Hinweis: Dieser Artikel ist eine Kurzfassung aus mehreren Jahren easyVET-Administration, dem Austausch mit dem easyVET-Supportteam und dem Datenbankhersteller. Er ist eher technisch gehalten. Wenn Sie eine weniger technische Erklärung suchen oder wissen möchten, was Sie Ihrem IT-Dienstleister für die Unterstützung Ihres Praxisalltags mitteilen sollten, lesen Sie bitte diesen Artikel.

Eine easyVET Datensicherung kann jede Nacht ohne Fehlermeldung durchlaufen und trotzdem nicht zurückspielbar sein. Der Grund liegt in der Datenbank: easyVET speichert seine Daten in einer POET-/FastObjects-Objektdatenbank, die von einem Windows-Dienst permanent geöffnet gehalten wird. Wer diese Dateien im laufenden Betrieb kopiert, kann eine Kopie erhalten, die aus mehreren Zeitpunkten zusammengesetzt ist.

Dieser Artikel erklärt, was beim Sichern technisch passiert, was das Hilfsprogramm poetsicherung.exe tut, und woran Sie erkennen, ob Ihre Sicherung tatsächlich trägt.

Sollten Sie in diesem Artikel einen Fehler bemerken oder weitergehende Informationen benötigen, erreichen Sie mich unter contact@cyberdyne-srl.com.

Wie funktioniert die Datensicherung in easyVET?

easyVET ist eine Client-Server-Anwendung. Der Hauptrechner hält die Datenbank, die Arbeitsplätze greifen über das Netzwerk darauf zu. Auch bei einer Einzelplatzinstallation läuft die Serverkomponente als Hintergrunddienst mit. Die Datenbank ist damit auch dann geöffnet, wenn niemand am Bildschirm sitzt.

Die Datenbank selbst ist kein SQL-System, sondern eine Objektdatenbank: POET, in späteren Versionen als FastObjects vermarktet. Der Datenbestand liegt im Wesentlichen in wenigen großen Dateien, typischerweise object.dat für die Daten und object.idx für den Index, im base-Verzeichnis der Installation. Verwaltet werden sie vom POET Object Server, einem eigenen Windows-Dienst.

Entscheidend für die Sicherung ist, wer diese Dateien besitzt. Nicht die Arbeitsplätze schreiben hinein, sondern ausschließlich der Object Server. Er verwaltet Transaktionen, Sperren, Indexpflege und einen eigenen Cache. Ein Teil des logischen Datenbankzustands steht deshalb zeitweise nur im Arbeitsspeicher des Dienstes, nicht in den Dateien.

Ein gewöhnlicher Kopiervorgang weiß davon nichts. Er liest object.dat, braucht dafür einige Sekunden bis Minuten, und liest anschließend object.idx. Ändert die Datenbank in dieser Zeit ihren Zustand, passen Daten und Index in der Kopie nicht mehr zusammen. Windows meldet dabei keinen Fehler. Die Dateien haben die richtige Größe und ein aktuelles Datum. Erst beim Rückspielen zeigt sich, dass der Datenbestand inkonsistent ist.

Wie wahrscheinlich das ist, lässt sich nicht pauschal beantworten. Es ist nicht dokumentiert, was der FastObjects-Server ohne aktive Clients im Hintergrund tut und in welchen Abständen. Liegt die Datenbank über einen längeren Zeitraum wirklich unberührt, ist eine Kopie mit hoher Wahrscheinlichkeit einwandfrei. Führt der Server in diesem Moment dagegen Hintergrundarbeiten aus, etwa Defragmentierung, Indexoptimierung oder verzögerte Schreibvorgänge, entsteht genau der beschriebene Mischzustand. Die Sicherung wird damit zu einer Wette darauf, dass der Dienst zufällig gerade nichts tut.

Damit eine dateibasierte Sicherung verlässlich wird, muss die Datenbank vorher in einen definierten Zustand gebracht werden. Dafür gibt es zwei Wege:

• Kalt sichern: Dienste manuell oder per Skript stoppen, kopieren, Dienste starten.
• Externen Backup-Modus aktivieren: Ein fremdes Werkzeug kopiert die Datenbankdateien, während der Dienst weiterläuft. Diesen Modus schaltet poetsicherung.exe. Er ist vom ebenfalls vorhandenen inkrementellen Backup-Modus von POET zu unterscheiden.

Was macht poetsicherung.exe?

poetsicherung.exe ist ein Hilfsprogramm von VetZ und liegt im Unterordner Datensicherung der easyVET-Freigabe. an aktiviert den externen Backup-Modus, aus beendet ihn. Ein Skript im Aufgabenplaner oder eine Backup-Software mit Pre- und Post-Kommandos verwendet diesen Ablauf:

poetsicherung.exe an
<Kopiervorgang / Backup-Software>
poetsicherung.exe aus

Das Programm ruft dabei interne Datenbankfunktionen auf. Der Datenbankdienst wird nicht gestoppt, easyVET bleibt technisch erreichbar. Ob die Umschaltung erfolgreich war, protokolliert das Werkzeug in poetsicherung.log. Diese Datei ist der einzige belastbare Nachweis, dass der Modus tatsächlich aktiv war, und sollte in jeder automatisierten Sicherung ausgewertet werden.

Denselben Effekt erreicht man auch ohne das VetZ-Werkzeug, nämlich über ptadmin, das Administrationswerkzeug des Datenbankherstellers. Das ist Thema eines eigenen Artikels und für den normalen Betrieb nicht nötig; relevant ist hier nur, dass poetsicherung.exe keine Magie enthält, sondern eine dokumentierte Datenbankfunktion anspricht.

Was der externe Backup-Modus intern bewirkt

Während des externen Backup-Modus werden Änderungen in Recovery-Dateien geschrieben, statt unmittelbar in die Hauptdatenbankdateien übernommen zu werden. Erst beim Deaktivieren des Backup-Modus werden diese Änderungen wieder in die Hauptdatenbank eingearbeitet. Endet der FastObjects Server in diesem Zustand abnormal, stellt FastObjects die Änderungen seit Beginn des Backup-Modus beim nächsten Öffnen der Datenbank aus den Recovery-Dateien automatisch wieder her. Die FastObjects-Dokumentation weist darauf hin, dass der Speicherverbrauch während eines externen Backups deutlich steigen kann.

Wichtig: Den Backup-Modus zuverlässig beenden. Weil easyVET weiter funktioniert, kann ein versehentlich aktiv gebliebener Modus unbemerkt bleiben. Wachsende Caches und Recovery-Dateien können den Server zunehmend belasten und eine Wiederherstellung nach einem Ausfall erschweren. Halten Sie den Modus deshalb so kurz wie möglich aktiv. Ein Skript muss poetsicherung.exe aus auch nach einem Kopierfehler ausführen und einen nicht abgeschlossenen Lauf melden.

Der Menüpunkt und poetsicherung.exe haben dieselbe Wirkung

Der Menüpunkt in easyVET heißt ADMINISTRATION > Externes Backup aktivieren. Die vorhandene easyVET-Dokumentation beschreibt, dass dabei Dienste gestoppt werden. VetZ hat jedoch auf Nachfrage bestätigt, dass der Menüpunkt denselben Backup-Modus wie poetsicherung.exe an aktiviert und für manuelle Sicherungen vorgesehen ist. In einer zentralen Installation mit mehreren easyVET-Clients werden die Dienste dabei nicht gestoppt.

Für eine kalte Sicherung müssen die Dienste daher separat gestoppt werden.

Muss easyVET für das Backup geschlossen werden?

Nein, sofern der Backup-Modus vorher erfolgreich aktiviert wurde. VetZ beschreibt für die manuelle easyVET Datensicherung folgendes Vorgehen:

1. Mit Strg + F4 alle Tabellen schließen, bis der Menüpunkt ADMINISTRATION erscheint. Voraussetzung ist eine Anmeldung mit einem Benutzer der Administratorengruppe.
2. ADMINISTRATION > Externes Backup aktivieren.
3. Den kompletten easyVET-Ordner auf ein sicheres Medium kopieren.
4. ADMINISTRATION > Externes Backup deaktivieren.

Bei Mehrplatzanlagen läuft die Sicherung auf dem Hauptrechner. Geöffnete Arbeitsplätze sind laut VetZ bei aktiviertem Backup-Modus unproblematisch, auch wenn die Clients längere Zeit inaktiv waren. Für automatisierte Sicherungen verwenden Sie den oben beschriebenen Ablauf mit poetsicherung.exe.

Was ist beim Backup im laufenden Betrieb zusätzlich zu beachten?

Für FastObjects 14 gilt eine wichtige zusätzliche Bedingung: Vor dem Start des externen Backups muss der Write Cache explizit geflusht werden. Sonst können bereits festgeschriebene, aber noch nicht in die Datenbankdateien geschriebene Transaktionen nur in den Recovery-Dateien liegen und in der Kopie fehlen. ptadmin führt diesen Flush nicht automatisch aus. Ob poetsicherung.exe ihn ausführt, ist nicht dokumentiert; lassen Sie dies für Ihre eingesetzte easyVET-Version verbindlich von VetZ bestätigen.

Ein Snapshot ersetzt die Umschaltung nicht. FastObjects verfügt über keinen integrierten VSS Writer. Wird während eines externen Backups ein VSS- oder VM-Snapshot erstellt, können die darin enthaltenen Recovery-Dateien inkonsistent sein. Ein von Actian beschriebener Spezialablauf lässt Recovery-Dateien aus dem Backup weg und behandelt die Rücksicherung mit Datenbankwerkzeugen; das ist nur für eine nachweislich konsistente Kopie sicher und ohne einen von VetZ freigegebenen Restore-Test keine allgemeine easyVET-Empfehlung.

Wiederherstellbarkeit testen

Ein fehlerfreier Kopiervorgang ist kein Beweis, dass sich die Sicherung wiederherstellen lässt. VetZ bietet kein separates Werkzeug zur Integritätsprüfung an; die tatsächliche Prüfung ist nur eine Rücksicherung.

Nutzen Sie dafür eine bestehende easyVET-Lizenz auf einer möglichst vom Produktivnetz getrennten und internetlosen Testumgebung. Der Wiederherstellungsablauf muss insbesondere den Umgang mit den Recovery-Dateien berücksichtigen. Lassen Sie ihn für Ihre Version von VetZ freigeben und führen Sie ihn regelmäßig mit einer aktuellen Sicherung durch.

Welche Ordner müssen gesichert werden?

VetZ’ Vorgabe ist eindeutig: das komplette easyVET-Verzeichnis mit allen Unterordnern. Das ist auch die richtige Grundregel, denn die Anwendung verteilt Zustand über mehrere Verzeichnisse.

Achten Sie beim Prüfen Ihrer Sicherung besonders auf:

• das base-Verzeichnis mit object.dat, object.idx und den weiteren Datenbankdateien, also den eigentlichen Datenbestand
• die POET-/FastObjects-Konfiguration, etwa poet.cfg, ohne die sich die Datenbank auf einem Ersatzsystem nicht ohne Weiteres wieder anbinden lässt
• den Ordner Datensicherung mit poetsicherung.exe und dem zugehörigen Protokoll
• die Bilddaten aus easyIMAGE beziehungsweise die DICOM-Ablage, die je nach Installation auf einem anderen Laufwerk oder einer anderen Freigabe liegen können und dann von einer Sicherung des easyVET-Ordners nicht erfasst werden
• das zuletzt heruntergeladene Update, damit sich easyVET im Notfall in derselben Version neu installieren lässt

Verlassen Sie sich bei den Pfaden nicht auf allgemeine Angaben, auch nicht auf die in diesem Artikel. Verzeichnisstruktur und Ablageort der Bilddaten unterscheiden sich zwischen Installationen. Prüfen Sie an Ihrem System, welche Pfade die Anwendung tatsächlich verwendet, und vergleichen Sie diese Liste mit dem, was Ihre Sicherung erfasst.

Wie oft muss die Datensicherung laufen?

Die Herstellervorgabe lautet: täglich, vor dem Beenden von Windows, bei Mehrplatzanlagen auf dem Hauptrechner. Daran gibt es nichts zu relativieren. Ein Tag Datenverlust bedeutet einen Tag Behandlungsdokumentation, Abrechnung und Laborbefunde.

Über die Häufigkeit hinaus entscheidet aber die Aufbewahrungstiefe, ob eine Sicherung im Ernstfall hilft. Das von VetZ vorgeschlagene Schema mit einem beschrifteten Medium je Werktag ergibt fünf Tage Historie. Alles, was länger zurückliegt, ist überschrieben. Für einen Hardwaredefekt reicht das. Für einen Datenfehler, eine Fehleingabe oder eine Verschlüsselung durch Schadsoftware, die erst nach zwei Wochen auffällt, reicht es nicht, und es steht in einem Spannungsverhältnis zu Aufbewahrungspflichten, die in Jahren rechnen. Auf die KassenSichV weist VetZ in derselben Anleitung selbst hin.

Ein tragfähiges Konzept für ein easyVET Backup sieht in der Regel so aus:

• automatisiert und mit aktiver Rückmeldung über Erfolg oder Fehler, nicht abhängig von der Erinnerung einer Person am Ende eines langen Tages
• versioniert über Monate statt über fünf Werktage
• inkrementell nach der ersten Vollsicherung, sonst wird die Laufzeit mit wachsendem Bilddatenbestand unpraktikabel
• verschlüsselt, auf dem Medium und auf dem Transportweg, denn ein beschriftetes Medium mit dem vollständigen Patienten- und Kundenbestand fällt unter Art. 32 DSGVO
• mindestens eine Kopie außer Haus, räumlich getrennt vom Hauptrechner
• datenbankgerecht, also mit sauberer Umschaltung oder gestopptem Dienst vor dem Kopieren
• regelmäßig per Rücksicherung in einer isolierten Testumgebung geprüft

Ein Synchronisationsdienst in die Cloud erfüllt das nicht. Synchronisation repliziert Löschungen und Verschlüsselungen mit; für Patientendaten kommen außerdem Auftragsverarbeitungsvertrag und EU-Hosting hinzu.

Als Merkregel bleibt die 3-2-1-Regel brauchbar: drei Kopien, zwei verschiedene Medien, eine außer Haus.

Was tun wenn die Datensicherung fehlschlägt?

Der gemeldete Fehlschlag ist der einfachere Fall. Gehen Sie der Reihe nach vor:

1. poetsicherung.log und Rückgabecode auswerten. Das Log ist ein wichtiger betrieblicher Nachweis, seine vollständige Erfolgs- und Fehlersemantik ist aber nicht dokumentiert. Lassen Sie Logformat und Rückgabecodes an einem Testlauf mit VetZ verifizieren. Ist die Aktivierung nicht nachweisbar, darf der Lauf nicht als geprüft gelten.
2. Modus zurücksetzen. Prüfen Sie, ob poetsicherung.exe aus gelaufen ist. Falls nicht, holen Sie es nach.
3. Datenbankdienst prüfen. Läuft der POET Object Server und ist easyVET für die Arbeitsplätze erreichbar?
4. Zugriffsfehler beim Kopieren prüfen. Meldet das Kopierprogramm gesperrte Dateien, hat die Umschaltung nicht gegriffen oder ein anderer Prozess hält die Dateien offen.
5. Platz und Ziel prüfen. Volles Medium, nicht verbundene Freigabe, abgemeldeter Dienstbenutzer ohne Rechte auf dem Ziel.

Eine Datensicherung holt verlorene Daten zurück. Wie RAID 1 und eine USV zusätzlich dabei helfen, Datenverlust und Betriebsunterbrechungen durch Festplattenausfälle oder Stromprobleme zu verhindern, lesen Sie im Artikel RAID 1 und USV: Datensicherheit für Tierarztpraxen.

Informationsquellen

• Actian NoSQL FastObjects 14.0 Administration Guide

Ich administriere easyVET seit 2020. Sollten Sie in diesem Artikel einen Fehler bemerken oder weitergehende Informationen benötigen, erreichen Sie mich unter contact@cyberdyne-srl.com.