BRDNotfallvorsorge: Backup als Teil des Business Continuity Managements
Datensicherung ist eine technische Maßnahme; Notfallvorsorge ist die organisatorische Klammer darum. Das Business Continuity Management (BCM) nach ISO 22301 oder BSI-Standard 200-4 legt fest, welche Prozesse zuerst wieder laufen müssen, wer im Notfall entscheidet, wie kommuniziert wird und wie der Wiederanlauf geübt wird. Erst dadurch wird aus einem Backup eine Wiederherstellungsfähigkeit.
- Die Business-Impact-Analyse (BIA) liefert Prioritäten, RTO und RPO.
- Notfallpläne beschreiben Wiederanlauf, Ersatzlösungen und Zuständigkeiten.
- Gegen Ransomware hilft nur eine Sicherung, die Angreifer nicht erreichen oder verändern können.
- NIS-2-Einrichtungen müssen Backup-Management, Wiederherstellung und Krisenmanagement nach § 30 BSIG umsetzen.
Wie greifen Backup und BCM ineinander?
| BCM-Baustein | Beitrag zur Datensicherung |
|---|---|
| Business-Impact-Analyse | bestimmt kritische Prozesse, MTPD, RTO, RPO und Abhängigkeiten zu Systemen und Dienstleistern |
| Risikobewertung | zeigt, welche Szenarien realistisch sind: Hardwaredefekt, Ransomware, Brand, Ausfall eines Cloud-Anbieters |
| Strategien | legen fest, ob Ersatzsysteme, Replikation, Cloud-Wiederherstellung oder manuelle Notbetriebe genutzt werden |
| Notfallpläne | beschreiben Schritt für Schritt Alarmierung, Wiederherstellungsreihenfolge, Ansprechpartner und Zugangsdaten |
| Übungen und Tests | belegen, dass Pläne und Sicherungen zusammen funktionieren |
| Bewertung und Verbesserung | übertragen Erkenntnisse aus Übungen und Vorfällen in Konzept und Pläne |
ISO/IEC 27001:2022 schlägt in Anhang A die Brücke: Maßnahme 5.29 behandelt Informationssicherheit während einer Störung, 5.30 die Bereitschaft der IKT für Business Continuity, 8.13 die Datensicherung und 8.14 die Redundanz informationsverarbeitender Einrichtungen. Ausführlich zu BIA und Notfallplanung: iso22301.tools.
Was macht ein Backup ransomware-resistent?
Bei Ransomware-Angriffen versuchen Angreifer gezielt, auch die Sicherungen zu löschen oder zu verschlüsseln, bevor sie die Produktivsysteme verschlüsseln. Das BSI stuft Ransomware-Angriffe als eine der größten Cyberbedrohungen für Staat, Wirtschaft und Gesellschaft ein und stellt Maßnahmenkataloge zur Prävention bereit. Bewährte Maßnahmen für die Sicherung:
- mindestens eine Kopie offline (vom Netz getrennt) oder auf unveränderbarem Speicher mit Aufbewahrungssperre
- eigene Anmeldedaten und Mehr-Faktor-Authentifizierung für die Backup-Verwaltung, keine Domänen-Administratorkonten
- ausreichend lange Aufbewahrung, damit ein sauberer Stand vor dem Eindringen der Angreifer verfügbar ist
- Überwachung auf ungewöhnliche Löschungen oder Änderungen von Sicherungsjobs
- Wiederherstellung in eine isolierte Umgebung, um Schadsoftware nicht erneut einzuschleusen
- Notfallunterlagen (Pläne, Kontakte, Zugangsdaten) auch ohne die betroffene IT erreichbar
Welche Pflichten haben NIS-2-Einrichtungen?
Seit Inkrafttreten des NIS-2-Umsetzungsgesetzes nennt § 30 Abs. 2 Nr. 3 BSIG als Mindestmaßnahme die „Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement“. Die Geschäftsleitung muss diese Maßnahmen umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG). Erhebliche Sicherheitsvorfälle sind dem BSI nach § 32 BSIG zu melden; ein guter Notfallplan enthält deshalb auch die Meldewege.
Keine Rechtsberatung. Rechtsstand: 04.11.2026.