Fast jede Organisation macht Backups. Deutlich weniger können sagen, wovon genau, wie lange aufbewahrt wird und wann zuletzt eine Rücksicherung getestet wurde. Genau diese drei Punkte sind es, die im Audit gefragt werden – und die im Ernstfall darüber entscheiden, ob ein Backup etwas wert ist. Unten findest du einen vollständigen Mustertext, die Regeln dahinter und die Stellen, an denen Datensicherungskonzepte typischerweise scheitern.
Mustertext: Datensicherungskonzept
Platzhalter in eckigen Klammern ersetzen, Nichtzutreffendes streichen, intern freigeben lassen.
Datensicherungskonzept der [Organisation]
1. Zweck und Geltungsbereich
Dieses Konzept regelt die Sicherung und Wiederherstellung von Daten und Systemen der [Organisation]. Es gilt für alle produktiven IT-Systeme, Anwendungen und Datenbestände einschließlich der bei externen Dienstleistern und in Cloud-Diensten verarbeiteten Daten.
2. Verantwortlichkeiten
Die [IT-Leitung] verantwortet Betrieb und Überwachung der Datensicherung. Die jeweiligen Fachbereiche benennen ihre schützenswerten Datenbestände und die zulässigen Wiederanlauf- und Datenverlustzeiten. Der [ISMS-Verantwortliche] überprüft die Einhaltung dieses Konzepts.
3. Umfang der Sicherung
Gesichert werden mindestens: Datenbanken der Fachanwendungen, Dateiablagen, E-Mail-Postfächer, Konfigurationen der Netzinfrastruktur sowie die zur Wiederherstellung notwendige Dokumentation. Für jedes System ist in der Anlage festgehalten, was gesichert wird und was bewusst nicht.
4. Verfahren und Häufigkeit
Die Sicherung erfolgt [täglich außerhalb der Betriebszeiten] als [inkrementelle] Sicherung sowie [wöchentlich] als Vollsicherung. Es werden mindestens drei Kopien der Daten auf zwei unterschiedlichen Medientypen vorgehalten, davon eine Kopie an einem räumlich getrennten Ort. Mindestens eine Kopie ist gegen Veränderung und Löschung geschützt und vom Produktivnetz getrennt.
5. Aufbewahrung
Tagessicherungen werden [30 Tage], Wochensicherungen [12 Wochen] und Monatssicherungen [12 Monate] aufbewahrt. Für Daten mit gesetzlichen Aufbewahrungspflichten gelten die jeweiligen handels- und steuerrechtlichen Fristen. Personenbezogene Daten werden nicht länger aufbewahrt, als es der Zweck erfordert; Löschfristen aus dem [Löschkonzept] gelten entsprechend.
6. Schutz der Sicherungen
Sicherungen werden verschlüsselt gespeichert und übertragen. Der Zugriff auf Sicherungssysteme ist auf einen benannten Personenkreis beschränkt und erfordert eine Mehr-Faktor-Authentifizierung. Die Zugangsdaten der Sicherungsumgebung werden getrennt von denen der Produktivumgebung verwaltet.
7. Überwachung
Jeder Sicherungslauf wird protokolliert. Fehlgeschlagene Läufe werden automatisch gemeldet und innerhalb von [einem Arbeitstag] bearbeitet. Der Status der Datensicherung wird [monatlich] ausgewertet und dokumentiert.
8. Wiederherstellungstests
Mindestens [halbjährlich] wird für [die als kritisch eingestuften Systeme] eine vollständige Rücksicherung in einer separaten Umgebung getestet. Getestet wird nicht nur die technische Lesbarkeit, sondern die fachliche Nutzbarkeit der wiederhergestellten Daten. Ergebnis, Dauer und festgestellte Abweichungen werden dokumentiert.
9. Wiederanlaufvorgaben
Für jedes System sind die maximal tolerierbare Ausfallzeit und der maximal tolerierbare Datenverlust in der Anlage festgelegt. Weicht die tatsächlich erreichbare Wiederherstellungszeit von der Vorgabe ab, wird dies als Risiko erfasst und behandelt.
Freigegeben durch: [Name, Funktion] · Gültig ab: [Datum] · Nächste Überprüfung: [Datum]
Die 3-2-1-Regel – und warum sie inzwischen zu kurz greift
Die klassische Faustregel lautet: drei Kopien der Daten, auf zwei verschiedenen Medientypen, davon eine außer Haus. Sie stammt aus einer Zeit, in der Datenverlust vor allem durch Hardwaredefekte und Brände entstand.
Gegen Verschlüsselungsangriffe hilft sie nur begrenzt, weil Angreifer heute gezielt zuerst die Sicherungen suchen und löschen. Deshalb wird die Regel meist um zwei Punkte ergänzt: eine Kopie muss unveränderbar oder physisch getrennt sein, und die Zahl der Fehler beim Wiederherstellungstest muss null sein.
| Kennzahl | Bedeutung | Woran sie hängt |
|---|---|---|
| RPO | Wie viel Datenverlust ist maximal tolerierbar? | Bestimmt den Sicherungsabstand. Ein RPO von einer Stunde erfordert stündliche Sicherung oder Replikation. |
| RTO | Wie lange darf die Wiederherstellung dauern? | Bestimmt Verfahren und Medium. Bandsicherungen erreichen keine kurzen RTO. |
| Aufbewahrung | Wie weit zurück kann wiederhergestellt werden? | Entscheidend bei Angriffen, die erst Wochen später auffallen. |
Aus der Praxis: Die unangenehmste Erkenntnis kommt fast immer beim ersten ernsthaften Rücksicherungstest – nicht weil die Daten fehlen, sondern weil niemand die Reihenfolge kennt. Welches System muss zuerst laufen, damit das nächste überhaupt starten kann? Ohne dokumentierte Wiederanlaufreihenfolge nützt das beste Backup wenig. Wenn du nach dem Konzept eine Sache angehst, dann diese: einmal wirklich zurücksichern und dabei mitschreiben, was fehlt.
Was Normen und Recht verlangen
- ISO/IEC 27001:2022 – Anhang A, Maßnahme 8.13 „Sicherung von Informationen“ verlangt Sicherungen entsprechend den vereinbarten Anforderungen sowie deren regelmäßige Erprobung. Ohne dokumentierten Test fehlt der Nachweis.
- BSI IT-Grundschutz – der Baustein CON.3 „Datensicherungskonzept“ ist die praktischste Vorlage überhaupt zu diesem Thema und deutlich konkreter als der Normtext.
- DSGVO – Art. 32 nennt die Fähigkeit, die Verfügbarkeit personenbezogener Daten nach einem Zwischenfall rasch wiederherzustellen, ausdrücklich als Schutzziel. Das Backup ist damit nicht nur Betriebs-, sondern Datenschutzthema.
- Handels- und Steuerrecht – Aufbewahrungsfristen für buchführungsrelevante Unterlagen bestehen unabhängig vom Sicherheitskonzept und müssen mit den Löschfristen abgestimmt werden.
Häufige Fragen
Reicht die Cloud als Backup?
Ein Cloud-Dienst repliziert Daten für die eigene Verfügbarkeit – das ist kein Backup. Wird ein Objekt gelöscht oder verschlüsselt, wird die Löschung mitrepliziert. Für Microsoft 365, Google Workspace und vergleichbare Dienste braucht es eine eigene Sicherung, die der Anbieter nicht automatisch mitliefert.
Wie oft muss die Rücksicherung getestet werden?
Die Norm nennt keine Frequenz, sondern verlangt regelmäßige Erprobung. Halbjährlich für kritische Systeme ist ein üblicher Ansatz. Entscheidend ist, dass der Test die fachliche Nutzbarkeit prüft – „die Datei lässt sich öffnen“ ist kein bestandener Test, „die Anwendung läuft mit den zurückgesicherten Daten“ schon.
Was bedeutet unveränderbare Sicherung?
Gemeint ist eine Kopie, die innerhalb einer festgelegten Frist auch mit administrativen Rechten nicht gelöscht oder verändert werden kann. Technisch umgesetzt wird das über entsprechende Speicherfunktionen oder über getrennte Medien ohne dauerhafte Netzverbindung. Es ist der wirksamste Einzelschutz gegen Verschlüsselungsangriffe.
Passende Richtlinien
- IT-Notfallplan – was passiert, wenn die Sicherung tatsächlich gebraucht wird
- Risikobewertung – Datenverlust bewerten und die Vorgaben daraus ableiten
- Informationsklassifizierung – erst die Schutzklasse zeigt, welche Daten wie lange verfügbar bleiben müssen
- Vorlage für Richtlinien – Aufbau, Freigabe und Wirksamkeit