Mac-Backup-Strategie: Time Machine, Klon und Cloud

Eine Time-Machine-Platte am Schreibtisch ist gut, aber sie ist ein einzelner Gegenstand im selben Raum wie der Mac. Wird bei Dir eingebrochen, brennt es oder verschlüsselt eine Erpressersoftware alles, was angeschlossen ist, sind Mac und Backup gleichzeitig weg. Und eine Platte, die seit Jahren still vor sich hin sichert, hat auch noch nie bewiesen, dass sich aus ihr etwas zurückholen lässt.

Dieser Artikel baut aus Werkzeugen, die Du wahrscheinlich schon hast, ein Backup-Konzept, das die vier typischen Katastrophen abdeckt: eine defekte SSD, einen gestohlenen Mac, Ransomware und die versehentlich gelöschte Datei. Er gilt für macOS Tahoe 26 und frühere Versionen ab macOS Ventura, auf Apple Silicon und Intel.

Die 3-2-1-Regel, übersetzt für den Mac

Die bewährte Faustregel für Datensicherung lautet: drei Kopien Deiner Daten, auf zwei verschiedenen Medien, davon eine an einem anderen Ort. Auch das BSI empfiehlt in seiner Anleitung zur Datensicherung, Sicherungen räumlich getrennt aufzubewahren und regelmäßig zu prüfen.

Für einen Mac heißt das ganz konkret:

Die zweite Zeile hast Du in einer halben Stunde, die dritte in einem Nachmittag. Der Rest dieses Artikels geht die Bausteine in der Reihenfolge durch, in der Du sie einrichten solltest.

Baustein 1: Time Machine, aber verschlüsselt

Time Machine ist der Kern, weil es stündlich und ohne Dein Zutun sichert und weil der Migrationsassistent einen kompletten Mac daraus wiederherstellen kann. Du brauchst dafür eine externe Festplatte oder SSD mit USB-C (Affiliate Link). Als Faustregel sollte sie zwei- bis dreimal so groß sein wie der belegte Speicher Deines Macs, damit genug Platz für ältere Versionen bleibt. Eine SSD sichert deutlich schneller, eine klassische Festplatte ist pro Terabyte billiger. Für ein reines Backup reicht die Festplatte.

So richtest Du sie ein:

1. Schließ die Platte an. Fragt macOS, ob Du sie für Time Machine verwenden möchtest, lehn zunächst ab, damit Du die Optionen in Ruhe setzen kannst.
2. Öffne Systemeinstellungen > Allgemein > Time Machine und klick auf Backup-Volume hinzufügen oder das Pluszeichen.
3. Wähle die Platte aus und aktiviere Backups verschlüsseln.
4. Vergib ein Backup-Passwort und eine Merkhilfe. Speichere das Passwort zusätzlich in Deinem Passwort-Manager, denn Apple kann es nicht zurücksetzen. Ohne Passwort ist das Backup verloren.
5. Bestätige. macOS formatiert die Platte bei Bedarf als APFS und beginnt mit dem ersten Backup.

Warum verschlüsseln? Eine unverschlüsselte Backup-Platte enthält Deinen gesamten Mac im Klartext: Fotos, Dokumente, Mails, Browserdaten. Wer die Platte mitnimmt, kann alles lesen, auch wenn Dein Mac selbst mit FileVault geschützt ist. Die Verschlüsselung kostet kaum Geschwindigkeit. Apple beschreibt die Optionen im Abschnitt Backup-Volume auswählen und Verschlüsselung festlegen der macOS-Hilfe.

Das erste Backup dauert je nach Datenmenge mehrere Stunden, lass den Mac dafür über Nacht am Strom. Danach sichert Time Machine stündlich nur noch die Änderungen.

Kontrolle im Terminal

Ob Time Machine wirklich läuft, siehst Du nicht nur in den Einstellungen, sondern auch im Terminal. Der erste Befehl zeigt die eingerichteten Backup-Ziele:

tmutil destinationinfo

Der zweite gibt den Pfad des letzten erfolgreichen Backups aus, das Datum steht im Namen:

tmutil latestbackup

Mit dem dritten listest Du alle vorhandenen Sicherungen auf:

tmutil listbackups

Meldet tmutil einen Fehler wegen fehlender Rechte, gibst Du dem Terminal unter Systemeinstellungen > Datenschutz & Sicherheit > Festplattenvollzugriff den Zugriff. Liegt das letzte Backup Tage zurück, obwohl die Platte angeschlossen war, hängt etwas. Was dann hilft, steht im Artikel Time Machine hängt oder ist langsam: die Lösungen.

Baustein 2: eine zweite Platte im Wechsel

Time Machine kann mehrere Backup-Volumes nacheinander bedienen. Fügst Du unter Systemeinstellungen > Allgemein > Time Machine ein zweites Volume hinzu, sichert macOS abwechselnd auf beide, je nachdem, welches gerade erreichbar ist.

Das ist der einfachste Weg, eine Kopie außer Haus zu bekommen: Platte A hängt am Schreibtisch, Platte B liegt im Büro, bei Verwandten oder im Bankschließfach. Einmal im Monat tauschst Du sie. Fällt eine Platte aus oder wird gestohlen, verlierst Du höchstens die Änderungen der letzten Wochen. Beide Platten verschlüsselst Du wie oben.

Diese Wechselstrategie hat noch einen zweiten Vorteil. Eine Platte, die nicht angeschlossen ist, kann von Ransomware nicht erreicht werden. Eine dauerhaft angeschlossene Time-Machine-Platte ist zwar durch macOS gut geschützt, weil Time Machine ihre Snapshots schreibgeschützt anlegt, gegen einen Angreifer mit Administratorrechten ist sie aber nicht sicher.

Statt einer zweiten USB-Platte kannst Du auch ein Netzlaufwerk nehmen, etwa ein NAS oder einen Raspberry Pi mit Platte. Wie das mit einem Pi geht, zeigt der Artikel Raspberry Pi als Time-Machine-Server für den Mac. Steht das Netzlaufwerk allerdings im selben Haus, ersetzt es nicht die Kopie außer Haus.

Baustein 3: verschlüsselte Kopie in der Cloud

Wenn Dir das Plattentauschen zu umständlich ist, wandert die dritte Kopie ins Internet. Wichtig ist, dass sie vor dem Hochladen auf Deinem Mac verschlüsselt wird, damit der Anbieter nichts lesen kann, und dass alte Versionen erhalten bleiben. Denn ein reiner Spiegel lädt eine von Ransomware verschlüsselte Datei einfach mit hoch und überschreibt die gute Version.

Für technikaffine Nutzer ist restic dafür das passende Werkzeug: kostenlos, quelloffen, verschlüsselt alles lokal, speichert nur Änderungen und behält Versionen nach Regeln, die Du festlegst. Als Speicher eignet sich jeder S3-kompatible Objektspeicher. Die vollständige Einrichtung mit Passwortdatei, Ausschlüssen und automatischem Start steht im Artikel Backups mit restic: verschlüsselt auf S3 und Spaces.

Mit restic sicherst Du gezielt Deine eigenen Daten, also den Benutzerordner ohne Caches, nicht das ganze System. Das reicht für die Offsite-Kopie völlig, denn macOS selbst installierst Du im Ernstfall frisch, und für alles andere gibt es Time Machine. Rechne grob: 500 GB Fotos und Dokumente kosten bei S3-kompatiblen Anbietern meist zwischen drei und zehn Euro im Monat.

Wer lieber eine fertige App mit Abo möchte, nimmt einen kommerziellen Backup-Dienst für den Mac. Achte dann darauf, dass er Versionen über mindestens 30 Tage aufbewahrt und eine eigene Verschlüsselung mit Deinem Passwort anbietet.

Was iCloud nicht ist

Viele halten iCloud Drive mit der Option Schreibtisch- & Dokumente-Ordner für ein Backup. Es ist eine Synchronisation. Löschst Du eine Datei auf dem Mac, verschwindet sie auch in der Cloud und auf allen anderen Geräten. Überschreibt Ransomware Deine Dokumente, synchronisiert iCloud die zerstörten Dateien brav auf alle Geräte.

Ein kleines Sicherheitsnetz gibt es: Gelöschte Dateien liegen in iCloud Drive 30 Tage im Ordner Zuletzt gelöscht, und über iCloud.com lassen sich unter Datenwiederherstellung gelöschte Dateien in dieser Frist zurückholen. Für eine überschriebene oder verschlüsselte Datei hilft das aber nicht, und nach 30 Tagen ist alles endgültig weg. iCloud ist bequem, um Daten zwischen Geräten aktuell zu halten. Es ersetzt keine der drei Kopien aus der Tabelle.

Gleiches gilt für iCloud-Fotos. Lösch ein Foto am iPhone, ist es auch auf dem Mac weg. Sorge deshalb dafür, dass die Mediathek auch auf dem Mac komplett geladen ist (Fotos > Einstellungen > iCloud > Originale auf diesen Mac laden), damit Time Machine sie mitsichert.

Bootfähiger Klon auf Apple Silicon: was noch geht

Früher war ein bootfähiger Klon die Krönung jedes Mac-Backups: Platte anschließen, mit gedrückter Wahltaste starten, weiterarbeiten. Auf Macs mit Apple Silicon funktioniert das nur noch eingeschränkt. Das System liegt dort auf einem kryptografisch signierten, schreibgeschützten Volume, und ein Mac mit Apple Silicon startet von einer externen Platte nur, wenn diese ihm als Startvolume bekannt ist und er selbst intakt genug ist, um den Startvorgang zu prüfen.

Klon-Programme bieten deshalb standardmäßig nur noch Kopien Deiner Daten an. Bootfähige Kopien gibt es als Zusatzfunktion, die ausdrücklich als „nach bestem Bemühen“ gekennzeichnet ist und nach dem nächsten macOS-Update schon nicht mehr starten kann.

Die ehrliche Empfehlung für Apple Silicon lautet darum: Verzichte auf den bootfähigen Klon als Strategie. Fällt Deine interne SSD aus, muss der Mac ohnehin in die Werkstatt, denn sie ist fest verlötet. Mit dem neuen oder reparierten Mac spielst Du Deine Daten per Migrationsassistent aus Time Machine zurück. Das dauert ein paar Stunden, funktioniert aber zuverlässig.

Der wichtigste Schritt: die Wiederherstellung testen

Ein Backup, aus dem Du noch nie etwas zurückgeholt hast, ist eine Hoffnung. Teste zweimal im Jahr, zum Beispiel bei der Zeitumstellung, diese drei Dinge:

1. Eine einzelne Datei aus Time Machine. Öffne im Finder einen Ordner, klick in der Menüleiste auf das Time-Machine-Symbol und wähle Time Machine-Backups durchsuchen. Geh ein paar Tage zurück, wähl eine Datei aus und klick auf Wiederherstellen. Öffnet sie sich, ist das Backup lesbar.
2. Die zweite Platte. Schließ die Wechselplatte an und wiederhole den Test. Damit prüfst Du zugleich, ob Du das Backup-Passwort noch weißt.
3. Die Offsite-Kopie. Hol mit restic eine Datei in einen Testordner zurück (restic restore, siehe den restic-Artikel). Wer einen Cloud-Dienst nutzt, lädt über dessen Weboberfläche eine Datei herunter.

Den Komplettfall, einen ganzen Mac aus Time Machine zurückspielen, testest Du am besten beim nächsten Rechnerwechsel. Der Migrationsassistent fragt beim Einrichten eines neuen Macs ohnehin nach einer Quelle, und Time Machine ist eine davon.

Was das Ganze kostet

Mit rund 200 Euro oder einer Platte und ein paar Euro im Monat bist Du gegen alle vier Katastrophen abgesichert. Das ist weniger als eine einzige professionelle Datenrettung von einer defekten SSD, die bei Apple-Silicon-Macs zudem oft gar nicht mehr möglich ist, weil die Daten an den Chip gebunden verschlüsselt sind.

Wenn Du nur einen Schritt aus diesem Artikel machst, dann diesen: Richte heute Time Machine mit Verschlüsselung ein und hol morgen eine Datei daraus zurück. Die Kopie außer Haus folgt dann am nächsten freien Nachmittag.