Backup und Wiederherstellung: Was du für deine Individualsoftware vertraglich festhalten solltest

"Die Daten werden täglich gesichert" steht in vielen Angeboten und klingt beruhigend. Ob das reicht, hängt von Fragen ab, die der Satz nicht beantwortet: Wie viel Datenverlust kann dein Unternehmen verkraften? Wie lange darf die Software ausfallen? Wo liegen die Sicherungen, und hat jemand je geprüft, dass sich daraus etwas wiederherstellen lässt? Dieser Artikel gibt dir die Begriffe und Fragen, mit denen du Backup und Wiederherstellung vertraglich greifbar machst.

Zwei Kennzahlen, die du festlegen musst: RPO und RTO

Zwei Abkürzungen bilden die Grundlage jeder Vereinbarung:

RPO (Recovery Point Objective): Wie viel Datenverlust ist maximal tolerierbar, gemessen in Zeit? Bei einem RPO von 24 Stunden gehen im schlimmsten Fall die Eingaben eines ganzen Tages verloren, nämlich alles seit der letzten Sicherung. Bei einem RPO von 15 Minuten braucht die Software ein deutlich aufwendigeres Sicherungsverfahren.
RTO (Recovery Time Objective): Wie lange darf es dauern, bis die Software nach einem Ausfall wieder läuft? Ein RTO von vier Stunden bedeutet, dass die Wiederherstellung innerhalb dieser Zeit abgeschlossen sein muss.

Beide Werte bestimmen den Aufwand und damit den Preis. Ein engeres RPO und ein kürzeres RTO erfordern mehr Technik und gegebenenfalls Bereitschaftsdienste. Bestimme sie deshalb nach dem Schaden, den ein Ausfall oder Datenverlust für dein Unternehmen bedeutet. Rechne durch: Was kostet eine Stunde Stillstand? Wie aufwendig wäre es, einen Tag Dateneingaben nachzuerfassen?

Die 3-2-1-Regel als Mindeststandard

Eine verbreitete Faustregel für Sicherungen lautet 3-2-1:

3 Kopien deiner Daten: das Original und zwei Sicherungen,
auf 2 unterschiedlichen Speichermedien oder Systemen,
davon 1 Kopie an einem anderen Ort, etwa bei einem anderen Anbieter oder in einer anderen Region.

Der Grund für die räumliche Trennung: Fällt ein Rechenzentrum aus, brennt ein Serverraum oder verschafft sich ein Angreifer Zugang zum Hauptsystem, soll eine Kopie davon unberührt bleiben. Ergänzend wird zunehmend empfohlen, mindestens eine Kopie so abzulegen, dass sie nicht mehr verändert oder gelöscht werden kann ("unveränderlich"), damit auch Erpressungssoftware sie nicht verschlüsseln kann.

Frag deinen Dienstleister, wie seine Sicherung diese Regel umsetzt, und lass dir die Antwort schriftlich geben.

Ein Backup ohne Wiederherstellungstest ist eine Annahme

Dass eine Sicherung läuft, sagt noch nicht, dass sie sich zurückspielen lässt. Sicherungen können unvollständig sein, die Zugangsschlüssel zur Entschlüsselung können fehlen, oder der Ablauf der Wiederherstellung ist nie durchgespielt worden, sodass sie im Ernstfall länger dauert als das vereinbarte RTO.

Verlange deshalb im Vertrag:

Regelmäßige Wiederherstellungstests, zum Beispiel jährlich oder nach größeren Änderungen am System, mit schriftlichem Ergebnis.
Eine dokumentierte Wiederherstellungsanleitung, die jemand anderes als der ursprüngliche Entwickler nachvollziehen kann.
Aufbewahrung der Zugangsdaten und Schlüssel an einem Ort, der auch bei Ausfall des Hauptsystems erreichbar ist.

Der Zusammenhang mit der DSGVO

Verarbeitest du personenbezogene Daten, enthält Artikel 32 der DSGVO eine Anforderung, die hier direkt greift: Verantwortliche und Auftragsverarbeiter müssen unter anderem die Fähigkeit sicherstellen, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen. Ein dokumentiertes und getestetes Backup-Konzept ist ein Baustein, mit dem du das belegen kannst. Wie sich solche Pflichten in den Vertrag mit dem Entwicklungspartner übersetzen, zeigt der Artikel Auftragsverarbeitungsvertrag (AVV): DSGVO im Vertrag mit externen Entwicklern.

Auch Löschfristen berühren das Thema: Daten, die in der Hauptdatenbank gelöscht werden, liegen noch in älteren Sicherungen. Kläre, wie lange Sicherungen aufbewahrt werden und wie das mit Löschpflichten zusammenpasst.

Was in den Vertrag gehört

Eine Backup-Vereinbarung sollte diese Punkte enthalten:

Umfang: Welche Daten werden gesichert (Datenbank, hochgeladene Dateien, Konfiguration)?
Rhythmus und RPO: Wie oft wird gesichert, und welcher Datenverlust ist maximal möglich?
Aufbewahrungsdauer: Wie lange bleiben Sicherungen erhalten?
Speicherorte: Wo liegen die Kopien, und in welchem Rechtsraum? Das ist für die Frage relevant, die der Artikel EU-Hosting vs. US-Cloud behandelt.
RTO und Zuständigkeit: Wer stellt wieder her, in welcher Zeit, und zu welchen Zeiten ist jemand erreichbar?
Tests und Nachweise: Wie oft wird die Wiederherstellung geprüft, und erhältst du das Ergebnis?
Kosten: Ist der Betrieb der Sicherung im Festpreis enthalten oder Teil des Wartungsvertrags? Siehe dazu Wartung & Weiterentwicklung.

Fazit

"Tägliche Sicherung" ist eine Teilantwort. Lege RPO und RTO nach dem Schaden fest, den ein Ausfall bei dir verursacht, orientiere dich an der 3-2-1-Regel, und verlange Wiederherstellungstests mit schriftlichem Ergebnis. Erst dann weißt du, dass du im Ernstfall deine Daten zurückbekommst.

Häufig gestellte Fragen

Reicht das Backup meines Hosting-Anbieters?

Das hängt davon ab, was der Anbieter sichert, wie lange er aufbewahrt und ob du die Daten selbst zurückspielen kannst. Lass dir Umfang, Aufbewahrungsdauer und Wiederherstellungsprozess schriftlich bestätigen und vergleiche sie mit deinen Anforderungen an RPO und RTO.

Wie oft sollte ich die Wiederherstellung testen?

Ein fester Rhythmus, zum Beispiel einmal im Jahr, und zusätzlich nach größeren Änderungen am System, ist ein sinnvoller Ausgangspunkt. Entscheidend ist, dass der Test stattfindet und das Ergebnis dokumentiert wird.

Was ist der Unterschied zwischen Backup und Hochverfügbarkeit?

Ein Backup stellt Daten nach einem Zwischenfall wieder her, wobei das System währenddessen steht. Hochverfügbarkeit verhindert Ausfälle durch redundante Systeme. Beides verfolgt unterschiedliche Ziele und hat unterschiedliche Kosten.