Ein Datensicherungskonzept beschreibt, welche Daten wie gesichert werden und wie sie im Ernstfall zurückkommen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) legt im IT-Grundschutz-Baustein CON.3 Datensicherungskonzept (Edition 2023) fest, was ein solches Konzept enthalten sollte. Dieser Beitrag übersetzt diese Anforderungen in eine Gliederung, die Sie als Vorlage für Ihr eigenes Dokument nutzen können.
Die Vorlage ersetzt keine Bestandsaufnahme. Sie gibt die Fragen vor; die Antworten hängen von Ihren Systemen und Abläufen ab. Welche Kennzahlen für die Wiederherstellung wichtig sind und wie ein Dienstleister die Sicherung betreiben kann, beschreibt der Beitrag Backup Managed Service.
Wozu das Konzept dient
Eine Datensicherung soll laut BSI gewährleisten, dass der IT-Betrieb kurzfristig wieder aufgenommen werden kann, wenn Teile des Datenbestands verloren gehen. Zu einem vollständigen Konzept gehört deshalb nicht nur die Sicherung (Backup), sondern auch die Wiederherstellung (Restore). Das BSI weist dem Konzept eine zentrale Rolle in der Notfallplanung zu (CON.3, Abschnitt 1.1).
Wie wichtig die schriftliche Form ist, zeigt die Gefährdungslage im selben Baustein: Sind die Maßnahmen zur Wiederherstellung nicht oder nur mangelhaft dokumentiert, kann sich die Wiederherstellung erheblich verzögern. Liegt die Information nur digital vor, kann sie bei Großschäden wie einem Angriff mit Erpressungssoftware (Ransomware) ebenfalls verloren gehen (CON.3, Abschnitt 2.4).
Was das BSI als Mindestinhalt nennt
Nach der Anforderung CON.3.A6 sollte ein Datensicherungskonzept mindestens umfassen:
- Definitionen zu wesentlichen Aspekten der Datensicherung, zum Beispiel unterschiedliche Verfahrensweisen,
- die Gefährdungslage,
- die Einflussfaktoren je IT-System oder Gruppe von IT-Systemen,
- die Datensicherungspläne je IT-System oder Gruppe von IT-Systemen,
- relevante Ergebnisse des Notfallmanagements, insbesondere den maximal zulässigen Datenverlust (Recovery Point Objective, RPO) je IT-System oder Gruppe.
CON.3.A6 ist eine Standard-Anforderung. Solche Anforderungen entsprechen zusammen mit den Basis-Anforderungen dem Stand der Technik und sollen grundsätzlich erfüllt werden. Drei Bausteine des Konzepts sind sogar Basis-Anforderungen, die vorrangig erfüllt werden müssen: die Erhebung der Einflussfaktoren (A1), die Festlegung der Verfahrensweisen (A2) und die Datensicherungspläne (A4).
Die Vorlage: Gliederung in neun Kapiteln
Die folgende Gliederung ist unser Vorschlag. Sie ordnet die Anforderungen aus CON.3 so, dass jedes Kapitel eine Frage beantwortet.
| Kapitel | Inhalt | Bezug in CON.3 |
|---|---|---|
| 1. Geltungsbereich und Zuständigkeiten | Welche Standorte, Systeme und Cloud-Dienste das Konzept abdeckt; wer verantwortlich ist | A1, Rollen im Baustein |
| 2. Begriffe und Verfahren | Vollsicherung, differenzielle und inkrementelle Sicherung, Snapshots; welche Verfahren Sie nutzen | A6 |
| 3. Gefährdungslage | Welche Ereignisse das Konzept abdecken soll | A6, Abschnitt 2 |
| 4. Einflussfaktoren je System | Datenmengen, Änderungen, Anforderungen der Fachbereiche | A1 |
| 5. Verfahrensweisen | Art, Häufigkeit und Zeitpunkte der Sicherung; Speichermedien; Transport und Aufbewahrung | A2 |
| 6. Datensicherungspläne je System | Was womit gesichert wird, Reihenfolge der Wiederherstellung, Aufbewahrungsdauer | A4 |
| 7. Schutz der Sicherungen | Zugriffsschutz, Schutz vor Überschreiben, räumliche Trennung, Online-Speicher, Verschlüsselung | A9, A12, A13, A14 |
| 8. Tests und Kontrolle | Wiederherstellungstests, Kontrolle der Umsetzung, Unterrichtung der Mitarbeitenden | A5, A6, A15 |
| 9. Ablage des Konzepts | Wo das Konzept selbst gesichert ist und wie es ohne die eigenen Systeme verfügbar bleibt | A6 |
Kapitel 1 bis 3: Rahmen
Im Baustein ist grundsätzlich die oder der Informationssicherheitsbeauftragte (ISB) zuständig; weitere Zuständigkeiten liegen bei Fachverantwortlichen, IT-Betrieb und Mitarbeitenden. Benennen Sie in Ihrem Konzept konkrete Personen und Vertretungen. Beziehen Sie alle Geräte ein, die schützenswerte Informationen speichern: Das BSI zählt dazu ausdrücklich auch Router, Switches und IoT-Geräte mit ihren Konfigurationen (CON.3, Abschnitt 1.1).
Für die Gefährdungslage können Sie sich an den Szenarien des Bausteins orientieren. Er nennt unter anderem fehlende Datensicherungen, fehlende Wiederherstellungstests, ungeeignete Aufbewahrung, fehlende Dokumentation, unsichere Anbieter für Online-Datensicherungen, zu wenig Speicherkapazität, zu langsame Datensicherung und Ransomware.
Kapitel 4: Einflussfaktoren je System
Nach CON.3.A1 muss der IT-Betrieb die Rahmenbedingungen für jedes IT-System und die darauf laufenden Anwendungen mit den Fachverantwortlichen abstimmen. Als Erfassungsbogen eignet sich eine Tabelle je System. Die Einflussfaktoren stammen aus A1, die Leitfragen sind unser Vorschlag:
| Einflussfaktor | Leitfrage |
|---|---|
| Zu sichernde Daten | Welche Daten, Datenbanken und Konfigurationen gehören zum System? |
| Speichervolumen | Wie groß ist der Datenbestand heute, und wie wächst er? |
| Änderungsvolumen | Wie viele Daten ändern sich pro Tag? |
| Änderungszeitpunkte | Wann wird gearbeitet, wann laufen Verarbeitungen? |
| Verfügbarkeitsanforderungen | Wie lange darf das System ausfallen, wie viel Datenverlust ist tragbar? |
| Vertraulichkeitsanforderungen | Welche Daten dürfen nur wenige Personen sehen, auch in der Sicherung? |
| Integritätsbedarf | Wie wichtig ist es, dass Daten vollständig und unverändert zurückkommen? |
| Rechtliche Anforderungen | Welche Aufbewahrungs- oder Datenschutzvorgaben gelten? |
| Löschen und Vernichten | Wann müssen Daten und Sicherungen gelöscht werden? |
| Zuständigkeiten | Wer ist für die Sicherung dieses Systems verantwortlich? |
Neue Anforderungen müssen laut A1 zeitnah berücksichtigt werden. Für das Löschen von Sicherungen verweist das BSI auf den Baustein CON.6 Löschen und Vernichten. Die Langzeitarchivierung elektronischer Dokumente behandelt es gesondert im Baustein OPS.1.2.2 Archivierung.
Kapitel 5 und 6: Verfahren und Pläne
Nach CON.3.A2 legen Sie Art, Häufigkeit und Zeitpunkte der Sicherungen fest, außerdem die Speichermedien sowie Transport und Aufbewahrung. Sicherungen müssen immer auf separaten Speichermedien liegen. Besonders schützenswerte Speichermedien sollen nur während der Sicherung und Wiederherstellung mit dem Netz verbunden sein. In virtuellen Umgebungen und bei Storage-Systemen soll geprüft werden, ob Snapshots als schnell wiederherstellbare Zwischenstände ergänzt werden können. Wie Sie daraus Schritt für Schritt einen Plan je System ableiten, zeigt unser Beitrag Backup-Plan erstellen.
Der Datensicherungsplan je System (CON.3.A4) muss mindestens kurz beschreiben:
- welche IT-Systeme und Daten durch welche Datensicherung gesichert werden,
- in welcher Reihenfolge IT-Systeme und Anwendungen wiederhergestellt werden,
- wie die Datensicherungen erstellt und wiederhergestellt werden,
- wie lange sie aufbewahrt werden,
- wie sie vor unbefugtem Zugriff und Überschreiben geschützt sind,
- welche Parameter zu wählen sind,
- welche Hard- und Software eingesetzt wird.
Den Sicherungsrhythmus leiten Sie aus dem RPO ab. Das BSI definiert ihn als das Alter, das verfügbare Daten höchstens haben dürfen, um zeitkritische Geschäftsprozesse nach einer Unterbrechung sinnvoll betreiben zu können. Angegeben wird er in der Regel als geforderter Datensicherungszyklus (BSI-Glossar zum Standard 200-4).
Kapitel 7 und 8: Schutz und Tests
- Räumliche Trennung (A12): Speichermedien müssen räumlich getrennt von den gesicherten Systemen aufbewahrt werden, möglichst in einem anderen Brandabschnitt.
- Schutz vor Überschreiben (A14): Sicherungen müssen vor unbefugtem Zugriff geschützt sein und dürfen nicht absichtlich oder unbeabsichtigt überschrieben werden können.
- Online-Speicher (A9): Vertrag, Speicherort, Dienstgüte, Anmeldeverfahren und Verschlüsselung sollen vertraglich geregelt sein. Einzelheiten im Beitrag Cloud-Backup in Deutschland. Wie ein Online-Backup technisch abläuft, beschreibt unser Beitrag Online-Backup.
- Verschlüsselung (A13): Bei erhöhtem Schutzbedarf sollen alle Sicherungen verschlüsselt und die Schlüssel mit einer getrennten Sicherung geschützt werden.
- Tests (A15): Es muss regelmäßig getestet werden, ob gesicherte Daten einwandfrei und in angemessener Zeit zurückgespielt werden können.
Halten Sie im Konzept fest, wer testet, wie oft und wo die Ergebnisse dokumentiert werden. Laut A6 soll außerdem regelmäßig kontrolliert werden, ob das Konzept korrekt umgesetzt wird, und Mitarbeitende sollen über den Teil unterrichtet werden, der sie betrifft.
Kapitel 9: Das Konzept selbst sichern
Das Datensicherungskonzept soll selbst in einer Datensicherung enthalten sein. Die technischen Informationen zur Wiederherstellung sollen so gesichert sein, dass sie auch verfügbar sind, wenn die Sicherungssysteme selbst ausfallen (CON.3.A6). Wir empfehlen zusätzlich einen aktuellen Ausdruck an einem Ort, den die Verantwortlichen ohne Zugriff auf das Firmennetz erreichen.
Das Konzept als Nachweis bei NIS2
Für Unternehmen, die nach dem BSI-Gesetz als wichtige oder besonders wichtige Einrichtungen gelten, nennt § 30 Abs. 2 Nr. 3 BSIG ausdrücklich die „Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement“. Die Einhaltung der Pflichten ist nach § 30 Abs. 1 BSIG zu dokumentieren (§ 30 BSIG). Ein gepflegtes Datensicherungskonzept kann ein Teil dieser Dokumentation sein. Ob Ihr Unternehmen betroffen ist, erläutert unsere Seite NIS2 und Risikomanagement. Diese Hinweise ersetzen keine Rechtsberatung.
Datensicherung mit der GSL Groß GmbH besprechen
Die GSL Groß GmbH betreut kleine und mittelständische Unternehmen in Rheinland-Pfalz und Hessen von Idar-Oberstein aus; im Raum Darmstadt arbeitet sie dafür mit einem Partnersystemhaus zusammen. Mit unseren Managed Services übernehmen wir den laufenden Betrieb Ihrer IT zum monatlichen Festpreis. Mit dem Security-Check prüfen wir den Stand Ihrer IT-Sicherheit.
Sie möchten über Ihr Datensicherungskonzept sprechen? Nehmen Sie Kontakt mit uns auf.