Bei der Prüfung wird nach der Backup-Richtlinie gefragt: 24-Stunden-RPO, 30-Tage-Aufbewahrung, „automatische Snapshots inklusive“. Dann: zeige die letzte erfolgreiche Wiederherstellung an. Letzter Versuch: vor zwei Jahren, teilweise, niemand erinnert sich an das Testdatenbank-Passwort.
Eine Backup-Richtlinie ohne Wiederherstellungsnachweis ist ein Vertrauensdokument – keine Betriebskontrolle. Beim Shared Hosting wie in der Cloud kommt es häufig zu stillen Ausfällen: leere Backups, beschädigte Dumps, widerrufene KMS-Schlüssel, Wiederherstellung theoretisch möglich, aber nie gemessen. Der Prüfer oder Unternehmenskunde fragt Sie nicht, ob Sie ein Backup durchführen, sondern wann Sie das letzte Mal wiederhergestellt haben und wie lange es gedauert hat.
Warum Backups fehlschlagen, ohne dass wir es bemerken
Speicherplatz voll – das Skript wird ausgeführt, die Datei wird abgeschnitten. Berechtigungen geändert – geplante Aufgabenausführung, Schreiben seit Aktualisierung verweigert. Verschlüsselung – Backup ist vorhanden, Schlüssel verloren oder Rotation nicht dokumentiert.
Unvollständiger Umfang – Dateien ja, Datenbank nein; Produktion ja, zusätzliche Eimer nein. Wiederherstellung außerhalb des Support-SLA – der Host stellt die Festplatte wieder her, nicht Ihre Anwendungslogik.
| Testen | Was es validiert | Empfohlene Häufigkeit |
|---|---|---|
| Einzelne Datei | Backup-Zugriff, Integrität | Monatlich |
| Komplette Basis | SQL-Konsistenz, RPO | Vierteljährlich |
| Virtuelle Maschine/Volume | RTO-Infrastruktur | Jährlich |
| Interregional | Wiederaufnahme der tatsächlichen Tätigkeit | Jährlich, wenn DR |
Ein Backup, das nie wiederhergestellt wurde, ist eine Lotterie – keine Versicherung.
Führen Sie in vier Schritten eine glaubwürdige Übung durch
Bereiten Sie eine isolierte Umgebung, einen Referenzdatensatz, einen Timer und einen benannten Manager vor. Wiederherstellung aus derselben Quelle wie im Krisenfall: Host-Snapshot, Restic, S3-Dump.
Validierung anhand von Prüfsumme, Geschäftsanfragen und Anwendungsverbindung – nicht nur „Der Dienst startet“. Dokument in einem einseitigen Bericht: Abweichungen von RTO/RPO, offene Korrekturtickets.
Rufen Sie den Hosting-Support an, wenn das Szenario ihren Brick beinhaltet – beachten Sie die Reaktionszeit: Auch dies ist ein Beweis.
Vertrag mit dem Gastgeber
Fragen Sie nach der Snapshot-Häufigkeit, der Aufbewahrung, ob die Wiederherstellung inbegriffen oder kostenpflichtig ist, der Supportzeit und der Unveränderlichkeit der Anti-Ransomware. Vergleichen Sie über das Verzeichnis und Backups: Was ist enthalten, falls verfügbar.
Host-Backup und Client-Backup aufeinander abstimmen (externes Konto exportieren) – eine einzelne Kopie vom gleichen Anbieter reicht nicht immer aus. Querverweis mit Speicherort der Backups für die Zuordnung von Kopien.
Szenarien, die in den Testplan aufgenommen werden sollen
Zumindest: Wiederherstellung einer einzelnen Datei, vollständiger Basis-Dump, erneutes Mounten einer virtuellen Maschine oder eines Volumes und – bei Wiederaufnahme der interregionalen Aktivität – Wiederherstellung aus der Backup-Region. Für jedes Szenario wird ein datierter Bericht mit beobachtetem RPO und Abweichungen vom Vertragsziel erstellt. Ohne Abwechslung validieren Sie nur den einfachsten Weg – nicht den, den Sie in einer Krise brauchen. Integrieren Sie das Testergebnis in Ihren Kontinuitätsplan und teilen Sie es dem DPO oder internen Prüfer mit: Ein Datum und eine gemessene Dauer sind besser als ein RPO-Versprechen auf Papier.
Der Gipfel: Ransomware-Tag
Entscheide dich und gehe ohne blinden Fleck voran
Planen Sie einen 30-tägigen Wiederherstellungstest mit mindestens einem vollständigen Datenbankszenario und einem kritischen Dateiszenario. Veröffentlichen Sie den datierten internen Bericht, weisen Sie Korrekturmaßnahmen zu und integrieren Sie das Ergebnis in Ihren Kontinuitätsplan. Verknüpfen Sie die Übung mit Speicherort der Backups und verwenden Sie den Vergleicher, wenn Sie Ihr Backup-Angebot ändern – ein datierter Nachweis ist mehr wert als ein gedrucktes SLA.
Häufig gestellte Fragen
Wie oft sollte eine Restauration getestet werden?
Mindestens jährlich für kritische Daten; Vierteljährlich bei sensibler Behandlung oder häufigem Wechsel.
Ist die Wiederherstellung einer Datei ein ausreichender Beweis?
Nein – variieren Sie die Datei-, Datenbank-, virtuellen Maschinen- und regionsübergreifenden Notfallwiederherstellungsszenarien.
Testet der Host unsere Backups für uns?
Selten die Lesbarkeit Ihrer verschlüsselten Backups – der Test bleibt zu Hause.
Was muss in den Beweisbericht aufgenommen werden?
Datum, Quelle, Dauer, beobachteter RPO, Anomalien, nächste Frist und Verantwortlicher.
Eine glaubwürdige Backup-Richtlinie beginnt mit einem Satz: Letzte erfolgreiche Wiederherstellung am... in... Minuten. Zeigen Sie dieses Datum in Ihrer internen Kontinuitätsdokumentation an – nicht nur in einer Richtlinien-PDF, die niemand öffnet.