Interview mit Stephan Köninger, IT-Consultant, codecentric „Ein Disaster-Recovery-Plan muss individuell angepasst werden“

Anbieter zum Thema

Codecentric AG

FAST LTA GmbH

Impossible Cloud GmbH

Stephan Köninger, IT-Consultant bei codecentric und erfahrener Software-Entwickler und -Berater mit Expertise in Backend, Frontend und DevOps, erläutert im Interview, wie es aktuell um die „Backup-Disziplin“ deutscher Unternehmen steht.

Storage-Insider: Herr Köninger, der Juni ist der „Backup-Awareness-Month“. Wie steht es um die „Backup-Disziplin“ deutscher Unternehmen?

Stephan Köninger, codecentric: Diverse Studien von BSI, Bitkom, Veeam oder Acronis liefern Zahlen zur „Backup-Disziplin“. Aus diesen lässt sich ableiten, dass in Deutschland bis zu 30 Prozent der KMU keine regelmäßigen und belastbaren Backups erstellen. Dies ist besonders kritisch für Unternehmen, die ohne ihre Daten nicht operativfähig sind. Insgesamt zeigen die Zahlen, dass die Bedeutung von Backups in vielen Unternehmen erkannt und Maßnahmen umgesetzt wurden. Jedoch ist der Anteil der Unternehmen mit mangelndem Bewusstsein hierfür weiterhin beträchtlich.

Gibt es Aspekte, die Unternehmen bei der Erstellung ihrer Backups häufig übersehen?

Köninger: Ein Backup ist nur dann effektiv, wenn es im Notfall auch zur Wiederherstellung genutzt werden kann. Studien zeigen jedoch, dass in Deutschland nur jedes vierte Unternehmen die Wiederherstellbarkeit seiner Datensicherungen testet – ein oft vernachlässigter Punkt. Zudem sollte die Anfälligkeit für lokale Ereignisse bedacht werden, wobei die 3-2-1-1-Strategie helfen kann.

Wie sieht ein guter Disaster-Recovery-Plan aus, und worauf sollten Unternehmen dabei achten?

Köninger: Ein Disaster-Recovery-Plan (DRP) ist klar definiert und für alle Beteiligten gut verständlich, damit im Notfall jeder genau weiß, was zu tun ist. Wichtig ist, dass der Plan im Unternehmen bekannt, regelmäßig kommuniziert und auch verprobt wird. Da Unternehmen sich stark unterscheiden, gibt es hier keine allgemeingültige Lösung; der DRP muss individuell angepasst werden – unter Berücksichtigung von Standards wie beispielsweise der ISO/IEC 27031 sowie branchenspezifischer Anforderungen und gesetzlicher Vorgaben. So stellt der Plan sicher, dass im Ernstfall schnell, koordiniert und effektiv gehandelt werden kann und die Wahrscheinlichkeit für einen Compliance-Bruch minimiert wird.

Wer sollte im Unternehmen Zugriff auf die Backups bekommen?

Köninger: Eine sorgfältige Bewertung der Zugriffsverwaltung für Backup-Systeme ist unerlässlich, um im Notfall die Datenverfügbarkeit zu gewährleisten und gleichzeitig unbefugten Zugriff zu verhindern. Ausgewählte Systemadministratoren benötigen primären Vollzugriff auf sämtliche Backup-Systeme für die Erstellung, Verwaltung, Wiederherstellung und das Testen von Backups, wobei die Protokollierung aller Zugriffe und adäquate Authentifizierungsmethoden erforderlich sind, um Compliance-Vorgaben genüge zu leisten.

IT-Sicherheitsbeauftragte haben kontrollierende und überwachende Funktionen mit lesendem Zugriff und gegebenenfalls eingeschränktem Zugriff auf Metadaten, während Datenschutzbeauftragte die datenschutzrechtlichen Aspekte über Protokolle und Dokumentation überwachen, ohne Zugriff auf die Backup-Inhalte selbst. Im Notfall erhalten Führungskräfte oder Notfallteams nur bei Bedarf und nach definierten Prozessen (DRP) kontrollierten Zugriff auf Backups.

Zusammenfassend ist festzuhalten, dass, wie bei allen sensiblen Daten in einem Unternehmen, der Zugriff auf Backups nach dem Prinzip der minimalen Rechtevergabe („least privilege“) erfolgen sollte. Strenge Sicherheitsmaßnahmen und klare Verantwortlichkeiten sind entscheidend für die Integrität und Sicherheit der Backup-Daten und zahlen auch auf das Vertrauen in das Unternehmen ein.

Für welche Unternehmen empfehlen Sie jeweils welche Backup-Strategie?

Köninger: Kleine Unternehmen sollten, sofern datenschutzrechtlich unbedenklich, automatisierte Cloud-Backups in Betracht ziehen. Mittelständische Betriebe fahren in der Regel gut mit hybriden Ansätzen, die lokale und Cloud-Backups kombinieren. Für Großunternehmen sind komplexe, mehrstufige und regelmäßig getestete Konzepte unerlässlich, idealerweise als Bestandteil eines Disaster-Recovery-Plans.

Branchenspezifische Vorschriften wie DSGVO und BSI-Grundschutz können die Wahl der Strategie maßgeblich beeinflussen, insbesondere in sensiblen Sektoren wie dem Gesundheitswesen, der Finanzbranche oder im Versicherungswesen.

Die Art und Sensibilität der zu sichernden Daten erfordern angemessene Sicherheitsmaßnahmen. Bei personenbezogenen oder vertraulichen Informationen sind Verschlüsselung und ein sicheres Schlüsselmanagement kritisch. Die Zulässigkeit von Cloud-Backups hängt stark von den rechtlichen Rahmenbedingungen (DSGVO, Auftragsverarbeitung, Speicherort in der EU) sowie den technischen und organisatorischen Maßnahmen des Cloud-Anbieters ab.

Vielen Dank für das Interview, Herr Köninger!

Aktuelles eBook

Ransomware-Schutz durch Object Lock und WORM

Um ein Storage-System effektiv von Ransomware-Angriffen zu schützen, bieten sich neben Backup/Disaster Recovery und Verschlüsselung vor allem Object Lock und WORM an. Das gelingt nicht nur im eigenen Haus, sondern auch in der Hybrid-Cloud.

Die Themen im Überblick:

• Ransomware-Trends
• Air-Gapping
• Amazon S3 Object Lock
• WORM mit Bandspeicher
• Schutz durch Algorithmen

eBook „Ransomware-Schutz durch Object Lock und WORM“ kostenlos downloaden

(ID:50447567)