Backup-Plan: was je System festgelegt sein muss
Backup-Plan: was er festlegt und wer danach fragt
Fast jedes zweite kleine und mittlere Unternehmen (48 Prozent) hat laut einer Forsa-Umfrage im Auftrag des GDV keinerlei Notfallplan für den Ernstfall. Ein Notfallplan setzt aber voraus, dass feststeht, welche Sicherung wofür zurückgespielt wird.
Ein Backup-Plan ist das Dokument, das für ein IT-System oder eine Gruppe von Systemen festlegt, welche Daten wie, wie oft und wohin gesichert werden, wie lange die Sicherungen aufbewahrt werden, wie sie vor Zugriff und Überschreiben geschützt sind und in welcher Reihenfolge sie im Ernstfall wiederhergestellt werden. Im IT-Grundschutz des BSI heißt dieses Dokument Datensicherungsplan.
Für die Datensicherung im Unternehmen ist der Plan das Bindeglied zwischen Technik und Nachweis. Eine Backup Policy legt dagegen nur Grundsätze fest. Was das für die Warenwirtschaft heißt, steht erst im Plan für die Backups dieses Systems.
Backup-Plan oder Datensicherungskonzept?
Die beiden Begriffe klingen austauschbar, stehen im IT-Grundschutz aber auf verschiedenen Stufen. Datensicherungspläne je IT-System sind eine Basis-Anforderung, die erfüllt werden muss, das übergreifende Datensicherungskonzept ist eine Standard-Anforderung, die erfüllt werden sollte (BSI, IT-Grundschutz-Kompendium CON.3, 2023). Das Backup-Konzept beschreibt den Rahmen mit Begriffen, Gefährdungslage und Einflussfaktoren und enthält die Pläne. Eine Backup-Konzept-Vorlage fällt entsprechend umfangreicher aus als eine Backup-Plan-Vorlage.
Warum der Plan zuerst kommt
Einen Backup-Plan erstellen heißt für einen Betrieb ohne eigene IT-Abteilung deshalb: zuerst je wichtigem System ein Plan, das Konzept kann später darüber wachsen. Weil der Plan im Ernstfall gebraucht wird, hängt viel an seiner Ablage außerhalb der Sicherungssysteme: Er muss auch dann lesbar sein, wenn diese selbst ausfallen.
Disaster Recovery und Backup-Plan
Der Plan regelt Sicherung und Rückspielung je System. Ein Disaster Recovery Plan oder IT-Notfallplan regelt den Wiederanlauf des ganzen Betriebs: wer alarmiert wird, welche Prozesse zuerst laufen und wo notfalls gearbeitet wird. Im Englischen ist auch von einem Backup and Recovery Plan die Rede. Wie lange die Rückspielung je System höchstens dauern darf, steht im Plan und gehört zugleich in das IT Service Level Agreement mit dem Dienstleister. Der Notfallplan sagt, wie der Betrieb weiterläuft, der Backup-Plan, aus welchem Stand die Daten kommen.
Wie viel Datenverlust ein Betrieb verkraftet
Wie oft gesichert wird, ist keine Voreinstellung der Software, sondern folgt aus zwei Größen: wie lange ein Geschäftsprozess ohne seine Daten auskommt und wie lange es dauert, verlorene Änderungen nachzuerfassen. Beide Werte kennt der Fachbereich besser als die IT. Dieser Abschnitt zeigt, wie daraus der Backup-Zeitplan entsteht und warum die Kettenlänge dazugehört.
Das BSI teilt die Verantwortung deshalb auf. Der IT-Betrieb erhebt je System die Rahmenbedingungen, die Fachverantwortlichen definieren ihre Anforderungen, und beides wird abgestimmt. Zu klären sind unter anderem:
- die zu sichernden Daten
- Speicher- und Änderungsvolumen
- die Zeitpunkte, zu denen sich Daten ändern
- Anforderungen an Verfügbarkeit und Vertraulichkeit
- rechtliche Anforderungen
- die Zuständigkeiten für die Datensicherung
Wie oft gesichert wird, folgt aus der Nacherfassung
Die Umsetzungshinweise des BSI geben für den Abstand der Sicherungen eine Regel vor. Er ist so zu wählen, dass sich die seither geänderten Daten schneller wiederherstellen und nacherfassen lassen, als der Prozess ohne sie auskommen kann (BSI, Umsetzungshinweise zum Baustein CON.3, 2022). Die maximal tolerierbare Ausfallzeit gibt den Takt vor, nicht die Gewohnheit. Daneben nennen die Hinweise ereignisabhängige Sicherungen, etwa direkt nach einem Versionswechsel der Software.
Beispiel: Warenwirtschaft und Dateiablage
In der Warenwirtschaft eines Händlers entstehen den ganzen Tag Aufträge und Buchungen. Fällt das System am Nachmittag aus und stammt die letzte Sicherung aus der Nacht, müssen alle Vorgänge seit dem Morgen nachgetragen werden. Kommt der Vertrieb nur zwei Stunden ohne das System aus, reicht der nächtliche Backup-Zeitplan also nicht. Für eine Dateiablage, die sich selten ändert, genügt dagegen eine tägliche Sicherung.
Wie lang darf die Sicherungskette werden?
Mehrere Stände am Tag entstehen meist als inkrementelles Backup, denn eine Komplettsicherung ist laut BSI wegen ihres Aufwands in der Regel höchstens einmal täglich möglich. Für die Backup-Planung zählt daran vor allem eine Zahl: nach wie vielen Gliedern die Kette wieder mit einem vollständigen Stand beginnt, denn beim Zurückholen wird jedes Glied gebraucht. Backup-Software kann diesen Stand als Synthetic Full Backup aus vorhandenen Ständen zusammensetzen. Beim Forever Incremental Backup entfällt er nach dem ersten Lauf, dann hält der Plan fest, wie oft die Kette zusammengeführt und geprüft wird.
Was ein Datensicherungsplan nach BSI festlegen muss
Der IT-Grundschutz nennt sieben Punkte, die jeder Datensicherungsplan mindestens kurz beschreiben muss, vom Umfang der Sicherung über die Reihenfolge der Wiederherstellung bis zur eingesetzten Hard- und Software. Dieser Abschnitt ordnet sie ein, zeigt an einem Beispiel, wie wenig Platz sie brauchen, und klärt, wo die Sicherungen liegen.
Grundlage ist das festgelegte Backup-Verfahren, also Art, Häufigkeit und Zeitpunkt der Sicherungen je System. Darauf baut der Plan auf. Nach dem Baustein CON.3 beschreibt er mindestens:
- welche Systeme und Daten durch welche Sicherung erfasst werden
- in welcher Reihenfolge Systeme und Anwendungen zurückkommen
- wie Sicherungen erstellt und zurückgespielt werden
- wie lange Sicherungen aufbewahrt werden
- wie sie vor unbefugtem Zugriff und Überschreiben geschützt sind
- welche Parameter gelten
- welche Hard- und Software eingesetzt wird
Die Reihenfolge der Wiederherstellung kennt keine Software. Ob zuerst die Benutzeranmeldung oder die Warenwirtschaft zurückkommt, entscheidet der Betrieb, und zwar vor dem Ausfall.
Ein Backup-Plan-Beispiel für drei Systeme
Eine Musterübersicht des Bayerischen Kultusministeriums für Schulen kommt mit einer Zeile je Datenart aus. Darin stehen Art der Sicherung, Speicherort, Häufigkeit, Generationen, Wiederherstellung und Zuständigkeit. Wer einen Backup-Plan erstellen will, kann dieses Raster übernehmen. Die Tabelle zeigt ein verkürztes Backup-Plan-Beispiel, die Werte sind keine Empfehlung:
| System | Sicherung | Aufbewahrung |
|---|---|---|
| Warenwirtschaft | stündlich, nachts voll | 30 Tage |
| Dateiablage | täglich voll | sieben Tagesstände |
| Webshop | täglich, nach Updates | 14 Tage |
Im vollständigen Datensicherungsplan kommen je Zeile Speicherort, Schutz, Zuständigkeit und die Position in der Wiederherstellungsreihenfolge hinzu. Wie viele Generationen nebeneinander liegen und wie weit die älteste zurückreicht, regelt das Großvater-Vater-Sohn-Prinzip.
Wo die Sicherung liegt und wer sie überschreiben darf
Die Speichermedien für die Datensicherung müssen räumlich getrennt von den gesicherten Systemen liegen, und die Sicherungen müssen so geschützt sein, dass sie weder absichtlich noch versehentlich überschrieben werden. Besonders schützenswerte Speichermedien für die Datensicherung sollen nur während Sicherung und Wiederherstellung mit dem Netz verbunden sein, denn viele Ransomware-Varianten suchen laut BSI nach Netzlaufwerken mit Schreibzugriff. Eine Sicherung, die vom gesicherten System aus beschreibbar ist, teilt dessen Schicksal. Im Plan steht deshalb auch, wer Schreibrechte hat und ob eine Kopie das Gebäude verlässt.
Woran ein Backup-Plan im Alltag scheitert
Auch ein vollständiger Plan kann nur auf dem Papier stehen, wenn die Schwachstellen außerhalb der Technik liegen: Niemand ist für die Überwachung zuständig, der Plan ist im Ausfall nicht erreichbar, oder er wurde nach der letzten Änderung nicht nachgezogen. Dieser Abschnitt geht sie durch und nennt Anlässe für eine Anpassung.
Zuständig für Durchführung und Überwachung
Die Umsetzungshinweise des BSI führen zwei Zuständigkeiten getrennt auf: die für die Durchführung der Sicherung und die für ihre Überwachung, gerade bei automatischer Durchführung. Wichtig wird das, sobald ein Betrieb das Backup automatisieren lässt. Dann läuft der Job nachts, aber jemand muss Fehlermeldungen und freien Speicherplatz verfolgen. Ein Backup Monitoring liefert dieser Rolle die Meldungen, ersetzt sie aber nicht. Im Plan steht eine Person oder Stelle mit Namen, nicht „die IT“.
Den Plan dort ablegen, wo er im Ausfall erreichbar ist
Liegt der Plan nur auf dem Server, dessen Wiederherstellung er beschreibt, fehlt er genau dann, wenn er gebraucht wird. Das BSI empfiehlt, die Datensicherungspläne so zu sichern, dass sie auch bei einem Ausfall der Sicherungssysteme verfügbar sind. Ein Ausdruck im Notfallordner erfüllt das. Bitkom-Präsident Dr. Ralf Wintergerst sagte dazu im September 2026: „Wer Backups besitzt und Notfallpläne aufgestellt hat, sorgt dafür, dass eine Verschlüsselung den Betrieb nicht über längere Zeit lahmlegt.“ (Bitkom, Presseinformation zu Ransomware-Lösegeldzahlungen, 2026)
Wann muss ein Backup-Plan angepasst werden?
Immer dann, wenn sich eine der erhobenen Einflussgrößen ändert. Der BSI-Baustein CON.3 verlangt, dass neue Anforderungen zeitnah berücksichtigt werden. Anlässe dafür sind zum Beispiel:
❗ eine neue Software oder ein neues Fachverfahren
❗ ein Wechsel des IT-Dienstleisters oder des Rechenzentrums
❗ ein deutlich gewachsenes Datenvolumen
❗ neue Aufbewahrungsfristen oder Kundenanforderungen
❗ ein Umzug oder ein zusätzlicher Standort
Nach jeder Anpassung gehört die Rückspielung erneut auf den Prüfstand, denn das BSI verlangt regelmäßige Tests, ob gesicherte Daten einwandfrei und in angemessener Zeit zurückkommen. Ein protokollierter Disaster Recovery Test zeigt, ob Reihenfolge und Dauer aus dem Plan halten. Die Backup-Dokumentation mit Datum, Art der Sicherung und Parametern belegt laufend, dass nach dem Plan gesichert wird.
Bei TenMedia gehören Backups von Code, Dateien und Datenbank zu Wartung und Hosting, mit dreimonatiger Aufbewahrung und regelmäßig getesteter Wiederherstellung. Beim Relaunch einer Datenbank für die berufliche Bildung sichern Monitoring und automatisierte Backups den laufenden Betrieb ab.
