Ratgeber · Virtualisierung
Hyper-V sichern: anwendungskonsistent und vollständig
Kurz gesagt: Eine gute Hyper-V-Sicherung beruht auf einem Recovery-Checkpoint, der über VSS im Gast anwendungskonsistent ist, liest nach der ersten Sicherung nur geänderte Bereiche und nimmt neben den Platten auch Konfiguration und vTPM-Zustand mit. Ohne die Zertifikate des Schlüsselschutzes lässt sich eine VM mit vTPM auf einem anderen Host nicht öffnen – daran sollte man vor dem Ernstfall denken.
Checkpoint ist nicht gleich Checkpoint
Hyper-V kennt Standard- und Produktions-Checkpoints für Administratoren und Recovery-Checkpoints für Sicherungsprogramme. Ein Recovery-Checkpoint friert den Stand aller virtuellen Festplatten zu einem Zeitpunkt ein, während die VM weiterläuft. Ist im Gast der Integrationsdienst für die Sicherung aktiv, sorgt Hyper-V über den Volumeschattenkopie-Dienst (VSS) im Gast dafür, dass Anwendungen wie Exchange, SQL Server oder Active Directory ihre Daten vorher sauber auf die Platte schreiben. Das Ergebnis ist anwendungskonsistent.
Ohne Integrationsdienst ist die Sicherung nur absturzkonsistent – so, als wäre die VM in diesem Moment ausgeschaltet worden. Das Sicherungsprogramm sollte das im Protokoll offen sagen.
Nur lesen, was sich geändert hat
Mit Resilient Change Tracking (RCT) merkt sich Hyper-V, welche Bereiche einer virtuellen Festplatte sich seit dem letzten Referenzpunkt geändert haben. Nach der ersten vollständigen Sicherung muss so nur noch ein Bruchteil gelesen werden. Neu gelesen wird ganz, wenn sich die Grundlage geändert hat – etwa nach dem Vergrößern einer Platte, nach einer Migration oder einem Speicherumzug.
Was zu einer vollständigen Sicherung gehört
| Bestandteil | Wozu |
|---|---|
| Alle virtuellen Festplatten (VHDX) | Die Daten, zum selben Zeitpunkt aufgenommen |
| Konfiguration (.vmcx) | Prozessoren, Arbeitsspeicher, Netzwerkkarten, Generation, Firmware |
| Gastzustand (.vmgs) | UEFI-Variablen und der Zustand des virtuellen TPM |
| Laufzeitzustand (.vmrs) | Zustandsdatei des Checkpoints |
| Guardian-Zertifikate (optional) | Damit sich der vTPM-Zustand auf einem neuen Host öffnen lässt |
Der vTPM-Fallstrick
Windows 11 und Windows Server mit BitLocker nutzen oft ein virtuelles TPM. Dessen Zustand ist mit den Zertifikaten des lokalen Schlüsselschutzes des Hosts verschlüsselt („Shielded VM Local Certificates“). Wird die VM auf einem neuen Host wiederhergestellt, dem diese Zertifikate fehlen, startet sie nicht oder verlangt den BitLocker-Wiederherstellungsschlüssel. Deshalb gehören die Zertifikate – mit privatem Schlüssel und nur verschlüsselt – zur Notfallplanung.
Wiederherstellen, ohne den Betrieb zu stören
- Als neue VM mit neuer ID und eigenem Namen, ausgeschaltet – so kann sie nicht mit dem Original kollidieren.
- Netzwerk umstellen: virtuelle Switches zuordnen, statische MAC-Adressen nur übernehmen, wenn das Original sicher aus ist.
- Einzelne Dateien direkt aus der Sicherung holen, ohne die Platte zurückzuspielen, oder einzelne Platten als VHDX zurückholen.
Wie AegisGrid Hyper-V sichert
AegisGrid sichert eine VM auf dem Host als Ganzes: alle virtuellen Festplatten, Konfiguration und Zustandsdateien einschließlich vTPM, auf Basis eines Recovery-Checkpoints, standardmäßig anwendungskonsistent über VSS im Gast. Folgesicherungen lesen dank RCT nur geänderte Bereiche. Auf Wunsch nimmt AegisGrid die Guardian-Zertifikate mit – ausschließlich in verschlüsselte Ziele – und prüft vor einer Wiederherstellung, ob der Zielhost die VM öffnen kann, bevor es etwas anlegt. Wiederhergestellt wird als neue VM oder Platte für Platte. Heute unterstützt AegisGrid einzelne Hyper-V-Hosts; Failover-Cluster mit CSV, Pass-Through-Disks, gemeinsam genutzte VHDX und abgeschirmte VMs noch nicht.
Häufige Fragen zur Hyper-V-Sicherung
Muss im Gast ein Agent installiert sein?
Nein. Für eine anwendungskonsistente Sicherung genügen die Hyper-V-Integrationsdienste im Gast, die bei aktuellen Windows-Versionen bereits enthalten sind. Gesichert wird auf dem Host.
Wird die VM während der Sicherung langsamer?
Die VM läuft weiter. Während der Checkpoint entsteht, bereitet VSS im Gast die Anwendungen kurz vor; gelesen wird danach aus dem Checkpoint, nicht aus der laufenden Platte.
Kann ich einzelne Dateien aus einer VM-Sicherung holen?
Ja, ohne die Platte vorher zurückzuspielen. In der Verwaltungskonsole wählen Sie unter „Dateien wiederherstellen“ ein Volume der VM und holen Dateien und Ordner mit Häkchen, oder Sie öffnen die Volumes eines Laufs schreibgeschützt als Ordner. Windows liest dabei NTFS, ReFS, FAT und exFAT. Alternativ stellen Sie eine einzelne virtuelle Festplatte als VHDX wieder her und binden sie ein.
Ihre Hyper-V-Umgebung sichern
Im Pilotprojekt sichern wir Ihre VMs und stellen sie probeweise wieder her.