Vor einiger Zeit lief mein 200 GB iCloud-Speicher voll, also Upgrade auf die nächste Stufe. Diese liegt direkt bei 2 TB, daher hatte ich plötzlich ziemlich viel ungenutzten Cloud-Speicher.

Gleichzeitig nutze ich seit einiger Zeit rclone, um Dateien auf mein NAS oder externen Speicher zu synchronisieren. rclone unterstützt auch iCloud Drive als Backend.

Warum also nicht den ohnehin bezahlten iCloud-Speicher als (zusätzliches) Backup-Ziel verwenden?

Anforderungen

Bei externem Speicher sollen die Backups clientseitig verschlüsselt werden, denn am Ende liegen sie auf dem Computer von jemand anderem. rclone bietet dafür crypt-Remotes an.

Wenn man iCloud Drive auf dem Mac nutzt, werden die Daten automatisch mit dem Mac synchronisiert. Bei mehreren hundert GB Daten belegt das wertvollen Speicher auf der lokalen SSD (man kann zwar hinterher den Download einzelner Ordner und Dateien entfernen, aber das ist recht mühsam, vor allem wenn später einzelne Dateien in Unterordnern hinzugefügt werden).

Da das Ziel ein reines Backup ist, sollen die Daten also nicht von iCloud Drive synchronisiert werden. Dies kann man erreichen, indem man einem Ordner das Suffix .nosync gibt (das funktioniert übrigens auch lokal, wenn ein Ordner nicht zu iCloud hochgeladen werden soll).

Setup

Erst einmal installieren wir rclone. Als MacPorts-Nutzer bevorzuge ich die Installation über MacPorts.

sudo port install rclone

Als nächstes richten wir iCloud als Remote ein.

rclone config create icloud iclouddrive --all

rclone führt uns durch die Konfiguration. Am Ende müssen wir den Login mit Zwei-Faktor-Authentifizierung bestätigen.

Option service.
iCloud service to use.
Choose a number from below, or type in your own value of type string.
Press Enter for the default (drive).
 1 / iCloud Drive
   \ (drive)
 2 / iCloud Photos
   \ (photos)
service> 1

Option apple_id.
Apple ID.
Enter a value.
apple_id> my-apple-id@icloud.com

Option password.
Password.
Choose an alternative below.
y) Yes, type in my own password
g) Generate random password
y/g> y
Enter the password:
password:
Confirm the password:
password:

Edit advanced config?
y) Yes
n) No (default)
y/n> n

Option config_2fa.
Two-factor authentication: enter your 2FA code or type 'sms' for a text message
Enter a value.
config_2fa> 123456

...

Nun können wir testen, ob es funktioniert und alle Ordner in iCloud Drive auflisten.

rclone lsd icloud:
  2167283 2000-01-01 01:00:00        -1 Dokumente
   143394 2000-01-01 01:00:00        -1 Downloads
        0 2000-01-01 01:00:00        -1 Keynote
        0 2000-01-01 01:00:00        -1 Numbers

Als nächstes legen wir den Backup-Ordner an.

rclone mkdir icloud:backup.nosync
rclone lsd icloud:
  2167283 2000-01-01 01:00:00        -1 Dokumente
   143394 2000-01-01 01:00:00        -1 Downloads
        0 2000-01-01 01:00:00        -1 Keynote
        0 2000-01-01 01:00:00        -1 Numbers
        0 2000-01-01 01:00:00        -1 backup.nosync

Dieser Ordner taucht durch das Suffix .nosync nicht im iCloud Drive im Finder auf, man kann ihn aber in iCloud Drive im Browser sehen (ohne die Endung .nosync).

Für die Verschlüsselung brauchen wir als nächstes ein crypt-Remote, das auf dem icloud-Remote aufsetzt. Wichtig ist hierbei, unbedingt auch die Datei- und Ordnernamen zu verschlüsseln. 

rclone config create icloud_ crypt --all
Option remote.
Remote to encrypt/decrypt.
Normally should contain a ':' and a path, e.g. "myremote:path/to/dir",
"myremote:bucket" or maybe "myremote:" (not recommended).
Enter a value.
remote> icloud:backup.nosync

Option filename_encryption.
How to encrypt the filenames.
Choose a number from below, or type in your own value of type string.
Press Enter for the default (standard).
   / Encrypt the filenames.
 1 | See the docs for the details.
   \ (standard)
 2 / Very simple filename obfuscation.
   \ (obfuscate)
   / Don't encrypt the file names.
 3 | Adds a ".bin", or "suffix" extension only.
   \ (off)
filename_encryption> 1

Option directory_name_encryption.
Option to either encrypt directory names or leave them intact.
NB If filename_encryption is "off" then this option will do nothing.
Choose a number from below, or type in your own boolean value (true or false).
Press Enter for the default (true).
 1 / Encrypt directory names.
   \ (true)
 2 / Don't encrypt directory names, leave them intact.
   \ (false)
directory_name_encryption> 1

Option password.
Password or pass phrase for encryption.
Choose an alternative below.
y) Yes, type in my own password
g) Generate random password
y/g> y
Enter the password:
password:
Confirm the password:
password:

Option password2.
Password or pass phrase for salt.
Optional but recommended.
Should be different to the previous password.
Choose an alternative below. Press Enter for the default (n).
y) Yes, type in my own password
g) Generate random password
n) No, leave this optional password blank (default)
y/g/n> n

Edit advanced config?
y) Yes
n) No (default)
y/n> n

Erstes Backup erstellen

Nun können wir das erste Backup erstellen, indem wir z.B. den Ordner Dokumente synchronisieren.

rclone sync -lvP Documents icloud_:Documents
2026/11/01 14:20:00 INFO  : .localized: Copied (new)
2026/11/01 14:20:00 INFO  : test.pdf: Copied (new)
2026/11/01 14:20:00 INFO  : file.txt: Copied (new)
2026/11/01 14:20:00 INFO  : image.png: Copied (new)
...
2026/11/01 14:20:00 INFO  : 
Transferred:   	    1.234 MiB / 1.234 MiB, 100%, 600 kB/s, ETA -
Checks:                 0 / 0, -, Listed 123
Transferred:          111 / 111, 100%
Elapsed time:         0.2s

Wenn wir nun die Dateien in iCloud auflisten, sehen wir nur die verschlüsselten Daten.

rclone ls icloud:backup.nosync
     32 4aipd1l4nrftuh8l4p28eg0vlc/6gvleislip0ran7s26raarsvs4
   6196 4aipd1l4nrftuh8l4p28eg0vlc/rlphpdojqmfd1npb96uuh5fd74
    559 4aipd1l4nrftuh8l4p28eg0vlc/2b8nper35iaj5im72c794un058
...

Wenn wir aber in unserem verschlüsselten Remote suchen, bekommen wir die Daten im Klartext.

rclone ls icloud_:
182259 Documents/test.pdf
  1559 Documents/file.txt
 30655 Documents/image.png
...

Das Ganze kann natürlich für beliebige Ordner angepasst bzw. wiederholt werden.

Backups & Wiederherstellung

Beim ersten Backup-Durchlauf kann es je nach Menge und Größe der Dateien sowie der Internetverbindung etwas dauern (bei meinen ~1 TB sogar mehrere Tage!).

Durch den sync-Befehl werden in weiteren Durchläufen aber nur geänderte Dateien kopiert, dadurch geht es dann wesentlich schneller (oft nur wenige Minuten).

Um das Backup aktuell zu halten, den Sync regelmäßig ausführen!

rclone sync -lvP Documents icloud_:Documents

Wichtig hierbei: sync repliziert den aktuellen Zustand des lokalen Ordners. Damit werden lokal gelöschte Dateien auch auf dem Remote gelöscht. Es besteht aber die Möglichkeit mit --dry-run zunächst zu testen und/oder mit --backup-dir geänderte und gelöschte Dateien zu sichern.

Obwohl die Daten nicht über iCloud Drive auf den Mac synchronisiert werden, findet weiterhin eine Aktualisierung der Metadaten statt. Dadurch kann es zeitweise zu erhöhter CPU-Nutzung durch den Hintergrundprozess fileproviderd kommen. Außerdem können gelöschte oder überschriebene Dateien mit einem kleinen Cloud-Symbol im Papierkorb auftauchen.

Zur Wiederherstellung von Dateien vom Remote auf die lokale Festplatte kopieren wir einfach den gewünschten Ordner.

rclone copy -lvP icloud_:Documents Restored

iCloud Re-Authentifizierung

Das icloud-Remote verwendet ein Authentifizierungs-Token, das nur 30 Tage gültig ist. Danach müssen wir uns erneut anmelden und mit Zwei-Faktor-Authentifizierung bestätigen.

rclone config reconnect icloud:
Option config_2fa.
Two-factor authentication: enter your 2FA code or type 'sms' for a text message
Enter a value.
config_2fa> 654321

Fertig!

Das war auch schon alles! Ein zusätzliches Backup zu haben ist immer gut – auch wenn man hoffentlich nie darauf zurückgreifen muss.

Wichtig für den Ernstfall: Wenn der Mac defekt ist oder gestohlen wird, kann auch die lokale rclone-Konfiguration verloren sein. Daher sollte man die Zugangsdaten für das crypt-Remote und die Apple-ID sicher aufbewahren – und natürlich nicht dasselbe Passwort verwenden.

Im Falle eines Diebstahls sollte außerdem das Passwort der Apple-ID geändert werden. Damit werden auch alle Auth-Tokens ungültig.

Hinweis: Text mit KI-Unterstützung überarbeitet, Bilder teilweise KI-generiert.