Datensicherung, die im Ernstfall trägt: der geprüfte Rückweg

In den meisten Betrieben, in denen wir eine Bestandsaufnahme machen, läuft die Sicherung. Sie läuft sogar zuverlässig, oft seit Jahren, und der Tagesbericht meldet Erfolg. Was dieser Bericht bestätigt, ist allerdings nur eines: Es wurden Daten geschrieben. Er sagt nichts darüber, ob die geschriebenen Daten fachlich brauchbar sind, ob alle benötigten Systeme enthalten sind, ob sich der Bestand ohne die Software zurückholen lässt, die gerade verschlüsselt wurde, und wie lange das Zurückspielen dauern würde. Genau diese vier Punkte entscheiden im Ernstfall, und keiner davon steht im grünen Häkchen.

Die Befunde ähneln sich stärker, als man vermuten würde. Häufig sind Datenbanken der Fachanwendung im laufenden Zustand mitgesichert worden, sodass die Dateien zwar vorhanden, aber in sich nicht abgeschlossen sind. Häufig liegt das Sicherungsziel im selben Netz, unter denselben Zugangsdaten und auf demselben Stromkreis wie die Quelle. Häufig fehlen Postfächer, weil sie bei einem Anbieter liegen und deshalb als fremdes Problem gelten. Und fast immer fehlt eine Angabe darüber, wer im Notfall in welcher Reihenfolge was startet. Der laufende IT-Betrieb hält das System am Leben, aber die Vorsorge für den Ausfall ist eine eigene Aufgabe.

Hinzu kommt, dass der Ernstfall selten spektakulär ist. Ein versehentlich gelöschter Projektordner, ein defekter Datenträger, eine fehlgeschlagene Aktualisierung der Fachanwendung, ein Gerät, das nach einem Stromausfall nicht mehr startet: Solche Fälle sind der Alltag. Der Verschlüsselungsangriff ist der Ausnahmefall mit der größten Wirkung, aber die Vorsorge für die Alltagsfälle ist dieselbe. Eine Sicherung, die nie zurückgespielt wurde, ist keine Sicherung, sondern eine Vermutung.

Als Mindestmaß hat sich eine einfache Regel eingebürgert: mehrere Kopien der Daten auf mindestens zwei verschiedenen Systemen oder Medien, davon mindestens eine an einem anderen Standort (BSI). Die Regel wirkt banal, sie beantwortet aber genau die drei Ausfallarten, die im Mittelstand tatsächlich vorkommen. Die zweite Kopie schützt gegen den Defekt eines Datenträgers oder Geräts. Der andere Standort schützt gegen Ereignisse, die den gesamten Raum treffen: Brand, Löschwasser, Leitungswasser, Einbruch, Blitzschlag. Und die dritte Ergänzung, die inzwischen genauso wichtig geworden ist, schützt gegen einen Angreifer im eigenen Netz: mindestens eine Kopie, die nicht dauerhaft erreichbar ist.

Diese dritte Anforderung wird am häufigsten übersehen, weil sie unbequem ist. Eine dauerhaft eingebundene Netzwerkfreigabe, ein ständig angeschlossener Datenträger, ein Sicherungsziel mit denselben Anmeldedaten wie das Produktivsystem: Alles das ist bequem, und alles das ist im Angriffsfall genauso verschlüsselt wie die Quelle. Eine Kopie, die dauerhaft erreichbar ist, teilt das Schicksal des Systems, das sie sichern soll. Der Abstand muss technisch erzwungen sein, nicht durch Vorsicht hergestellt werden.

Für die Kopie außer Haus gibt es mehrere gangbare Wege: ein zweiter Betriebsstandort, ein Bankschließfach für Wechseldatenträger, das Rechenzentrum eines Dienstleisters. Wichtig ist weniger der Weg als die Prüfung zweier Punkte. Erstens: Ist die Kopie verschlüsselt, und liegt der Schlüssel getrennt von ihr an einem Ort, der im Notfall erreichbar ist? Zweitens: Wie lange dauert es, die Daten von dort zurückzuholen? Bei größeren Beständen ist der Versand eines Datenträgers manchmal schneller als die Leitung, und das sollte man vorher wissen und nicht im Ernstfall herausfinden.

Ein Rücksicherungstest ist mehr als das Öffnen einer Sicherungsdatei. Er besteht darin, einen Bestand in einer getrennten Umgebung wiederherzustellen, ihn von der zugehörigen Anwendung öffnen zu lassen, den Inhalt fachlich zu prüfen und die benötigte Zeit zu messen. Die fachliche Prüfung ist der Teil, der am häufigsten fehlt: Nicht die IT, sondern die Person aus dem Fachbereich erkennt, ob der letzte Auftrag des Vortages enthalten ist, ob die Preise stimmen und ob die Anhänge zu den Vorgängen noch am richtigen Datensatz hängen.

Der Takt richtet sich nach der Bedeutung des Systems und nach der Änderungshäufigkeit. Für die zentralen Systeme hat sich ein Test mindestens halbjährlich bewährt, für alle übrigen mindestens jährlich (Projekterfahrung). Zusätzlich gehört ein Test nach jeder wesentlichen Änderung: nach der Aktualisierung der Fachanwendung, nach einem Wechsel des Sicherungsziels, nach dem Umzug eines Servers und nach der Aufnahme eines neuen Systems in den Umfang. Ohne diesen Anlassbezug bemerkt man einen abgerissenen Sicherungsstrang erst beim nächsten regulären Test.

Der zweite Lauf zeigt den eigentlichen Nutzen des Tests. Der Fehler lag nicht in der Sicherung, sondern in der Umfangsliste, und er wäre ohne den Test bis zum Schadensfall unentdeckt geblieben. Genau deshalb ist das Protokoll wichtiger als das Ergebnis: Datum, geprüftes System, zurückgespielter Stand, gemessene Dauer, wer fachlich geprüft hat, welche Abweichung aufgetreten ist und welche Maßnahme daraus folgt. Diese Protokolle sind zugleich der Nachweis, den ein Kunde, ein Versicherer oder eine Prüfung im Rahmen einer Lieferkette sehen möchte.

Wenn im Ernstfall alle Bildschirme dunkel sind, entscheidet nicht die Qualität der Sicherung allein, sondern die Frage, ob jemand weiß, was in welcher Reihenfolge zu tun ist. Ein Wiederanlaufplan ist kein dickes Handbuch. Es genügen wenige Seiten, die den Ablauf beschreiben und außerhalb der eigenen Systeme verfügbar sind. Papier im Ordner, ein Ausdruck bei der Geschäftsführung, eine Kopie an einem zweiten Standort: Ein Plan, der nur im verschlüsselten Netzlaufwerk liegt, ist im entscheidenden Moment nicht vorhanden.

Dieser Plan ist keine Sonderaufgabe der IT, sondern Teil der Prozessdokumentation. Er wird einmal geschrieben, bei jedem Rücksicherungstest kurz gegengelesen und bei Änderungen an der Systemlandschaft nachgezogen. Für den Nutzen genügt es, dass eine ortskundige Person ihn versteht, ohne den ausgefallenen Zugang zu einem System zu benötigen.

Der Aufwand für diese vier Schritte ist überschaubar und fällt überwiegend einmalig an. Was bleibt, ist ein halbtägiger Termin je Testlauf und eine kurze Nachpflege bei Änderungen. Gemessen an dem, was ein mehrtägiger Stillstand der Auftragsbearbeitung kostet, ist das eine der günstigsten Absicherungen, die ein Betrieb treffen kann. Und anders als viele andere Vorsorgemaßnahmen liefert sie ein prüfbares Ergebnis: eine gemessene Zeit und ein Protokoll, das man jemandem zeigen kann.

Wichtig ist dabei die Reihenfolge. Wer mit der Technik beginnt, kauft Speicher und Software und weiß hinterher immer noch nicht, ob der Rückweg innerhalb der Zeit gelingt, die das Geschäft aushält. Wer mit den beiden Vorgaben je Ablauf beginnt, hat einen Maßstab, an dem sich jede spätere Entscheidung messen lässt, und meist stellt sich heraus, dass ein Teil der vorhandenen Mittel bereits ausreicht und nur anders eingesetzt werden muss.