Backups nach ISO 27001: die Sicherung, die sich wirklich wiederherstellen lässt
«Backups haben wir» — höre ich in jedem Audit. «Und wann haben Sie zuletzt daraus wiederhergestellt?» — dann folgt oft Stille. Ein nie getestetes Backup ist kein Sicherheits-Control, sondern Aberglaube.
Was die Norm verlangt
ISO 27001 schreibt keine Technologie vor — sie verlangt, dass die Backup-Politik den Geschäftsanforderungen entspricht: was, wie oft, wie lange, wie geschützt, wie auf Wiederherstellbarkeit geprüft. Die Anforderungen kommen aus Risikobewertung und BIA: wie viele Daten dürfen verloren gehen (RPO), wie schnell muss alles laufen (RTO).
Das funktionierende Minimum
- 3-2-1-Regel: drei Kopien, zwei Medien/Orte, eine außerhalb der Hauptinfrastruktur;
- isolierte Kopie (offline/immutable) — der Hauptschutz vor Ransomware, die zuerst Ihre Backups sucht;
- Verschlüsselung der Kopien und Zugriffskontrolle — ein unverschlüsseltes Backup mit personenbezogenen Daten ist selbst ein Risiko;
- Ausführungsmonitoring: ein fehlgeschlagenes Nachtbackup wird ein Ticket, keine Überraschung nach sechs Monaten.
Restore-Tests
Mindestens halbjährlich stichprobenartige Wiederherstellung, jährlich die volle Übung: einen kritischen Service aus der Kopie hochziehen und die Zeit messen. Das Ergebnis wird dokumentiert — Beweis fürs Audit und Material für den Kontinuitätsplan.
Lesen Sie auch
Autor — Kyrylo Proskurnya, leitender ISO-Auditor und internationaler Experte für Managementsysteme. Ich führe Zertifizierungs- und interne Audits nach ISO 27001, ISO 9001, ISO 27701 und ISO 42001 für Unternehmen in der DACH-Region, Europa und den USA durch. Über mich · Beratung anfragen