BRDBackup-Konzept erstellen: Inhalte, Gliederung und Entscheidungen
Ein Backup-Konzept (Datensicherungskonzept) legt verbindlich fest, welche Daten und Systeme gesichert werden, wie oft, wie lange, wohin und wer dafür verantwortlich ist, und wie die Wiederherstellung geprüft wird. Es ist die themenspezifische Richtlinie, auf die ISO/IEC 27001 Anhang A 8.13 verweist, und entspricht dem Baustein CON.3 im BSI IT-Grundschutz.
- Ausgangspunkt sind die Geschäftsprozesse und ihre tolerierbaren Ausfallzeiten, nicht die Server-Liste.
- Für jedes System: Sicherungsart, Takt, Aufbewahrung, Speicherort, Verschlüsselung, Verantwortliche.
- Mindestens eine Kopie getrennt vom Produktivnetz und vor Veränderung geschützt aufbewahren.
- Wiederherstellungstests mit Takt und Erfolgskriterien sind Teil des Konzepts, nicht ein Anhang.
Welche Inhalte gehören in ein Datensicherungskonzept?
| Abschnitt | Inhalt | Typische Entscheidung |
|---|---|---|
| Geltungsbereich | Standorte, Systeme, Cloud-Dienste, Endgeräte | Auch Microsoft 365, Branchensoftware als Cloud-Dienst und Notebooks einbeziehen |
| Anforderungen | RTO und RPO je Prozess aus der Business-Impact-Analyse | Auftragsbearbeitung: RTO 8 Stunden, RPO 1 Stunde |
| Datenarten und Systeme | Inventar mit Zuordnung zu Prozessen und Schutzbedarf | Datenbank, Dateiablage, Postfächer, Konfigurationen, Lizenzschlüssel |
| Sicherungsverfahren | Voll, inkrementell, differenziell, Snapshot, Replikation | Wöchentlich voll, täglich inkrementell, stündlich Snapshot |
| Aufbewahrung | Generationen und Aufbewahrungsdauer | Tages-, Wochen- und Monatsgenerationen; Abgleich mit dem Löschkonzept |
| Speicherorte | Primärkopie, getrennte Kopie, Kopie außer Haus | Eine Kopie offline oder unveränderbar (Immutable Storage) |
| Sicherheit | Verschlüsselung, Schlüsselverwaltung, Zugriffsrechte, Protokollierung | Eigene Administratorkonten für das Backup, Mehr-Faktor-Anmeldung |
| Wiederherstellung | Testplan, Erfolgskriterien, Reihenfolge im Notfall | Quartalsweise Stichprobe, jährlich vollständiger Wiederanlauf |
| Verantwortung | Rollen, Vertretung, Eskalation, Dienstleister | IT-Leitung verantwortlich, externer Dienstleister führt aus |
| Überprüfung | Takt der Aktualisierung, Freigabe | Jährlich und nach jeder wesentlichen Änderung, Freigabe durch die Geschäftsleitung |
Die Werte in der rechten Spalte sind Beispiele, keine Empfehlungen; sie müssen aus der eigenen Business-Impact-Analyse abgeleitet werden.
Wie entsteht ein Backup-Konzept Schritt für Schritt?
- Prozesse und Anforderungen klären: Welche Geschäftsprozesse sind kritisch, welche Ausfallzeit und welcher Datenverlust sind tragbar? Das Ergebnis sind RTO und RPO je Prozess (siehe Wiederherstellung).
- Systeme zuordnen: Jeder Prozess hängt an Anwendungen, Datenbanken, Dateiablagen und Schnittstellen. Diese Abhängigkeiten bestimmen, was gemeinsam gesichert und wiederhergestellt werden muss.
- Verfahren wählen: Sicherungsart und Takt so wählen, dass der RPO eingehalten wird; Aufbewahrung so, dass auch ein spät entdeckter Fehler oder Angriff noch auf einen sauberen Stand zurückgesetzt werden kann.
- Kopien trennen: Mindestens eine Kopie muss so gespeichert sein, dass ein Angreifer mit Administratorrechten im Produktivnetz sie nicht löschen oder verschlüsseln kann. Viele Praktiker orientieren sich an der Faustregel „3-2-1“: drei Kopien, zwei unterschiedliche Medien, eine Kopie außer Haus.
- Wiederherstellung planen: Testarten, Takt, Erfolgskriterien und Protokoll festlegen.
- Verantwortung festlegen und freigeben: Rollen, Vertretungen und Dienstleister benennen; das Konzept von der Geschäftsleitung freigeben lassen.
Was ist bei Cloud-Diensten zu beachten?
Bei Software-as-a-Service betreibt der Anbieter die Infrastruktur, die Verantwortung für die eigenen Daten bleibt aber beim Unternehmen. Vor der Nutzung sollte geklärt sein, welche Wiederherstellung der Vertrag zusagt (z. B. nur Infrastruktur oder auch einzelne gelöschte Objekte), wie lange gelöschte Daten wiederherstellbar sind und ob eine eigene, unabhängige Sicherung nötig ist. Mehr dazu auf brdcloud.de.
Wie hängt das Backup mit dem Löschkonzept zusammen?
Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für den Zweck erforderlich ist (Art. 5 Abs. 1 lit. e DSGVO). Sicherungen sind davon nicht ausgenommen. In der Praxis wird deshalb im Löschkonzept festgelegt, wie lange Sicherungsgenerationen aufbewahrt werden und dass gelöschte Daten mit dem Ablauf der Generationen aus den Sicherungen verschwinden. Umgekehrt dürfen Sicherungen nicht kürzer aufbewahrt werden, als handels- und steuerrechtliche Aufbewahrungspflichten es verlangen, soweit sie dafür die einzige Ablage sind (§ 257 HGB, § 147 AO).
Keine Rechtsberatung. Rechtsstand: 04.11.2026.