Eine easyVET Datensicherung kann jede Nacht ohne Fehlermeldung durchlaufen und trotzdem nicht zurückspielbar sein. Der Grund liegt in der Datenbank: easyVET speichert seine Daten in einer POET-/FastObjects-Objektdatenbank, die von einem Windows-Dienst permanent geöffnet gehalten wird. Wer diese Dateien im laufenden Betrieb kopiert, kann eine Kopie erhalten, die aus mehreren Zeitpunkten zusammengesetzt ist.

Dieser Artikel erklärt, was beim Sichern technisch passiert, was das Hilfsprogramm poetsicherung.exe tut, und woran Sie erkennen, ob Ihre Sicherung tatsächlich trägt.

Wie funktioniert die Datensicherung in easyVET?

easyVET ist eine Client-Server-Anwendung. Der Hauptrechner hält die Datenbank, die Arbeitsplätze greifen über das Netzwerk darauf zu. Auch bei einer Einzelplatzinstallation läuft die Serverkomponente als Hintergrunddienst mit. Die Datenbank ist damit auch dann geöffnet, wenn niemand am Bildschirm sitzt.

Die Datenbank selbst ist kein SQL-System, sondern eine Objektdatenbank: POET, in späteren Versionen als FastObjects vermarktet. Der Datenbestand liegt im Wesentlichen in wenigen großen Dateien, typischerweise object.dat für die Daten und object.idx für den Index, im base-Verzeichnis der Installation. Verwaltet werden sie vom POET Object Server, einem eigenen Windows-Dienst.

Entscheidend für die Sicherung ist, wer diese Dateien besitzt. Nicht die Arbeitsplätze schreiben hinein, sondern ausschließlich der Object Server. Er verwaltet Transaktionen, Sperren, Indexpflege und einen eigenen Cache. Ein Teil des logischen Datenbankzustands steht deshalb zeitweise nur im Arbeitsspeicher des Dienstes, nicht in den Dateien.

Ein gewöhnlicher Kopiervorgang weiß davon nichts. Er liest object.dat, braucht dafür einige Sekunden bis Minuten, und liest anschließend object.idx. Ändert die Datenbank in dieser Zeit ihren Zustand, passen Daten und Index in der Kopie nicht mehr zusammen. Windows meldet dabei keinen Fehler. Die Dateien haben die richtige Größe und ein aktuelles Datum. Erst beim Rückspielen zeigt sich, dass der Datenbestand inkonsistent ist.

Wie wahrscheinlich das ist, lässt sich nicht pauschal beantworten. Es ist nicht dokumentiert, was der FastObjects-Server ohne aktive Clients im Hintergrund tut und in welchen Abständen. Liegt die Datenbank über einen längeren Zeitraum wirklich unberührt, ist eine Kopie mit hoher Wahrscheinlichkeit einwandfrei. Führt der Server in diesem Moment dagegen Hintergrundarbeiten aus, etwa Defragmentierung, Indexoptimierung oder verzögerte Schreibvorgänge, entsteht genau der beschriebene Mischzustand. Die Sicherung wird damit zu einer Wette darauf, dass der Dienst zufällig gerade nichts tut.

Damit eine dateibasierte Sicherung verlässlich wird, muss die Datenbank vorher in einen definierten Zustand gebracht werden. Dafür gibt es zwei Wege:

• Kalt sichern: Dienste stoppen, kopieren, Dienste starten. Das ist der Weg, den VetZ in der offiziellen Anleitung beschreibt.
• Datenbankmodus umschalten: POET kennt einen externen Backup-Modus und einen inkrementellen Backup-Modus. Im externen Backup-Modus ist vorgesehen, dass ein fremdes Werkzeug die Datenbankdateien kopiert, während der Dienst weiterläuft. Genau diesen Modus schaltet poetsicherung.exe.

Was macht poetsicherung.exe?

poetsicherung.exe ist ein Hilfsprogramm von VetZ, kein Standardwerkzeug des Datenbankherstellers. Es liegt im Unterordner Datensicherung der easyVET-Freigabe und kennt zwei Aufrufe:

poetsicherung.exe an
poetsicherung.exe aus

an versetzt die Datenbank in den externen Backup-Modus, aus beendet ihn wieder. Dazwischen läuft der eigentliche Kopiervorgang. Der Ablauf in einem Sicherungsskript sieht damit so aus:

poetsicherung.exe an
<Kopiervorgang / Backup-Software>
poetsicherung.exe aus

Das Programm ruft dabei interne Datenbankfunktionen auf. Der Datenbankdienst wird nicht gestoppt, easyVET bleibt technisch erreichbar. Ob die Umschaltung erfolgreich war, protokolliert das Werkzeug in poetsicherung.log. Diese Datei ist der einzige belastbare Nachweis, dass der Modus tatsächlich aktiv war, und sollte in jeder automatisierten Sicherung ausgewertet werden.

Denselben Effekt erreicht man auch ohne das VetZ-Werkzeug, nämlich über ptadmin, das Administrationswerkzeug des Datenbankherstellers. Das ist Thema eines eigenen Artikels und für den normalen Betrieb nicht nötig; relevant ist hier nur, dass poetsicherung.exe keine Magie enthält, sondern eine dokumentierte Datenbankfunktion anspricht.

Was der externe Backup-Modus intern bewirkt, ist nicht dokumentiert

Öffentlich verfügbare Unterlagen beschreiben nicht, was der externe Backup-Modus im Detail an der Datenbank verändert. Denkbar sind ein Anhalten von Schreibvorgängen, ein Umlenken in ein separates Protokoll, ein Leeren des Caches oder eine Kombination daraus. Ich kann das an dieser Stelle nicht seriös auflösen und behaupte es deshalb auch nicht.

Praktische Konsequenz: Der Modus gehört so kurz aktiv wie möglich. Ein Sicherungslauf schaltet ihn ein, kopiert, schaltet ihn aus. Eine Datenbank, die tagelang im externen Backup-Modus steht, weil ein Skript nach einem Fehler nie aus ausgeführt hat, ist ein Zustand, dessen Auswirkungen niemand vorhersagen kann. Prüfen Sie deshalb nach jedem fehlgeschlagenen Lauf, ob der Modus wieder deaktiviert wurde.

Achtung: ähnliche Namen, unterschiedliche Wirkung

Der Menüpunkt in easyVET heißt ADMINISTRATION > Externes Backup aktivieren und stoppt laut Herstellerdokumentation die laufenden Dienste. Der externe Backup-Modus der POET-Datenbank, den poetsicherung.exe an und ptadmin setzen, stoppt gerade nichts, sondern hält die Datenbank für einen laufenden Kopiervorgang bereit.

Fast gleicher Name, gegensätzliche Wirkung auf den Betrieb. Wer die beiden gleichsetzt, geht entweder von einem gestoppten Dienst aus, wo keiner gestoppt wurde, oder umgekehrt. Behandeln Sie die Begriffe getrennt und prüfen Sie im Zweifel am konkreten System, welcher Dienst nach dem Aufruf noch läuft.

Muss easyVET für das Backup geschlossen werden?

Auf dem offiziellen Weg: ja. VetZ beschreibt in der Wissensdatenbank folgendes Vorgehen für die manuelle easyVET Datensicherung:

1. Mit Strg + F4 alle Tabellen schließen, bis der Menüpunkt ADMINISTRATION erscheint. Voraussetzung ist eine Anmeldung mit einem Benutzer der Administratorengruppe.
2. ADMINISTRATION > Externes Backup aktivieren. Die laufenden Dienste werden gestoppt.
3. Den kompletten easyVET-Ordner auf ein sicheres Medium kopieren.
4. ADMINISTRATION > Externes Backup deaktivieren.

Dieses Verfahren ist technisch korrekt und liefert das klarste Konsistenzversprechen. Wenn die Dienste stehen, kann niemand mehr in die Datenbankdateien schreiben, und die Kopie bildet exakt einen Zeitpunkt ab. Bei Mehrplatzanlagen läuft es auf dem Hauptrechner, und alle Arbeitsplätze müssen währenddessen abgemeldet sein.

Der Preis ist der Betriebsstillstand. Deshalb sieht die Anleitung die Sicherung abends vor dem Herunterfahren vor. In dieser Form ist sie ein manueller Vorgang, denn ein Klick im Menü lässt sich nicht automatisieren. Das Stoppen und Starten der Dienste selbst ist dagegen skriptfähig, sodass sich auch eine kalte Sicherung ohne Menüpunkt automatisieren lässt.

Kann easyVET im laufenden Betrieb gesichert werden?

Ja, und genau dafür existiert poetsicherung.exe. Der externe Backup-Modus ist die vom Datenbanksystem vorgesehene Antwort auf die Frage, wie ein fremdes Werkzeug die Dateien kopieren darf, ohne dass der Dienst beendet wird. Das ist die Grundlage für jede automatisierte Sicherung, sei es über ein Skript im Aufgabenplaner oder über eine Backup-Software mit Pre- und Post-Kommandos.

Der Aufbau ist immer derselbe:

• Vor dem Kopieren: poetsicherung.exe an
• Kopieren: Voll- oder inkrementelle Sicherung des easyVET-Verzeichnisses
• Nach dem Kopieren: poetsicherung.exe aus
• Danach: poetsicherung.log auswerten und den Lauf nur dann als erfolgreich melden, wenn die Umschaltung protokolliert wurde

Drei Punkte, die dabei regelmäßig unterschätzt werden:

Ein Snapshot ersetzt die Umschaltung nicht. VSS- oder VM-Snapshots erzeugen einen dateisystemkonsistenten Stand, keinen anwendungskonsistenten. Solange die Datenbank nicht explizit in einen Backup-Modus versetzt wurde, gilt für den Snapshot dasselbe Risiko wie für eine gewöhnliche Kopie.

Keine angemeldeten Benutzer heißt nicht, dass nichts geschrieben wird. Der Object Server kann auch ohne Client-Verbindung Cache leeren, Indizes aktualisieren oder interne Aufräumarbeiten ausführen. Nachts ist deshalb sicherer als mittags, aber nicht gleichbedeutend mit einem angehaltenen Dienst.

Der Post-Schritt braucht eine Fehlerbehandlung. Bricht der Kopiervorgang ab, muss poetsicherung.exe aus trotzdem laufen. Ein Skript, das nach einem Fehler einfach endet, hinterlässt die Datenbank im Backup-Modus.

Nach einer Rücksicherung poetsicherung.exe aus ausführen

Ein Punkt, der in keiner Anleitung steht: Die Sicherung entsteht definitionsgemäß in einem Moment, in dem der externe Backup-Modus aktiv ist. Ob dieser Zustand als Teil der Datenbank mitgesichert wird und nach einer Rücksicherung weiterhin gesetzt ist, kann ich nicht belegen. Die Funktionsweise legt es nahe, und ich würde davon ausgehen.

Prüfen lässt sich das mit ptadmin über das Kommando backup state, das für eine Datenbank ausgibt, ob das externe Backup aktiviert ist. poetsicherung.exe bietet diese Abfrage nicht.

Die praktische Empfehlung ist deshalb einfach: Nehmen Sie poetsicherung.exe aus als festen Schritt in Ihren Wiederherstellungsplan auf, nach jeder Rücksicherung und vor der Wiederaufnahme des Betriebs. War der Modus ohnehin nicht mehr gesetzt, bleibt der Aufruf folgenlos. War er gesetzt, ersparen Sie sich eine Fehlersuche unter Zeitdruck.

Besonders leicht übersehen wird das bei VSS- oder VM-Snapshots, weil die Wiederherstellung auf Ebene der virtuellen Maschine stattfindet und dabei niemand mehr an ein Hilfsprogramm in der easyVET-Freigabe denkt.

Wenn Sie zwischen beiden Wegen wählen können: Der kalte Weg mit gestoppten Diensten ist der besser verstandene und bleibt die erste Wahl, wenn ein Betriebsfenster zur Verfügung steht. Automatisierbar sind beide Wege, denn Dienste lassen sich per Skript stoppen und starten. Der Unterschied liegt in der Verfügbarkeit: Der Online-Weg braucht kein Zeitfenster, in dem easyVET stillsteht, und ist damit die Option für Installationen, die rund um die Uhr erreichbar sein müssen oder in denen abends noch gearbeitet wird.

Wer den kalten Weg automatisiert, muss zwei Dinge abfangen. Erstens den Post-Schritt: Der Dienst muss auch nach einem abgebrochenen Kopiervorgang wieder gestartet werden, sonst steht easyVET am nächsten Morgen still. Zweitens den Stoppvorgang selbst. Ein Dienst kann sehr lange zum Beenden brauchen oder gar nicht stoppen. Ein Skript, das den Stopp nur anstößt und ohne Prüfung weiterläuft, beginnt dann mit dem Kopieren, während die Datenbank noch geöffnet ist. Warten Sie deshalb aktiv auf den Status „gestoppt" und brechen Sie den Lauf mit einer Fehlermeldung ab, wenn er innerhalb eines definierten Zeitraums nicht erreicht wird.

Welche Ordner müssen gesichert werden?

VetZ’ Vorgabe ist eindeutig: das komplette easyVET-Verzeichnis mit allen Unterordnern. Das ist auch die richtige Grundregel, denn die Anwendung verteilt Zustand über mehrere Verzeichnisse.

Achten Sie beim Prüfen Ihrer Sicherung besonders auf:

• das base-Verzeichnis mit object.dat, object.idx und den weiteren Datenbankdateien, also den eigentlichen Datenbestand
• die POET-/FastObjects-Konfiguration, etwa poet.cfg, ohne die sich die Datenbank auf einem Ersatzsystem nicht ohne Weiteres wieder anbinden lässt
• den Ordner Datensicherung mit poetsicherung.exe und dem zugehörigen Protokoll
• die Bilddaten aus easyIMAGE beziehungsweise die DICOM-Ablage, die je nach Installation auf einem anderen Laufwerk oder einer anderen Freigabe liegen können und dann von einer Sicherung des easyVET-Ordners nicht erfasst werden
• das zuletzt heruntergeladene Update, damit sich easyVET im Notfall in derselben Version neu installieren lässt

Verlassen Sie sich bei den Pfaden nicht auf allgemeine Angaben, auch nicht auf die in diesem Artikel. Verzeichnisstruktur und Ablageort der Bilddaten unterscheiden sich zwischen Installationen. Prüfen Sie an Ihrem System, welche Pfade die Anwendung tatsächlich verwendet, und vergleichen Sie diese Liste mit dem, was Ihre Sicherung erfasst.

Wie oft muss die Datensicherung laufen?

Die Herstellervorgabe lautet: täglich, vor dem Beenden von Windows, bei Mehrplatzanlagen auf dem Hauptrechner. Daran gibt es nichts zu relativieren. Ein Tag Datenverlust bedeutet einen Tag Behandlungsdokumentation, Abrechnung und Laborbefunde.

Über die Häufigkeit hinaus entscheidet aber die Aufbewahrungstiefe, ob eine Sicherung im Ernstfall hilft. Das von VetZ vorgeschlagene Schema mit einem beschrifteten Medium je Werktag ergibt fünf Tage Historie. Alles, was länger zurückliegt, ist überschrieben. Für einen Hardwaredefekt reicht das. Für einen Datenfehler, eine Fehleingabe oder eine Verschlüsselung durch Schadsoftware, die erst nach zwei Wochen auffällt, reicht es nicht, und es steht in einem Spannungsverhältnis zu Aufbewahrungspflichten, die in Jahren rechnen. Auf die KassenSichV weist VetZ in derselben Anleitung selbst hin.

Ein tragfähiges Konzept für ein easyVET Backup sieht in der Regel so aus:

• automatisiert und mit aktiver Rückmeldung über Erfolg oder Fehler, nicht abhängig von der Erinnerung einer Person am Ende eines langen Tages
• versioniert über Monate statt über fünf Werktage
• inkrementell nach der ersten Vollsicherung, sonst wird die Laufzeit mit wachsendem Bilddatenbestand unpraktikabel
• verschlüsselt, auf dem Medium und auf dem Transportweg, denn ein beschriftetes Medium mit dem vollständigen Patienten- und Kundenbestand fällt unter Art. 32 DSGVO
• mindestens eine Kopie außer Haus, räumlich getrennt vom Hauptrechner
• datenbankgerecht, also mit sauberer Umschaltung oder gestopptem Dienst vor dem Kopieren

Ein Synchronisationsdienst in die Cloud erfüllt das nicht. Synchronisation repliziert Löschungen und Verschlüsselungen mit; für Patientendaten kommen außerdem Auftragsverarbeitungsvertrag und EU-Hosting hinzu.

Als Merkregel bleibt die 3-2-1-Regel brauchbar: drei Kopien, zwei verschiedene Medien, eine außer Haus.

Was tun wenn die Datensicherung fehlschlägt?

Der gemeldete Fehlschlag ist der einfachere Fall. Gehen Sie der Reihe nach vor:

1. poetsicherung.log lesen. Steht dort keine erfolgreiche Umschaltung, war die Datenbank während des Kopierens nicht im Backup-Modus. Die entstandene Sicherung ist nicht vertrauenswürdig, unabhängig davon, was das Backup-Programm meldet.
2. Modus zurücksetzen. Prüfen Sie, ob poetsicherung.exe aus gelaufen ist. Falls nicht, holen Sie es nach.
3. Datenbankdienst prüfen. Läuft der POET Object Server? Steht er nach einem abgebrochenen kalten Backup noch, ist easyVET für die Arbeitsplätze nicht erreichbar.
4. Zugriffsfehler beim Kopieren prüfen. Meldet das Kopierprogramm gesperrte Dateien, hat die Umschaltung nicht gegriffen oder ein anderer Prozess hält die Dateien offen.
5. Platz und Ziel prüfen. Volles Medium, nicht verbundene Freigabe, abgemeldeter Dienstbenutzer ohne Rechte auf dem Ziel.

Eine Datensicherung holt verlorene Daten zurück. Wie RAID 1 und eine USV zusätzlich dabei helfen, Datenverlust und Betriebsunterbrechungen durch Festplattenausfälle oder Stromprobleme zu verhindern, lesen Sie im Artikel RAID 1 und USV: Datensicherheit für Tierarztpraxen.

Sollten Sie in diesem Artikel einen Fehler bemerken oder weitergehende Informationen benötigen, erreichen Sie mich unter contact@cyberdyne-srl.com.