1. BSI Baustein
Das Bundesamt fĂŒr Sicherheit in der Informationstechnik (BSI) stellt im BSI Grundschutz einen Baustein fĂŒr eine ISO-Kompatible Integration eines Datensicherungskonzepts bereit.
Hier finden Sie Informationen zum Baustein CON.3
Wir haben fĂŒr diese Richtlinie die Arbeit des BSI als Grundlage benutzt.
2. Software zur Datensicherung
Mindestanforderung an eingesetzte Software-Lösungen:
- IntegritĂ€tsprĂŒfung
- VerschlĂŒsselung der Backups
- Komprimierung der Backups
- Ăbertragung auf entfernte Ziele
- Ăberwachung und Alarmierung
- Automatisierung
3. Datensicherung
Die tatsÀchlichen Datensicherungs-Parameter werden immer anhand der Schutzklassen des bewerteten Assets festgelegt.
Dabei sind die Zyklen und Methoden entsprechend der Wichtigkeit bzw. des Risikos der Bewertungen der VerfĂŒgbarkeit entscheidend.
Nachfolgend werden die Richtlinien fĂŒr die Parameter innerhalb der Organisation festgelegt.
Zu berĂŒcksichtigen ist die ĂnderungshĂ€ufigkeit der Daten innerhalb der Systeme. Bei statischen Daten, mit einer hohen Anforderung an VerfĂŒgbarkeit, KANN der zu verwendene Zyklus entsprechend reduziert werden.
3.1 Datensicherungsmethode
| Sicherungsmethoden | ErklÀrung |
|---|---|
| VollstÀndiges Backup | VollstÀndiges Backup der Quelle. |
| Differentielles Backup | Sicherung der geÀnderten Daten seit der letzten vollstÀndigen Sicherung. |
| Inkrementelles Backup | Sicherung der geÀnderten Daten seit der letzten Sicherung. Dabei kann die letzte Sicherung eine VollstÀndige, differentielle oder inkrementelle Sicherung sein. |
| Log Backup | Sicherung von MS SQL Datenbanken im Log-Modus. |
3.2. Datensicherungsart
| Sicherungsart | ErklÀrung |
|---|---|
| Datei-Sicherung | Hierbei werden Dateien und Verzeichnisse gesichert, sodass einzelne Dateien bei Verlust und versehentlicher Ănderung wiederhergestellt werden können. |
| Image-Sicherung | Hierbei handelt es sich um ein Bare-Metal-Restore (BMR) bei dem das gesamte Betriebssystem des gesicherten Hosts als Image-Datei gesichert wird. Dadurch lÀsst sich das System vollstÀndig wiederherstellen. ZusÀtzlich kann das System auf einem anderen Ziel-System wiederhergestellt werden. |
3.3 Sicherungsziele
| Ziel | ErklÀrung |
|---|---|
| Lokal | Das lokale Backup dient zur schnellen Wiederherstellung bei Fehlern. |
| Cloud Speicher | Die Datensicherung in der Cloud werden immer in 2 unterschiedliche Rechenzentren repliziert und werden dort verschlĂŒsselt vorgehalten. |
| Weitere individuelle Medien | Weitere Medien können bei Bedarf festgelegt werden. Dazu zÀhlen USB-Sticks und Festplatten, Band-GerÀte oder andere DatentrÀger. |
3.4 Zyklen + Aufbewahrung
| Zyklus | Zeitpunkt | Aufbewahrung |
|---|---|---|
| 15-Minuten Einfach | Alle 15 Minuten ab der vollen Stunde | Aufbewahrung: 1 Tag Einfache 15-Minuten-Sicherungen werden bis zur nĂ€chsten treuen Sicherung des Folgetags aufbewahrt und anschlieĂend gelöscht |
| StĂŒndlich Einfach | zu jeder vollen Stunde | Aufbewahrung: 1 Tag Einfache stĂŒndliche Sicherungen werden bis zur nĂ€chsten treuen Stunde des Folgetags aufbewahrt und anschlieĂend gelöscht |
| TĂ€glich einfach | TĂ€glich 23:00 Uhr | Aufbewahrung: 1 Tag Einfache TĂ€gliche Sicherungen werden bis zur nĂ€chsten Sicherung aufbewahrt und anschlieĂend gelöscht |
| TĂ€glich | TĂ€glich 23:00 Uhr | Aufbewahrung: 7 Tage Die tĂ€glichen Sicherungen werden bis zum nĂ€chsten gleichen Wochentag aufbewahrt bzw. ĂŒberschrieben. Eine Sicherung die Dienstags erstellt wird, wird den folgenden Dienstag ĂŒberschrieben |
| WochentĂ€glich | TĂ€glich 23:00 Uhr | Aufbewahrung: 30 Tage Die wochentĂ€glichen Sicherungen werden bis zum nĂ€chsten gleichen Wochentag des Folgemonats aufbewahrt bzw. ĂŒberschrieben. Eine Sicherung die Dienstags erstellt wird, wird den folgenden Monats zum selben Dienstag ĂŒberschrieben |
| Wöchentlich | Dienstag 23.00 | Aufbewahrung: 1 Monat Die wochentĂ€glichen Sicherungen werden Dienstags erstellt und den Dienstag des folgenden Monats ĂŒberschrieben. |
| Monatlich einfach | Letzter Tag im Monat 23:59 Uhr | Aufbewahrung: 1 Monat Sicherungstag: Letzter Tag des Monats Die einfache monatliche Sicherung wird zu einem Kalendertag erstellt und am Kalendertrag des Folgemonats ĂŒberschrieben. Beispielsweise der 15. eines Monats |
| Monatlich | Letzter Tag im Monat 23:59 Uhr | Aufbewahrung: 12 Monate Sicherungstag: Letzter Tag des Monats Die monatliche Sicherung wird zu einem Kalendertag erstellt und am Kalendertrag des gleichen Monats im Folgejahr ĂŒberschrieben. |
| JĂ€hrlich einfach | Letzter Tag im Jahr 23:59 Uhr | Aufbewahrung: 1 Jahr Sicherungstag: Letzter Tag des Jahres Die einfache Jahressicherung wird zum Kalendertag des Folgejahres ĂŒberschrieben. Beispielsweise immer zu 1. Januar |
| Manuell | Manuelle Erstellung | Aufbewahrung: 2 Zyklen Die letzte Sicherung wird immer als zweite Version aufbewahrt. |
3.5. Datensicherungs-Anforderungen
| Risiko-Klasse | Anforderung | Art | Methode | Zyklus | Ziele |
|---|---|---|---|---|---|
| Sehr Niedrig | MUSS | Keine Sicherung | |||
| SOLL | * Datei-Sicherung | * VollstÀndig | * Monatlich * JÀhrlich Einfach |
* PrimÀr-Cloud | |
| Moderat | MUSS | * Datei-Sicherung | VollstÀndige Datensicherung | * Monatlich * JÀhrlich Einfach |
* Cloud-Speicher |
| SOLL | * Datei-Sicherung * Image-Sicherung |
VollstÀndige Datensicherung | Datei-Sicherung * Wöchentlich * JÀhrlich Einfach Image-Sicherung * Monatlich Einfach |
* Cloud-Speicher | |
| Kritisch | MUSS | * Datei-Sicherung | * VollstÀndiges Backup * Inkrementelles Backup |
Datei-Sicherung * TÀglich Einfach * WochentÀglich Image-Sicherung * Monatlich |
* Cloud-Speicher * Lokal |
| SOLL | * Datei-Sicherung * Image-Sicherung |
* VollstÀndiges Backup * Inkrementelles Backup |
Datei-Sicherung * StĂŒndlich * TĂ€glich Einfach * WochentĂ€glich Image-Sicherung * Wöchentlich * JĂ€hrlich |
* Cloud-Speicher + 1 * Lokal |
|
| Bedrohlich | MUSS | * Datei-Sicherung * Image-Sicherung |
* VollstÀndiges Backup * Inkrementelles Backup |
Datei-Sicherung * TÀglich Einfach * WochentÀglich Image-Sicherung * Wöchentlich * JÀhrlich |
* Cloud-Speicher + 1 * Lokal |
| SOLL | * Datei-Sicherung * Image-Sicherung |
* VollstÀndiges Backup * Inkrementelles Backup |
Datei-Sicherung * StĂŒndlich Einfach * TĂ€glich Einfach * WochentĂ€glich Image-Sicherung * Wöchentlich * JĂ€hrlich |
* Cloud-Speicher + 1 * Lokal +1 |
4. Festlegen der Anforderung je Asset
Die Anforderung je Asset werden an den Sicherheitszielen und der Strategie des Unternehmens angelegt. Als Richtlinie legen wir wie folgt an:
Risiko-Klasse des Assets innerhalb von 72 Stunden.
Wenn die Risiko-Klasse eines Assets innerhalb von 72 Stunden nach Ausfall die Klasse âKritischâ erreicht, werden die Anforderung an die Datensicherung entsprechend angelegt.
Weiterhin wird die Auswahl begrĂŒndet.
4.1 Klassifizierung der Risiko-Klassen
Die Risiko-Klassen werden nach unserer Business-Impact-Analyse (BIA) je Asset identifiziert. Dabei spielt die Schadensklasse entsprechend der Ausfallzeit die entscheidende Rolle fĂŒr die endgĂŒltige Risiko-Klasse.
4.2 Vorgaben fĂŒr spezifische Systeme (Beispiele)
| Asset | Risiko nach 72h | Sicherungsquelle / Art | Methode + Software | Zyklus | Sicherungsziel | BegrĂŒndung |
|---|---|---|---|---|---|---|
| MS SQL Datenbank (ERP) | Bedrohlich | Datei-Sicherung | VollstÀndiges Backup (Tool: Recent Managed Backup) |
Datei-Sicherung * TÀglich Einfach * WochentÀglich * Monatlich |
TĂ€glich einfach â lokal * PrimĂ€re Cloud |
Entscheidend sind die DB-Dateien. Lokal werden Sicherungen aufbewahrt, um Sie schnell einspielen zu können. Eine redundante primÀre und eine redundante SekundÀre Cloud werden genutzt, um Sicherungen zu verteilen. |
| Inkrementelles Backup | Datei-Sicherung * 15-Minuten * TĂ€glich |
* Lokal + SekundÀre Cloud | ||||
| Datenbank Server | Kritisch | keine | keine | keine | keine | Ein DB-Server kann in der Cloud oder lokal innerhalb von 24h Aufgesetzt werden. Die DB-Dateien können hier wiederhergestellt werden |
| Webshop Datenbank | Kritisch | Datei-Sicherung | VollstÀndiges Backup | * Wöchentlich * manuell |
SekundÀre Cloud | Die Datenbank des Webshops hat keine wichtigen Informationen. Aber statische Konfigurationsdaten. Daher reicht es einmal pro Woche eine Sicherung zu erstellen bzw. manuell bei KonfigurationsÀnderungen |
| Webshop Daten | Kritisch | Image-Sicherung | VollstÀndiges Backup (Tool: Managed by Hoster) |
WochentĂ€glich | lokal + 1 | Wir nutzen die interne Backup-Methode des Hosters. Hier werden tĂ€glich Sicherungen fĂŒr 14 Tage erstellt und in einem separaten Speicherplatz in der selben Cloud vorgehalten. Die Dateien selbst sind innerhalb von einem Tag wiederherstellbar - ohne Backup des Hosters. |
| Webshop Template | Moderat | Datei-Sicherung | VollstÀndiges Backup (Tool: Git) |
manuell | Sonstige (Gitlab) | Bei Ănderungen am Template, nutzen wir die Versionierung via Gitlab.com |
| Telefonanlage | Moderat | Datei-Sicherung | VollstÀndiges Backup (Tool: Manuell) |
manuell | SekundĂ€r Cloud | Bei Ănderungen an der Konfiguration, sichern wir die Konfiguration in die SekundĂ€r-Cloud. |
| E-Mail PostfĂ€cher | Moderat | Keine (Archivierung) | E-Mails werden nicht gesichert. Stattdessen werden E-Mails beim Empfang archiviert. Eine Wiederherstellung von E-Mails ist ausschlieĂlich zur Einhaltung gesetzl. Vorgaben notwendig. Einen Einfluss auf die ProduktivitĂ€t des Unternehmens haben fehlende E-Mails in der Regel nicht. |
5. Manuelle Sicherungen
Abweichend von Sicherungszyklen erstellte Backups sollen erstellt werden, wenn technische Ănderungen am Asset durchgefĂŒhrt werden. Dazu zĂ€hlen zum Beispiel Updates.
Nach Erstellung der manuellen Sicherung soll ein direkter Wiederherstellungstest in einem Nicht-Produktiv-System durchgefĂŒhrt werden.
Die Sicherung kann nach erfolgreicher technischer Ănderung dauerhaft gelöscht werden. Die Löschung soll in einem Löschprotokoll erfasst und im Vorgang hinterlegt werden.
6. Wiederherstellung
Der Sicherungszyklus muss sich in der MUSS-Anforderung mindestens nach dem RPO (Recovery Point Objective) richten und wird entsprechend verkĂŒrzt, falls die Zeit in der Vorgabe nach oben abweicht.
6.1 Wiederherstellungstest
Die Wiederherstellung muss regelmĂ€Ăig getestet werden. Innerhalb der Richtlinien des BCMS (Business Continuity Management Systems) wird der Zyklus der Notfall-Simulationen geregelt.
Mindestens 1 Mal im Jahr mĂŒssen Sicherungskopien in ein Testsystem eingespielt und auf Konsistenz und Funktion getestet werden. Dazu wird die Checkliste âWiederherstellungstestâ entsprechend des wiederherzustellenden Assets genutzt.
Das Ergebnis wird dokumentiert und flieĂt in den Notfall-PrĂ€ventionsprozess ein.
6.2 Fehlgeschlagene Wiederherstellung
Wenn die Wiederherstellung einer Sicherung fehlschlĂ€gt muss sofort die Sicherungsprozedur ĂŒberprĂŒft und so konfiguriert werden, dass eine funktionierende Sicherung vom System erstellt wird. Die Ursache soll gefunden und als Protokoll durch die Checkliste âWiederherstellungstestâ erfasst werden.
Disclaimer: Bitte beachten Sie unbedingt, dass es sich hier um eine beispielhafte Vorlage handelt. Wir haben diese Vorlage nach besten Wissen und Gewissen und in Zusammenarbeit mit Experten erstellt. Wenn Sie diese Vorlage verwenden möchten, beachten Sie bitte die folgende Lizenzbestimmung.
Lizenz
Dieses Dokument darf zur internen Nutzung verwendet werden. FĂŒr kommerzielle Zwecke muss unsere Website "https://recent.digital" angegeben werden.
