Backup-Konzepte und Datensicherung für Unternehmen

Unternehmen, die ihre Daten und damit sich selbst, ihre Kunden und ihre Zukunft schützen wollen, benötigen eine ganzheitliche digitale Cyber-, Sicherheits- und Risiko­management­strategie. Ein wichtiger Teil davon ist ein umfassendes Backup-Konzept mit Mass­nahmen zur Datensicherung, um Cyber-Risiken zu minimieren, und eine Cyber­versicherung für den Fall, dass trotz aller Sicherheits­vorkehrungen und Vorsicht etwas passiert. Nur so können sich Unternehmen vor dem Verlust geschäfts­kritischer Daten schützen und den laufenden Betrieb sicherstellen. Ohne sinnvolle Sicherungs­strategien müssen sie nach einem Datenverlust unter anderem mit finanziellen Verlusten, Produktivitäts­einbussen und Reputationsschäden rechnen.

Jede Woche werden dem Bundesamt für Cybersicherheit BACS mehr als 1’000 Cyber-Vorfälle gemeldet. Gefährdet sind alle Unternehmen. Grosse, weil sie lukrative Ziele sind; kleine und mittlere, weil sie vergleichs­weise einfachere Ziele sind. Zu den häufigsten Angriffsmustern, die den Betrieb lahmlegen und zu langfristigen Schäden führen können, gehören Daten­diebstahl, Denial-of-Service-Attacken und Ransomware-Angriffe.

Bei einem Angriff mit Erpresser­software werden Daten gelöscht oder verschlüsselt und können nur mit dem Schlüssel wiederhergestellt werden, für den die Erpresser ein Lösegeld verlangen. Mit einem Backup-Konzept und aktuellen Sicherheits­kopien der Daten hätte man sich das Lösegeld oder die Kosten für die aufwendige Datenwieder­herstellung sparen können.

Jedes Unternehmen sollte seine Daten kennen und ihren Wert verstehen, um sie wirksam schützen zu können. Bevor ein Unternehmen (oder sein IT-Dienstleister) mit der Arbeit am Backup-Konzept beginnt, müssen deshalb drei wichtige Fragen beantwortet werden:

1. Welche Daten sichern wir überhaupt digital?
2. Wie wichtig sind die Daten für unsere Wertschöpfung?
3. Welche Daten müssen wir aus gesetzlichen Gründen speichern?

Sobald klar ist, welche Daten wie und wo gespeichert werden, kann die Arbeit am Backup-Konzept beginnen. Das Hauptziel ist ein systematischer Plan zur Daten­sicherung und Datenwieder­herstellung, um Daten­verluste zu vermeiden und die Geschäftskontinuität sicherzustellen. Dafür müssen alle wichtigen kritischen und relevanten Daten identifiziert, regelmässig gesichert und nach einem Datenlust einfach, schnell und vollständig wiederhergestellt werden können.

100% Sicherheit gibt es nie. Aber Unternehmen können ihre Risiken mit einem durchdachten Backup-Konzept und einer wirksamen Datensicherung massiv minimieren:

• Backup-Lösung: Unternehmen können Daten lokal auf einem internen Datenspeicher (On-Premises, also vor Ort) oder auf einem externen Server (in der Cloud) sichern. On-Premises-Backups bieten mehr Kontrolle, ausserdem sind die Daten schneller wieder­hergestellt. Cloud-Backups sind dafür skalierbar und einfacher zugänglich. Für viele Unternehmen ist es sinnvoll, die Stärken von On-Premises- und Cloud-Backups (Kosten, Sicherheit sowie Verfügbarkeit) zu kombinieren und eine hybride Lösung zu wählen.
• Backup-Plan: Kein Plan ist in Stein gemeisselt. Auch nicht der Backup-Plan. Unternehmen sollten ihre Backup-Strategie und ihr Backup-Konzept regelmässig hinter­fragen und sicher­stellen, dass sie nicht nur die aktuell benötigten Dateien, sondern auch alle neuen Daten sichern und die aktuellen Risiken minimieren. Ausserdem sollten Unternehmen ihre Wieder­herstellungs­prozesse testen, ihren Backup-Zeitplan anpassen und ihre Speicherlösungen auf dem neuesten Stand der Technik halten.
• Datenverschlüsselung: Werden Daten auf einem Computer oder Server gesichert, sind sie durch die Zugriffsrechte geschützt. Wenn sie aber auf einem externen Laufwerk oder USB-Stick gesichert werden, sind sie ohne Verschlüsselung einfach lesbar. Sinnvoller­weise schützen Unternehmen den Zugriff auf die Backup-Daten­träger und verschlüsseln ihre Backup-Daten. Moderne Backup-Software und Cloud-Dienstleister haben Verschlüsselungs­funktionen integriert, die unbedingt aktiviert werden sollten.
• Know-how: Unternehmen mit keiner eigenen IT-Abteilung oder mit zu wenig internem Datensicherungs-Know-how sollten unbedingt einen beziehungs­weise ihren IT-Dienstleister mit ihren regelmässigen Backups beauftragen. Sinnvoller­weise werden die Sicherungs­kopien auf der Backup-Lösung des Unternehmens gespeichert und periodisch auf die Backup-Lösung des IT-Dienstleisters kopiert.
• Trennung vom Netzwerk: Wenn Cyber-Kriminelle ein Unternehmen angreifen, wollen sie so viele Systeme und Daten wie möglich kontrollieren und den grösst­möglichen Schaden anrichten. Um die Backup-Daten besser vor Hackerangriffen – oder der versehentlichen Löschung – zu schützen, sollte eine Backup-Lösung nicht permanent mit dem Firmen­netzwerk verbunden sein. So können Hacker die Sicherheits­kopien nicht über das Netzwerk löschen oder verschlüsseln und Lösegeld verlangen.

Die Entscheidung für eine Backup-Methode hängt vom Sicherheitsbedürfnis des Unternehmens und dem Speicherplatz sowie Zeitbudget für die Sicherheitskopien ab:

• Vollständiges Backup: Alle Daten werden jedes Mal komplett gesichert. Das ist zwar die sicherste Lösung, braucht aber viel Speicherplatz und Zeit.
• Inkrementelles Backup: Sichert nur die Daten, die seit dem letzten Backup geändert haben, und braucht weniger Speicher­platz und Zeit. Funktioniert aber nur, wenn alle vorherigen Backups intakt sind, um alle Daten komplett wiederherstellen zu können.
• Differenzielles Backup: Sichert die Daten, die seit dem letzten voll­ständigen Backup geändert haben. Braucht mehr Speicher­platz als ein inkrementelles Backup, ist aber schneller als ein vollständiges Backup – und vereinfacht die Daten­wiederher­stellung, weil nur das letzte voll­ständige und das letzte inkrementelle Backup benötigt werden.

Wie häufig Daten gespeichert werden, hängt von den spezifischen Anforderungen und der Daten­veränderungs­rate des Unternehmens ab und sollte in einem Backup-Zeitplan definiert werden. Kritische Daten sollten täglich oder sogar stündlich gesichert werden, weniger wichtige Daten wöchentlich oder monatlich. Mit dem Backup-Zeitplan können Unternehmen Daten­verluste einfach minimieren und Daten schnell wiederherstellen. Wichtig ist, die Backup- und Wieder­herstellungs­prozesse regelmässig zu testen, damit sie im Notfall funktionieren.