Sicherung und Wiederherstellung¶
Was wo gesichert werden muss, hängt davon ab, welche Teile von Krywerk Sie nutzen. Krywerk selbst speichert keine Dateien – die verschlüsselten Ordner liegen dort, wo Sie sie angelegt haben, und werden dort gesichert (OneDrive, NAS, Backup der Organisation).
Was Menschen aufbewahren müssen¶
Krywerk kann keines dieser Geheimnisse wiederherstellen. Ohne sie sind die Daten verloren.
| Geheimnis | Wer | Wofür | Aufbewahren |
|---|---|---|---|
| Tresor-Passwort | jede Person mit persönlichem Tresor | persönlichen Tresor öffnen | Passwortmanager |
| Freischaltcode | jede Person mit Team-Ordnern | neues Gerät freischalten | Passwortmanager oder Ausdruck |
| Wiederherstellungsschlüssel (44 Wörter) | Verantwortliche eines Team-Ordners | Team-Ordner ohne Server öffnen | Ausdruck im Tresor/Schließfach, getrennt vom Rechner |
Boxcryptor-Schlüsseldatei (.bckey) und -Passwort |
nur bei Boxcryptor (alt) | alte Ordner öffnen | wie bisher, bis die Umstellung abgeschlossen ist |
Desktop-App¶
Die App speichert nur Einstellungen (Pfade, Laufwerksnamen, Adresse des Schlüsselservers) – keine Schlüssel im Klartext. Eine Sicherung ist nicht nötig; nach einer Neuinstallation fügen Sie die Laufwerke wieder hinzu („+ Hinzufügen › Persönlichen Tresor oder vorhandenen Ordner …“) und schalten das Gerät für Team-Ordner mit dem Freischaltcode frei.
| System | Einstellungen |
|---|---|
| Windows | %APPDATA%\Krywerk\config.json |
| macOS | ~/Library/Application Support/Krywerk/config.json |
| Linux | ~/.config/Krywerk/config.json |
Ist config.json beschädigt, legt Krywerk eine Kopie config.json.defekt-<Zeit> an und startet mit
Standardeinstellungen; die App zeigt dazu einen Hinweis.
Krywerk Server¶
Die Datenbank des Servers enthält alle Freigaben und die verschlüsselten Schlüssel der Team-Ordner. Ohne sie lassen sich Team-Ordner nur noch mit dem Wiederherstellungsschlüssel öffnen.
Sichern¶
Was sichern: die Datenbank des Servers (enthält alles) – mit eigenem Keycloak zusätzlich dessen Datenbank
(docker compose … exec keycloak-db pg_dump -U keycloak keycloak > keycloak.sql) – sowie krywerk.env/.env.
Die Team-Ordner selbst sichert der Cloud-Speicher.
# täglich 02:15, 30 Tage aufbewahren (crontab des Betriebsnutzers)
15 2 * * * /opt/krywerk/crates/kw-server/deploy/backup.sh /var/backups/krywerk 30 >>/var/log/krywerk-backup.log 2>&1
backup.sh nutzt docker compose im Ordner deploy/; mit Keycloak-Ergänzung vorher
COMPOSE_FILE=compose.yaml:compose.keycloak.yaml setzen. Sicherungen regelmäßig außer Haus kopieren und
mindestens vierteljährlich eine Wiederherstellung üben (krywerk-server verify auf der Kopie genügt nicht als
Übung – einmal in eine Testinstanz zurückspielen und einen Team-Ordner öffnen).
Wiederherstellen¶
./restore.sh /var/backups/krywerk/krywerk-server-<Zeit>.sqlite3
stoppt den Server, prüft die Sicherung, spielt sie zurück (bisherige Datenbank bleibt als
krywerk-server.sqlite3.vor-restore-<Zeit> im Volume) und startet neu. Folgen: Was nach der Sicherung
entstand, fehlt: neue Team-Ordner sind nicht mehr bekannt (Öffnen → „Kein Zugriff“), neu freigeschaltete Geräte
müssen erneut freigeschaltet werden, neue Freigaben erneut gewährt werden. Team-Ordner, deren Schlüssel nur auf dem
Server lagen, sind ohne Sicherung verloren – außer es gibt einen Wiederherstellungsschlüssel (F9). Deshalb:
regelmäßig sichern.
Prüfen, ob eine Sicherung taugt¶
docker compose exec server krywerk-server verify /data/krywerk-server.sqlite3 # laufende Datenbank
krywerk-server verify /var/backups/krywerk/krywerk-server-<Zeit>.sqlite3 # Sicherung (ohne Konfiguration)
verify prüft Integrität, Schema-Version und zeigt die Anzahl von Personen, Geräten und Team-Ordnern.
Team-Ordner ohne Server öffnen¶
Mit dem Wiederherstellungsschlüssel öffnet krywerk-mount einen Team-Ordner auch dann, wenn der Server dauerhaft verloren
ist – der Schlüssel wird verdeckt abgefragt:
krywerk-mount <Ordner des Team-Ordners> --recovery-key
Wie Sie danach wieder einen Team-Ordner auf einem neuen Server bekommen, beschreibt Notfallzugriff.