📑 Inhaltsverzeichnis

    In den meisten Unternehmen ist Backup keine Richtlinie , sondern eine Gewohnheit: Jemand hat etwas eingerichtet, es läuft, niemand fasst es an. Das Problem zeigt sich, wenn diese Person geht — oder wenn der schlechte Tag kommt. Eine schriftliche Richtlinie macht Backups unabhängig von einzelnen Personen.

    Die folgenden Überschriften sind ein Gerüst, das Sie übernehmen können. Unter jedem Punkt steht, was Sie entscheiden müssen .

    1. Umfang — was sichern wir?

    Zählen Sie einzeln auf; „unsere Website“ ist keine ausreichende Definition. Behandeln Sie mindestens diese drei getrennt:

    • Dateien: Web-Root, hochgeladene Dokumente und Bilder, angepasste Theme-Dateien.
    • Datenbank: Inhalte, Benutzer, Bestellungen, Einstellungen.
    • E-Mail: geschäftliche Postfächer — der Punkt, den die meisten Richtlinien vergessen.

    Halten Sie auch fest, was Sie ausschließen. Ein Satz wie „Das Server-Betriebssystem wird nicht gesichert, sondern neu installiert“ beendet in der Krise jede Diskussion.

    2. Häufigkeit — wie viel Datenverlust nehmen wir hin?

    Der Fachbegriff dafür ist RPO: der maximal akzeptable Datenverlust. Die Antwort bestimmt unmittelbar Ihre Frequenz.

    • Präsentationsseite → wöchentlich oder täglich
    • Blog oder Nachrichtenseite → täglich
    • E-Commerce → stündlich
    • Stark frequentierter Shop → häufiger als stündlich

    Den Komponenten eigene Frequenzen zu geben, erhöht den Schutz und senkt zugleich die Kosten: Dateien ändern sich selten, die Datenbank ständig. Ausführlich behandelt wird das auf unserer Seite zum Notfallwiederherstellungsplan .

    3. Aufbewahrung — wie weit müssen wir zurückgehen können?

    Das ist eine von der Häufigkeit getrennte Entscheidung und wird meist übersprungen. Die entscheidende Frage lautet: wie spät könnten wir ein Problem bemerken?

    Stille Beschädigungen (ein Plugin, das Daten langsam zerstört, ein unbemerkter Angriff) treten oft erst Wochen später zutage. Ist Ihre Aufbewahrung kurz, enthalten alle vorhandenen Backups bereits den beschädigten Zustand. Praktisch ist es, von jedem Typ mehrere Kopien zu halten und die Dauer nach der Kritikalität zu verlängern.

    Verarbeiten Sie personenbezogene Daten, setzen Sie zusätzlich eine Obergrenze: Das Datenschutzrecht verlangt, Daten nicht länger als zum Verarbeitungszweck nötig aufzubewahren. Diese Dauer definieren Sie in Ihrer Aufbewahrungs- und Löschrichtlinie und setzen sie im Backup mit automatischen Bereinigungsregeln durch.

    📍 Die kurze Antwort auf „wo sollen Backups liegen?“

    Mindestens eine Kopie muss unabhängig von dem gesicherten System liegen. Ein Backup auf demselben Server geht mit diesem Server verloren. Das ist die grundlegendste — und am häufigsten verletzte — Backup-Regel; Details in der 3-2-1-Regel.

    4. Ort und Zugriff — wo liegt es, wer kann es öffnen?

    • Wo liegen die Backups physisch und logisch? Welcher Anbieter, welche Region?
    • Wer hat Zugriff? Wird dieser Zugriff protokolliert?
    • Wird verschlüsselt, wer hält den Schlüssel und wo ist er gesichert?

    Der letzte Punkt ist entscheidend: Liegt Ihr Schlüssel nur auf dem verlorenen Server, ist auch Ihr verschlüsseltes Backup verloren. Bewahren Sie den Schlüssel unabhängig vom System auf.

    5. Verantwortung — wer macht was, und wann?

    • Wem gehört das Backup-Setup? (Schreiben Sie eine Rolle , keine Person.)
    • Wer erhält die Warnmeldungen? Und wer, während diese Person im Urlaub ist?
    • Wer entscheidet über eine Wiederherstellung?
    • Wer verantwortet in der Krise die Kundenkommunikation?

    6. Test — funktioniert die Richtlinie wirklich?

    Ohne diesen Punkt ist eine Richtlinie bloß ein Wunsch. Definieren Sie mindestens: Wie oft wird eine Wiederherstellung versucht, wer versucht sie, wo wird das Ergebnis festgehalten und was geschieht bei einem fehlgeschlagenen Test.

    Unterscheiden Sie: dass ein Backup erstellt wurde, dass seine Integrität geprüft wurde und dass seine Wiederherstellbarkeit erprobt wurde sind drei verschiedene Dinge. Ihre Richtlinie sollte alle drei abdecken — siehe Backup-Verifizierung.

    7. Kosten — wie viel sollten wir ausgeben?

    Die richtige Frage lautet nicht „was kostet Backup“, sondern „was würde uns ein Tag Datenverlust kosten“ . Rechnen Sie Letzteres aus: entgangene Bestellumsätze, Arbeitskosten für die Wiederherstellung von Inhalten, Kundenvertrauen und mögliche rechtliche Folgen.

    Neben dieser Zahl bleiben die Backup-Kosten meist klein. Es gibt zudem legitime Wege, sie zu senken: Inkrementelle Backups reduzieren übertragene Daten und Speicherverbrauch, und komponentenweise Frequenzen sorgen dafür, dass Sie nur dort zahlen, wo es nötig ist.

    8. Überprüfung

    Halten Sie fest, wann die Richtlinie zuletzt aktualisiert wurde, und legen Sie ein Überprüfungsintervall fest. Systeme ändern sich: Eine neue Anwendung kommt hinzu, ein Server zieht um, eine Komponente fällt weg. Eine veraltete Richtlinie vermittelt falsche Sicherheit.

    Zusammengefasst: die minimal funktionierende Richtlinie

    Umfang schriftlich · für jede Komponente eine Frequenz · Aufbewahrung definiert · mindestens eine Kopie unabhängig vom System · Verschlüsselungsschlüssel an anderem Ort · verantwortliche Rolle benannt · Testplan vorhanden und Ergebnisse dokumentiert. Eine einzige Seite, die diese sieben Punkte erfüllt, ist besser als das, was die meisten Unternehmen heute haben.

    Häufig gestellte Fragen

    Was sollte eine Backup-Richtlinie enthalten?

    Mindestens diese sieben Überschriften: Umfang (was gesichert wird und was nicht), Backup-Frequenz je Komponente, Aufbewahrungsdauer, Ort der Backups und Zugriffsrechte, Verschlüsselung und Schlüsselverwaltung, Verantwortungsrollen und ein Testplan. Eine Richtlinie ohne Testpunkt ist ein ungeprüfter Wunsch.

    Wo sollten Backups aufbewahrt werden?

    Mindestens eine Kopie muss unabhängig vom gesicherten System liegen. Ein Backup auf demselben Server oder im selben Hosting-Konto geht verloren, wenn der Server ausfällt, das Konto gesperrt wird oder Ransomware die Festplatte verschlüsselt. Das ist die grundlegendste Backup-Regel.

    Was darf ein Backup kosten?

    Der richtige Vergleich ist nicht die Backup-Gebühr, sondern die Kosten eines Tages Datenverlust: entgangene Bestellumsätze, Arbeitsaufwand für die Wiederherstellung von Inhalten, Kundenvertrauen und mögliche rechtliche Folgen. Neben dieser Zahl bleiben die Backup-Kosten in den meisten Unternehmen klein. Inkrementelle Backups und komponentenweise Frequenzen sind legitime Wege, sie zu senken.

    Wie lege ich die Aufbewahrungsdauer fest?

    Die entscheidende Frage lautet: Wie spät könnten wir ein Problem bemerken? Stille Beschädigungen und unbemerkte Angriffe treten oft erst Wochen später zutage; ist Ihre Aufbewahrung kurz, enthalten alle Backups bereits den fehlerhaften Zustand. Verarbeiten Sie personenbezogene Daten, dürfen Sie diese zudem gesetzlich nicht länger als für den Verarbeitungszweck nötig aufbewahren.

    Braucht auch ein kleines Unternehmen eine schriftliche Richtlinie?

    Ja — aber kein langes Dokument. Schon eine einzige Seite macht Backups unabhängig von einzelnen Personen. Das eigentliche Risiko ist nicht das Fehlen einer Richtlinie, sondern dass sie nur im Kopf einer Person existiert; geht diese Person oder ist sie in der Krise nicht erreichbar, steht das System ohne Verantwortlichen da.