ransomware in SharePoint oder OneDrive ohne Grundlage für sein Geschäft dasteht. SEP Sesam liefert: Es kopiert Daten aus allen gängigen SaaS-Plattformen, also Google Workplace sowie Microsoft 365, an einen sicheren dritten Ort. Es kann Backup-Daten auch aus Sharepoint oder Jira beziehen, ganz gleich, ob diese in der Cloud oder On-Premises laufen.

Funktionen zum Sichern klassischer Groupware-Komponenten wie lokaler Mail-Setups (Exchange, generisches IMAP) oder Kopano runden das Paket ab. Damit steht fest: SEP Sesam zeigt sich im Hinblick auf das Gros seiner Funktionen absolut auf der Höhe der Zeit. In den allermeisten Unternehmen dürfte der von SEP Sesam bereitgestellte Funktionsumfang die örtlichen Erfordernisse sogar übererfüllen.

Umkämpfter Markt

Damit ist Sesam allerdings keineswegs allein auf weiter Flur. Einen ähnlichen Funktionsumfang bieten sowohl die schon genannten Open-Source-Alternativen als auch verschiedene proprietäre Lösungen, die ebenfalls das Rundum-sorglos-Paket versprechen. Das ist den Machern der Software durchaus klar, zumal die meisten der beschriebenen Funktionen schon eine ganze Weile in SEP Sesam zur Verfügung stehen. Deshalb sucht der Anbieter sein Glück seit einiger Zeit vermehrt beim Sichern von Cloud-Daten sowie dem Thema Sicherheit. Die SEP-Sesam-Version Apollon macht das einmal mehr deutlich.

So beschreibt SEP das S3 Object Lock Feature als eine der zentralen Neuerungen in Apollon (also der SEP Sesam-Version 5.1.0). Zwar unterstützt Sesam das Sichern von Daten hin zu S3 bereits seit einigen Jahren, tatsächlich blieb die ursprünglich implementierte Lösung aber weit vom Ideal entfernt. Ursprünglich konnte SEP Sesam nicht viel mehr, als Daten aus einer lokalen SEP-Installation in komprimierter Form in S3-Buckets hochzuladen. Das war weder sehr sicher noch sehr effizient und lag zudem unter dem Funktionsumfang der Konkurrenz. Daher begann man mit der Arbeit an einem Si3 NG, also einem Nachfolger für das angestammte S3-Modul (Abbildung 4).

Abbildung 4: Besonders stolz ist man bei SEP auf das Si3-NG-Feature, das Daten auf Amazon S3 oder einem kompatiblen Speicher ablegt und nun auch gelockte Objekte beherrscht. Quelle: SEP

Die modulare Architektur der Lösung erleichterte diese Arbeiten erheblich, und längst hat die neue Implementierung die alte praktisch komplett verdrängt. Das hat durchaus triftige Gründe: Anders als der Vorgänger bietet Si3 NG beispielsweise die Möglichkeit der Deduplikation. Bevor SEP Sesam also Daten in einen mit S3 kompatiblen Speicher hochlädt, prüft es zunächst, ob sich dabei Doppler vermeiden lassen. Es muss dabei übrigens gar nicht das originale S3 sein; SEP kommt auch mit den S3-Implementierungen anderer Speicher zurecht, beispielsweise dem Ceph Object Gateway von Red Hat.

Als Lohn der Mühe der nicht ganz intuitiven Einrichtung auf der S3- und Sesam-Seite winkt ein deutlich reduzierter Speicherbedarf beim Sichern der Daten. In der neuen Version Apollon haben die Entwickler folgerichtig das Si3-NG-Modul weiter aufgebohrt. Um den schon angesprochenen Schutz vor Ransomware zu verbessern, beherrscht das S3-Plugin nun etwa die Object-Lock-Funktion, die in vielen S3-Implementierungen ebenso zur Verfügung steht wie im Original. Das heißt im Klartext: Ein einmal geschriebenes Objekt lässt sich selbst durch den Anwender, der es ursprünglich in S3 hochgeladen hat, nicht mehr ohne Weiteres verändern. Das bleibt Accounts mit speziellen Rechten vorbehalten. Indem man also sicherstellt, dass Angreifer keinen Zugriff auf diese Zugänge erhalten, vermeidet man mit Object Lock effektiv eine böswillige Modifikation der gesicherten Daten.

In dasselbe Horn stößt die neue Funktion SEP Immutable Storage oder kurz SiS. Sie setzt im Hintergrund auf das eben beschriebene Object-Lock-Feature von Si3 NG auf und sorgt dafür, dass Backups von Linux-Maschinen sich nicht mehr verändern lassen. Man kann also Backups anlegen, die später technisch keine Veränderungen mehr zulassen – im Grunde also eine Art WORM-Storage (Write once, Read many).

Das Feature ist vor gleich mehreren Hintergründen sehr praktisch. Zunächst erlaubt es Unternehmen, ihren gesetzlichen Pflichten im Zusammenspiel mit dem Finanzamt nachzukommen: In steuerrechtlicher Hinsicht gibt es die klare Anforderung, Belege unveränderbar aufzubewahren. Sichere Backups, auf die man sich unter allen Umständen verlassen kann, fördern zudem die operative Sicherheit.

Hier unterfüttert SEP die Security-Strategie durch einen neu hinzugekommenen Virenscanner sogar noch ein Stück weiter. Er prüft Daten nicht während der Sicherung, sondern erst im Falle eines Restore-Vorgangs. Der Hersteller geht hier implizit davon aus, dass die einzelnen Clients selbst eine Antivirensoftware nutzen, der allerdings manchmal auch etwaige Infektionen entgehen. Das Prüfen der Daten erst beim Restore spart erhebliche Ressourcen auf der Backup-Infrastruktur, weil nicht bei jedem Sicherungsvorgang ein kompletter Scan der zu sichernden Daten ansteht. Das ist clever gelöst.

Selektives Anhalten

Eine der größten Herausforderungen beim Anlegen von Backups besteht im Erfassen auch jener Daten, die sich während des Backup-Vorgangs verändern. Die brachialste Art und Weise, das Problem zu vermeiden, besteht darin, eine virtuelle Instanz während des Backups vollständig anzuhalten. Das allerdings führt zu einer Downtime, die man ja eigentlich vermeiden möchte.

Sesam Apollon bringt zumindest für Hyper-V eine neue Funktion im Hinblick auf dieses Problem mit. Es nutzt das Resilient Change Tracking des Virtualisierers, um während eines Backups die sich ändernden Daten zu erkennen. Nur für sie definiert Sesam dann eine Sperre, um den zwischenzeitlichen Zugriff zu verhindern und die aktuellsten Daten zu erwischen. Das garantiert die Konsistenz der Backups und ermöglicht ein zuverlässiges Restore.

Neuigkeiten gibt es zudem im Hinblick auf Bandlaufwerke und die darauf angelegten Backups. Bisher existierte in SEP Sesam keine sinnvolle Möglichkeit, Bänder in einem Laufwerk auszutauschen, wenn ein aktives Backup im Gange war. Ein neues Feature auf Grundlage von Barcodes ändert das jetzt. Soll ein Band während eines Backup-Vorgangs ausgetauscht werden, identifiziert Sesam es anhand eines Barcodes und prüft, ob es im aktiven Backup-Vorgang eine Rolle spielt. Ist das nicht der Fall, gibt es das Laufwerk des Bands zum Austausch frei.

Massiv investiert hat SEP in Sachen Failover-Funktionalität. Die kommt immer dann zum Einsatz, wenn eine für Backups benötigte Ressource während der alltäglichen Routine ausfällt und dadurch nicht länger zur Verfügung steht – etwa der Speicher im Hintergrund, auf dem Backups landen. Sesam Apollon unterstützt für solche Fälle nun Failover Media Pools (Abbildung 5). Dabei handelt es sich um eine Sammlung von Medien, die sich in Sesam als Backup-Ziel konfigurieren lassen. Mit der neuen Einstellung lässt sich festlegen, dass Backups ersatzweise auch auf andere Media Pools erfolgen dürfen, falls das eigentlich vorgesehene Ziel augenblicklich nicht zur Verfügung steht.

Abbildung 5: Media Pools bieten in SEP Sesam Apollon ein Failover-Feature. Steht ein Pool nicht zur Verfügung, lässt sich ein anderer auswählen. Quelle: SEP

Hinzu kommen die neuen Backup Task Events. Darunter verstehen die Macher der Software eine Backup-Aufgabe, die Sesam anstelle eines anderen Vorgangs ausführt, falls die Voraussetzungen für den erfolgreichen Ablauf des ursprünglichen Tasks im Augenblick nicht erfüllt sind. Denkbar wäre etwa ein Szenario, in dem Backups seltener stattfinden, falls ein zentraler Speicher im Hintergrund offline ist – aus Sicht der Datensicherheit zwar nicht ideal, aber in Extremsituationen oft nicht zu vermeiden.

Was der Spaß kostet

Anders als viele andere Hersteller benennt SEP in Sachen der Sesam-Bepreisung Ross und Reiter und zwingt potenzielle Kunden nicht dazu, sich an den SEP-Vertrieb zu wenden. Auf der Firmen-Website finden sich zwar keine unmittelbaren Details, doch verhindert SEP auch nicht, dass beispielsweise Distributoren die Preise ins Netz stellen. Das ist ausgesprochen positiv und erleichtert die Arbeit des planenden Administrators.

SEP Sesam gibt es in zwei Editionen, als Professional- und Ultimate-Variante. Bei beiden Varianten handelt es sich um Volumentarife, die sowohl im Subskriptionsmodell als auch als Kauflizenz zur Verfügung stehen. Beide enthalten die Unterstützung für 1 TByte Backup-Speicher für beliebig viele Clients. Die Lizenzen unterscheiden sich vor allem durch den abgedeckten Funktionsumfang. Die Subskriptionen für die Professional-Variante beginnen bei rund 1284 Euro netto pro Jahr, für jedes zusätzliche TByte fallen Kosten in Höhe von 1029 Euro an. Die Ultimate-Edition samt Clients für die SAP-Anwendungen, DB2, Informix und weitere Programme schlägt mit gut 5287 Euro pro Jahr in der Subskription zu Buche.

Alternativ gibt es ein Vertriebsmodell auf Basis zu sichernder Dienste und Geräte. Wer beispielsweise nur einzelne VMs sichern will, bezahlt pro Jahr rund 41 Euro als Subskription und knapp 108 Euro in der Kaufvariante mit einjährigem Support. Einen detaillierten Überblick über die Preise gibt die Website des Distributors Software-Express [1].

Fazit

SEP Sesam präsentiert sich als umfassende Backup-Lösung auf der Höhe der Zeit und bietet so gut wie alle Features an, die Unternehmen heute benötigen. Zusatzfunktionen wie die WORM-Funktion und eine große Vielfalt im Hinblick auf die unterstützten Quellen und Ziele für das Backup schaffen ein insgesamt sehr überzeugendes Angebot auf Augenhöhe mit der Konkurrenz.

Positiv ist außerdem zu erwähnen, dass SEP mit der Version 5.1.0, also Apollon, das Wiki mit der gesamten Sesam-Dokumentation umfassend überarbeitet hat. Wo zuvor ein Chaos aus Artikeln für verschiedene SEP-Versionen herrschte, gibt es nun eine klare Struktur und Seiten, die sich eindeutig einzelnen Versionen zuordnen lassen.

Auch für Bestandskunden hat das deutsche Unternehmen etwas im Angebot, nämlich die rundum überarbeiteten Schnittstellen, insbesondere die neue Web-UI. Damit geht die Arbeit deutlich angenehmer von der Hand als mit den Vorgängern. Falls Sie bereits mit SEP Sesam hantieren, sollten Sie daher über ein Update auf Apollon nachdenken. (jcb/jlu)