„Sicherung erfolgreich“ heißt nicht „wiederherstellbar“: Wie wir Wiederherstellbarkeit nachweisen – alle zwei Monate, mit Protokoll

Wir planen jede Datensicherung unter einer Annahme: Ein Erpressungstrojaner kann jederzeit aktiv werden. Systeme können längst infiziert sein, ohne dass etwas zu sehen ist – der Schadcode wartet auf einen Zeitpunkt, an dem er möglichst viel trifft, Sicherungen eingeschlossen. Eine Sicherung im selben Raum, im Nebenraum oder „irgendwo im Rechenzentrum“, erreichbar über dasselbe Netz, reicht deshalb nicht. Sie hat auch früher nie gereicht.

Dazu kommen die Fälle ohne Angreifer: Stromausfall, Wasserschaden, ein Bedienfehler, eine defekte Platte. Für die Buchführung ist das Ergebnis dasselbe. Rz. 103 der GoBD verlangt, das DV-System gegen Verlust zu sichern; Rz. 104 hält fest, dass die Buchführung formell nicht mehr ordnungsmäßig ist, wenn Daten deswegen nicht mehr vorgelegt werden können. § 147 Abs. 2 AO verlangt, dass aufbewahrungspflichtige Daten während der ganzen Aufbewahrungsfrist jederzeit verfügbar sind und unverzüglich lesbar gemacht werden können.

Warum Fehler oft erst beim Wiederherstellen auffallen

„Sicherung erfolgreich“ meldet die Software, wenn sie Daten kopiert hat. Ob diese Daten in sich stimmig sind, prüft sie dabei kaum. Das ist bei Programmen, die auf Datenbanken aufbauen – CRM, ERP, Warenwirtschaft, Finanzbuchhaltung –, ein echtes Problem: Beim Export prüfen viele Systeme wenig. Erst beim Import laufen die Plausibilitäts- und Integritätsprüfungen, Werte werden gegengerechnet, Verknüpfungen geprüft.

Dann meldet das System plötzlich „Datenbank beschädigt“, und der Fehler steckt in einem Datensatz von vor sechs oder sieben Jahren, der seither nie abgerufen wurde und im laufenden Betrieb deshalb nie aufgefallen ist. Im Ernstfall ist das der schlechteste Moment, ihn zu finden. Solche Fälle muss man vorher finden – und das geht nur, indem man tatsächlich wiederherstellt.

RAID ist keine Sicherung

Ein RAID-Verbund schützt gegen den Ausfall einer Platte, nicht gegen Löschung, Verschlüsselung oder einen Fehler in der Datenbank – er spiegelt alles davon sofort mit. Und er kann trügen: Fällt eine Platte aus, läuft der Verbund degradiert weiter, weil das RAID den Ausfall ausgleicht. Bemerkt wird das oft erst, wenn eine weitere Platte ausfällt oder der Neuaufbau scheitert. Über die Jahre haben wir zahlreiche solcher Fälle gesehen. Ein RAID gehört in die Verfügbarkeit, nicht in das Sicherungskonzept.

RPO und RTO: wie viel Datenverlust und wie viel Stillstand

Zwei Zahlen bestimmen jedes Sicherungskonzept. Das RPO (Recovery Point Objective) sagt, wie viel Datenverlust tragbar ist – also wie alt die letzte Sicherung im Ernstfall höchstens sein darf. Das RTO (Recovery Time Objective) sagt, wie lange der Betrieb höchstens stehen darf, bis das System wieder läuft. Beide legen wir je System mit Ihnen fest; der Wiederherstellungstest misst, ob sie erreicht werden.

Unsere Zielwerte für den Wiederanlauf: Mit einem vorgehaltenen System in Viernheim, das außerhalb Ihrer Räume hochgefahren wird, vier Stunden. Ohne dieses System stellen wir in der Cloud wieder her, im Partner-Rechenzentrum – etwa für Kunden, deren Infrastruktur vor Ort steht –, dann innerhalb eines Arbeitstags. Wie lange es im Einzelfall dauert, hängt von Art und Umfang des Ausfalls ab: Ein Angriff braucht mehr Prüfung als ein Stromausfall. Welcher Wert für Ihr Haus gilt, steht vor Vertragsschluss schriftlich fest.

Wo es wirtschaftlich sinnvoll ist, übertragen wir den Datenstand zusätzlich im 30-Minuten-Takt nach Viernheim auf ein bereitstehendes System. Im Ernstfall fehlen dann höchstens rund 30 Minuten. Nach Vereinbarung ist auch der Wiederanlauf im Partner-Rechenzentrum möglich, als Ausbaustufe auch ein automatisches Umschalten. Der Grundsatz dahinter: Solche Maßnahmen lohnen sich nur, wenn der mögliche Schaden ein Vielfaches dessen beträgt, was Aufbau, Betrieb und Wartung kosten. Das rechnen wir vorher mit Ihnen aus.

Auf Wunsch: Gegenprüfung durch einen unabhängigen Dritten

Wer seinem Dienstleister nicht nur glauben will, sondern es belegen möchte – gegenüber Wirtschaftsprüfer, Versicherer oder Aufsichtsrat –, kann das Prüfprotokoll von einem unabhängigen Dritten gegenprüfen lassen. Wir vereinbaren das gern, stellen die Testumgebung bereit und legen alle Protokolle offen. Ein Nachweis, den ein anderer bestätigt hat, wiegt in jeder Prüfung schwerer als einer, den man sich selbst ausstellt.