Backup

Eine Kopie Ihrer Daten, die getrennt vom Original gespeichert wird und die Wiederherstellung nach Datenverlust durch Ransomware, Hardwareausfall, versehentliches Löschen oder Naturkatastrophen ermöglicht.

Ein Backup ist eine Kopie von Daten, die unabhängig vom Original gespeichert wird. Wenn Ransomware Ihre Dateien verschlüsselt, ein Server ausfällt oder jemand versehentlich einen kritischen Ordner löscht, ermöglicht ein Backup die Wiederherstellung, ohne Lösegeld zu zahlen oder von vorne zu beginnen.

Die 3-2-1-Regel

Die Standard-Backup-Strategie:

• 3 Kopien Ihrer Daten (das Original plus zwei Backups)
• 2 verschiedene Speichertypen (z.B. lokales Laufwerk und Cloud)
• 1 Kopie extern oder offline (unerreichbar für Ransomware, die sich über Ihr Netzwerk verbreitet)

Warum Backups versagen, wenn man sie braucht

Ein Backup zu haben ist nicht dasselbe wie einen funktionierenden Wiederherstellungsprozess zu haben. Häufige Fehlerquellen:

• Ransomware verschlüsselt auch Backups: Wenn Backups auf einem netzwerkverbundenen Laufwerk liegen, kann Ransomware sie erreichen. Offline- oder unveränderliche Backups lösen dieses Problem.
• Nie getestet: Organisationen stellen erst beim Restore-Versuch fest, dass ihre Backups korrupt oder unvollständig sind. Regelmässige Wiederherstellungstests sind unverzichtbar.
• Zu langsam: Eine vollständige Wiederherstellung aus dem Backup kann Tage dauern. Kennen Sie Ihr Recovery Time Objective (RTO) und planen Sie entsprechend.
• Zu alt: Wenn Ihr letztes Backup eine Woche alt ist, verlieren Sie eine Woche Arbeit. Kennen Sie Ihr Recovery Point Objective (RPO).

Backup und Verschlüsselung

• Backups verschlüsseln: Wenn ein Backup gestohlen oder ein Cloud-Konto kompromittiert wird, stellt Verschlüsselung sicher, dass die Daten unlesbar bleiben.
• Verschlüsselungsschlüssel separat aufbewahren: Backup-Verschlüsselungsschlüssel an einem anderen Ort als die Backups selbst speichern. Ein Passwort-Manager ist dafür eine sinnvolle Option.

Backup und Schweizer Compliance

Das nDSG verlangt angemessene technische Massnahmen zum Schutz von Personendaten. Verschlüsselte, getestete Backups gelten als Mindesterwartung. Für Organisationen, die besonders sensible Daten verarbeiten (Patientendaten, Finanzdaten), erwarten Regulatoren dokumentierte Backup-Verfahren und regelmässige Wiederherstellungstests.

Praktische Empfehlungen für KMU

1. Cloud-Backup für Dokumente und E-Mail (Microsoft-365- und Google-Workspace-Backups sind nicht automatisch: Der Anbieter schützt die Infrastruktur, nicht Ihre Daten)
2. Lokales Backup für schnelle Wiederherstellung kritischer Systeme
3. Unveränderliche/Offline-Kopie für Ransomware-Resilienz
4. Wiederherstellung quartalsweise testen mit dokumentiertem Prozess
5. Backup-Jobs überwachen, damit Fehler sofort erkannt werden und nicht erst in einer Krise