Eine Sicherung ist dann brauchbar, wenn sich daraus ein benötigter Geschäftsprozess wiederherstellen lässt. Drei vorhandene Kopien können gemeinsam ausfallen, wenn derselbe Administrator sie löschen kann oder wenn die einzige Schlüsselverwaltung mit der Produktion verschlüsselt wurde. Die 3-2-1-Regel ist deshalb ein Ausgangspunkt für die Planung, kein Nachweis einer erfolgreichen Wiederaufnahme.
Dieser Leitfaden führt zu einem konkreten Sicherungsplan mit getrennten Fehlerquellen und einem ausgefüllten Wiederherstellungsprotokoll. Das fiktive Beispiel ist ein Ersatzteilhändler, dessen Auftragsbearbeitung Adressen, Bestellungen und Lieferstatus verarbeitet. Die Zahlen dienen seiner internen Planung und sind keine vorgeschriebenen Fristen für andere Unternehmen.
Was die drei Zahlen leisten
Üblicherweise bezeichnet 3-2-1 drei Datenkopien einschließlich der Produktion, zwei unterschiedliche Speichermedien und eine räumlich getrennte Kopie. In technischen Empfehlungen können die Begriffe anders konkretisiert sein. Die französische ANSSI beschreibt in ihrem Sicherungsleitfaden, Version 1.1 vom 27. November 2025 drei getrennte Kopien, unterschiedliche Medien und eine Offlinekopie. Diese Empfehlung wird hier als technische Quelle eingeordnet, nicht als deutsche Rechtsvorschrift.
Räumliche Trennung und Offlinebetrieb lösen verschiedene Probleme. Ein anderer Standort kann bei einem Brand helfen. Ist sein Speicher mit denselben kompromittierten Zugangsdaten erreichbar, schützt die Entfernung nicht vor absichtlicher Löschung. Umgekehrt kann ein nicht verbundenes Medium im selben Raum durch denselben Brand zerstört werden. Die Planung beschreibt daher beide Eigenschaften ausdrücklich.
Auch ein zusätzlicher Begriff wie „unveränderbar“ verlangt Prüfung. Eine konfigurierte Aufbewahrungssperre kann Änderungen oder Löschung verhindern, während ein Produkt lediglich eine optionale Funktion dafür anbietet. Das Team muss wissen, ob privilegierte Konten die Sperre verkürzen, das Konto schließen oder die Schlüssel vernichten können. Erst diese konkrete Konfiguration gehört in den Sicherungsplan.
Den wiederherzustellenden Dienst beschreiben
Der Ersatzteilhändler beginnt nicht mit der Speicherkapazität. Sein Fachbereich benennt den kleinsten brauchbaren Betrieb: Aufträge lesen, neue Bestellungen erfassen, Lieferadressen prüfen und Versandetiketten erzeugen. Die Rückkehr einer Datenbank allein reicht dafür nicht aus.
Das Team erfasst deshalb Datenbank, Dokumentablage, Anwendungsversion, Konfiguration, Identitätsdienst, Zertifikate und die Verbindung zum Versanddienst. Für jedes Element steht fest, ob es gesichert, aus einer vertrauenswürdigen Quelle neu installiert oder durch einen vorbereiteten Ersatz bereitgestellt wird. Die Abhängigkeiten ergänzen den übergeordneten Business-Continuity-Plan, ohne dessen gesamten Krisenprozess zu wiederholen.
Eine Liste der gesicherten Verzeichnisse wird gegen diese fachliche Beschreibung geprüft. Im Beispiel fehlen zunächst die Vorlagen für Versandetiketten. Sie liegen auf einem Arbeitsplatz außerhalb des zentralen Sicherungsumfangs. Die Korrektur besteht darin, die benötigte Konfiguration kontrolliert zentral zu verwalten und in den Wiederherstellungstest einzubeziehen.
Verlust und Wiederanlauf als Ziele festlegen
Der Fachbereich entscheidet im Beispiel, dass höchstens eine Stunde regulär erfasster Aufträge verloren gehen darf. Dieses Wiederherstellungspunktziel wird als RPO dokumentiert. Für den begrenzten Versandbetrieb setzt er ein Wiederanlaufziel von sechs Stunden an, das RTO. Beide Werte sind begründete Geschäftsentscheidungen dieses Beispiels.
Die IT prüft, ob die Sicherung und gegebenenfalls ergänzende Protokollierung dieses RPO tatsächlich erreichen. Eine tägliche Kopie genügt nicht, weil der mögliche Verlust deutlich größer wäre. Zugleich erfordert das RTO eine Betrachtung von Beschaffung, Übertragung, Entschlüsselung, Installation und fachlicher Prüfung. Eine schnelle Kopie überträgt noch keine nutzbare Anwendung.
Die Geschäftsleitung hält außerdem fest, wie zwischenzeitlich neue Aufträge aufgenommen werden. Eine vorbereitete, zugriffsbeschränkte Notfallliste kann den Betrieb überbrücken. Nach Wiederanlauf muss jemand diese Vorgänge abgleichen, damit weder Bestellungen verloren gehen noch doppelt versendet werden. Der Abgleich gehört zur Wiederherstellung und braucht einen verantwortlichen Fachmitarbeiter.
Einen ausgefüllten Kopienplan erstellen
| Bestand | Zweck und Ort | Zugriffstrennung | Nachweis |
|---|---|---|---|
| Produktive Auftragsdaten | Laufender Betrieb am Hauptstandort | Anwendungskonten nach Aufgabe | Fachliche Funktionskontrolle |
| Schnelle Sicherung | Getrennter Sicherungsspeicher für Einzelwiederherstellungen | Eigene Sicherungsadministration | Wiederherstellung eines Auftrags mit Anlage |
| Geschützte externe Kopie | Anderer Standort, für das Beispiel zusätzlich zeitweise offline | Getrennte Verwahrung und freigegebener Transport | Aufbau ohne produktives Administratorkonto |
Der Plan nennt ergänzend Sicherungszeitpunkte, Generationen, Verantwortliche und die Abfolge der benötigten Voll- und Änderungssicherungen. Ein inkrementeller Stand ist wertlos, wenn seine notwendige Basissicherung bereits gelöscht wurde. Bei verschlüsselten Kopien wird außerdem vermerkt, welches Wiederherstellungsverfahren den passenden Schlüssel bereitstellt.
Ein lokaler Spiegel oder eine Synchronisation zählt nicht automatisch als unabhängige Sicherung. Wird eine versehentliche Löschung sofort repliziert, kann der Fehler beide Datenbestände treffen. Das Team prüft deshalb, ob frühere Zustände verfügbar und gegen dieselbe Ursache geschützt sind. Die bloße Anzahl sichtbarer Ordner beantwortet diese Frage nicht.
Die Macht zur Löschung begrenzen
Die Sicherungsadministration erhält im Beispiel eigene Konten. Gewöhnliche Produktivadministratoren dürfen weder Sicherungsregeln ändern noch externe Generationen entfernen. Notfallzugriffe werden separat verwahrt und ihre Verwendung wird dokumentiert. Dabei prüft die IT auch technische Dienstkonten, deren weitreichende Befugnisse im normalen Berechtigungsantrag leicht übersehen werden.
Der BSI-Maßnahmenkatalog gegen Ransomware behandelt insbesondere Offlinekopien und die Prüfung von Sicherungen vor der Wiederherstellung. Im eigenen Betrieb wird daraus ein überprüfbarer Versuch: Ein reguläres Produktivkonto kann die geschützte Kopie weder verändern noch entfernen. Der Versuch erfolgt kontrolliert mit Testdaten und vereinbarter Rückfallmöglichkeit.
Die Trennung muss auch für Geheimnisse gelten. Liegen alle Wiederherstellungscodes ausschließlich in einem Tresor innerhalb des ausgefallenen Netzes, entsteht eine zirkuläre Abhängigkeit. Das Verfahren zur Verschlüsselung und Schlüsselverantwortung wird deshalb gemeinsam mit dem Sicherungsplan freigegeben.
Eine vollständige Übung durchführen
Im Beispiel beginnt die Übung um 08:30 Uhr mit der Annahme, dass Produktion und übliche Anmeldung nicht verfügbar sind. Das Team beschafft den getrennten Zugang, identifiziert den geeigneten Sicherungsstand und baut die Anwendung in einem isolierten Netz auf. Es verbindet diese Umgebung nicht vorschnell mit möglicherweise kompromittierten Systemen.
Um 10:10 Uhr ist die Datenbank lesbar. Um 11:00 Uhr funktionieren Anmeldung und Auftragssuche. Die Versandprüfung scheitert jedoch an einem fehlenden Zertifikat. Erst nach dessen kontrollierter Bereitstellung kann der Fachbereich um 15:15 Uhr einen vollständigen Testauftrag bis zum Etikett bearbeiten. Das Ergebnis lautet somit: sechs Stunden und fünfundvierzig Minuten bis zum vereinbarten Mindestbetrieb; das Ziel von sechs Stunden wurde verfehlt.
Dieses Ergebnis ist nützlicher als ein pauschales „Backup erfolgreich“. Der Maßnahmenverantwortliche ergänzt das Zertifikatsverfahren, prüft dessen sichere Verwahrung und setzt eine erneute Übung an. Der nächste Bericht misst dieselbe vollständige Leistung. Er darf nicht lediglich bestätigen, dass die Datenbank diesmal etwas schneller kopiert wurde.
Beschädigte oder manipulierte Kopien erkennen
Nach einem Angriff ist die jüngste Sicherung nicht automatisch die geeignete. Sie kann bereits veränderte Konfigurationen, unerwünschte Benutzer oder Schadsoftware enthalten. Das Team verbindet den zeitlichen Verlauf des Vorfalls mit der Auswahl des Wiederherstellungspunkts und dokumentiert, welche Unsicherheiten verbleiben.
Prüfsummen helfen bei bestimmten Integritätsfragen, beweisen aber nicht die fachliche Richtigkeit oder Freiheit von Schadcode. Das Beispielunternehmen prüft deshalb zusätzlich Benutzerrechte, eine Auswahl von Aufträgen, Summen und eine vollständige Testtransaktion. Verdächtige Originalsysteme werden für notwendige Untersuchungen berücksichtigt, bevor man sie durch eine Wiederherstellung überschreibt.
Die Übungsumgebung erhält nur die notwendigen Zugriffe. Echte Kundendaten werden nicht auf frei erreichbare Testsysteme kopiert. Nach Abschluss werden Testkopien und temporäre Exporte entsprechend dem festgelegten Zweck entfernt. Das Ergebnis wird im Datenschutz-Audit als konkrete Wirksamkeitsprüfung referenziert.
Aufbewahrung und Löschung zusammendenken
Artikel 32 DSGVO verlangt unter anderem eine angemessene Wiederherstellungsfähigkeit und regelmäßige Prüfung der Schutzmaßnahmen. Das rechtfertigt keine unbegrenzte Vorratshaltung sämtlicher Sicherungen. Im Löschkonzept werden der notwendige Wiederherstellungszeitraum, die Generationen und der Umgang mit bereits gelöschten Datensätzen erklärt.
Das Beispielunternehmen hält Löschvorgänge so vor, dass eine Wiederherstellung sie vor der Rückkehr in den Regelbetrieb erneut anwenden kann. Die Liste enthält nur die dafür erforderlichen Kennungen und wird selbst geschützt. Gelöschte Kundendaten sollen durch eine ältere Kopie nicht unbemerkt wieder aktiv verarbeitet werden. Gesetzliche Archivierung bestimmter Belege bleibt eine getrennte Aufgabe mit eigenem Umfang.
Betrieb, Kosten und Eskalation festhalten
Die tägliche Überwachung betrachtet fehlende Jobs, ungewöhnliche Größen, Konfigurationsänderungen und nicht erreichbare externe Kopien. Für Warnungen gibt es eine zuständige Rolle und Vertretung. Eine automatische Meldung an ein unbeaufsichtigtes Postfach ist keine bearbeitete Abweichung.
Bei Dienstleistern werden Wiederherstellung, Datenübertragung, zusätzliche Rechenumgebung und Unterstützung als eigene Kostenbestandteile erfragt. Der Vergleich verwendet die im Versuch benötigten Datenmengen und Zeiten. Ebenso wichtig ist die Möglichkeit, ohne das normale Anbieterportal an die Kopien zu gelangen, falls gerade dieses Konto ausfällt.
Ein tatsächlicher Verlust personenbezogener Daten wird zusätzlich datenschutzrechtlich bewertet. Die erfolgreiche Wiederherstellung beseitigt nicht automatisch eine vorherige Offenlegung. Das Team verbindet seine technische Chronologie mit dem Verfahren zur Benachrichtigung nach einer Datenpanne. Der fertige Sicherungsplan enthält damit Kopien, getrennte Zugänge und eine nachgewiesene fachliche Wiederaufnahme.