Artikel vom 22. Februar 2026
Backup-Konzept nach BSI: Vorlage und Anleitung
Warum ein formales Backup-Konzept wichtig ist #
Gesetzliche Anforderungen #
- NIS2UmsuCG: Wesentliche und wichtige Einrichtungen müssen ein Backup-Konzept haben (§30 BSIG-neu, “angemessene Maßnahmen”).
- KRITIS-Dachgesetz: Betreiber kritischer Infrastruktur müssen BSI-Vorgaben erfüllen.
- Audit: Bei Compliance-Audits (ISO 27001, BSI C5) ist ein dokumentiertes Backup-Konzept Pflicht.
Praktischer Nutzen #
- Handlungssicherheit: Team weiß, wie Backups durchgeführt werden.
- Konsistenz: Alle Systeme folgen der gleichen Strategie.
- Recovery: Im Notfall (Ransomware, Hardware-Ausfall) weiß jeder, was zu tun ist.
- Haftung: Im Schadensfall: “Wir folgen einem Konzept” ist besser als “Wir machen Backups irgendwie.”
8 Pflichtabschnitte eines BSI-konformen Backup-Konzepts #
Abschnitt 1: Einführung und Geltungsbereich #
Was muss hier stehen?
- Zweck des Dokumentes
- Geltungsbereich (welche Systeme, welche Organisationseinheiten?)
- Verantwortlichkeiten (wer ist Backup-Administrator? Wer ist Geschäftsführer-Sponsor?)
- Glossar (Definitionen: RTO, RPO, Recovery, etc.)
Beispiel:
Dieses Konzept definiert die Datensicherung für alle IT-Systeme
der Musterfirma GmbH. Geltungsbereich: Produktionssysteme,
Entwicklungs-Systeme, kritische Datenbanken.
Verantwortlich: IT-Leiter (Sponsor), Backup-Administrator (Umsetzung)
Länge: 0,5 – 1 Seite
Abschnitt 2: Geschäftliche Anforderungen #
Was muss hier stehen?
- Kritikalität der Daten (hochkritisch, kritisch, normal)
- Business Impact Analysis (BIA): Was kostet ein Tag Ausfallzeit?
- RTO pro System (wie schnell muss Recovery sein?)
- RPO pro System (wie viel Datenverlust ist akzeptabel?)
- Compliance-Anforderungen (Behörden, Branchen)
Beispiel:
DOMÄNEN-CONTROLLER:
- Kritikalität: hochkritisch (alle User-Login abhängig)
- BIA: 50.000 EUR Verlust pro Stunde
- RTO: 2 Stunden (von Angriff bis System online)
- RPO: 1 Stunde (max. Datenverlust = Transaktionen der letzten Stunde)
FILESERVER:
- Kritikalität: kritisch
- BIA: 10.000 EUR Verlust pro Tag
- RTO: 8 Stunden
- RPO: 1 Tag
Länge: 1 – 2 Seiten
Abschnitt 3: Backup-Strategie #
Was muss hier stehen?
- Welche Backup-Medien (NAS, Tape, Cloud, Hardware Air Gap)?
- Backup-Architektur (3‑Tier empfohlen: Snapshot, Offline, Cloud)
- Für jedes System: Backup-Frequency (täglich, wöchentlich?)
- Für jedes Backup-Ziel: Aufbewahrungsdauer (z. B. “30 Tage online, 7 Jahre Tape”)
Beispiel:
DOMÄNEN-CONTROLLER:
- Tier 1: Täglicher Snapshot zu NAS (24h Aufbewahrung)
- Tier 2: Täglich Backup (offline, unbegrenzt)
- Tier 3: Wöchentlich Cloud (90-Tage Aufbewahrung für )
FILESERVER:
- Tier 1: Täglicher Snapshot zu NAS (7 Tage)
- Tier 2: Täglich zu Cloud (30 Tage)
Länge: 2 – 3 Seiten (+ Diagramm)
Abschnitt 4: Backup-Technische Umsetzung #
Was muss hier stehen?
- Verwendete Software (z. B. Veeam Backup & Replication v12)
- Verwendete Hardware (NAS-Modell, Tape-Laufwerk, Cloud-Provider)
- Netzwerk-Architektur (wo stehen Backup-Server? VLANs?)
- Encryption: werden Daten verschlüsselt? Mit welchem Standard?
- Deduplizierung: Reduziert das Backup-Volumen?
Beispiel:
BACKUP-SOFTWARE: Veeam Backup & Replication v12
HARDWARE:
- Backup Server: Dell PowerEdge R750, 64GB RAM, 10Gbps NIC
- NAS: Synology RS3621xs+ mit 48TB (RAID 6)
- Cloud: AWS S3 mit (Compliance Mode)
- : Silent Brick Max Air 1PB
ENCRYPTION: AES-256, Keys zentral im HSM gelagert
DEDUPLIZIERUNG: Aktiv (reduziert Backup-Volumen um ~70%)
Länge: 2 – 3 Seiten
Abschnitt 5: Meldepflichten und Datenschutz #
Was muss hier stehen?
- : Wie wird personenbezogene Daten geschützt?
- Standort der Backups (z. B. “EU--konform, keine US-Cloud”)
- Zugriffskontrolle (wer darf Backups sehen/wiederherstellen?)
- Audit-Trail (Zugriffe werden protokolliert)
- Meldepflichten bei Sicherheitsverletzung (NIS2UmsuCG, 72h Meldung an BSI)
Beispiel:
DATENSCHUTZ:
- Backups enthalten personenbezogene Daten (Mitarbeiterlisten, Kundendaten)
- Standort: EU (Deutschland, -konform)
- Cloud-Backups: AWS EU-Region (Datenschutz-Vereinbarung abgeschlossen)
ZUGRIFFSKONTROLLE:
- Nur Backup-Administrator hat Zugriff
- Restore-Request: Genehmigung durch IT-Leiter erforderlich
- Audit-Log: Alle Backup/Restore-Aktivitäten protokolliert
MELDEPFLICHTEN:
- Bei -Angriff: BSI Meldung innerhalb 72h ()
- Bei Daten-Leak: Datenschutz-Behörde benachrichtigen
Länge: 1 – 2 Seiten
Abschnitt 6: Recovery-Prozeduren #
Was muss hier stehen?
- Schritt-für-Schritt Prozess zum Wiederherstellen (für jedes kritische System)
- Zeitschätzung für vollständige Recovery (muss mit RTO kompatibel sein)
- Vor/Nach-Checklist (was vor Recovery zu tun? Was nach Recovery zu überprüfen?)
- Eskalation (wen anrufen, wenn Recovery fehlschlägt?)
Beispiel: Domänen-Controller Recovery
SCHRITT 1: Diagnose (15 min)
- Stelle fest, ob DC wirklich infiziert ist
- Prüfe, ob andere DCs noch online sind
- Kontaktiere Geschäftsführung + IT-Team
SCHRITT 2: Backup identifizieren (10 min)
- Letzte saubere Backup auswählen (vor Infektion)
- montieren (falls offline)
- Verifikation: Backup ist lesbar?
SCHRITT 3: Recovery-Umgebung preparieren (30 min)
- Neuen DC-VM starten (oder Recovery-Hardware)
- Netzwerk isolieren (VLAN Backup, nicht Produktion)
SCHRITT 4: Recovery durchführen (60 min)
- Daten aus Backup wiederherstellen
- DC Systemdienste starten (Active Directory, Kerberos)
- Prüfen: AD replikation mit anderen DCs
SCHRITT 5: Validierung (30 min)
- Test: User-Login funktioniert?
- Test: Fileserver Shares verfügbar?
- Test: Mail-System funktioniert?
SCHRITT 6: Production-Cutover (30 min)
- DC ins Produktions-VLAN überführen
- Alte DC abschalten
- User benachrichtigen: System wieder online
TOTAL RTO: ~3 Stunden (Ziel: 2 Stunden)
Länge: 3 – 5 Seiten (für mehrere kritische Systeme)
Abschnitt 7: Recovery-Tests und Validierung #
Was muss hier stehen?
- Wie häufig werden Recovery-Tests durchgeführt? (BSI empfiehlt: mind. jährlich)
- Welche Systeme werden getestet? (Alle kritischen? Sample?)
- Test-Dokumentation: Wer führt Test durch? Datum? Ergebnis?
- Fehlerbehandlung: Was ist, wenn Recovery fehlschlägt?
Beispiel:
RECOVERY-TEST-PLAN:
Quartal 1: Domänen-Controller Recovery-Test
- Durchführung: Januar (2 Wochen geplanter Testfenster)
- Verantwortlich: Backup-Administrator
- System: Test-DC (nicht Production!)
- Zeitmessung: Backup-Start bis DC online
- Bestanden: Wenn RTO < 2 Stunden
Quartal 2: Datenbank Recovery-Test
- System: Produktions-Datenbank (mit Downtime-Fenster)
- Veitmessung: Backup-Restore bis Datenbankintegrität OK
Quartal 3: Fileserver Recovery-Test
- System: Produktion (off-hours)
Quartal 4: Vollständiger -Drill
- Szenario: Domäne kompromittiert, Recovery alle Systeme
- Zeitmessung: Komplette Ausfallzeit
Länge: 1 – 2 Seiten
Abschnitt 8: Wartung und Gültigkeit #
Was muss hier stehen?
- Versionsgeschichte (wann wurde Konzept aktualisiert?)
- Gültigkeitsdauer (z. B. “Gültig bis 31.12.2025, dann Review”)
- Genehmigung (Geschäftsführung signiert)
- Review-Prozess (jährlich oder nach großen Änderungen)
- Kontakt (wer ist Ansprechpartner?)
Beispiel:
VERSIONSGESCHICHTE:
v1.0 (01.01.2024): Initial version
v1.1 (15.06.2024): hinzugefügt
v2.0 (15.10.2024): Anforderungen eingearbeitet
GÜLTIG BIS: 31.12.2025
REVIEW: Spätestens 31.10.2025 (3 Monate vorher)
GENEHMIGUNG:
- IT-Leiter: Max Mustermann (Unterschrift) ____ Datum: 15.10.2024
- Geschäftsführer: Petra Beispiel (Unterschrift) ____ Datum: 15.10.2024
KONTAKT:
- Verantwortlich: IT-Leiter ([email protected])
- Fragen: [email protected]
Länge: 1 Seite
Gesamtumfang und Vorlage #
Ein aussagekräftiges Backup-Konzept hat typically 8 – 15 Seiten:
- Einführung/Scope: 1 Seite
- Anforderungen/BIA: 2 Seiten
- Strategie: 3 Seiten
- Technische Umsetzung: 3 Seiten
- Datenschutz/Compliance: 2 Seiten
- Recovery-Prozeduren: 5 Seiten
- Tests: 2 Seiten
- Wartung: 1 Seite
- Anhang: Prozess-Diagramme, Recovery-Checklisten, Kontaktlisten
BSI-Compliance: Konkrete Vorgaben (CON.3) #
Das BSI definiert in CON.3 konkrete Anforderungen:
| BSI-Vorgabe | Wo dokumentiert? |
|---|---|
| **CON.3.A1** Datensicherungsrichtlinie erstellen | Abschnitt 1 – 2 (Einführung, Anforderungen) |
| **CON.3.A10** Gültigkeitsbereich und Häufigkeit definieren | Abschnitt 2 + 3 (RTO/RPO, Strategie) |
| **CON.3.A11** Aufbewahrungsdauer definieren | Abschnitt 3 (Aufbewahrung) |
| **CON.3.A14** Recovery-Tests durchführen | Abschnitt 7 (Tests) |
| **CON.3.A5** Offline-Backups durchführen | Abschnitt 3 + 4 (Strategie, Umsetzung) |
| **CON.3.A6** Backup-Integrität testen | Abschnitt 7 (Validierung) |
Häufige Fehler #
❌ Zu allgemein geschrieben #
“Wir machen tägliche Backups” — nicht spezifisch genug. Muss sein: “Täglich 22:00, zu NAS Tier 1 und Hardware Tier 2.”
❌ Keine RTO/RPO definiert #
Ohne RTO/RPO ist kein Recovery-Plan möglich. Muss sein: “Domäne: RTO 2h, RPO 1h.”
❌ Recovery-Tests nie durchgeführt #
Konzept existiert, aber nicht getestet. Regel: Tests mindestens 1x/Jahr, dokumentiert.
❌ Keine Genehmigung #
Konzept ist eine Richtlinie. Ohne Geschäftsführer-Signatur hat es keine Kraft.
Air Gap
Ein Air Gap ist die physische Unterbrechung jeder Netzwerkverbindung zwischen einem Backup-System und der übrigen IT-Infrastruktur, sodass das System im Offline-Zustand keine adressierbare Netzwerkschnittstelle besitzt und damit für Ransomware und Angreifer unerreichbar ist.
Air Gap
Ein Air Gap ist die physische Unterbrechung jeder Netzwerkverbindung zwischen einem Backup-System und der übrigen IT-Infrastruktur, sodass das System im Offline-Zustand keine adressierbare Netzwerkschnittstelle besitzt und damit für Ransomware und Angreifer unerreichbar ist.
Disaster Recovery
Disaster Recovery bezeichnet die strukturierten Prozesse und technischen Maßnahmen, die sicherstellen, dass IT-Systeme nach einem schwerwiegenden Ausfall — Ransomware-Angriff, Hardwareversagen, Rechenzentrumsausfall — innerhalb definierter Zeitrahmen (RTO) mit maximalem Datenverlust (RPO) wiederhergestellt werden können.
Air Gap
Ein Air Gap ist die physische Unterbrechung jeder Netzwerkverbindung zwischen einem Backup-System und der übrigen IT-Infrastruktur, sodass das System im Offline-Zustand keine adressierbare Netzwerkschnittstelle besitzt und damit für Ransomware und Angreifer unerreichbar ist.
Immutable Storage
Immutable Storage bezeichnet Speichertechnologien, die gespeicherte Daten vor nachträglicher Veränderung oder Löschung schützen — wobei der entscheidende Unterschied darin liegt, ob dieser Schutz auf Hardware-Ebene (nicht umgehbar) oder auf Software-Ebene (durch Administratoren mit ausreichenden Rechten umgehbar) durchgesetzt wird.
Air Gap
Ein Air Gap ist die physische Unterbrechung jeder Netzwerkverbindung zwischen einem Backup-System und der übrigen IT-Infrastruktur, sodass das System im Offline-Zustand keine adressierbare Netzwerkschnittstelle besitzt und damit für Ransomware und Angreifer unerreichbar ist.
NIS2
Die NIS2-Richtlinie (EU 2022/2555) ist eine EU-Regulierung, die wesentliche und wichtige Einrichtungen zu konkreten Cybersicherheitsmaßnahmen verpflichtet — darunter nachweisbares Backup-Management, Krisenmanagement und Meldepflichten — mit persönlicher Haftung der Geschäftsleitung bei Versäumnissen.
Ransomware
Ransomware ist Schadsoftware, die Daten auf infizierten Systemen verschlüsselt und ein Lösegeld für die Entschlüsselung fordert — mit dem Ziel, Unternehmen und Behörden zur Zahlung zu zwingen, indem sie deren Betrieb lahmlegen.
DSGVO
Die DSGVO (Datenschutz-Grundverordnung, EU 2016/679) ist die europäische Regulierung zum Schutz personenbezogener Daten — für IT-Infrastruktur besonders relevant in Art. 5 (Grundsätze), Art. 17 (Recht auf Löschung), Art. 28 (Auftragsverarbeiter) und Art. 32 (Sicherheit der Verarbeitung).
NIS2
Die NIS2-Richtlinie (EU 2022/2555) ist eine EU-Regulierung, die wesentliche und wichtige Einrichtungen zu konkreten Cybersicherheitsmaßnahmen verpflichtet — darunter nachweisbares Backup-Management, Krisenmanagement und Meldepflichten — mit persönlicher Haftung der Geschäftsleitung bei Versäumnissen.
Air Gap
Ein Air Gap ist die physische Unterbrechung jeder Netzwerkverbindung zwischen einem Backup-System und der übrigen IT-Infrastruktur, sodass das System im Offline-Zustand keine adressierbare Netzwerkschnittstelle besitzt und damit für Ransomware und Angreifer unerreichbar ist.
Air Gap
Ein Air Gap ist die physische Unterbrechung jeder Netzwerkverbindung zwischen einem Backup-System und der übrigen IT-Infrastruktur, sodass das System im Offline-Zustand keine adressierbare Netzwerkschnittstelle besitzt und damit für Ransomware und Angreifer unerreichbar ist.
Ransomware
Ransomware ist Schadsoftware, die Daten auf infizierten Systemen verschlüsselt und ein Lösegeld für die Entschlüsselung fordert — mit dem Ziel, Unternehmen und Behörden zur Zahlung zu zwingen, indem sie deren Betrieb lahmlegen.
Air Gap
Ein Air Gap ist die physische Unterbrechung jeder Netzwerkverbindung zwischen einem Backup-System und der übrigen IT-Infrastruktur, sodass das System im Offline-Zustand keine adressierbare Netzwerkschnittstelle besitzt und damit für Ransomware und Angreifer unerreichbar ist.
NIS2
Die NIS2-Richtlinie (EU 2022/2555) ist eine EU-Regulierung, die wesentliche und wichtige Einrichtungen zu konkreten Cybersicherheitsmaßnahmen verpflichtet — darunter nachweisbares Backup-Management, Krisenmanagement und Meldepflichten — mit persönlicher Haftung der Geschäftsleitung bei Versäumnissen.
Air Gap
Ein Air Gap ist die physische Unterbrechung jeder Netzwerkverbindung zwischen einem Backup-System und der übrigen IT-Infrastruktur, sodass das System im Offline-Zustand keine adressierbare Netzwerkschnittstelle besitzt und damit für Ransomware und Angreifer unerreichbar ist.
NIS2
Die NIS2-Richtlinie (EU 2022/2555) ist eine EU-Regulierung, die wesentliche und wichtige Einrichtungen zu konkreten Cybersicherheitsmaßnahmen verpflichtet — darunter nachweisbares Backup-Management, Krisenmanagement und Meldepflichten — mit persönlicher Haftung der Geschäftsleitung bei Versäumnissen.
Air Gap
Ein Air Gap ist die physische Unterbrechung jeder Netzwerkverbindung zwischen einem Backup-System und der übrigen IT-Infrastruktur, sodass das System im Offline-Zustand keine adressierbare Netzwerkschnittstelle besitzt und damit für Ransomware und Angreifer unerreichbar ist.
DSGVO
Die DSGVO (Datenschutz-Grundverordnung, EU 2016/679) ist die europäische Regulierung zum Schutz personenbezogener Daten — für IT-Infrastruktur besonders relevant in Art. 5 (Grundsätze), Art. 17 (Recht auf Löschung), Art. 28 (Auftragsverarbeiter) und Art. 32 (Sicherheit der Verarbeitung).
DSGVO
Die DSGVO (Datenschutz-Grundverordnung, EU 2016/679) ist die europäische Regulierung zum Schutz personenbezogener Daten — für IT-Infrastruktur besonders relevant in Art. 5 (Grundsätze), Art. 17 (Recht auf Löschung), Art. 28 (Auftragsverarbeiter) und Art. 32 (Sicherheit der Verarbeitung).