Was gehört in ein Backup-Konzept?

Ein Konzept, das niemand geprüft hat, ist ein Vorsatz. Kein Nachweis.

Ein Backup-Konzept beantwortet fünf Fragen schriftlich: Was wird gesichert, wie lange darf ein Ausfall dauern, wo liegen die Kopien, wer schaut nach, und wann wurde zuletzt zurückgeholt. Fehlt die letzte Antwort, ist das Papier ein Plan, aber noch kein Nachweis, dass er funktioniert.

Die fünf Fragen

Was ist wichtig? Nicht nur Dateien. Dazu gehören Warenwirtschaft, Buchhaltung, Postfächer, Benutzerkonten und die Einstellungen, ohne die ein Programm nach dem Zurückspielen nicht startet. Und: Was davon braucht ihr am ersten Tag, was erst in der zweiten Woche?
Wie viel darf verloren gehen, und wie lange darf es dauern? Zwei Zahlen. Die erste sagt, ob der Stand von gestern Abend reicht oder ob es der von vor einer Stunde sein muss. Die zweite sagt, wie lange der Betrieb stillstehen darf. Fachleute nennen das RPO und RTO. Wichtig ist nur, dass jemand in eurem Betrieb die Zahlen einmal laut ausgesprochen hat, bevor es ernst wird.
Wo liegen die Kopien? Mindestens eine außerhalb des Gebäudes und außerhalb der Reichweite dessen, was sie schützen soll. Dazu gleich mehr.
Wer schaut nach? Namen, nicht Abteilungen. Und wer übernimmt, wenn diese Person im Urlaub ist?
Wann wurde zuletzt zurückgeholt? Datum, Umfang, Dauer, Ergebnis. Was ein solcher Test prüfen muss, beschreiben wir auf der Seite Backup und Wiederherstellung.

Die 3-2-1-1-0-Regel

Die gängige Faustregel für den dritten Punkt:

3 Kopien eurer Daten, das Original mitgezählt
2 verschiedene Arten von Speicher, damit nicht ein Fehlertyp alle trifft
1 Kopie außer Haus, gegen Brand, Wasser und Einbruch
1 Kopie, die sich nicht verändern lässt oder vom Netz getrennt ist, gegen Verschlüsselungstrojaner
0 Fehler bei der Prüfung, also eine Wiederherstellung, die tatsächlich geklappt hat

Die letzten beiden Ziffern sind später dazugekommen. Sie sind die Antwort darauf, dass Angreifer heute gezielt nach Sicherungen suchen, bevor sie zuschlagen.

Voll, differenziell, inkrementell: Musst du das wissen?

Kaum. Die Begriffe beschreiben, ob jedes Mal alles gesichert wird oder nur die Änderungen. Für dich als Geschäftsführer zählt davon nur eine Folge: wie lange die Wiederherstellung dauert. Das gehört in Frage zwei, und dort muss die Technik die Antwort liefern, nicht umgekehrt.

Was die DSGVO damit zu tun hat

Mehr, als viele denken. Artikel 32 verlangt ausdrücklich, dass ihr die Verfügbarkeit personenbezogener Daten nach einem Zwischenfall rasch wiederherstellen könnt, und dass ihr die Wirksamkeit eurer Maßnahmen regelmäßig überprüft. Ein ungetestetes Backup erfüllt den ersten Teil auf dem Papier und den zweiten gar nicht.

Umgekehrt enthalten Sicherungen dieselben Kundendaten wie der Server. Für sie gelten also dieselben Regeln: begrenzter Zugriff, Verschlüsselung, und eine Frist, nach der alte Stände gelöscht werden.

Die Lücken, die wir am häufigsten finden

Die Sicherung liegt im selben Raum oder in derselben Umgebung wie das, was sie schützt.
Sicherungsplatten fahren unverschlüsselt im Auto mit nach Hause.
Genau eine Person weiß, wie man zurückholt.
Fehlermeldungen der Sicherung landen in einem Postfach, das niemand liest.
Das Konzept stammt aus einer Zeit, als es noch zwei Server weniger gab.

Kurz beantwortet

Braucht auch ein kleiner Betrieb ein Backup-Konzept?

Ja, aber kein dickes. Eine bis zwei Seiten, die die fünf Fragen beantworten, reichen für die meisten Betriebe. Wichtiger als der Umfang ist, dass es jemand kennt und dass es zur heutigen Umgebung passt.

Wie oft sollte eine Wiederherstellung getestet werden?

Wir raten zu mindestens einem vollständigen Test im Jahr und zusätzlich nach jeder größeren Änderung, etwa einem neuen Server oder einer neuen Branchensoftware. Stichproben einzelner Dateien gehören in kürzeren Abständen dazu.

Was ist die 3-2-1-1-0-Regel?

Drei Kopien der Daten, auf zwei verschiedenen Arten von Speicher, eine davon außer Haus, eine unveränderlich oder vom Netz getrennt, und null Fehler bei der geprüften Wiederherstellung.