1. BSI Baustein
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stellt im BSI Grundschutz einen Baustein für eine ISO-Kompatible Integration eines Datensicherungskonzepts bereit.
Hier finden Sie Informationen zum Baustein CON.3
Wir haben für diese Richtlinie die Arbeit des BSI als Grundlage benutzt.
2. Software zur Datensicherung
Mindestanforderung an eingesetzte Software-Lösungen:
- Integritätsprüfung
- Verschlüsselung der Backups
- Komprimierung der Backups
- Übertragung auf entfernte Ziele
- Überwachung und Alarmierung
- Automatisierung
3. Datensicherung
Die tatsächlichen Datensicherungs-Parameter werden immer anhand der Schutzklassen des bewerteten Assets festgelegt.
Dabei sind die Zyklen und Methoden entsprechend der Wichtigkeit bzw. des Risikos der Bewertungen der Verfügbarkeit entscheidend.
Nachfolgend werden die Richtlinien für die Parameter innerhalb der Organisation festgelegt.
Zu berücksichtigen ist die Änderungshäufigkeit der Daten innerhalb der Systeme. Bei statischen Daten, mit einer hohen Anforderung an Verfügbarkeit, KANN der zu verwendene Zyklus entsprechend reduziert werden.
3.1 Datensicherungsmethode
| Sicherungsmethoden | Erklärung |
|---|---|
| Vollständiges Backup | Vollständiges Backup der Quelle. |
| Differentielles Backup | Sicherung der geänderten Daten seit der letzten vollständigen Sicherung. |
| Inkrementelles Backup | Sicherung der geänderten Daten seit der letzten Sicherung. Dabei kann die letzte Sicherung eine Vollständige, differentielle oder inkrementelle Sicherung sein. |
| Log Backup | Sicherung von MS SQL Datenbanken im Log-Modus. |
3.2. Datensicherungsart
| Sicherungsart | Erklärung |
|---|---|
| Datei-Sicherung | Hierbei werden Dateien und Verzeichnisse gesichert, sodass einzelne Dateien bei Verlust und versehentlicher Änderung wiederhergestellt werden können. |
| Image-Sicherung | Hierbei handelt es sich um ein Bare-Metal-Restore (BMR) bei dem das gesamte Betriebssystem des gesicherten Hosts als Image-Datei gesichert wird. Dadurch lässt sich das System vollständig wiederherstellen. Zusätzlich kann das System auf einem anderen Ziel-System wiederhergestellt werden. |
3.3 Sicherungsziele
| Ziel | Erklärung |
|---|---|
| Lokal | Das lokale Backup dient zur schnellen Wiederherstellung bei Fehlern. |
| Cloud Speicher | Die Datensicherung in der Cloud werden immer in 2 unterschiedliche Rechenzentren repliziert und werden dort verschlüsselt vorgehalten. |
| Weitere individuelle Medien | Weitere Medien können bei Bedarf festgelegt werden. Dazu zählen USB-Sticks und Festplatten, Band-Geräte oder andere Datenträger. |
3.4 Zyklen + Aufbewahrung
| Zyklus | Zeitpunkt | Aufbewahrung |
|---|---|---|
| 15-Minuten Einfach | Alle 15 Minuten ab der vollen Stunde | Aufbewahrung: 1 Tag Einfache 15-Minuten-Sicherungen werden bis zur nächsten treuen Sicherung des Folgetags aufbewahrt und anschließend gelöscht |
| Stündlich Einfach | zu jeder vollen Stunde | Aufbewahrung: 1 Tag Einfache stündliche Sicherungen werden bis zur nächsten treuen Stunde des Folgetags aufbewahrt und anschließend gelöscht |
| Täglich einfach | Täglich 23:00 Uhr | Aufbewahrung: 1 Tag Einfache Tägliche Sicherungen werden bis zur nächsten Sicherung aufbewahrt und anschließend gelöscht |
| Täglich | Täglich 23:00 Uhr | Aufbewahrung: 7 Tage Die täglichen Sicherungen werden bis zum nächsten gleichen Wochentag aufbewahrt bzw. überschrieben. Eine Sicherung die Dienstags erstellt wird, wird den folgenden Dienstag überschrieben |
| Wochentäglich | Täglich 23:00 Uhr | Aufbewahrung: 30 Tage Die wochentäglichen Sicherungen werden bis zum nächsten gleichen Wochentag des Folgemonats aufbewahrt bzw. überschrieben. Eine Sicherung die Dienstags erstellt wird, wird den folgenden Monats zum selben Dienstag überschrieben |
| Wöchentlich | Dienstag 23.00 | Aufbewahrung: 1 Monat Die wochentäglichen Sicherungen werden Dienstags erstellt und den Dienstag des folgenden Monats überschrieben. |
| Monatlich einfach | Letzter Tag im Monat 23:59 Uhr | Aufbewahrung: 1 Monat Sicherungstag: Letzter Tag des Monats Die einfache monatliche Sicherung wird zu einem Kalendertag erstellt und am Kalendertrag des Folgemonats überschrieben. Beispielsweise der 15. eines Monats |
| Monatlich | Letzter Tag im Monat 23:59 Uhr | Aufbewahrung: 12 Monate Sicherungstag: Letzter Tag des Monats Die monatliche Sicherung wird zu einem Kalendertag erstellt und am Kalendertrag des gleichen Monats im Folgejahr überschrieben. |
| Jährlich einfach | Letzter Tag im Jahr 23:59 Uhr | Aufbewahrung: 1 Jahr Sicherungstag: Letzter Tag des Jahres Die einfache Jahressicherung wird zum Kalendertag des Folgejahres überschrieben. Beispielsweise immer zu 1. Januar |
| Manuell | Manuelle Erstellung | Aufbewahrung: 2 Zyklen Die letzte Sicherung wird immer als zweite Version aufbewahrt. |
3.5. Datensicherungs-Anforderungen
| Risiko-Klasse | Anforderung | Art | Methode | Zyklus | Ziele |
|---|---|---|---|---|---|
| Sehr Niedrig | MUSS | Keine Sicherung | |||
| SOLL | * Datei-Sicherung | * Vollständig | * Monatlich * Jährlich Einfach |
* Primär-Cloud | |
| Moderat | MUSS | * Datei-Sicherung | Vollständige Datensicherung | * Monatlich * Jährlich Einfach |
* Cloud-Speicher |
| SOLL | * Datei-Sicherung * Image-Sicherung |
Vollständige Datensicherung | Datei-Sicherung * Wöchentlich * Jährlich Einfach Image-Sicherung * Monatlich Einfach |
* Cloud-Speicher | |
| Kritisch | MUSS | * Datei-Sicherung | * Vollständiges Backup * Inkrementelles Backup |
Datei-Sicherung * Täglich Einfach * Wochentäglich Image-Sicherung * Monatlich |
* Cloud-Speicher * Lokal |
| SOLL | * Datei-Sicherung * Image-Sicherung |
* Vollständiges Backup * Inkrementelles Backup |
Datei-Sicherung * Stündlich * Täglich Einfach * Wochentäglich Image-Sicherung * Wöchentlich * Jährlich |
* Cloud-Speicher + 1 * Lokal |
|
| Bedrohlich | MUSS | * Datei-Sicherung * Image-Sicherung |
* Vollständiges Backup * Inkrementelles Backup |
Datei-Sicherung * Täglich Einfach * Wochentäglich Image-Sicherung * Wöchentlich * Jährlich |
* Cloud-Speicher + 1 * Lokal |
| SOLL | * Datei-Sicherung * Image-Sicherung |
* Vollständiges Backup * Inkrementelles Backup |
Datei-Sicherung * Stündlich Einfach * Täglich Einfach * Wochentäglich Image-Sicherung * Wöchentlich * Jährlich |
* Cloud-Speicher + 1 * Lokal +1 |
4. Festlegen der Anforderung je Asset
Die Anforderung je Asset werden an den Sicherheitszielen und der Strategie des Unternehmens angelegt. Als Richtlinie legen wir wie folgt an:
Risiko-Klasse des Assets innerhalb von 72 Stunden.
Wenn die Risiko-Klasse eines Assets innerhalb von 72 Stunden nach Ausfall die Klasse “Kritisch” erreicht, werden die Anforderung an die Datensicherung entsprechend angelegt.
Weiterhin wird die Auswahl begründet.
4.1 Klassifizierung der Risiko-Klassen
Die Risiko-Klassen werden nach unserer Business-Impact-Analyse (BIA) je Asset identifiziert. Dabei spielt die Schadensklasse entsprechend der Ausfallzeit die entscheidende Rolle für die endgültige Risiko-Klasse.
4.2 Vorgaben für spezifische Systeme (Beispiele)
| Asset | Risiko nach 72h | Sicherungsquelle / Art | Methode + Software | Zyklus | Sicherungsziel | Begründung |
|---|---|---|---|---|---|---|
| MS SQL Datenbank (ERP) | Bedrohlich | Datei-Sicherung | Vollständiges Backup (Tool: Recent Managed Backup) |
Datei-Sicherung * Täglich Einfach * Wochentäglich * Monatlich |
Täglich einfach → lokal * Primäre Cloud |
Entscheidend sind die DB-Dateien. Lokal werden Sicherungen aufbewahrt, um Sie schnell einspielen zu können. Eine redundante primäre und eine redundante Sekundäre Cloud werden genutzt, um Sicherungen zu verteilen. |
| Inkrementelles Backup | Datei-Sicherung * 15-Minuten * Täglich |
* Lokal + Sekundäre Cloud | ||||
| Datenbank Server | Kritisch | keine | keine | keine | keine | Ein DB-Server kann in der Cloud oder lokal innerhalb von 24h Aufgesetzt werden. Die DB-Dateien können hier wiederhergestellt werden |
| Webshop Datenbank | Kritisch | Datei-Sicherung | Vollständiges Backup | * Wöchentlich * manuell |
Sekundäre Cloud | Die Datenbank des Webshops hat keine wichtigen Informationen. Aber statische Konfigurationsdaten. Daher reicht es einmal pro Woche eine Sicherung zu erstellen bzw. manuell bei Konfigurationsänderungen |
| Webshop Daten | Kritisch | Image-Sicherung | Vollständiges Backup (Tool: Managed by Hoster) |
Wochentäglich | lokal + 1 | Wir nutzen die interne Backup-Methode des Hosters. Hier werden täglich Sicherungen für 14 Tage erstellt und in einem separaten Speicherplatz in der selben Cloud vorgehalten. Die Dateien selbst sind innerhalb von einem Tag wiederherstellbar - ohne Backup des Hosters. |
| Webshop Template | Moderat | Datei-Sicherung | Vollständiges Backup (Tool: Git) |
manuell | Sonstige (Gitlab) | Bei Änderungen am Template, nutzen wir die Versionierung via Gitlab.com |
| Telefonanlage | Moderat | Datei-Sicherung | Vollständiges Backup (Tool: Manuell) |
manuell | Sekundär Cloud | Bei Änderungen an der Konfiguration, sichern wir die Konfiguration in die Sekundär-Cloud. |
| E-Mail Postfächer | Moderat | Keine (Archivierung) | E-Mails werden nicht gesichert. Stattdessen werden E-Mails beim Empfang archiviert. Eine Wiederherstellung von E-Mails ist ausschließlich zur Einhaltung gesetzl. Vorgaben notwendig. Einen Einfluss auf die Produktivität des Unternehmens haben fehlende E-Mails in der Regel nicht. |
5. Manuelle Sicherungen
Abweichend von Sicherungszyklen erstellte Backups sollen erstellt werden, wenn technische Änderungen am Asset durchgeführt werden. Dazu zählen zum Beispiel Updates.
Nach Erstellung der manuellen Sicherung soll ein direkter Wiederherstellungstest in einem Nicht-Produktiv-System durchgeführt werden.
Die Sicherung kann nach erfolgreicher technischer Änderung dauerhaft gelöscht werden. Die Löschung soll in einem Löschprotokoll erfasst und im Vorgang hinterlegt werden.
6. Wiederherstellung
Der Sicherungszyklus muss sich in der MUSS-Anforderung mindestens nach dem RPO (Recovery Point Objective) richten und wird entsprechend verkürzt, falls die Zeit in der Vorgabe nach oben abweicht.
6.1 Wiederherstellungstest
Die Wiederherstellung muss regelmäßig getestet werden. Innerhalb der Richtlinien des BCMS (Business Continuity Management Systems) wird der Zyklus der Notfall-Simulationen geregelt.
Mindestens 1 Mal im Jahr müssen Sicherungskopien in ein Testsystem eingespielt und auf Konsistenz und Funktion getestet werden. Dazu wird die Checkliste “Wiederherstellungstest” entsprechend des wiederherzustellenden Assets genutzt.
Das Ergebnis wird dokumentiert und fließt in den Notfall-Präventionsprozess ein.
6.2 Fehlgeschlagene Wiederherstellung
Wenn die Wiederherstellung einer Sicherung fehlschlägt muss sofort die Sicherungsprozedur überprüft und so konfiguriert werden, dass eine funktionierende Sicherung vom System erstellt wird. Die Ursache soll gefunden und als Protokoll durch die Checkliste “Wiederherstellungstest” erfasst werden.
Disclaimer: Bitte beachten Sie unbedingt, dass es sich hier um eine beispielhafte Vorlage handelt. Wir haben diese Vorlage nach besten Wissen und Gewissen und in Zusammenarbeit mit Experten erstellt. Wenn Sie diese Vorlage verwenden möchten, beachten Sie bitte die folgende Lizenzbestimmung.
Lizenz
Dieses Dokument darf zur internen Nutzung verwendet werden. Für kommerzielle Zwecke muss unsere Website "https://recent.digital" angegeben werden.
