BeBackup-Server installieren und konfigurieren

Diese Anleitung beschreibt die Installation eines BeBackup-Servers unter Windows, seine Erstkonfiguration und die Inbetriebnahme. Sie richtet sich an den Hoster, der den Server betreibt – nicht an den Endanwender und nicht an die Installation des Sicherungsagenten, die in einem separaten Dokument behandelt wird.

---

1. Voraussetzungen

Sie benötigen bbServerInstall.exe sowie Ihren Lizenzschlüssel, die Ihnen von EDII zusammen mit Ihrer Lizenz (oder Ihrer Testlizenz) zugestellt wurden.

Es werden keine Hardware-Mindestanforderungen vorgegeben. Die Bandbreite reicht vom generalüberholten Markenserver bis zur individuell zusammengestellten Maschine – beides funktioniert zufriedenstellend. Dimensionieren Sie anhand der Anzahl der Datenträger und des vorzuhaltenden Volumens, nicht anhand einer Anforderungsliste.

Unter Windows 10 oder 11 gilt genau ein Vorbehalt: Diese Versionen sind technisch geeignet – eine produktive Installation trägt dort mehrere Hundert Datenträger –, aber für Windows 10 ist der Microsoft-Support im Oktober 2025 ausgelaufen. Eine Maschine, die ins Internet hinein lauscht und die Sicherungen Ihrer Kunden trägt, sollte nicht ohne Sicherheitsupdates bleiben: Planen Sie eine noch unterstützte Edition oder einen Vertrag über erweiterte Updates ein.

---

2. Installation

Starten Sie bbServerInstall.exe als Administrator und folgen Sie dem Assistenten:

1. Annahme des Lizenzvertrags.
2. Installationsverzeichnis – standardmäßig C:\Program Files\BeBackup Server.
3. Firewall-Ausnahme – lassen Sie die Option aktiviert. Der Assistent fügt eine eingehende Regel hinzu, die die Server-Programmdatei zulässt.
4. Installation der Dateien, anschließend der Visual C++ Redistributables.
5. Lassen Sie am Ende des Assistenten die Option aktiviert, die die Aktivierung startet.

Der Assistent registriert außerdem den Windows-Dienst des Servers.

---

3. Lizenzaktivierung

Die Aktivierung erfolgt über das Hilfsprogramm bbActivation.exe, das am Ende der Installation automatisch startet (es bleibt anschließend über das Startmenü erreichbar). Es fragt ab:

• Ihren Lizenzschlüssel;
• Ihre E-Mail-Adresse;
• das Kennwort, das Ihnen mitgeteilt wurde.

Was eine Lizenz umfasst

Eine BeBackup-Lizenz ist nicht einfach eine Anzahl von Arbeitsplätzen. Sie legt fest:

Die von den gesicherten Maschinen belegten Lizenzarten:

Die Liste der zugelassenen Adressen ist Bestandteil der Lizenz. Wenn Sie später einen DNS-Namen oder eine öffentliche Adresse hinzufügen, muss die Lizenz über die Weboberfläche aktualisiert werden (Registerkarte Lizenz), andernfalls werden Agenten, die über diese Adresse kommen, abgewiesen.

---

4. Was die Installation einrichtet

4.1 Windows-Dienste

Die beiden letzten werden erst installiert und gestartet, wenn die entsprechende Funktion aktiviert ist: Ihr Fehlen auf einer Neuinstallation ist normal.

4.2 Verzeichnisse

Unterhalb des Installationsverzeichnisses:

Die gesicherten Kundendaten liegen nicht hier: Sie landen in den Speichern, die Sie deklarieren (§ 6.5).

4.3 Die drei Startarten des Servers

Der Wartungsmodus ist nicht abgesichert – das ist sein Zweck, und der Server weist bei jedem Start im Protokoll ausdrücklich darauf hin. Er dient dazu, die erste Konfiguration vorzunehmen, solange noch kein Administratorkonto existiert. Lassen Sie ihn niemals im Produktivbetrieb laufen, und machen Sie ihn nicht im Netzwerk verfügbar.

Eine Verknüpfung „Configurer BeBackup Server“ öffnet die Oberfläche unter https://localhost.

---

5. Erster Start

1. Vergewissern Sie sich, dass der Dienst gestoppt ist (Konsolen- bzw. Wartungsmodus und der Dienst können nicht gleichzeitig denselben Port belegen).
2. Starten Sie die Verknüpfung BeBackup maintenance. Ein Konsolenfenster öffnet sich: Lassen Sie es laufen.
3. Öffnen Sie https://localhost in einem Browser.

Zu diesem Zeitpunkt präsentiert der Server ein Zertifikat, das keine Zertifizierungsstelle anerkennt: Der Browser zeigt eine Warnung an, die Sie zum Fortfahren bestätigen müssen. Das ist normal und vorübergehend – die Zertifikatskonfiguration (§ 6.3) schafft Abhilfe.

---

6. Konfiguration über die Weboberfläche

Die Konfigurationsseite des Servers ist in zehn Registerkarten gegliedert:

Allgemein · E-Mail · Sicherheit · Administratoren · Speicher · Verbundene Server · Lizenz · KI · Update · Erweiterte Aktionen

Die nachstehende Reihenfolge entspricht nicht der der Oberfläche: Es ist diejenige, in der sich die Erstkonfiguration am einfachsten abarbeiten lässt.

6.1 Allgemein – die Identität des Servers

Die Hostnamen sind die Liste der DNS-Namen und IP-Adressen – lokal und öffentlich –, über die ein Agent diesen Server erreichen kann. Der Agent probiert sie nacheinander durch und behält den schnellsten Weg bei: Eine Maschine im lokalen Netz nutzt die interne Adresse, eine mobile Maschine die öffentliche.

Diese Liste speist auch die im Serverzertifikat enthaltenen Namen. Wenn Sie sie nachträglich ändern, denken Sie daran, das Zertifikat neu zu erzeugen bzw. zu erneuern und die Lizenz zu aktualisieren.

6.2 E-Mail – Versand der Berichte und Warnmeldungen

Der Server versendet die Sicherungsberichte an die Kunden und die Überwachungswarnungen an den Betreiber. Hinterlegen Sie die Parameter Ihres Versandservers: Host, Port, Authentifizierung, TLS-Modus, Name und Adresse des Absenders.

Hinterlegen Sie außerdem:

• die Adresse, die die Warnmeldungen des Servers empfängt;
• die Stufe, ab der eine Warnung versendet wird (mindestens die kritischen Meldungen);
• den Betreff der Warn-E-Mails sowie das Wiederholungsintervall ein und derselben Warnung.

Erledigen Sie das, bevor Sie die Administratorkonten anlegen. Eine Sicherheitsoption kann verlangen, dass bei der Verbindung über einen unbekannten Browser ein per E-Mail zugestellter Code eingegeben wird: Funktioniert der E-Mail-Versand nicht, kommt dieser Code nie an. (Administratorkonten sind davon ausgenommen, genau damit immer ein Zugang offen bleibt.)

6.3 Sicherheit – Absicherung der Kommunikation

Zwei Ansätze, je nach Ihrem Umfeld zu wählen.

a. Automatisch bezogenes öffentliches Zertifikat (ACME)

Der Server kann ein Zertifikat bei einer ACME-Zertifizierungsstelle (Let's Encrypt oder gleichwertig) selbstständig beziehen und erneuern. Eine geplante Aufgabe prüft regelmäßig, ob eine Erneuerung ansteht.

Anzugeben sind: die Aktivierung, der Anbieter oder die URL des ACME-Verzeichnisses sowie die E-Mail-Adresse des Kontos. Manche Zertifizierungsstellen verlangen zusätzlich External Account Binding (EAB) – auch dafür ist vorgesorgt.

Das ist der einfachste Weg, wenn der Server einen öffentlichen DNS-Namen trägt und aus dem Internet erreichbar ist. Agenten und Browser erkennen das Zertifikat dann ohne zusätzliche Konfiguration an.

b. Lokale Zertifikatsdatenbank

Der Server bringt seine eigene Zertifizierungsstelle mit. Das Vorgehen:

1. Eine Zertifikatsdatenbank anlegen – damit erzeugen Sie eine Stammzertifizierungsstelle. Geben Sie einen Namen, eine Gültigkeitsdauer, die Schlüssellänge (4096 Bit empfohlen) und den Hash-Algorithmus (SHA-2) an. Sie können die Datenbank mit einem Kennwort schützen, das dann bei jeder Zertifikatserstellung abgefragt wird.
2. Ein Serverzertifikat erstellen – sein Name muss dem DNS-Namen entsprechen, über den der Server erreicht wird.
3. Es dem Server zuweisen.

Wählen Sie für die Zertifizierungsstelle eine lange Gültigkeitsdauer: Läuft sie ab, müssen sämtliche von ihr signierten Zertifikate neu erstellt werden.

Dieser Weg erlaubt es zudem, Clientzertifikate an die Administratoren auszustellen (§ 6.4).

6.4 Administratoren – die Zugangskonten zur Oberfläche

Legen Sie mindestens ein Administratorkonto an, bevor Sie den Wartungsmodus verlassen.

Für jedes Konto: ein Name, eine E-Mail-Adresse und ein Kennwort.

Das Clientzertifikat ist ein zusätzlicher Schutz: Die Oberfläche ist dann nur noch für Browser zugänglich, die ein von Ihrer Datenbank ausgestelltes Zertifikat vorweisen. So gehen Sie vor:

1. Fügen Sie dem Konto ein Zertifikat hinzu (3 Jahre Gültigkeit und 4096 Bit Schlüssellänge sind sinnvolle Werte) und aktivieren Sie die Option, die es für dieses Konto verbindlich macht.
2. Laden Sie die Datei .p12 herunter und importieren Sie sie in den Zertifikatsspeicher des Administrationsrechners. Das beim Import abgefragte Kennwort ist dasjenige, das Sie bei der Zertifikatserstellung vergeben haben.
3. Deaktivieren Sie anschließend die allgemeine Option „Verbindungen ohne Zertifikat zulassen“.

Reihenfolge der Schritte. Solange Sie Ihr Clientzertifikat nicht importiert und überprüft haben, lassen Sie Verbindungen ohne Zertifikat zu. Wer sie verbietet, bevor ein funktionierendes Zertifikat vorliegt, sperrt sich aus der eigenen Oberfläche aus.

Weitere verfügbare Sicherheitseinstellungen: Kontosperrung nach einer bestimmten Anzahl fehlgeschlagener Anmeldungen, Lebensdauer der Websitzungen sowie der in § 6.2 erwähnte E-Mail-Code für unbekannte Browser.

6.5 Speicher – wohin die Daten gehen

1. Legen Sie auf jedem für Sicherungen vorgesehenen Volume ein eigenes Verzeichnis an (zum Beispiel D:\bbStorage – fiktives Beispiel).
2. Deklarieren Sie in der Oberfläche einen Speicher je Verzeichnis.

Deklarieren Sie so viele Speicher wie Volumes vorhanden sind: Der Server verteilt die Datenträger auf sie.

Richten Sie eine Überwachung des freien Speicherplatzes ein: Der Server kann unterhalb eines konfigurierbaren Schwellwerts warnen (§ 7.3).

6.6 Lizenz

Diese Registerkarte zeigt den Lizenzstatus an und erlaubt deren Aktualisierung – ein Vorgang, der nach jeder Änderung der Liste der DNS-Namen und Adressen erforderlich ist, über die der Server erreicht wird.

6.7 Verbundene Server (optional)

Wenn Sie mehrere BeBackup-Server betreiben, stellt diese Registerkarte die Verbindung her, die die Replikation der Sicherungen von einem Server auf einen anderen sowie die Synchronisierung gemeinsamer Elemente ermöglicht. Zu konfigurieren, sobald beide Server installiert und erreichbar sind.

6.8 Update

Diese Registerkarte steuert die Aktualisierung des Servers (§ 7.2).

6.9 KI (optional)

Die Registerkarte KI bündelt die Einstellungen der KI-gestützten Unterstützung. Sie wirkt sich nur aus, wenn diese Funktion auf Ihrem Server aktiviert ist; andernfalls belassen Sie sie unverändert.

6.10 Erweiterte Aktionen

Eine Registerkarte fasst die Feineinstellungen zusammen: Verhalten der Sicherungen, Zeitlimits, Überwachung, Defragmentierung der Datenträger, Replikation, Sprache des Servers, Beschleuniger. Die Standardwerte sind für eine Standardinstallation passend – ändern Sie sie nur, wenn es dafür einen konkreten Grund gibt.

---

7. Inbetriebnahme und Betrieb

7.1 Auf Dienstbetrieb umstellen

Sobald die Konfiguration steht:

1. Schließen Sie das Fenster des Wartungsmodus.
2. Starten Sie den Dienst: net start bbServer (oder über die Dienstverwaltung).
3. Melden Sie sich erneut an der Oberfläche an – diesmal mit Authentifizierung und, falls Sie es verbindlich gemacht haben, mit Ihrem Clientzertifikat.

Prüfen Sie, dass auch der Dienst bbServerWatchdog gestartet ist: Er ist es, der den Server neu startet, wenn dieser nicht mehr antwortet.

7.2 Server-Updates

Der Server prüft regelmäßig, ob eine neue Version vorliegt, und kann sie selbstständig einspielen, wenn die automatische Aktualisierung aktiviert ist. Das Paket wird vor der Installation überprüft: Die Signatur des Pakets und die Signatur jeder darin enthaltenen Binärdatei werden kontrolliert, und eine Version, die älter ist als die laufende, wird abgewiesen. Den Neustart übernimmt der Watchdog.

Sie können die Prüfung auch über die Registerkarte Update anstoßen.

Sichern Sie das Installationsverzeichnis vor einem größeren Update, insbesondere die internen Datenbanken (§ 7.4). Nur so können Sie zurückkehren.

7.3 Überwachung

Der Server führt selbstständig mehrere periodische Aufgaben aus:

Diese Warnungen gehen per E-Mail an die unter § 6.2 konfigurierte Adresse – daher die Bedeutung, den Versand gleich bei der Installation zu prüfen.

7.4 Interne Datenbanken und ihre Kopien

Der Server führt seine eigenen Datenbanken im Installationsverzeichnis (Konfiguration, Konten, Datenträger, Sicherungsindex). Davon bewahrt er rotierende Kopien in backups\ auf – standardmäßig fünf, wobei die jüngste das Suffix -bak1 trägt.

Diese Kopien sind Ihr Sicherheitsnetz bei Datenbankproblemen. Sie liegen auf demselben Volume wie der Server: Nehmen Sie das Installationsverzeichnis in Ihren eigenen Sicherungsplan auf.

Eine Datenbank aus einer Kopie wiederherstellen. Der Vorgang ist selten, kommt aber vor, insbesondere bei der Indexdatei eines Datenträgers (.fat), die bisweilen durch ihre Kopie (.fat-bak) ersetzt werden muss. Das Vorgehen ist immer dasselbe:

1. Stoppen Sie den Server – eine Datenbank, die ersetzt wird, während er sie geöffnet hält, würde nicht neu eingelesen, und Sie riskierten, neben dem Original auch die Kopie zu verlieren.
2. Legen Sie das Original beiseite, statt es zu überschreiben: Benennen Sie es um, löschen Sie es nicht. Sollte sich herausstellen, dass die Kopie älter ist als erwartet, ist das Ihr einziger Rückweg.
3. Kopieren Sie die Sicherung an die Stelle des Originals und geben Sie ihr den ursprünglichen Namen zurück – aus support.fat-bak wird beispielsweise support.fat.
4. Starten Sie den Server neu und prüfen Sie in seinem Protokoll, dass er die Datenbank korrekt öffnet, anschließend in der Oberfläche, dass der Datenträger und seine Versionen wie erwartet erscheinen.

Da die Kopien von der jüngsten zur ältesten durchnummeriert sind, gehen Sie jeweils eine Stufe weiter, wenn die erste nicht passt.

---

8. Optionale Funktionen

Jede Funktion wird in der Oberfläche konfiguriert und bleibt deaktiviert, solange sie nicht genutzt wird.

---

9. Diagnose auf erster Ebene

Wo nachsehen

Alles spielt sich in logs\ unterhalb des Installationsverzeichnisses ab. Die Protokolle sind nach Start und nach Subsystem aufgeteilt: Jeder Serverstart erzeugt eine Reihe von Dateien, darunter ein Hauptprotokoll und spezialisierte Protokolle (Anfragen, Weboberfläche, Netzwerk, E-Mail-Versand, Replikation, Fernsteuerung der Agenten …).

Das Hauptprotokoll eines Starts trägt den kürzesten Namen seiner Reihe. Seine ersten Zeilen fassen Version, Lizenz, zugelassene Adressen und Listening-Port zusammen: Das ist die erste Stelle, die Sie lesen sollten.

Häufige Symptome

Bevor Sie den Support kontaktieren

Halten Sie bereit: die Version des Servers, das Hauptprotokoll des betreffenden Starts und die genaue Uhrzeit des Vorfalls.

---

10. Hilfe erhalten

Stellen Sie vor dem Eröffnen eines Tickets Name und Version des Servers, Datum und Uhrzeit des Vorfalls sowie die Protokolle des betreffenden Starts (§ 9) zusammen: Das spart die meiste Zeit.