Backup-Konzept: Ein Backup-Konzept legt schriftlich fest, welche Daten in welchem Rhythmus, auf welche Weise und wo gesichert werden, wie lange Sicherungen aufbewahrt und wie sie im Ernstfall zurückgespielt werden.
ISO 27001 verlangt in Anhang A, Control 8.13 (Sicherung von Informationen), eine dokumentierte Backup-Politik, die zur Kritikalität der jeweiligen Daten passt. Ein verbreiteter Rahmen dafür ist die 3-2-1-Regel, ergänzt um klar definierte Wiederherstellungsziele.
| Baustein | Beantwortet die Frage |
|---|---|
| 3 Kopien | Wie viele Sicherungen existieren parallel? |
| 2 verschiedene Medien | Wie unabhängig sind die Speicherorte voneinander? |
| 1 Kopie extern/offline | Was übersteht auch Ransomware oder Brand vor Ort? |
| RPO/RTO | Wie viel Datenverlust und Ausfallzeit sind maximal tolerierbar? |
Recovery Point Objective (RPO) legt fest, wie viel Datenverlust im Ernstfall maximal akzeptabel ist, Recovery Time Objective (RTO), wie schnell ein System wieder verfügbar sein muss. Beide Werte bestimmen Sicherungsrhythmus und -technik und sollten je nach Systemklasse unterschiedlich definiert werden. Angesichts steigender Ransomware-Risiken setzen viele Unternehmen zusätzlich auf unveränderliche (immutable) oder physisch getrennte Offline-Sicherungen, damit Angreifer Backups nicht mitverschlüsseln oder löschen können.
Ein Backup allein reicht nicht: Ohne regelmäßige, dokumentierte Restore-Tests bleibt unklar, ob die Sicherung im Ernstfall tatsächlich vollständig und in angemessener Zeit nutzbar ist.
Auch der Zugriffsschutz auf die Backups selbst gehört ins Konzept: Wer Schreib- oder Löschrechte auf Sicherungen hat, sollte strikt von den Rechten auf die Produktivsysteme getrennt sein, damit ein kompromittiertes Administratorkonto nicht automatisch auch die Backups zerstören kann.
Ein ERP-System mit laufender Auftragsabwicklung benötigt meist ein kurzes RPO von wenigen Stunden und ein RTO von höchstens ein bis zwei Arbeitstagen, während für ein selten genutztes Archivlaufwerk ein RPO von einer Woche und ein RTO von mehreren Tagen oft ausreichend ist. Diese Differenzierung nach Systemklasse verhindert, dass unkritische Daten mit demselben, oft teuren Sicherungsrhythmus behandelt werden wie geschäftskritische Anwendungen.
Relevanz für die Zertifizierung
Im ISO-27001-Audit reicht ein dokumentiertes Backup-Konzept allein nicht aus – Auditoren fragen gezielt nach dem letzten erfolgreichen Restore-Test. Viele Unternehmen sichern zuverlässig, haben eine erfolgreiche Wiederherstellung aber nie unter realistischen Bedingungen geprobt. Für KMU empfiehlt sich, mindestens jährlich sowie nach größeren Systemänderungen einen dokumentierten Restore-Test durchzuführen und dabei auch den Ernstfall eines Ransomware-Befalls der Primärsicherung mitzudenken, statt sich allein auf die reine Existenz einer Kopie zu verlassen. Wer das Ergebnis jedes Restore-Tests kurz dokumentiert, kann im Audit in wenigen Minuten die Wirksamkeit des gesamten Backup-Konzepts belegen.
Häufige Fragen zu Backup-Konzept
Anhang A, Control 8.13 verlangt eine dokumentierte Backup-Politik, die Sicherungsrhythmus, Aufbewahrung und Wiederherstellung je nach Kritikalität der Daten regelt. Die Norm schreibt keine bestimmte Technik vor, verlangt aber, dass die Wirksamkeit der Sicherung regelmäßig durch Tests überprüft wird. Auch der Zugriffsschutz auf die Sicherungen selbst gehört zur Erwartung der Norm, damit ein kompromittiertes Administratorkonto nicht automatisch auch alle Backups zerstören oder verschlüsseln kann.
Eine feste gesetzliche Frequenz gibt es nicht. Üblich und im Audit gut vertretbar ist mindestens ein jährlicher Restore-Test für kritische Systeme, zusätzlich nach größeren Systemänderungen. Das genaue Intervall sollte risikobasiert festgelegt und im Backup-Konzept dokumentiert werden. Für besonders kritische Systeme, etwa das zentrale ERP oder die Kundendatenbank, empfiehlt sich ein häufigerer, etwa halbjährlicher Test, da hier ein fehlgeschlagener Restore die gravierendsten wirtschaftlichen Folgen hätte.
Sie beschreibt drei Kopien der Daten, gespeichert auf zwei unterschiedlichen Medientypen, wobei mindestens eine Kopie extern oder offline liegt. Das schützt auch dann, wenn ein Medientyp ausfällt oder Ransomware alle online erreichbaren Sicherungen verschlüsselt. Manche Sicherheitsexperten erweitern die Regel inzwischen auf 3-2-1-1-0: eine zusätzliche unveränderliche Kopie und null unentdeckte Fehler bei regelmäßigen Wiederherstellungstests.