• Mob: +49 176 34 61 81 26 Tel: +49 7852 93 79 82
  • Hauptstrasse 67, 77731 Willstätt

Datensicherung

Daten sind nicht nur Daten, deshalb ist eine regelmäßige Datensicherung erforderlich!

Eine regelmäßige Datensicherung sollte für jeden PC zum Standard gehören! Private Personen oder Unternehmen sind PC-Nutzers. Sie produzieren und lagern Daten auf Speichermedien aller Art (Festplatte, USB, CD…). Die Verwaltung, Nutzung und Wiederverwendung von Daten sind zwar unterschiedlich in den Interessen, jedoch, wenn Daten verloren gehen, leiden die Benutzer alle gleich.  Wenn es aber auf die Tastatur eine Backup-Taste gäbe, hätte jeder Anwender diese schon entdeckt, oder?

Datensicherung

 

Wir sollten regelmäßig eine Sicherungskopie unseren Daten anlegen, ob wir diese im Alltag brauchen oder nicht, nicht jetzt aber vielleicht für die nahe und ferne Zukunft.

  • Im Fall eines Systemcrashes,
  • bevor das Betriebssystem aktualisiert wird,
  • vor einer stehende Migration auf einem neuen Betriebssystem,
  • vor der Inbetriebnahme eines neues PC,
  • vor der Installation eines neuen Programms,

Dabei können die Gründe für den Verlust gespeicherter Daten vielfältiger Art sein, wie z. B.:

  • Zerstörung von Datenträgern durch höhere Gewalt wie z. B. Feuer
  • versehentliches Löschen oder Überschreiben von Dateien
  • vorsätzliches oder versehentliches Setzen von Löschmarkierungen in Archivsystemen
  • fehlerhafte Datenträger
  • unkontrollierte Veränderungen gespeicherter Daten
  • Datenzerstörung durch Computer-Viren

Daten sind nicht nur Daten

  • es sind praktische Werkzeuge (Betriebssystem + Programme),
  • es sind Dateien:
    • voller Eindrücke und Emotionen (Erinnerungen, Fotos, Filme),
    • voller Melodie (Musik),
    • voller Schweiß und Arbeit (Dokumente),
    • wissenswert für die Entwicklung unseren Kompetenzen, Karriere, Projekte und in der Beziehung und die Relation zueinander bilden diese Daten ein  verherbares Know-How.

Daten haben sind in unserer Wirtschaft austauschbare Güte mit einem Wert.

Ein kompletter Ausschluss der Risiken ist nahezu unmöglich, so dass Maßnahmen ergriffen werden müssen, die die Folgen eines Datenverlusts mindern. Eine Datensicherung soll gewährleisten, dass durch einen redundanten Datenbestand der IT-Betrieb kurzfristig wiederaufgenommen werden kann, wenn Teile des operativen Datenbestandes verloren gehen.

Von der Datensicherung zu unterscheiden ist die Archivierung von Daten

Richtlinien für die Archivierung sind in einem separaten Archivierungskonzepts beschrieben. Darüber hinaus gilt das Notfallvorsorgekonzept, in dem Verhaltensregeln für den Notfall zusammengestellt sind.

Die Aufbewahrung von Datensicherungen sollte örtlich entfernt von der EDV-Anlage und in einer sicheren Umgebung erfolgen.

  • Für Privatpersonen bieten sich externe Festplatten mit FireWire, eSATA oder USB-Anschluss an. Diese lassen sich unkompliziert an das zu sichernde System anschließen und wieder von diesem trennen und ermöglichen so zumindest eine entfernte Aufbewahrung. Auch netzwerkbasierende Festplatten sind einfach anzuschließen und zu entfernen und damit sinnvolle Sicherungen möglich.
  • Für kleinere Unternehmen eignen sich z. B. Bankschließfächer zur Datenträgeraufbewahrung. Allerdings kann in der Regel nicht zu jeder Zeit darauf zugegriffen werden, da der Zugang zu den Datenträgern nur während der Öffnungszeiten der Bank möglich ist. Eine Alternative dazu stellt die Online-Datensicherung dar: die Datensicherung erfolgt außer Haus, meist in einem Rechenzentrum, und es kann jederzeit darauf zugegriffen werden. In diesem Fall ist aber darauf zu achten, dass der Datentransfer in gesicherter Art und Weise erfolgt; auch der externe Dienstleister sollte die Inhalte nicht lesen können.
  • Für größere Unternehmen können sich speziell gesicherte Safes oder Räumlichkeiten (sog. Zellen) zur feuersicheren Unterbringung der Tape-Library lohnen. Auch können die gesicherten Daten auf mehrere Standorte oder Rechenzentren verteilt werden.

Dokumentation der Datensicherung oder Log-Dateien

Bei der Datensicherung ist es sehr wichtig, eine gute Dokumentation zu führen, da von ihr der Erfolg und die Geschwindigkeit der Datensicherung sowie der Wiederherstellung abhängen können.

Die Dokumentation sollte umfassen:

  • Ablauf der Datensicherung
  • Aufbau der Archivierung
  • zu treffende (Sofort-)Maßnahmen
  • Kompetenzen (der Mitarbeiter und Dienstleister)
  • Prioritäten für besonders zeitkritische Daten und Systeme

Für eine bessere Übersichtlichkeit ist die Dokumentation für Sicherung und Wiederherstellung jeweils getrennt in einem Sicherungs- bzw. Wiederherstellungsplan festzulegen.

Die Dokumentation könnte auch dem Sicherungskonzept beiligen.

3 Arten von Datensicherungen

Spiegelung

Die Daten werden redundant und zeitgleich auf verschiedenen Datenträgern gespeichert.

Diese Art der Datensicherung ist nur für die Systeme zu wählen, bei denen der Speicherausfall ohne Zeitverlust kompensiert werden soll, da durch die doppelte Auslegung der Datenträger (z. B. Festplatten) und durch die notwendige Steuerungssoftware hohe Kosten entstehen.

Zu beachten gilt, dass dies keine vollwertige Datensicherung darstellt, sondern lediglich einen Schutz gegen den Datenverlust durch Hardwaredefekte. Dem Datenverlust z. B. durch versehentliches Löschen oder dem Integritätsverlust durch unkontrollierte Datenänderungen kann dadurch nicht begegnet werden, da der Schaden auf beiden Speichermedien gleichermaßen auftritt.

Spiegelung bewertet DCSInform folgender Maßen:

  • nicht ausreichend (keine vollwertige Datensicherung)
  • belegt Speicherressourcen
  • macht oft krach (es kann richtig radeln)
  • ist nicht sicher da wenn in der Firma eingebrochen wird und Server gestohlen wird, hilft eine Datenspiegelung nicht weiter: Alle Daten sind einfach weg!

Wenn eine Festplatte kaputt geht gibt es 80 % Chance, dass die andere Festplatte gleichzeitig oder verzögert auch kaputt geht

Sicherung

  • Volldatensicherung als „Normale Sicherung“ bezeichnet: Komplettsicherung
  • differenzieller Sicherung: dei der sogenannten differenziellen Sicherung werden alle Daten, die seit der letzten Komplettsicherung geändert wurden oder neu hinzugekommen sind, gespeichert.
  • und inkrementeller Sicherung:Bei der inkrementellen Sicherung werden immer nur die Dateien oder Teile von Dateien gespeichert, die seit der letzten inkrementellen Sicherung oder (bei der ersten inkrementellen Sicherung) seit der letzten Komplettsicherung geändert wurden oder neu hinzugekommen sind. Es wird also immer auf der letzten inkrementellen Sicherung aufgesetzt. Dieses Verfahren hat den Nachteil, dass bei einer Wiederherstellung die Daten in der Regel aus mehreren Sicherungen wieder zusammengesucht werden müssen. Mittels verschiedener Techniken (Datumsstempel, Prüfsummen) muss gewährleistet sein, dass die vollständige Kette (Vollsicherung – inkrementelle Sicherungen 1, 2, 3 usw. – Originaldaten) fehlerfrei nachvollziehbar ist.

Differenzielle und inkrementelle Sicherung setzen mindestens eine erfolgte Volldatensicherung voraus.

Bei der normalen Datensicherung werden bestimmte Dateien und/oder Verzeichnisse (Ordner) ausgewählt, deren Inhalt gesichert werden soll.

Es besteht auch die Möglichkeit, die Daten nach verschiedenen Kriterien oder bestimmte Dateiformate auszuwählen.

Speicherabbildungssicherung, Image Backup

Ganze Datenträger oder Partitionen lassen sich als Abbild sichern. In allen Fällen ist es möglich, auch lediglich Teile über eine Extraktion aus einem vollständigen Sicherungssatz  wiederherzustellen.

Privatdaten sichern

Für Privatanwender hängt die Art der sinnvollsten Datensicherung stark von der zu Verfügung stehenden Hardware, dem vorhandenen Fachwissen und nicht zuletzt von der persönlichen Einstellung zu den zu sichernden Daten und deren Sicherung ab.

Mit ausreichendem Engagement lassen sich schon mit einfachen Mitteln Datensicherungen erstellen und die Sicherheit auf industrielles Niveau ausbauen.

Auf dem Softwaremarkt stehen sowohl kommerzielle, kostenlose wie auch freie Programme zur Verfügung.

Zu den bekanntesten kommerziellen Angeboten gehören die Programme

  • True Image der Firma Acronis,
  • ShadowProtect der Firma StorageCraft,
  • DriveImage XML von runtime software,
  • Carbon Copy Cloner für Mac OS X der Firma Bombich Software.
  • Snapshot
  • Robocopy
  • FBackup

Synchronisationsprogramme wie rsync, Beyond Compare 3 ,  und schließlich Archivierungsprogramme wie tar.

Ab Mac OS X 10.5 (Leopard) ist mit Time Machine eine automatisierte Datensicherungslösung für Sicherheitskopien auf externe Festplatten (USB/FireWire oder Netzwerklaufwerke) in das Betriebssystem integriert.

Sinnvoll ist eine Sicherung auf einer separaten Festplatte. Eine externe Festplatte kann nach der Datensicherung getrennt vom Computer an einem sicheren Ort aufbewahrt werden.

Bei einer internen Festplatte ist wenigstens darauf zu achten, dass eventuelle Viren und Schadprogramme während des regulären Betriebs keinen Schreibzugriff auf das Sicherungsmedium haben.

Festplatten mit sehr großem Speichervermögen werden immer preiswerter.

Auch auf einem USB-Speicher-Stick oder auf DVD/DVD-RW sind Sicherungen praktikabel. Brenner in Notebooks und Desktop-PCs gehören seit Langem zur üblichen Grundausstattung und die Leermedien sind günstig.

Die einfachste Möglichkeit, ohne Software und mit nur wenig Hintergrundwissen eine recht gute Sicherungskopie zu erstellen, ist die Anlage von mindestens zwei Sicherungen im regelmäßigen Abstand auf physikalisch unabhängigen Datenträgern.

Mit drei oder mehr Medien lässt sich dieses Prinzip dahingehend ausbauen, kleinschrittige Änderungen rückgängig machen zu können oder weiter zurückliegende Versionen vorzuhalten. Mit anderen Medien lässt sich die Geschwindigkeit und Kapazität steigern.

Sind die Daten auf der ursprünglichen Festplatte entsprechend sortiert, kann die Sicherung aktueller oder besonders wichtiger Daten in kürzeren Zeitabständen erfolgen (z. B. täglich) als die der übrigen Bestände.

Unternehmensdaten sichern

Der Verlust von Daten kann erhebliche Auswirkungen auf die Geschäftstätigkeit haben. Sind Anwendungsdaten oder Kundenstammdaten verloren oder verfälscht, kann dies für ein Unternehmen Existenz bedrohend sein.

Darüber hinaus existieren gesetzlich verpflichtende Regelungen (Handels- und Steuerrecht etc.), die einzuhalten sind. So schreiben z. B. die Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme (GoBS) Datensicherungsmaßnahmen vor, „die Risiken für die gesicherten Programme/Datenbestände hinsichtlich Unauffindbarkeit, Vernichtung und Diebstahl“ vermeiden.

Zur Festlegung der Verfahrensweise zur Datensicherung ist eine Übersicht zu erstellen, in der nachfolgende Angaben aufgeführt werden. Anhand dieser sind für die einzelnen IT-Systeme Datensicherungspläne zu erstellen. Es sind die entsprechenden Verantwortlichen für die IT-Systeme und die darauf betriebenen Anwendungen einzubeziehen.

(a)  Spezifikation der zu sichernden Daten

Es muss eine Übersicht der aufgeführten Daten geben, die zu sichern sind.. Hierzu gehören Anwendungs- und Betriebssoftware, Systemdaten, Anwendungsdaten und Protokolldaten.

(b)  Verfügbarkeitsanforderungen der IT-Anwendungen an die Daten

Für die unter (a) ermittelten Daten, die gesichert werden sollen, sind die Verfügbarkeitsanforderungen festzulegen. Dabei muss berücksichtigt werden, wie lange die Fachaufgabe ohne diese Daten weitergeführt werden kann, ohne dass auf Datensicherungsbestände zurückgegriffen werden muss.

(c)  Rekonstruktionsaufwand der Daten ohne Datensicherung

Zur wirtschaftlichen Betrachtung der Datensicherung ist zu prüfen, ob und mit welchem Aufwand zerstörte Datenbestände rekonstruiert werden könnten, wenn eine Datensicherung nicht zur Verfügung steht.

(d)  Datenvolumen

Das Datenvolumen ist wesentlicher Faktor bei der Wahl der aufgeführten Medien.

(e)  Änderungsvolumen

Das Änderungsvolumen ist sehr entscheidend für die Wahl des Datensicherungsverfahrens und der Datensicherungshäufigkeit. Daher ist zu prüfen, in welchem Umfang die verschiedenen Daten sich innerhalb eines festgelegten Zeitraums ändern. Notwendig sind Angaben, ob bestehende Dateien inhaltlich geändert oder ob neue Dateien erzeugt werden.

(f)   Änderungszeitpunkte der Daten

Es sind Sicherungszeitpunkte für die verschiedenen Daten festzulegen. Hierzu sollen regelmäßige Zeitpunkte festgelegt werden, die sich an den Besonderheiten der Daten orientieren. Hierbei können Intervalle oder anlassbezogene Datensicherungszeitpunkte gewählt werden.

(g)  Fristen

Es sind gesetzliche Aufbewahrungs- und Löschfristen zu beachten.

(h)  Vertraulichkeitsbedarf der Daten

Zur Festlegung der Sicherheitsmaßnahmen für die Datensicherungskopien ist die Vertraulichkeit der jeweiligen Daten festzulegen. Zu beachten ist, dass durch Zusammenführen verschiedener Daten mit gleicher Vertraulichkeitsstufe auf einem Sicherungsmedium (durch Kumulation) eine höhere Schutzbedarfsstufe für das Sicherungsmedium erreicht werden kann.

(i)    Integritätsbedarf der Daten

Die Daten sind entsprechend ihres Integritätsbedarfs abzuspeichern und aufzubewahren. Dabei muss sichergestellt sein, dass die Daten während der Aufbewahrungszeit nicht verändert werden.

Dies ist insbesondere bei Datenbanken und anderen in Verbindung stehenden Daten zu berücksichtigen.

(j) Kenntnisse und datenverarbeitungsspezifische Fähigkeiten der IT-Benutzer

Sofern es die Kenntnisse und Fähigkeiten der einzelnen IT-Benutzer zulassen, können bestimmte Datensicherungen an die Benutzer delegiert werden.

Datensicherungskonzept

Verpflichtung der Benutzer auf Datensicherung

Alle Mitarbeiter sind zur Einhaltung des Datensicherungskonzepts verpflichtet und sind aufgefordert, an seiner stetigen Verbesserung mitzuarbeiten.

Regelung der Verantwortlichkeiten

Alle Informationseigentümer bzw. Vorgesetzte oder Projektleiter entscheiden für ihren Verantwortungsbereich über Regeln zur Dateiablage und legen in Zusammenarbeit mit den Administratoren die Modalitäten der Datensicherung fest. Alle Regelungen werden in einem Datensicherungsplan festgehalten (Details zum Datensicherungsplan sind in Kapitel 11 beschrieben).
Es ist zu entscheiden und schriftlich zu fixieren, wer für die Durchführung der Datensicherung verantwortlich ist. Es gibt folgende Verantwortlichkeitsgruppen:

  • IT-Benutzer bzw. Informationseigentümer selbst
  • Administrator/Systemverwalter
  • für die Datensicherung speziell ausgebildeter Mitarbeiter

Darüber hinaus sind die Entscheidungsträger zu benennen, die eine Datenrekonstruierung veranlassen können.

Auch ist festzulegen, wer berechtigt ist, eine Datenrekonstruierung des Gesamtdatenbestandes oder ausgewählter, einzelner Dateien operativ durchzuführen.

Es ist klar festzulegen und zu dokumentieren, wer auf den/die Datensicherungsträger zugriffsberechtigt ist. Es muss sichergestellt sein, dass nur Berechtigte Zugriff auf die Datensicherungen erhalten.
Bei der Festlegung der Verantwortlichkeit ist insbesondere der Vertraulichkeits-, Integritätsbedarf der Daten und die Vertrauenswürdigkeit der zuständigen Mitarbeiter zu betrachten. Es muss sichergestellt werden, dass der Verantwortliche erreichbar ist und ein Vertreter benannt und eingearbeitet wird.
Darüber hinaus ist ein Verantwortlicher für die Datenrekonstruktionsübung festzulegen. Dies ist mit dem Notfallvorsorgekonzept abzustimmen.

Allgemeine Grundsätze

Es ist eine zentrale Datenhaltung anzustreben, so dass Daten automatisch über das Netz gesichert werden können. Ausnahmen für mobil eingesetzte IT-Systeme oder IT-Systeme, mit denen geheime Daten verarbeitet werden, sind zugelassen.

Komplexe Systeme sind nur durch entsprechend kompetente Mitarbeiter zu sichern.

IT-Benutzer sollten die Daten nur selbst sichern, wenn die Sicherung durch einen ausgebildeten Administrator nicht möglich oder nicht sinnvoll ist (z. B. bei Tele(heim)arbeit, mobiler Nutzung des IT-Systems).
Die Pflicht zur Datensicherung darf aber nur auf die IT-Benutzer übertragen werden, wenn diese ausreichend qualifiziert und der Aufgabe gewachsen sind!    Lexware Gesamtsicherung mit Formulare wird einmal täglich durch Frau Blanc ausgeführt und unter folgenden Pfad abgelegt:

Datensicherungen sollten möglichst automatisiert ablaufen, um Fehler zu vermeiden.
Wenn IT-Benutzer mit der Datensicherung betraut wurden, sind ihnen entsprechende IT-Anwendungen zur Verfügung zu stellen.

Aufbewahrungsorte für die Verwahrung der Datensicherungen bereitzustellen (abschließbarer Schrank, Tresor, Büroräume etc.).

•    Die 2 Sicherungsfestplatten werden bei Nicols in einer schließbaren Schublade aufbewahrt.
•    Schlüssel dieser Schublade bekommt die
•    Sekretärin an der Zentrale (bei Nicols)
•    oder falls abwesend eine stellvertretende Position

Wird die Datensicherung nicht von den IT-Benutzern selbst durchgeführt, sind die Verantwortlichen zur Verschwiegenheit bezüglich der Dateninhalte verpflichtet. In Einzelfällen ist eine Verschlüsselung in Betracht zu ziehen.

Bei der Rekonstruktion von Daten ist größte Vorsicht geboten, um nicht versehentlich Daten zu überschreiben oder Abläufe zu stören.

Kontrolle der Datensicherung

Der Verantwortliche für eine Datensicherung muss regelmäßig überprüfen, ob die Datensicherung tatsächlich korrekt durchgeführt wurde.
Besonders bei automatischen Prozeduren ist diese Prüfung notwendig. Prüfpunkte können sein Auswertung von Log-Dateien und Fehlerprotokollen, Datum der Sicherungsdatei, Stichprobenprüfung der Dateiinhalte, Plausibilität der Dateigröße etc. In Einzelfällen kann ein Dateivergleich notwendig sein (z. B. wenn kryptographische Verfahren eingesetzt werden).
•    Administrator:
•    Sicherheitsbeauftragter:
•    Vertreter

Schulung und Information der Mitarbeiter

Die Mitarbeiter sind hinsichtlich der Bedeutung der Datensicherung zu sensibilisieren.    

Alle IT-Benutzer müssen über sie betreffende Regelungen informiert werden, insbesondere darüber, welche Daten bzw. Verzeichnisse regelmäßig automatisch gesichert werden und welche nicht.
Auch die Aufbewahrungszeit der Datensicherungen muss bekannt gegeben werden.
Vor der ersten Durchführung einer Datensicherung sind betroffene Mitarbeiter in der Durchführung der notwendigen Maßnahmen zu schulen. Hierunter fällt:

  • korrekte Wahl und Nutzung der Datensicherungs-Datenträger
  • Zugriffsberechtigungen auf Datensicherung bei Datensicherung und Datenrekonstruktion
  • korrekte Nutzung der Programme zur Datensicherung
  • korrekte Aufbewahrung und Dokumentation der Datensicherungs-Datenträger

Übungen zur Datenrekonstruktion

Für die Rekonstruktion eines Datenbestandes muss geprüft werden, ob mit den vorhandenen Sicherungskopien der Daten ein solches Vorhaben durchgeführt werden kann. Technische Defekte, falsche Parametrisierung, eine unzureichende Datenträgerverwaltung o. ä. können eine Rekonstruktion von gesicherten Daten unmöglich machen.
Die Rekonstruktion von Daten mit Hilfe von Datensicherungsbeständen muss – mindestens – nach jeder Änderung des Datensicherungsverfahrens getestet werden. Hierbei ist sicherzustellen, dass eine vollständige Datenrekonstruktion möglich ist.

Auf diese Weise muss zuverlässig ermittelt werden, ob
die Datenrekonstruktion überhaupt möglich ist,

  •   die Verfahrensweise der Datensicherung praktikabel ist,
  • eine ausreichende Dokumentation der Datensicherung vorliegt, damit ggf. auch ein Vertreter die Datenrekonstruktion vornehmen kann und
  • die erforderliche Zeit zur Datenrekonstruktion den Anforderungen an die Verfügbarkeit entspricht.
    Bei Übungen zur Datenrekonstruktion sollte auch berücksichtigt werden, dass
  • die Daten vielleicht auf einem Ausweich-IT-System installiert werden müssen,

für die Datensicherung und Datenrekonstruktion unterschiedliche Schreib-/Lesegeräte benutzt werden. Die Übungen sind sinnvollerweise mit den Notfallübungen (Übungen im Rahmen der Notfallvorsorge) abzustimmen.

Revision

Die Erkenntnisse aus den Übungen sollten dazu verwendet werden, das Datensicherungskonzept zu verbessern. Dabei ist auf eine Abstimmung mit dem Notfallvorsorgekonzept zu achten.
Darüber hinaus ist regelmäßig zu überprüfen, ob die Datensicherungen durchgeführt wurden – dies betrifft insbesondere die dezentrale Datensicherung durch die Benutzer selbst.

Detailregelungen

Durchführung von Datensicherungen

Transportmodalitäten

Bei der Durchführung einer Datensicherung werden Daten über ein Netz oder eine Leitung übertragen oder Datenträger zum Datenträgerarchiv transportiert.

Bei der Auswahl des Datenübertragungsmediums bzw. des Datenträger-Transportweges sind die Verfügbarkeitsanforderungen zu berücksichtigen. Wenn zur Datenrekonstruierung die Daten über ein Netz übertragen werden, muss bei der Auswahl der Übertragungskapazität des Netzes das Datenvolumen beachtet werden. Es ist zum Zeitpunkt der Datensicherung eine ausreichende Datenübertragungskapazität sicherzustellen.

Es ist zu verhindern, dass die Daten während der Übertragung bzw. auf dem Transport unbefugt gelesen, kopiert oder manipuliert werden. In Abhängigkeit vom Schutzbedarf sind Verschlüsselung bzw. sichere Transportbehältnisse und Wege zu benutzen. Der Versand oder Transport von Datenträgern muss in der Weise erfolgen, dass eine Beschädigung der Datenträger möglichst ausgeschlossen werden kann (z. B. luftgepolsterte Umschläge).

Es ist für die einzelnen Anwendungsdaten festzulegen, wie schnell diese rekonstruiert zur Verfügung stehen müssen. Die Zeit für die Rekonstruierung soll kleiner als die maximal tolerierbare Ausfallzeit sein.

Datensicherungsarchiv

Der Zugriff auf Datensicherungsdatenträger ist im erforderlichen Umfang und in angemessener Zeit zu gewährleisten. Auch nach einem Katastrophen-Fall müssen die Datensicherungen verfügbar bzw. zugänglich sein. Dies erfordert eine geregelte Verwaltung der Datensicherungsdatenträger.

Es ist für die Backup-/Datensicherungsdatenträger ein Datensicherungsarchiv festzulegen.
Keinesfalls darf der Datensicherungsbestand aus der gleichen Schadensursache heraus untergehen wie die Produktionsdaten. Daher sind die Backup-Datenträger zumindest in einem anderen Brandabschnitt als der Originaldatenträger aufzubewahren. Sicherer ist die Lagerung in einem anderen Gebäude oder außerhalb des Betriebsgeländes. Bei der Wahl des Ortes gilt zu beachten, dass bei zunehmender Entfernung die Transportzeit und somit die Gesamtrekonstruierungszeit steigt.
Backup-Datenträger, die im Rahmen der Tele(heim)arbeit oder der mobilen Nutzung eines IT-Systems angefertigt werden, müssen – im häuslichen Bereich – verschlossen aufbewahrt werden. Es ist sicherzustellen, dass nur der Benutzer selber (bzw. sein Vertreter) darauf Zugriff hat.

Die Aufbewahrung erfordert angemessene IT-Sicherheitsmaßnahmen. Diese haben sicherzustellen, dass niemand unbefugt auf die Datenträger zugreifen kann. Der Schutzbedarf der Schränke und Räume kann variieren und richtet sich nach dem Schutzbedarf der gelagerten Daten. Es sind folgende Maßnahmen zu ergreifen:

  • Es ist ein Bestandsverzeichnis zum schnellen und zielgerichteten Zugriff auf Datenträger zu führen.
  • Es ist zur schnellen Identifizierung von Datenträgern eine eindeutige Kennzeichnung vorzunehmen.
  • Es ist durch entsprechende Maßnahmen die sachgemäße Lagerung sicherzustellen – wie die magnetfeld-/staubgeschützte und klimagerechte Aufbewahrung. Hierzu sind die Angaben der Hersteller zu beachten.
  • Es sind Maßnahmen zur Verhinderung des unbefugten Zutritts und Zugriffs (geeignete Behältnisse, Schränke, Räume) zu treffen.
  • Eine geregelte Vorgehensweise für die Löschung oder Vernichtung von Datenträgern verhindert den Missbrauch der gespeicherten Daten. Sind Löschungsfristen einzuhalten, muss das Datensicherungsarchiv dem angepasst sein.

Im Falle der Auslagerung des Datensicherungsarchivs an einen externen Anbieter sind Verfügbar¬keits-, Integritäts- und Vertraulichkeitsvereinbarungen dem Vertrag zu Grunde zu legen. Es sind Kontrollrechte einzuräumen.

Im Vertrag ist speziell für Datensicherungsarchive schriftlich zu vereinbaren:

  • Verfügbarkeits-, Integritäts- und Vertraulichkeitsanforderungen an Datensicherung
  • Weisungsgebundenheit des Outsourcing-Dienstleisters
  • Zutrittsregelungen für die eigenen und fremden Mitarbeiter
  • Einhaltung der geltenden einschlägigen Gesetze (insb. Datenschutz), Vorschriften und internen Regelungen
  • Stillschweigen über alle bekannt werdenden Informa¬tionenZu treffende technische und organisatorische Maßnahmen durch den Outsourcing-Dienstleister und dessen Kontrolle
  • Notfallvorsorgemaßnahmen
  • Rechte und Pflichten des externen Personals
  • Regelungen zur Haftung

Zu den – gesetzlich oder organisatorisch – vorgegebenen Löschungszeitpunkten ist im Datensicherungsarchiv die Löschung zu initiieren bzw. durchzuführen. Ist eine Löschung technisch nicht möglich, so ist durch organisatorische Maßnahmen eine Wiederverwendung zu löschender Daten zu verhindern.
Sofern Datenträger erneut genutzt werden sollen, ist sicherzustellen, dass keine Restinformationen mehr enthalten sind.

Anforderungen an Datensicherungsmedien

Es sind ausreichende Datensicherungsmedien vorzuhalten. Diese sind für die verantwortlichen Personen (siehe 4) zugänglich zu lagern.
Hierbei ist dem Verschleiß und der Alterung der verschiedenen Datensicherungsmedien Rechnung zu tragen. So sind wiederbeschreibbare Datenträger regelmäßig zu entsorgen und durch neue zu ersetzen. Dabei sind die entsprechenden Herstellerangaben zu beachten.
Die Entsorgung ist sicher zu gestalten, so dass eine Rekonstruktion durch einen unbefugten Dritten nicht möglich ist.
Für die Sicherstellung von etwaigen Aufbewahrungsfristen ist das Archivierungskonzept zu beachten.

Datensicherungspläne

Datensicherungspläne sollten so formuliert sein, dass ein sachverständiger Dritter in der Lage ist, sämtliche für den Wiederanlauf einer IT-Anwendung erforderliche Software (Betriebssystemsoftware, Anwendungssoftware) und deren Daten in angemessener Zeit beschaffen und installieren zu können.
Hierbei wird eine Unterscheidung zwischen den einzelnen Datenarten vorgenommen, da diese unterschiedlichen Vertraulichkeits-, Verfügbarkeits- und Integritätsanforderungen unterliegen.
Folgende Punkte sollten in einem Datensicherungsplan aufgeführt werden:

  • Art der Datenzuständig für Sicherung bzw. Rekonstruktion
  • Art der Datensicherung (z. B. inkrementell, voll, komprimiert, verschlüsselt)
  • Hinweise zur Rekonstruktion
  • Häufigkeit und Zeitpunkt der Datensicherung
  • Datensicherungsmedium
  • Aufbewahrungszeit bzw. Anzahl der Generationen

Es sind für die verschiedenen Datenarten entsprechende Datensicherungspläne zu erstellen. Zunächst werden die allgemein gültigen Verfahrensanweisungen aufgezeigt.

Allgemeine Datensicherungspläne

Anzahl der Generationen

Inkrementelle Datensicherungen sind bis zur nächsten Vollsicherung aufzubewahren.
Es haben mindestens 2 Generationen der wöchentlichen Datenvollsicherungen zu existieren.
Es sind so viele Generationen (eine Generation ist eine Datenvollsicherung) aufzubewahren, dass die Daten auch bei einem verzögerten Bemerken eines Integritäts- oder Verfügbarkeitsverlusts noch rekonstruiert werden können. Daher ist im Einzelfall je nach Bedeutung der Daten eine höhere Generationsanzahl zu wählen.
Mindestens eine Generation, der in der Tele(heim)arbeit und der mobilen Nutzung entstehenden Backup-Datenträger ist in der Institution aufzubewahren, damit im Notfall der Vertreter auf die Backup-Datenträger zugreifen kann.
Die Aufbewahrung und eine über die 2 Generationen hinausgehende Aufbewahrung von Generationen ist innerhalb eines Archivierungskonzepts zu regeln.

Häufigkeit und Zeitpunkt der Datensicherung

Häufigkeit und Zeitpunkte der Datensicherungen sind geeignet zu wählen.
Je kürzer der zeitliche Abstand der Datensicherungen ist, umso geringer ist im Allgemeinen auch der für eine Rekonstruierung und Nacherfassung erforderliche Zeitaufwand. Der zeitliche Abstand der Datensicherungen ist also so zu wählen, dass die Zeit für die Rekonstruierung der in diesem Zeitraum geänderten Daten kleiner als die maximal tolerierbare Ausfallzeit ist.
Gleichzeitig muss beachtet werden, dass der Zeitpunkt der Datensicherung nicht nur periodisch gewählt werden kann. Gibt es Zeitpunkte, zu denen sich die Daten in großem Umfang ändern oder zu denen der Komplettdatenbestand vorliegen muss, so bietet es sich an, unmittelbar danach eine Volldatensicherung durchzuführen.

Sicherung von Anwendungsdaten

Anwendungsdaten können stark unterschiedlichen Verfügbarkeits-, Integritäts- und Vertraulichkeitsanforderungen unterliegen, daher sind die Schutzanforderungen individuell festzulegen.
Anwendungsdateien sind– sofern möglich – nur auf den entsprechenden Servern zu speichern. Andernfalls – bspw. bei Laptops oder nicht vernetzten Rechnern – sind lokal Datensicherungen vorzunehmen.

Art der Datensicherung

Es muss erreicht werden, dass alle Anwendungsdaten der Server-Festplatte, die z. B. nicht älter als ein Tag sind, rekonstruiert werden können. Als Datensicherungsverfahren ist bei Anwendungsdaten, die auf den Servern gespeichert sind, eine Kombination aus inkrementeller und aus Volldatensicherung zu wählen.

Bei Daten mit sehr hohen Verfügbarkeitsanforderungen (z. B.  geschäftskritische Kundendatenbank) kann es erforderlich sein, dass die Daten gespiegelt auf einer zweiten Festplatte gesichert werden.
Alternativ können Datensicherungen automatisiert durch spezielle Programme erstellt werden.
Darüber hinaus können die von Anwendungsprogrammen angebotenen automatischen Datensicherungsmöglichkeiten genutzt werden (z. B. das von Textverarbeitungsprogrammen angebotene automatische Erstellen einer Sicherheitskopie).
Häufigkeit und Zeitpunkt der Datensicherung
Die Anwendungsdaten sind einer täglichen inkrementellen Sicherung und einer wöchentlichen Vollsicherung zu unterziehen.
Sofern es möglich ist, IT-Systeme im mobilen Einsatz (z. B. Laptops) regelmäßig an ein Netz anzuschließen, hat die Sicherung der lokalen Daten über eine Netzanbindung zu erfolgen. Dies hat mindestens wöchentlich zu geschehen. Alternativ sind zur Sicherung externe Datensicherungsmedien wie CDs zu nutzen. Gleiches gilt für die PCs, die in Tele(heim)arbeit eingesetzt werden oder nicht vernetzt sind. Die Datensicherung ist zu kontrollieren.
Die Volldatensicherung hat sich an den arbeitsüblichen Begebenheiten zu orientieren: Sie sollte für gewöhnlich am Ende (Freitag Nachmittag) oder vor Beginn einer Arbeitswoche (Montag früh) stattfinden. Für einzelne Bereiche hat sich der Termin der Datensicherung am Rechnungslauf zu orientieren (z. B. für die Gehaltsabrechnung am Monatsende).

Dokumentation

Eine erfolgte Datensicherung ist unbedingt zu dokumentieren. Dabei ist bei der Erstellung der Datensicherung zu dokumentieren:

  • Datum der Datensicherung,
  • Datensicherungsumfang (welche Dateien/Verzeichnisse wurden gesichert),
  • Datenträger, auf dem die Daten im operativen Betrieb gespeichert sind,
  • Datenträger, auf dem die Daten gesichert wurden,
  • Für Datensicherung eingesetzte Hard- und Software (mit Versionsnummer)
  • Bei der Datensicherung gewählten Parameter (Art der Datensicherung usw.).

Darüber hinaus bedarf es einer Beschreibung der Vorgehensweise für die Wiederherstellung eines Datensicherungsbestandes (z. B. erforderliche Hard- und Software, benötigte Parameter). Auch die Reihenfolge der Datensicherungen zu dokumentieren, um ein ordnungsgemäßes Wiederherstellen sicherzustellen.
Des Weiteren ist ein Bestandsverzeichnis zu erstellen. Dies ermöglicht einen schnellen und zielgerichteten Zugriff auf die Datensicherungsdatenträger. Im Bestandsverzeichnis sind folgenden Angaben zu machen:

  • Aufbewahrungsort
  • Aufbewahrungsdauer
  • berechtigte Empfänger

Die äußerliche Kennzeichnung von Datenträgern ermöglicht deren schnelle Identifizierung. Hierbei ist eine festlegte Struktur von Kennzeichnungsmerkmalen zu nutzen. Hierbei soll eine (möglichst sprechende) Bezeichnung gewählt werden sowie das Datum der Datensicherung und die Art der Sicherung (inkrementell/komplett) notiert werden. Dies erleichtert die Zuordnung in den Bestandsverzeichnissen.

Rekonstruktion

Regelungen zur Rekonstruktion

Es ist eine Rekonstruktionsreihenfolge für den Schadensfall festzulegen.
Dies hat sich zum einen an der Art des Datenverlusts zu orientieren. Ein Komplettdatenverlust aufgrund einer defekten Festplatte hat andere Anforderungen als ein Verlust von Teilen der Anwendungsdaten.
Zum anderen hat sich die Reihenfolge an der Bedeutung der Daten für die geschäftskritischen Prozesse zu orientieren. Archivdaten können eine geringere Bedeutung als eine Kundendatenbank haben. Dies ist mit dem Notfallvorsorgekonzept abzustimmen.
Technische Erforderlichkeiten sind ebenfalls zu berücksichtigen. Hard- und Software muss auch für veraltete Formate stehen.

Es muss zuerst die Volldatensicherung und danach in richtiger Reihenfolge jede angelegte inkrementelle Datensicherung zurückgesichert werden, um den aktuellen Datenbestand wiederherzustellen.
Um ein vollständig zerstörtes IT-System zurückzusichern, müssen unter Umständen alle Datensicherungen in der Reihenfolge ihres Entstehens zurückgespielt werden. Die Reihenfolge kann der Datensicherungsdokumentation entnommen werden.