Warum ein Backup-Konzept mehr als eine Kopie verlangt
Eine Datensicherung erfüllt ihren Zweck erst dann, wenn wichtige Informationen nach einem Ausfall tatsächlich wieder verfügbar sind. Eine Datei auf einer externen Festplatte zu speichern, kann dabei ein sinnvoller Baustein sein. Als vollständiges Konzept reicht dieser Schritt jedoch nicht aus. Die Festplatte kann verloren gehen, durch Schadsoftware verschlüsselt werden oder zum Zeitpunkt des Datenverlusts defekt sein.
Ein verlässliches Backup-Konzept verbindet deshalb mehrere Elemente: eine klare Auswahl der zu schützenden Daten, passende Sicherungsintervalle, getrennte Speicherorte, kontrollierte Zugriffsrechte und regelmäßig geprüfte Wiederherstellungsverfahren. Auch die Frage, wer im Notfall welche Entscheidung trifft, gehört zur Planung.
Das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, behandelt Datensicherung im IT-Grundschutz als Bestandteil eines übergeordneten Notfallmanagements. Für kleinere Betriebe und private Anwender lässt sich daraus eine praktische Leitidee ableiten: Nicht die Existenz eines Sicherungsjobs ist entscheidend, sondern die nachweisbare Wiederherstellbarkeit der benötigten Daten.
Ziele, Daten und Ausfallfolgen zuerst erfassen
Vor der Auswahl eines Programms oder eines Speichermediums steht eine Bestandsaufnahme. Dabei werden Daten nicht nur nach Dateityp, sondern nach ihrer Bedeutung für den Betrieb oder den Alltag bewertet. Geschäftsunterlagen, Kundendaten, Buchhaltung, Vertragsdokumente, Konfigurationen und Zugangsinformationen können unterschiedliche Anforderungen haben.
Für jede wichtige Datenkategorie sollten mindestens diese Fragen beantwortet werden:
- Wo liegen die Daten aktuell, etwa auf einem Arbeitsplatz, einem Server, einem Smartphone oder in einem Onlinedienst?
- Welche Personen oder Prozesse benötigen sie nach einem Ausfall?
- Wie viel Datenverlust ist vertretbar, wenn die letzte Sicherung nicht aktuell ist?
- Wie lange darf die Wiederherstellung dauern?
- Welche gesetzlichen, vertraglichen oder internen Anforderungen gelten für Aufbewahrung und Zugriff?
Die zulässige Datenlücke wird häufig als Recovery Point Objective, kurz RPO, bezeichnet. Das benötigte Zeitfenster bis zur Wiederaufnahme des Betriebs heißt Recovery Time Objective, kurz RTO. Beide Werte sind keine automatischen Eigenschaften einer Backup-Lösung. Sie müssen aus den tatsächlichen Arbeitsabläufen abgeleitet werden.
Ein kleiner Betrieb kann beispielsweise festlegen, dass aktuelle Aufträge und Rechnungsdaten höchstens einen Arbeitstag fehlen dürfen, während ältere Archivunterlagen seltener gesichert werden. Eine solche Unterscheidung verhindert, dass Speicherkapazität und Übertragungszeit ohne Priorisierung eingesetzt werden.
Die 3-2-1-Regel als belastbare Grundstruktur
Die von der US-amerikanischen Cybersecurity and Infrastructure Security Agency, CISA, verbreitete 3-2-1-Regel beschreibt eine robuste Grundidee für Sicherungskopien: Es sollen mehrere Kopien vorhanden sein, auf unterschiedlichen Medien und mit mindestens einer Kopie an einem getrennten Ort. Die Zahlen sind dabei kein Ersatz für eine Risikoanalyse, sondern eine verständliche Orientierung.
In der Praxis bedeutet die Struktur beispielsweise:
- Die Arbeitsdaten bleiben am ursprünglichen Speicherort erhalten.
- Eine Sicherung wird auf einem getrennten Medium abgelegt.
- Eine weitere Kopie wird räumlich oder technisch unabhängig aufbewahrt.
Die Trennung ist entscheidend. Zwei Verzeichnisse auf derselben Festplatte sind keine unabhängigen Sicherungen. Auch ein Backup und die Originaldateien auf demselben Server können durch einen Hardwaredefekt, einen Bedienfehler oder eine Schadsoftware gemeinsam betroffen sein.
Für besonders schützenswerte Daten kann eine zusätzliche Offline-Kopie sinnvoll sein. Offline bedeutet, dass das Medium während des normalen Betriebs nicht dauerhaft mit dem Netzwerk verbunden ist. Dadurch sinkt das Risiko, dass ein Angreifer oder ein automatisierter Verschlüsselungsvorgang alle erreichbaren Kopien verändert. Das Offline-Medium muss trotzdem geschützt, beschriftet, inventarisiert und in regelmäßigen Abständen geprüft werden.
Sicherungsarten und ihre jeweiligen Stärken
Backup-Verfahren unterscheiden sich vor allem darin, welche Daten sie nach einer ersten Vollsicherung erfassen. Eine Vollsicherung speichert den ausgewählten Datenbestand vollständig. Sie benötigt mehr Speicherplatz und kann länger dauern, erleichtert bei der Wiederherstellung aber die Nachvollziehbarkeit.
Eine inkrementelle Sicherung erfasst die Änderungen seit der letzten Sicherung, unabhängig davon, ob diese vollständig oder inkrementell war. Der laufende Sicherungsaufwand bleibt dadurch meist gering. Für die Wiederherstellung werden jedoch die Vollsicherung und die benötigten nachfolgenden Sicherungen gebraucht.
Eine differentielle Sicherung enthält die Änderungen seit der letzten Vollsicherung. Ihr Umfang wächst bis zur nächsten Vollsicherung, während die Wiederherstellung weniger Zwischenstände benötigt als bei einer langen Kette inkrementeller Sicherungen.
Die passende Kombination hängt von Datenmenge, Übertragungsweg, verfügbarer Zeit und gewünschter Wiederherstellungsdauer ab. In vielen Umgebungen ist ein gemischter Ansatz sinnvoll: eine regelmäßige Vollsicherung, dazwischen häufigere Sicherungen der Änderungen. Wichtig ist, die gewählte Kette zu dokumentieren und das Verfahren nicht nur nach dem erfolgreichen Abschluss des Sicherungsjobs zu beurteilen. Eine grüne Statusanzeige sagt noch nicht, ob alle benötigten Dateien lesbar und vollständig wiederherstellbar sind.
Automatisierung mit kontrollierten Ausnahmen
Manuelle Sicherungen werden im Alltag leicht vergessen oder unregelmäßig durchgeführt. Automatisierte Aufgaben schaffen eine verlässlichere Grundlage, wenn sie zu den Arbeitszeiten und Datenflüssen passen. Ein Sicherungsplan sollte festlegen, wann Jobs starten, welche Daten erfasst werden, wie lange Kopien aufbewahrt werden und wie Fehler gemeldet werden.
Eine brauchbare Konfiguration berücksichtigt unter anderem:
- den Zeitpunkt mit der geringsten Belastung für Systeme und Netzwerk,
- die Priorität besonders wichtiger Daten,
- die Behandlung geöffneter Dateien und Datenbanken,
- die Benachrichtigung bei Abbruch, fehlendem Speicherplatz oder ungewöhnlich kurzer Laufzeit,
- die Aufbewahrungsfristen für tägliche, wöchentliche oder monatliche Stände.
Bei Datenbanken und Geschäftsanwendungen genügt das Kopieren einzelner Dateien unter Umständen nicht. Anwendungen können während des Kopiervorgangs inkonsistente Zustände erzeugen. Hier sind anwendungskonsistente Sicherungen, Exportfunktionen oder geeignete Snapshot-Mechanismen erforderlich. Vor dem Einsatz sollte geprüft werden, ob die Anwendung eine dokumentierte Sicherungsmethode vorgibt.
Ausnahmen gehören ausdrücklich in die Planung. Temporäre Dateien, Cache-Verzeichnisse und erneut abrufbare Installationspakete müssen nicht immer denselben Schutz erhalten wie Verträge oder Buchungsdaten. Eine solche Auswahl darf aber nicht stillschweigend erfolgen. Sie sollte festgehalten und bei Änderungen an der IT überprüft werden.
Cloud, NAS und externe Medien objektiv bewerten
Kein Speicherort ist unter allen Bedingungen überlegen. Ein Netzwerkspeicher im eigenen Gebäude bietet schnelle Zugriffe und kann umfangreiche Sicherungen aufnehmen. Er bleibt jedoch von Stromversorgung, Brandschutz, Diebstahl, Überschwemmung und der Netzwerkinfrastruktur am Standort abhängig. Zusätzlich kann ein Schadprogramm freigegebene Ordner erreichen, wenn die Zugriffsrechte zu weit gefasst sind.
Ein Onlinespeicher kann eine räumlich getrennte Kopie bereitstellen und die Wiederherstellung an einem anderen Ort ermöglichen. Dafür müssen Bandbreite, Verfügbarkeit, Vertragsbedingungen, Datenstandort, Verschlüsselung und mögliche Abhängigkeiten vom Anbieter geprüft werden. Besonders wichtig ist die Frage, ob alte Versionen gegen Löschung oder Überschreiben geschützt werden können.
Externe Festplatten oder andere Wechseldatenträger eignen sich für Offline-Sicherungen. Sie müssen nach dem Sicherungsvorgang getrennt werden und dürfen nicht dauerhaft am selben Rechner liegen. Mehrere wechselnde Datenträger können verhindern, dass ein einzelner Defekt oder ein unbemerktes Problem alle Kopien betrifft.
Bei jeder Variante sollte geklärt werden, wie die Daten nach einem Totalausfall zurückkommen. Eine Wiederherstellung über das Internet kann bei großen Datenmengen lange dauern. Manche Verfahren bieten deshalb eine lokale Erstkopie oder einen alternativen Wiederanlauf. Entscheidend ist nicht die Bezeichnung des Mediums, sondern die Kombination aus Unabhängigkeit, Zugriffsschutz, Wiederherstellungsdauer und überprüfbarer Funktion.
Ransomware und unberechtigte Änderungen mitdenken
Eine Datensicherung schützt nicht automatisch vor jeder Form des Datenverlusts. Wenn ein Benutzerkonto mit weitreichenden Rechten kompromittiert wird, können Angreifer möglicherweise auch Sicherungen löschen, verschlüsseln oder manipulieren. Das Backup-System braucht deshalb eigene Schutzmechanismen.
Bewährt haben sich getrennte Konten für Administration und täglichen Arbeitsbetrieb, die Beschränkung von Schreibrechten sowie eine Sicherungsumgebung, die nicht mit denselben Zugangsdaten wie die Arbeitsplätze verwaltet wird. Mehrfaktor-Authentisierung kann den Schutz administrativer Zugänge erhöhen, sofern sie vom jeweiligen System unterstützt wird.
Versionierung und unveränderbare Speicherbereiche können verhindern, dass ein älterer Datenstand sofort überschrieben wird. Die technische Bezeichnung dafür ist je nach System unterschiedlich, etwa Immutability oder WORM-Speicher. Bei der Auswahl sollte geprüft werden, wer die Aufbewahrung aufheben kann und ob ein kompromittiertes Administratorkonto die Schutzfunktion umgehen kann.
Backups sollten außerdem verschlüsselt werden, wenn sie sensible Daten enthalten oder außerhalb geschützter Räumlichkeiten lagern. Die Schlüsselverwaltung darf nicht vom einzigen gesicherten System abhängen. Ein verschlüsseltes Backup ohne verfügbaren Schlüssel ist bei der Wiederherstellung ebenso unbrauchbar wie ein verlorener Datenträger. Schlüssel, Wiederherstellungsinformationen und Notfallzugänge benötigen deshalb eigene, geschützte Verfahren.
Aufbewahrung, Versionen und Löschkonzept festlegen
Eine Sicherung muss nicht nur aktuell, sondern auch historisch passend sein. Werden Dateien versehentlich gelöscht oder über einen längeren Zeitraum unbemerkt verändert, hilft eine einzige aktuelle Kopie nicht weiter. Deshalb sollten mehrere Generationen aufbewahrt werden, soweit dies für die jeweiligen Daten erforderlich ist.
Ein Aufbewahrungsplan kann unterschiedliche Zeiträume für kurzfristige Arbeitsstände und langfristige Dokumentation vorsehen. Dabei sind rechtliche Vorgaben und der Grundsatz der Datenminimierung zu berücksichtigen. Personenbezogene Daten sollten nicht ohne Zweck und ohne angemessene Schutzmaßnahmen über lange Zeit in Sicherungen verbleiben. Gleichzeitig darf eine gesetzlich oder vertraglich erforderliche Aufbewahrung nicht durch ein zu aggressives Löschverfahren gefährdet werden.
Bei der Planung helfen konkrete Regeln:
- Für jede Datenklasse wird ein fachlicher Zweck der Aufbewahrung genannt.
- Es wird festgelegt, welche Versionen automatisch gelöscht werden dürfen.
- Ausnahmen wie laufende Prüfungen, Rechtsstreitigkeiten oder Aufbewahrungspflichten werden dokumentiert.
- Die Löschung wird kontrolliert und protokolliert.
Ein Backup-Plan ist damit kein Archivkonzept. Ein Archiv dient der langfristigen, geordneten Aufbewahrung und dem späteren Nachweis. Ein Backup dient vor allem der Wiederherstellung nach Verlust oder Beschädigung. Manche Systeme können beide Aufgaben unterstützen, ersetzen aber nicht die fachliche Entscheidung über Aufbewahrung und Zugriff.
Wiederherstellung testen statt auf Statusanzeigen vertrauen
Der wichtigste Test eines Backups ist eine kontrollierte Wiederherstellung. Dabei sollte nicht nur geprüft werden, ob ein einzelnes Dokument geöffnet werden kann. Ein realistischer Test untersucht, ob die benötigten Daten in der geplanten Reihenfolge und innerhalb des vorgesehenen Zeitfensters verfügbar werden.
Ein praktikabler Ablauf umfasst folgende Schritte:
- Ein klar abgegrenzter Testbestand wird ausgewählt.
- Die Wiederherstellung erfolgt in einer Testumgebung oder an einem dafür vorgesehenen Ersatzsystem.
- Dateien, Berechtigungen, Verknüpfungen und Datenbankintegrität werden geprüft.
- Die benötigte Zeit, manuelle Eingriffe und aufgetretene Fehler werden festgehalten.
- Das Verfahren wird nach Änderungen an Software, Hardware oder Backup-Konfiguration erneut bewertet.
Für einen vollständigen Notfalltest kann ein Systemausfall nachgestellt werden. Dabei zeigt sich, ob Installationsmedien, Lizenzinformationen, Konfigurationsdateien, Verschlüsselungsschlüssel und Kontaktdaten tatsächlich verfügbar sind. Auch die Abhängigkeit von einem funktionierenden Identitätsdienst, einer Netzwerkverbindung oder einem bestimmten Administrator kann sichtbar werden.
Ein Test gilt erst dann als aussagekräftig, wenn die wiederhergestellte Umgebung fachlich geprüft wird. Eine Datei kann technisch lesbar sein und dennoch unvollständig oder veraltet. Verantwortliche aus dem jeweiligen Arbeitsbereich sollten deshalb bestätigen, dass die Daten für den vorgesehenen Zweck verwendbar sind.
Dokumentation für den Notfall vorbereiten
Unter Zeitdruck fehlen häufig gerade die Informationen, die im Alltag als bekannt vorausgesetzt werden. Eine Notfalldokumentation sollte deshalb unabhängig von einzelnen Personen verständlich sein. Sie gehört nicht ausschließlich auf den betroffenen Server, sondern auch an einen geschützten, getrennten Ort.
Die Dokumentation kann folgende Punkte enthalten:
- Liste der geschützten Systeme und Datenbestände,
- Priorität der Wiederherstellung,
- Beschreibung der Sicherungspläne und Aufbewahrungsregeln,
- Standorte von Offline-Medien und Zuständigkeiten für deren Zugriff,
- Benötigte Konten, Schlüssel, Konfigurationsdateien und Wiederherstellungsmedien,
- Schrittfolge für die Wiederherstellung sowie Prüfkriterien,
- Kontaktwege für technische, fachliche und organisatorische Entscheidungen.
Passwörter und Schlüssel gehören nicht ungeschützt in ein frei zugängliches Textdokument. Für diese Informationen sollte ein geeignetes, besonders abgesichertes Verfahren vorgesehen werden. Gleichzeitig muss feststehen, wie eine berechtigte Person im Notfall Zugriff erhält, wenn die reguläre Arbeitsumgebung nicht verfügbar ist.
Die Dokumentation braucht einen Versionsstand und ein Änderungsdatum. Nach einem Systemwechsel, einer neuen Anwendung oder einer geänderten Zuständigkeit ist sie zu aktualisieren. Ein veralteter Wiederherstellungsplan kann falsche Sicherheit erzeugen.
Ein umsetzbarer Plan in mehreren Etappen
Wer ein Backup-Konzept neu aufbaut, sollte nicht alle technischen Fragen gleichzeitig lösen. Ein schrittweises Vorgehen macht Lücken sichtbar und erlaubt frühe Verbesserungen.
- Bestand aufnehmen: Systeme, Datenorte, Anwendungen und Abhängigkeiten werden erfasst.
- Prioritäten festlegen: Für jede wichtige Datenklasse werden akzeptabler Datenverlust und benötigte Wiederanlaufzeit beschrieben.
- Risiken bewerten: Defekte, Bedienfehler, Schadsoftware, Diebstahl, Brand und Ausfall eines Onlinedienstes werden betrachtet.
- Speicherstruktur planen: Arbeitsdaten, lokale Sicherung, getrennte Kopie und gegebenenfalls Offline-Medium werden aufeinander abgestimmt.
- Zugriffe absichern: Konten, Berechtigungen, Mehrfaktor-Authentisierung, Verschlüsselung und Schlüsselverwaltung werden festgelegt.
- Jobs automatisieren: Zeitpläne, Versionierung, Fehlerbenachrichtigungen und Aufbewahrung werden eingerichtet.
- Wiederherstellung testen: Einzeldateien, Verzeichnisse, Anwendungen und bei Bedarf komplette Systeme werden geprüft.
- Plan pflegen: Änderungen werden dokumentiert und die Tests in regelmäßigen Abständen wiederholt.
Die Reihenfolge verhindert, dass die Auswahl eines Produkts zum Ausgangspunkt wird. Technik sollte die zuvor festgelegten Ziele unterstützen. Wenn eine Lösung die erforderliche Trennung, Verschlüsselung oder Wiederherstellungszeit nicht ermöglicht, passt sie unabhängig von ihrer Bedienoberfläche nicht zum Schutzbedarf.
Typische Planungsfehler und bessere Gegenmaßnahmen
Ein häufiger Fehler ist die Konzentration auf den Sicherungserfolg. Ein Job kann erfolgreich beendet werden, obwohl ein wichtiger Ordner ausgeschlossen, ein Zielmedium voll oder eine Datenbank nicht konsistent gesichert wurde. Protokolle sollten daher inhaltlich geprüft und Warnungen bearbeitet werden.
Problematisch ist auch eine dauerhafte Verbindung aller Kopien. Sie verbessert zwar den Bedienkomfort, vergrößert aber die gemeinsame Angriffsfläche. Mindestens eine Sicherung sollte technisch oder räumlich so getrennt sein, dass ein Vorfall im Arbeitsnetz nicht automatisch auf sie übergreift.
Weitere Risiken entstehen durch fehlende Zuständigkeiten. Wenn nur eine Person weiß, wo Medien liegen oder wie Schlüssel verwaltet werden, ist die Wiederherstellung von deren Verfügbarkeit abhängig. Rollen und Stellvertretungen sollten deshalb festgelegt werden.
Auch ein übermäßig großes Sicherungsfenster kann die Akzeptanz beeinträchtigen. Wenn Backups regelmäßig die Arbeitsleistung stören, werden sie häufig verschoben oder deaktiviert. Eine abgestimmte Auswahl der Daten, geeignete Zeitpläne und die Bewertung der tatsächlichen Wiederherstellungsziele führen zu einem tragfähigeren Verfahren.
Schließlich darf ein Backup nicht als Schutz vor jeder Sicherheitsverletzung verstanden werden. Es ersetzt weder Aktualisierungen, Zugriffsschutz, Schulungen noch einen Plan für die Reaktion auf einen Vorfall. Die Datensicherung ist ein zentraler Baustein, muss aber in die gesamte Sicherheitsorganisation eingebettet sein.
FAQ zur verlässlichen Datensicherung
Wie oft sollten Backups durchgeführt werden?
Das Intervall richtet sich nach dem maximal akzeptierten Datenverlust. Daten, die laufend verändert werden und für den Betrieb wichtig sind, benötigen häufigere Sicherungen als selten geänderte Archive. Maßgeblich sind RPO, Datenmenge, Systembelastung und die verfügbare Wiederherstellungszeit.
Ist ein NAS als einziges Backup ausreichend?
Ein NAS kann eine wichtige Sicherung bereitstellen, ist als alleinige Kopie jedoch riskant. Es kann durch Defekte, Diebstahl, Schadsoftware oder einen Vorfall am selben Standort betroffen sein. Eine zusätzliche getrennte oder offline aufbewahrte Kopie erhöht die Unabhängigkeit.
Wie lässt sich feststellen, ob ein Backup funktioniert?
Die Statusmeldung des Sicherungsprogramms liefert einen ersten Hinweis. Aussagekräftig wird die Prüfung erst durch eine Wiederherstellung. Dabei sollten Dateien geöffnet, Berechtigungen kontrolliert und bei Anwendungen auch die fachliche Verwendbarkeit bestätigt werden.
Was muss bei verschlüsselten Backups beachtet werden?
Der Verschlüsselungsschlüssel muss geschützt, auffindbar und im Notfall verfügbar sein. Er darf nicht ausschließlich auf dem System liegen, dessen Daten gesichert wurden. Zuständigkeit, Zugriff und Ersatzverfahren sollten dokumentiert und getestet werden.
Wie lange müssen Sicherungskopien aufbewahrt werden?
Das hängt vom Zweck der Daten, den gesetzlichen oder vertraglichen Anforderungen und dem Risiko unbemerkter Änderungen ab. Ein dokumentierter Aufbewahrungsplan sollte festlegen, welche Versionen erhalten bleiben und wann eine kontrollierte Löschung zulässig ist.
