Datensicherung beauftragen: Können Sie damit wieder arbeiten?

Mit dem ersten Arbeitsschritt nach einem Ausfall beginnen

Ein Großhändler sichert jede Nacht seine Daten. Nach einem Serverausfall ist trotzdem unklar, wie Aufträge bearbeitet und Versandetiketten gedruckt werden sollen. Die Dateien allein reichen dafür nicht: Anwendungen, Zugänge und angeschlossene Dienste müssen ebenfalls wieder nutzbar sein.

Beschreiben Sie deshalb einen konkreten Neustart des Betriebs. Welche Aufgabe soll zuerst funktionieren? Wer führt sie aus, welche Daten werden benötigt und welches Ergebnis zeigt, dass der Ablauf wieder verfügbar ist? Diese Beschreibung macht aus einer abstrakten Backup-Frage einen überprüfbaren Bedarf.

Wenn Sie Ihre Datensicherung prüfen oder verbessern lassen möchten, können Sie Beratung zur IT-Sicherheit anfragen. Halten Sie die wichtigen Anwendungen und den gewünschten Wiederanlauf für das anschließende Gespräch bereit. Die technische Bestandsaufnahme kann dann gezielt daran anknüpfen.

Betrachten Sie unterschiedliche Ausfälle. Eine versehentlich gelöschte Datei, ein defekter Server und ein Angriff auf mehrere Systeme stellen andere Anforderungen. Ein Verfahren, das den ersten Fall gut löst, muss nicht automatisch den gesamten Betrieb wiederherstellen können.

Datenverlust und Ausfallzeit getrennt besprechen

Die erste Frage lautet: Auf welchen Datenstand könnten Sie im Notfall zurückgehen? Die zweite lautet: Wie lange kann der betreffende Ablauf ausfallen? Diese beiden Ziele hängen zusammen, sind aber nicht identisch. Eine häufige Sicherung verkürzt nicht automatisch die Zeit, die der Wiederaufbau benötigt.

Lassen Sie die Fachbereiche die Folgen beurteilen. In der Auftragsbearbeitung könnten fehlende Bestellungen aus mehreren Stunden aufwendig nachzuerfassen sein. Für ein selten geändertes Archiv kann ein älterer Stand weniger problematisch sein. Pauschale Vorgaben für sämtliche Daten passen daher oft schlecht.

Formulieren Sie zunächst betriebliche Ziele und lassen Sie den Dienstleister erklären, was dafür technisch und organisatorisch nötig ist. Er soll auch benennen, welche Ziele unter den vorhandenen Bedingungen nicht verlässlich erreicht werden können.

Ablauf	Zu klärende Frage
Bestellannahme	Welche seit der letzten Sicherung entstandenen Vorgänge wären verloren?
Versand	Welche Systeme werden gemeinsam zum Start benötigt?
Buchhaltung	Welcher Datenstand muss fachlich abgeglichen werden?
Dateizugriff	Welche Ablagen sind zuerst wieder erforderlich?
Kommunikation	Wie bleiben Verantwortliche während des Ausfalls erreichbar?

Den Sicherungsumfang vollständig beschreiben

Erfassen Sie Datenbanken, Dateiablagen und die für den Betrieb wichtigen Konfigurationen. Fragen Sie den Anbieter, welche Bestandteile einer Anwendung gesichert werden und welche beim Wiederaufbau anderweitig bereitgestellt werden müssen. Dazu können Installationsmedien, Lizenzen oder besondere Einstellungen gehören.

Cloud-Dienste brauchen ebenfalls eine klare Zuordnung. Lassen Sie erklären, welche Wiederherstellungsleistungen der jeweilige Dienstvertrag enthält und welche ergänzende Sicherung vorgesehen ist. Eine Datenablage in der Cloud beschreibt noch nicht die Möglichkeiten, frühere Stände oder den gesamten Arbeitsablauf zurückzuholen.

Berücksichtigen Sie außerdem Daten auf Arbeitsplätzen oder mobilen Geräten, soweit diese für das Geschäft benötigt werden. Wenn wichtige Unterlagen außerhalb der vorgesehenen Ablagen gespeichert werden, kann die zentrale Sicherung sie übersehen. Die Lösung kann sowohl technisch als auch organisatorisch sein.

Lassen Sie Ausschlüsse ausdrücklich dokumentieren. Eine kleine Liste bekannter Lücken ist für die Entscheidung nützlicher als die ungenaue Aussage, es werde „alles“ gesichert. Ordnen Sie jeder offenen Datenquelle einen Verantwortlichen zu.

Die Sicherung vor demselben Schaden schützen

Der NIST-Leitfaden zur Wiederherstellung nach Sicherheitsvorfällen beschreibt im Ransomware-Beispiel auch die Prüfung der Sicherungen auf Beeinträchtigungen durch den Angriff. Für Ihr Angebot folgt daraus eine konkrete Frage: Welche Kopien bleiben nutzbar, wenn die gewöhnliche Arbeitsumgebung betroffen ist? Der US-Leitfaden dient hier als fachliche Planungshilfe.

Fragen Sie den Anbieter, wie die vorgesehenen Kopien gegen die für Ihren Betrieb betrachteten Ausfälle geschützt sind. Wer kann sie verändern oder löschen? Welche Kopie bleibt erreichbar, wenn das normale Netzwerk oder die zentrale Anmeldung ausfällt? Wie wird die wirksame Trennung überprüft?

Neben Angriffen können auch Schäden am Standort relevant sein. Besprechen Sie, welche Sicherungen von einem Ausfall desselben Gebäudes betroffen wären und welche Wiederherstellungsmöglichkeiten dann verbleiben. Eine bestimmte Speichertechnik allein beantwortet diese Frage nicht.

Die Schutzmaßnahmen werden fachlich geplant. Für die Auswahl brauchen Sie keine selbst entworfene technische Konfiguration, sondern eine verständliche Erklärung der vorgesehenen Schutzwirkung und ihrer Grenzen. Ein Backup kann insbesondere einen bereits erfolgten Abfluss vertraulicher Daten nicht rückgängig machen.

Einen echten Wiederherstellungstest vereinbaren

Das NIST Cybersecurity Framework 2.0 nennt unter PR.DS-11 das Erstellen, Schützen, Pflegen und Testen von Datensicherungen als angestrebtes Ergebnis. Es schreibt keine konkrete technische Lösung vor. Vereinbaren Sie für Ihren Betrieb einen Wiederherstellungstest, der eine wichtige Aufgabe nachvollziehbar abbildet.

Beim Großhändler könnte das bedeuten: Eine vereinbarte Testumgebung wird aus den vorgesehenen Sicherungen hergestellt, ein Testauftrag geöffnet und der Versandablauf fachlich geprüft. Die Durchführung wird so geplant, dass produktive Systeme und echte Geschäftsvorgänge nicht unbeabsichtigt verändert werden.

Messen Sie dabei nicht nur die reine Datenübertragung. Auch Freigaben, Zugang zu Unterlagen, Bereitstellung der Umgebung und fachliche Kontrolle brauchen Zeit. Ein sinnvoller Testbericht beschreibt den Ausgangspunkt, die durchgeführten Schritte, die Dauer und die verbleibenden Probleme.

Legen Sie fest, wer das Ergebnis beurteilt. Die IT bestätigt die technische Wiederherstellung; der Fachbereich prüft, ob mit den Daten tatsächlich gearbeitet werden kann. Erst beide Aussagen zusammen beantworten die ursprüngliche Frage.

Den Startpunkt des Tests genau festlegen

Eine Vorführung mit bereits vorbereiteten Dateien beantwortet eine andere Frage als der Wiederaufbau aus einer vereinbarten Sicherung. Lassen Sie deshalb vor dem Termin festhalten, welcher Zustand als Ausgangspunkt gilt. Ist der ursprüngliche Server noch erreichbar? Funktioniert die zentrale Benutzeranmeldung? Steht Ersatzhardware bereit? Welche Hilfe darf das Testteam nutzen? Die Antworten gehören zum Ergebnis, damit Sie eine gemessene Dauer später richtig einordnen können.

Verwenden Sie einen überschaubaren, fachlich aussagekräftigen Ausschnitt. Beim Großhändler können ein Auftrag, die zugehörigen Artikeldaten und ein vorbereiteter Versandbeleg zusammengehören. Legen Sie fest, woran der Fachbereich die Richtigkeit erkennt. Eine Datei, die sich öffnen lässt, zeigt noch nicht, ob ein zusammenhängender Geschäftsvorgang vollständig und widerspruchsfrei verfügbar ist.

Besprechen Sie auch das Ende der Übung. Wer entfernt die Testdaten und Zugänge? Wo bleibt das Protokoll? Welche Umgebung darf anschließend weiterverwendet werden? So wird der Test ein geregelter Arbeitsschritt mit einem nutzbaren Befund. Der Umfang kann zunächst begrenzt sein, wenn die Grenzen ausdrücklich dokumentiert werden. Ein erfolgreich geprüfter Teilbereich wird dadurch nicht stillschweigend zum Nachweis für sämtliche Anwendungen.

Zugänge und Abhängigkeiten in den Wiederanlauf aufnehmen

Notieren Sie zu jeder priorisierten Anwendung, was sie zum Start benötigt. Dazu können eine Datenbank, ein Verzeichnisdienst, eine Schnittstelle oder ein externer Dienst gehören. Lassen Sie den Anbieter daraus die vorgesehene Reihenfolge ableiten. Für die Geschäftsleitung ist wichtig, welche Arbeit nach welchem Zwischenschritt möglich sein soll. Eine lange Liste technischer Systeme ersetzt diese betriebliche Erklärung nicht.

Fragen Sie, wie berechtigte Personen an die notwendigen Wiederherstellungsunterlagen gelangen, wenn die gewöhnliche Dateiablage ausfällt. Zugangsdaten gehören dabei in ein fachlich geplantes Schutzverfahren. Versenden Sie sie nicht zur Vorbereitung einer allgemeinen Anbieteranfrage. Für das Erstgespräch reichen die betroffenen Anwendungen, ihre Zuständigen und der gewünschte Umfang der Beratung.

Beziehen Sie die Menschen ein, die Vorgänge fachlich freigeben können. Beim Versand weiß die zuständige Person, ob ein Etikett zum richtigen Auftrag gehört. In der Buchhaltung kann ein fachlicher Abgleich nötig sein, bevor wieder mit einem zurückgeholten Datenstand gearbeitet wird. Legen Sie fest, wie solche Rückmeldungen gesammelt und offene Abweichungen bis zur Klärung behandelt werden.

Wiederherstellungsleistungen vergleichbar anbieten lassen

Fordern Sie für denselben betrieblichen Fall vergleichbare Leistungsbeschreibungen an. Ein Angebot kann nur die Einrichtung einer Sicherungssoftware umfassen, ein anderes zusätzlich Überwachung, Speicher, Wiederherstellungsübungen und Hilfe beim Wiederanlauf. Bitten Sie um eine getrennte Beschreibung dieser Leistungen und ihrer Voraussetzungen. Dann können Sie nachvollziehen, welche Aufgabe Ihr eigenes Team weiterhin übernimmt.

Klären Sie insbesondere, ob Unterstützung im Ereignisfall bereits vereinbart ist oder gesondert beauftragt werden muss. Fragen Sie nach Erreichbarkeit, vorgesehenem Ablauf, Abrechnung und der Bereitstellung nötiger Ressourcen. Lassen Sie gewünschte Wiederherstellungsziele anhand Ihrer Umgebung beurteilen. Eine allgemeine Werbeaussage zu schnellen Backups ersetzt keine konkrete Vereinbarung zum vollständigen Arbeitsablauf.

Für die Organisation der Ansprechpersonen ergänzt der Ratgeber zur vorbereiteten IT-Notfallhilfe die Sicherungsplanung. Wenn sich Zuständigkeiten im Team ändern, hilft außerdem die neuere Checkliste zum sicheren Übergeben von Konten und Daten beim Mitarbeiteraustritt. Beide Fragen gehören in die Abstimmung mit dem betreuenden IT-Betrieb.

Aus einem Testbefund die nächste Verbesserung ableiten

Ordnen Sie Auffälligkeiten nach ihrer Wirkung auf den geplanten Wiederanlauf. Vielleicht fehlt nur eine Anleitung, vielleicht ist eine wichtige Anwendung gar nicht im vereinbarten Umfang enthalten. Benennen Sie für jeden Befund die nächste Handlung und die zuständige Person. Lassen Sie nach einer Änderung gezielt den betroffenen Teil erneut prüfen, statt einen unveränderten Bericht als aktuellen Nachweis abzulegen.

Bewahren Sie neben dem Ergebnis auch die verwendeten Voraussetzungen auf. Ändern sich Anwendung, Datenablage oder Dienstleister, lässt sich daran erkennen, ob die bisherige Übung noch zur Umgebung passt. Vereinbaren Sie, wer solche Änderungen meldet und die Anpassung des Konzepts anstößt. So bleibt die Datensicherung mit der tatsächlichen Arbeit verbunden.

Einen Zuständigkeitswechsel im Sicherungsbetrieb vorbereiten

Wenn Sie den betreuenden IT-Betrieb wechseln, lassen Sie die Sicherungsaufgaben ausdrücklich übergeben. Welche Kopien werden weiter genutzt, welche Unterlagen erhält der Nachfolger und wer betreut den Übergangszeitraum? Stimmen Sie ab, ab welchem Zeitpunkt die neue Betreuung für Meldungen und Wiederherstellungsanfragen zuständig ist. Eine geänderte Rechnungsempfängeradresse beantwortet diese organisatorischen Fragen noch nicht.

Vereinbaren Sie für die Übergabe einen überschaubaren Funktionsnachweis. Der neue Ansprechpartner sollte den vereinbarten Sicherungsumfang nachvollziehen und das vorgesehene Vorgehen für eine Rücksicherung erklären können. Offene Zugänge oder unbekannte Ausschlüsse werden als konkrete Aufgaben festgehalten. Lassen Sie notwendige Berechtigungen kontrolliert einrichten und nicht mehr benötigte Zugriffe geordnet behandeln.

Bewahren Sie die betrieblichen Wiederherstellungsziele unabhängig vom jeweiligen Angebot auf. Dadurch können Sie bei einem Wechsel erklären, welche Arbeit vorbereitet sein soll, statt lediglich die bisher eingesetzte Software zu benennen. Ein Nachfolgeangebot lässt sich dann am gleichen Bedarf beurteilen. Klären Sie zum Abschluss, wo Ihr Betrieb die freigegebene Dokumentation und den aktuellen Ansprechpartner findet.

Fragen zur Beauftragung einer Datensicherung

Reicht eine erfolgreiche Sicherungsmeldung als Nachweis?

Sie bestätigt zunächst den gemeldeten Sicherungslauf. Ob ein wichtiger Arbeitsablauf damit wiederhergestellt werden kann, klären Sie durch einen passend vereinbarten Test. Dokumentieren Sie Ausgangszustand, zurückgeholte Bestandteile, fachliche Prüfung und offene Punkte. Der Nachweis gilt für den tatsächlich geprüften Umfang.

Muss ich Cloud-Anwendungen zusätzlich sichern lassen?

Lassen Sie zunächst die vorhandenen Vertragsleistungen und Wiederherstellungsmöglichkeiten erklären. Entscheidend ist, welche Datenstände und Arbeitsabläufe Sie zurückerhalten können und welche Aufgaben bei Ihrem Betrieb verbleiben. Daraus lässt sich beurteilen, ob zusätzliche Sicherungsleistungen für Ihren Bedarf sinnvoll sind.

Welche Angaben braucht ein Anbieter für ein erstes Gespräch?

Nennen Sie die wichtigen Anwendungen, die zuerst benötigten Arbeitsabläufe und bekannte Lücken. Beschreiben Sie, welche Ausfälle betrachtet werden sollen. Passwörter oder vollständige Geschäftsdaten gehören nicht in die erste Anfrage. Die weitergehende Bestandsaufnahme wird anschließend mit den zuständigen Personen geplant.

Wie vergleiche ich Angebote mit unterschiedlichen Leistungsumfängen?

Lassen Sie Einrichtung, laufende Überwachung, Speicher, Tests und Hilfe bei der Wiederherstellung getrennt beschreiben. Verwenden Sie für alle Anbieter denselben betrieblichen Wiederanlauffall. Fragen Sie nach Ausschlüssen, eigenen Aufgaben und gesondert abzurechnenden Leistungen, bevor Sie die Angebote bewerten.

Betreuung und Änderungen im Angebot berücksichtigen

Klären Sie, wer fehlgeschlagene Sicherungen erkennt und bearbeitet. Eine automatische Warnung hilft nur, wenn sie an eine betreute Stelle gelangt. Vereinbaren Sie auch, wie neue Anwendungen oder geänderte Datenmengen in das Konzept aufgenommen werden.

Vergleichen Sie Einrichtung, laufenden Betrieb, Speicherkosten, Tests und Unterstützung im Wiederherstellungsfall getrennt. Manche Leistungen können zusätzlich berechnet werden. Entscheidend ist, dass Sie den Umfang vor der Beauftragung kennen.

Mit einem nachvollziehbaren Sicherungs- und Wiederanlaufkonzept wissen Sie, welche Abläufe vorbereitet sind und welche Fragen noch offenbleiben. Über die kostenfreie und unverbindliche IT-Sicherheitsanfrage können Sie die passende Beratung beginnen. Die betrieblichen Ziele aus diesem Ratgeber bilden dafür eine konkrete Gesprächsgrundlage.