1. Den ersten notwendigen Geschäftsablauf bestimmen.
Beginne mit einem konkreten Szenario: Die Website ist nicht erreichbar, ein wichtiges Konto ist gesperrt oder eine Datei fehlt. Was muss dein Team als Erstes wieder tun können? Ein Angebot versenden, Termine sehen oder bereits eingegangene Anfragen bearbeiten?
Schreibe die dafür benötigten Dienste und Informationen auf. Trenne den eigentlichen Dienst von seinen Abhängigkeiten. Zur Website können beispielsweise Domainverwaltung, Hosting, Anwendung und Datenbank gehören. Die folgende Prüfreihenfolge ist ein redaktionelles Arbeitsbeispiel und muss an den Betrieb angepasst werden.
2. Den Inhalt der Sicherung klären.
Bitte die zuständige Person um eine verständliche Beschreibung: Welche Daten werden gesichert, in welchem Rhythmus und unter wessen Verantwortung? Werden nur Dateien gesichert oder auch die benötigte Datenbank und Konfiguration? Wo liegt ein Nachweis des letzten erfolgreichen Laufs?
Das BSI betrachtet Datensicherung als planbaren Prozess mit festgelegten Rahmenbedingungen. Für dein Gespräch sind vor allem drei Antworten nützlich: Welcher Stand wäre wiederherstellbar, welche Veränderungen würden seitdem fehlen und wer darf auf die Sicherung zugreifen? Eine grüne Meldung ersetzt diese Beschreibung nicht.
3. Eine Wiederherstellung kontrolliert nachweisen.
Ein Restore-Test gehört in eine dafür vorgesehene, abgestimmte Umgebung. Er soll vorhandene Produktivdaten nicht versehentlich überschreiben. Lege vorab fest, welche kleine Datenmenge oder Testkopie verwendet wird, wer den Test ausführt und woran der Erfolg erkennbar ist.
Prüfe nach der Wiederherstellung nicht nur, ob eine Datei existiert. Kann die zuständige Person sie öffnen? Ist der erwartete Stand enthalten? Sind notwendige Konfigurationen vorhanden? Dokumentiere Dauer, Abhängigkeiten, Ergebnis und offene Punkte. Das BSI weist auch auf Risiken fehlender Wiederherstellungsdokumentation und unzugänglicher Entschlüsselungsschlüssel hin.
Bei einem vermuteten Sicherheitsvorfall gelten andere Anforderungen als bei einer Übung. Eine möglicherweise betroffene Sicherung wird nicht ungeprüft in Betrieb genommen. Ziehe dafür den zuständigen IT-Dienstleister hinzu; die sichere Behandlung eines Vorfalls ist ein eigener Fachauftrag.
4. Zweite Faktoren und Wiederherstellung zusammen planen.
Mehrfaktor-Authentisierung sollte nicht nur für die Person funktionieren, die den Zugang ursprünglich eingerichtet hat. Frage bei wichtigen Konten nach persönlicher Zuständigkeit, unterstützten zweiten Faktoren und dem vorgesehenen Vorgehen bei Geräteverlust. Sicherheitsfunktionen werden nach den Möglichkeiten des jeweiligen Anbieters eingerichtet.
Wiederherstellungscodes und vergleichbare vertrauliche Informationen gehören in eine geeignete, zugriffsgeschützte Verwaltung. Sie gehören weder in ein öffentliches Kontaktformular noch in ein beliebiges geteiltes Dokument. Prüfe mit den Verantwortlichen, dass auch eine Stellvertretung nach dem vorgesehenen Freigabeprozess handlungsfähig werden kann.
Fiktives Beispiel: Das einzige Gerät für den Hosting-Zugang fällt aus. Die Übung prüft, ob die autorisierte Stellvertretung den dokumentierten Wiederherstellungsweg findet. Sie besteht nicht darin, den zusätzlichen Faktor für den ganzen Betrieb auszuschalten.
5. Aus offenen Fragen konkrete Aufgaben machen.
Halte für jeden Punkt die Auswirkung, die verantwortliche Person und den nächsten Schritt fest. „Backup prüfen“ ist zu ungenau. „Wiederherstellung einer Testkopie der Website mit dem Hosting-Dienstleister terminieren und Ergebnis dokumentieren“ lässt sich bearbeiten und abschließen.
Lege außerdem fest, wann diese Informationen erneut geprüft werden: etwa nach einem Dienstleisterwechsel oder einer wesentlichen Systemänderung. Eine einmalige Bestandsaufnahme ist kein laufender Schutzbetrieb. Sie liefert die Grundlage, um passende technische und organisatorische Maßnahmen bewusst zu beauftragen.
PEAK VISION unterstützt bei der abgegrenzten Bestandsaufnahme und Maßnahmenplanung für digitale Abläufe. Ein erfolgreiches Testbeispiel belegt nur den vereinbarten Testumfang. Es ist keine Sicherheitszertifizierung und keine Garantie gegen Angriffe oder Ausfälle.