De 3-2-1 backup-strategie klinkt simpel, maar de meeste mensen stoppen bij het acroniem. Dit artikel laat zien hoe je de strategie concreet uitrolt met BorgBackup, een NAS en offsite opslag — inclusief automatisering en de stap naar echte onveranderbaarheid.

Wat 3-2-1 écht betekent

Drie kopieën van je data. Twee verschillende opslagmedia. Eén kopie offsite. Dat zijn de regels — maar de interpretatie bepaalt of je backupstrategie standhoudt bij een échte calamiteit. Een externe schijf die naast je computer staat, telt niet als "offsite". Een NAS in dezelfde kamer als je laptop telt niet als "ander medium" als ze allebei op het zelfde stroomnet hangen dat doorslaat bij een blikseminslag.

Concreet ziet een correcte 3-2-1-implementatie er zo uit: (1) de live data op je laptop of server, (2) een lokale NAS in hetzelfde gebouw maar op een andere stroomgroep, en (3) een remote opslагdienst in een ander datacenter. Dat zijn drie kopieën, op twee locaties, op twee mediasoortem. Pas dan voldoe je aan de letter én de geest van de regel.

De sector is intussen opgeschoven naar 3-2-1-1-0: de extra "1" staat voor één immutable of air-gapped kopie, de "0" voor nul fouten bij hersteltest. Ransomware richt zich in 96% van de aanvallen tegenwoordig ook op backup-repositories, dus een schrijfbare backup is geen backup meer — het is een tweede aanvalsvlak. Onveranderbaarheid is geen luxe maar basishygiëne.

Borg als werkpaard

BorgBackup is de de-facto standaard voor dedupliserende, gecomprimeerde en versleutelde backups op Linux. De stabiele 1.4-tak is productieklaar; Borg 2.0 is eind 2025 nog in bètatesting en brengt betere cryptografie (AES-OCB, ChaCha20-Poly1305), argon2 als standaard key-derivation en een volledig herziene CLI — zet die nog niet op productiesystemen. Tenzij je met borg transfer bewust een migratie plant, blijf je voor nu bij 1.4.x.

Een eerste repository aanmaken en je thuismap backuppen gaat zo:

borg init --encryption=repokey-blake2 /mnt/nas/borg-repo
borg create --stats --compression lz4 \
  /mnt/nas/borg-repo::home-{now:%Y-%m-%dT%H:%M} \
  /home/jana \
  --exclude /home/jana/.cache \
  --exclude /home/jana/Downloads

De repokey-blake2-versleuteling slaat de encryptiesleutel versleuteld op in de repository zelf én lokaal in ~/.config/borg/keys/. Exporteer die sleutel onmiddellijk naar een tweede locatie — liefst afgedrukt of op een USB-stick in een brandkluis. Geen sleutel, geen herstel, ook niet voor jezelf.

Pruning — het verwijderen van oude archieven — doe je met borg prune. Een redelijk retentiebeleid voor thuisgebruik:

borg prune --keep-daily 7 --keep-weekly 4 --keep-monthly 6 \
  /mnt/nas/borg-repo

Voer daarna altijd borg compact uit om de vrijgemaakte ruimte ook echt terug te claimen uit de repository.

Borgmatic: automatisering zonder gedoe

Borg handmatig draaien werkt, maar borgmatic neemt de repetitie weg. Installeer het via pip of je pakketbeheerder, genereer een startconfiguratie met borgmatic config generate en bewerk /etc/borgmatic/config.yaml:

source_directories:
  - /home/jana
  - /etc

repositories:
  - path: /mnt/nas/borg-repo
    label: nas-lokaal
  - path: ssh://u12345@u12345.your-storagebox.de:23/./borg-offsite
    label: hetzner-offsite

retention:
  keep_daily: 7
  keep_weekly: 4
  keep_monthly: 6

checks:
  - name: repository
  - name: archives
    frequency: 2 weeks

Een enkele borgmatic-aanroep voert dan create, prune, compact én de configureerbare integriteitschecks uit. Plan dit via een systemd-timer of crontab:

# crontab -e
0 3 * * * /usr/local/bin/borgmatic --verbosity -1 \
  --log-file /var/log/borgmatic.log 2>&1

"Een backup die je niet test, is geen backup — het is een hoop bestanden met een optimistisch label erop."

De NAS als tweede lokaal exemplaar

De NAS vervult de "tweede medium"-rol. Qua hardware zijn een Synology DS223 of een tweedehands QNAP TS-233 met twee SATA-disks al voldoende voor een thuisopstelling. Configureer RAID-1 niet als backup maar als bescherming tegen schijfuitval — RAID vervangt backups niet, het verkleint enkel de kans op dataverlies door defecte hardware.

Borg draait uitstekend rechtstreeks op een gedeelde map via NFS of SMB, maar voor betere beveiliging monteer je de NAS via SSH met een dedicated keypair en beperk je de SSH-toegang tot alleen Borg-commando's in ~/.ssh/authorized_keys op de NAS:

command="borg serve --restrict-to-path /volume1/borg-backups --append-only",
restrict ssh-ed25519 AAAA... jana@laptop

Die --append-only-vlag is de sleutel tot lokale onveranderbaarheid: je laptop kan nieuwe archieven aanmaken maar geen bestaande verwijderen of overschrijven. Ransomware die je laptop versleutelt, kan dan je NAS-repository niet retroactief vernietigen. Let op: in Borg 2.0 is server-side append-only tijdelijk verwijderd uit de bèta; in 1.4.x werkt het stabiel.

De offsite: wat werkt en wat kost

Voor de derde kopie heb je twee serieuze opties op de Belgisch-Nederlandse markt.

Hetzner Storage Box is de goedkoopste betrouwbare keuze. De BX11 (1 TB) kost €3,49/mnd exclusief btw, de BX21 (2 TB) €5,08/mnd. Toegang gaat via SFTP, Samba of SSH — en Borg werkt native over SSH. De Storage Box ondersteunt snapshots aan Hetzner-zijde (tot 10 automatische snapshots), wat een extra laag immutabiliteit geeft bovenop de Borg-repository. Nadeel: de servers staan in Duitsland; voor GDPR-gevoelige data is dat doorgaans geen bezwaar maar het is het vermelden waard.

rsync.net biedt een speciaal Borg-tarief: 100 GB voor $18/jaar (circa €16,50). Ze leveren geen snapshots of extra functionaliteit — dat is bewust, want Borg regelt deduplicatie, versleuteling en retentie zelf. Het grote voordeel is de expliciete Borg-ondersteuning en de geografische spreiding (datacenters in Zürich, San Diego, Dallas en Hong Kong). Het nadeel is de prijs per GB zodra je boven 100 GB uitkomt.

Borgbase (€2/mnd voor 10 GB, oplopend) is een derde optie gericht op Borg- en Restic-gebruikers, met een webinterface voor repositorybeheer en ingebouwde append-only mode per repository via de GUI.

Voorbeeldsetup — thuisgebruiker, ~200 GB data
  • Laptop (live data): 200 GB, LUKS-versleuteld
  • Synology DS223 + 2× 2 TB WD Red (RAID-1): lokale Borg-repo via SSH append-only
  • Hetzner Storage Box BX21 (2 TB, €5,08/mnd): offsite Borg-repo via borgmatic
  • Borgmatic cron: dagelijks 03:00, retentie 7d/4w/6m, checks elke 2 weken
  • Encryptiesleutel: geëxporteerd naar USB in brandkluis + afgedrukt
  • Maandelijkse hersteltest: één willekeurig bestand terughalen, loggen
Totaalkosten offsite: ~€61/jaar — minder dan een nieuwe externe schijf

Monitoring: weten dat het werkt

Een backup die stilzwijgend faalt, is erger dan geen backup — je denkt beschermd te zijn maar bent het niet. Borgmatic stuurt bij fouten een notificatie via e-mail als je een mail_command configureert, of integreert met Healthchecks.io (gratis tier voor particulieren):

healthchecks:
  ping_url: https://hc-ping.com/jouw-uuid-hier

Healthchecks.io verstuurt een alarm als de ping een dag uitblijft — eenvoudiger en betrouwbaarder dan zelf mailservices configureren. Zet ook borgmatic check apart in je cron voor een wekelijkse integriteitsscan zonder het dagelijkse backup-venster te verlengen.

Hersteltest is niet optioneel. Plan maandelijks vijf minuten in om een willekeurig bestand terug te zetten:

borg extract --dry-run /mnt/nas/borg-repo::home-2026-03-01T03:00 \
  home/jana/Documenten/belastingen-2025.pdf

Verwijder --dry-run om het bestand echt uit het archief te halen. Als dat lukt, werkt je backup. Als het faalt, wil je dat nu ontdekken — niet na een crash.

Veelgestelde vragen

Moet ik Borg 2.0 al gebruiken? Nee. Borg 2.0 is eind 2025 nog bèta en breekt volledig met de 1.x-repository-indeling. Wacht op de stable release voor productiegebruik. Houd de GitHub-releasepagina in de gaten.

Kan ik borgmatic ook op een NAS draaien? Op Synology-NAS kun je borgmatic installeren via Python pip in een venv, of via de Container Manager (Docker). Zo draait de backup-logica op de NAS zelf en hoeft je laptop niet aan te staan.

Hoe zit het met Windows? BorgBackup heeft geen native Windows-client. Gebruik WSL2 met borgmatic, of kies voor Kopia of Duplicati als je puur Windows wil blijven. Voor een hybride setup met Linux-servers en Windows-werkstations is Kopia (met Borg-achtige deduplicatie) een serieus alternatief.

Is een externe USB-schijf offsite genoeg? Alleen als je die schijf fysiek mee naar buiten neemt en niet permanent aan je computer laat hangen. Een schijf die permanent aangesloten is, is geen aparte kopie — ransomware of een stroomstoot treft beide tegelijk. Wissel minstens wekelijks en bewaar de offline schijf op een andere locatie.

Wat als de Hetzner Storage Box vol raakt? Dankzij Borg-deduplicatie groeit een repository veel trager dan de brondata. 200 GB aan thuisbestanden past gemakkelijk in 60-80 GB na deduplicatie en compressie, afhankelijk van bestandstypen. Controleer de werkelijke repositorygrootte met borg info en schakel pas op naar een groter plan als je boven 80% zit.