Datensicherung: Datensicherung bezeichnet das regelmäßige Kopieren von Daten auf ein unabhängiges Speichermedium, um sie nach Ausfall, Fehlbedienung oder Cyberangriff wiederherstellen zu können.
Eine bewährte Faustregel ist die 3-2-1-Strategie: mindestens drei Kopien der Daten, auf zwei unterschiedlichen Speichermedien, davon eine Kopie räumlich getrennt oder offline aufbewahrt – letzteres schützt gezielt vor Ransomware, die vernetzte Backups mitverschlüsseln kann. Man unterscheidet zudem Vollsicherungen, inkrementelle und differenzielle Backups, die sich in Umfang und Wiederherstellungsgeschwindigkeit unterscheiden.
Ein häufig unterschätzter Schritt ist der regelmäßige Restore-Test: Ohne eine erfolgreiche Testwiederherstellung bleibt unklar, ob ein Backup im Ernstfall tatsächlich nutzbar ist. Datensicherung ist damit auch ein zentraler Baustein der Business Continuity, also der Fähigkeit eines Unternehmens, nach einem Vorfall den Betrieb fortzusetzen.
Auch die Aufbewahrung von Backups unterliegt datenschutzrechtlichen Grundsätzen: Personenbezogene Daten dürfen nicht länger als nötig in Sicherungskopien vorgehalten werden, was insbesondere bei langfristigen Archivsicherungen berücksichtigt werden muss.
Bei Cloud-basierten Backups ist zusätzlich zu prüfen, wo genau die Daten physisch gespeichert werden, da dies datenschutzrechtliche und vertragliche Anforderungen an den Speicherort betreffen kann.
- 3-2-1-Regel: 3 Kopien, 2 Medientypen, 1 externe/offline Kopie
- Vollsicherung, inkrementell, differenziell – je nach Bedarf kombinierbar
- Restore-Test unverzichtbar, um Wiederherstellbarkeit zu belegen
- Speicherort von Cloud-Backups ist datenschutzrechtlich relevant zu prüfen
Relevanz für die Zertifizierung
Auch außerhalb von ISO 27001 verlangt ISO 9001 in Kapitel 7.1.3 und 7.5 eine angemessene Infrastruktur und Absicherung dokumentierter Information – Auditoren fragen zunehmend, wie QM-Aufzeichnungen selbst gegen Datenverlust geschützt sind. Ein dokumentiertes Datensicherungskonzept mit regelmäßigen Restore-Tests ist dafür der naheliegende Nachweis, unabhängig von der zertifizierten Norm. Ein dokumentiertes Datensicherungskonzept mit klar definierten Verantwortlichkeiten zählt zunehmend zu den Standardnachweisen, unabhängig von der konkret zertifizierten Norm. Auch der Speicherort von Cloud-Backups sollte dokumentiert sein, insbesondere wenn Kunden vertragliche Vorgaben zum Speicherort gemacht haben. Auch eine klar dokumentierte Eskalationskette, wer im Ernstfall über eine Wiederherstellung entscheidet, beschleunigt die Reaktion bei einem tatsächlichen Datenverlust erheblich. Eine jährliche Überprüfung des gesamten Datensicherungskonzepts stellt zudem sicher, dass es mit dem Wachstum des Unternehmens Schritt hält.
Häufige Fragen zu Datensicherung
Eine konkrete Backup-Pflicht nennt die Norm nicht wörtlich, Kapitel 7.1.3 und 7.5 verlangen aber eine angemessene Infrastruktur und Absicherung dokumentierter Information. Auditoren fragen zunehmend, wie QM-Aufzeichnungen selbst gegen Datenverlust geschützt sind, ein dokumentiertes Datensicherungskonzept mit Restore-Tests ist dafür der naheliegende Nachweis.
Sie beschreibt mindestens drei Kopien der Daten auf zwei unterschiedlichen Speichermedien, davon eine Kopie räumlich getrennt oder offline aufbewahrt. Die offline gehaltene Kopie schützt gezielt vor Ransomware, die vernetzte Backups mitverschlüsseln kann, und gilt als bewährter Mindeststandard für ein belastbares Sicherungskonzept.
Eine feste gesetzliche oder normative Frist gibt es nicht, ohne regelmäßige Testwiederherstellung bleibt aber unklar, ob ein Backup im Ernstfall tatsächlich nutzbar ist. Üblich ist mindestens ein jährlicher Restore-Test, bei kritischen Systemen häufiger, dokumentiert als Nachweis der tatsächlichen Wiederherstellbarkeit. Auditoren fragen diesen Nachweis zunehmend auch außerhalb von ISO-27001-Zertifizierungen gezielt ab.