Ratgeber · Backup-Strategie
Datensicherungskonzept erstellen: Was hineingehört
Kurz gesagt: Ein Datensicherungskonzept legt schriftlich fest, was gesichert wird, wie oft, wohin und wie lange – und wer im Ernstfall was tut. Es macht aus einzelnen Backup-Aufträgen eine Strategie, die sich prüfen lässt: von der eigenen IT, von Prüfern und von der Cyberversicherung.
Wozu ein Datensicherungskonzept?
Ohne Konzept wächst die Datensicherung mit der IT mit: hier ein Auftrag für den neuen Server, dort eine USB-Platte für die Buchhaltung. Ob alles erfasst ist und ob die Wiederherstellung in der nötigen Zeit gelingt, weiß dann niemand sicher. Das Konzept zwingt dazu, diese Fragen einmal vollständig zu beantworten, und hält die Antworten fest, damit sie nicht an einer einzelnen Person hängen.
Auch von außen wird es erwartet. Die DSGVO verlangt in Art. 32 die Fähigkeit, personenbezogene Daten nach einem Zwischenfall rasch wiederherzustellen, und die regelmäßige Überprüfung der Maßnahmen (Datensicherung nach DSGVO). NIS2 nennt das Backup-Management ausdrücklich unter den Pflichten der betroffenen Einrichtungen (NIS2 und Datensicherung). Im IT-Grundschutz des BSI hat das Thema einen eigenen Baustein, CON.3 „Datensicherungskonzept“. Und Cyberversicherer fragen in der Regel schon vor Vertragsabschluss, wie gesichert wird.
Die neun Bausteine
Ein vollständiges Konzept beantwortet neun Fragen. Für einen kleinen Betrieb reichen dafür oft wenige Seiten.
| Baustein | Leitfrage | Ergebnis |
|---|---|---|
| Bestandsaufnahme | Welche Systeme, Daten und Cloud-Dienste gibt es, und wo liegen sie? | Liste aller Systeme mit Datenmenge und Verantwortlichem |
| Wiederherstellungsziele | Wie viel Datenverlust und wie viel Ausfallzeit ist je System tragbar? | RPO und RTO je Systemklasse |
| Verfahren | Ganze Laufwerke, einzelne Dateien oder die virtuelle Maschine als Ganzes? Wie bleiben Datenbanken konsistent? | Sicherungsart und Zeitplan je System |
| Speicherorte | Wie viele Kopien, auf welchen Medien, welche außer Haus, welche unveränderbar? | Ziele nach der 3-2-1-Regel |
| Aufbewahrung | Wie lange bleiben tägliche, wöchentliche und monatliche Stände erhalten? | Generationenplan und Löschregeln |
| Schutz | Wer darf Sicherungen lesen, ändern und löschen? Wo liegt der Schlüssel? | Rechte, Verschlüsselung, Verwahrung des Schlüssels |
| Zuständigkeiten | Wer liest die Meldungen, wer vertritt, wer entscheidet im Ernstfall? | Rollen, Vertretungen, Wiederanlaufreihenfolge |
| Tests | Wie oft und wie gründlich wird die Wiederherstellung geprobt? | Testplan mit dokumentierten Ergebnissen |
| Nachweis und Pflege | Wie wird belegt, was passiert ist, und wann wird das Konzept überprüft? | Protokolle, Berichte, fester Überprüfungstermin |
RPO und RTO: die zwei wichtigsten Zahlen
Das Recovery Point Objective (RPO) gibt an, wie viel Arbeit höchstens verloren gehen darf – bei einer täglichen Sicherung um 3 Uhr ist es bis zu ein Tag. Das Recovery Time Objective (RTO) gibt an, wie lange ein System höchstens ausfallen darf, bis es wieder arbeitet. Beide Zahlen legt nicht die IT allein fest, sondern die Geschäftsleitung mit den Fachabteilungen: Was kostet ein Tag ohne Warenwirtschaft, was ein verlorener Vormittag in der Buchhaltung?
| Systemklasse | Beispiele | RPO | RTO |
|---|---|---|---|
| Kritisch | Warenwirtschaft, ERP, Datenbanken | wenige Stunden | unter einem Tag |
| Wichtig | Dateiserver, Mail | ein Tag | ein bis zwei Tage |
| Unterstützend | Notebooks, Testsysteme | ein Tag bis eine Woche | mehrere Tage |
Die Werte sind Beispiele. Entscheidend ist, dass sie bewusst festgelegt und durch Tests bestätigt sind: Ein RTO von vier Stunden ist wertlos, wenn die Wiederherstellung des Datenbankservers im Test sechs Stunden dauert.
Speicherorte und Aufbewahrung
Für die Speicherorte hat sich die 3-2-1-Regel bewährt, die auch das BSI empfiehlt: drei Kopien auf zwei verschiedenen Medien, eine davon außer Haus. Gegen Ransomware kommt eine unveränderbare oder vom Netz getrennte Kopie hinzu, dazu regelmäßige Tests – die 3-2-1-1-0-Regel.
Die Aufbewahrung folgt meist einem Generationenprinzip: tägliche Stände für einige Wochen, wöchentliche für einige Monate, monatliche für ein Jahr oder länger. Viele ältere Stände helfen, wenn ein Angriff oder ein Fehler erst spät auffällt. Nach oben zieht die DSGVO eine Grenze: Sicherungen mit personenbezogenen Daten sollen nicht länger aufbewahrt werden als nötig und danach automatisch auslaufen.
Backup ist kein Archiv: Steuerliche und handelsrechtliche Aufbewahrungspflichten – in der Regel acht Jahre für Buchungsbelege, zehn Jahre für Bücher und Jahresabschlüsse – erfüllt ein revisionssicheres Archiv, nicht die Datensicherung. Sicherungen dienen der Wiederherstellung und laufen nach ihrer Frist aus.
Schlüssel, Rechte und Zuständigkeiten
Eine verschlüsselte Sicherung ist nur so gut wie die Verwahrung ihres Schlüssels. Liegt er nur auf dem Server, der ausfällt, ist die Sicherung mit ihm verloren. Das Konzept legt fest, wo der Schlüssel liegt – etwa in einem versiegelten Notfallumschlag im Tresor und als Kopie an einem zweiten Ort – und wer an ihn herankommt.
Ebenso wichtig sind die Rechte: Die gesicherten Systeme sollten ihre eigenen Sicherungen nicht löschen können, sonst kann es auch ein Angreifer mit ihren Rechten. Und es muss feststehen, wer Fehlermeldungen liest, wer im Urlaub vertritt und wer im Ernstfall entscheidet. Die Reihenfolge der Wiederherstellung – erst Netz und Verzeichnisdienst, dann Datenbanken, dann die Fachanwendungen – gehört mit den Ansprechpartnern ins Notfallhandbuch.
Tests und Nachweise
Ein Konzept, das nie geprobt wurde, ist eine Annahme. Regelmäßige Wiederherstellungstests bestätigen RPO und RTO und decken Lücken auf, etwa ein neues Laufwerk, das nie in die Sicherung aufgenommen wurde. Jede Sicherung, jeder Test und jede Löschung sollte nachvollziehbar protokolliert sein – das ist der Beleg gegenüber Prüfern, Versicherern und der eigenen Geschäftsleitung.
Überprüfen Sie das Konzept mindestens einmal im Jahr und bei jeder größeren Änderung: ein neuer Standort, eine neue Fachanwendung, der Umzug von Diensten in die Cloud oder ein Wechsel in der IT.
Checkliste
- Alle Systeme, Datenbestände und Cloud-Dienste wie Microsoft 365 sind erfasst, jeweils mit einem Verantwortlichen.
- RPO und RTO sind je System mit der Geschäftsleitung festgelegt.
- Sicherungsart und Zeitplan sind je System festgelegt, Datenbanken werden konsistent gesichert.
- Es gibt mindestens drei Kopien auf zwei Medien, eine außer Haus und eine unveränderbar oder getrennt.
- Die Aufbewahrung ist nach Generationen festgelegt, abgelaufene Sicherungen werden automatisch gelöscht.
- Die Sicherungen sind verschlüsselt, der Schlüssel ist getrennt und für den Notfall erreichbar verwahrt.
- Die gesicherten Systeme können ihre Sicherungen nicht löschen.
- Zuständigkeit und Vertretung für Meldungen und Ernstfall sind geregelt.
- Die Wiederanlaufreihenfolge steht im Notfallhandbuch.
- Die Wiederherstellung wird regelmäßig getestet, die Ergebnisse sind dokumentiert.
- Der nächste Überprüfungstermin für das Konzept steht im Kalender.
Wie AegisGrid das Konzept umsetzt
Mit AegisGrid wird das Konzept zur Konfiguration. Ein Lauf schreibt an bis zu acht Ziele – lokale Platte, NAS, eigener Backup-Server, zweiter Standort oder der Cloud-Speicher. Zeitpläne berücksichtigen Feiertage je Bundesland und holen verpasste Läufe nach, die Aufbewahrung gilt je Ziel, auch nach Generationen. Die Daten werden auf dem gesicherten System verschlüsselt, der Schlüssel bleibt bei Ihnen. Auf einem WORM-Speicher des Backup-Servers ist jede Sicherung bis zum Ende ihrer Sperre gegen Ändern und Löschen gesperrt, auch gegenüber den gesicherten Rechnern.
Der Backup-Server meldet ausbleibende Sicherungen, stellt Sicherungen regelmäßig zur Probe wieder her und führt ein signiertes Nachweis-Protokoll, aus dem jeden Monat ein Nachweisbericht als PDF entsteht – der Beleg, dass das Konzept auch gelebt wird. Wer den Betrieb nicht selbst übernehmen möchte, überlässt ihn unserem Managed Backup.
Häufige Fragen zum Datensicherungskonzept
Ist ein Datensicherungskonzept Pflicht?
Ein Gesetz, das ein Dokument mit diesem Namen vorschreibt, gibt es für die meisten Unternehmen nicht. Die DSGVO verlangt aber geeignete technische und organisatorische Maßnahmen und deren regelmäßige Überprüfung, und NIS2 verlangt von den betroffenen Einrichtungen ein Backup-Management. Ein schriftliches Konzept ist der einfachste Weg, beides nachzuweisen.
Wie umfangreich muss das Konzept sein?
Für einen kleinen Betrieb reichen oft wenige Seiten: die Liste der Systeme mit RPO und RTO, die Speicherorte, die Aufbewahrung, die Zuständigkeiten und der Testplan. Wichtiger als der Umfang ist, dass es aktuell ist und jemand anderes als der Verfasser im Ernstfall danach handeln kann.
Gibt es eine Vorlage?
Der Baustein CON.3 „Datensicherungskonzept“ im IT-Grundschutz-Kompendium des BSI beschreibt, was ein Konzept enthalten soll, und eignet sich gut als Gliederung. Die neun Bausteine und die Checkliste in diesem Artikel decken die wichtigsten Punkte ab.
Ihr Konzept gemeinsam durchgehen
Wir gehen Ihr Datensicherungskonzept mit Ihnen durch und zeigen, wie AegisGrid es umsetzt.