Aufgrund der steigenden Anzahl erfolgreicher Ransomwareangriffe ist es essenziell wichtig, ein wirksames Backupkonzept zu haben. Auch kommt es immer wieder vor, dass Daten versehentlich gelöscht oder überschrieben werden, eine Festplatte beim Zugriff Fehler produziert oder ein IT-Gerät ausfällt oder verloren geht. In diesen Fällen zeigt sich, dass ein fehlendes, ineffizientes oder unzureichendes Backup die Verfügbarkeit personenbezogener Daten gefährden kann.
Das regelmäßige Durchführen von Datensicherungen ist ein wesentlicher Baustein, um die Betriebskontinuität zu gewährleisten. Deshalb dürfen Backupsysteme bei Sicherheitsvorfällen nicht unbrauchbar werden und sind z. B. als Offlinebackup ebenfalls explizit vor einem unberechtigten Zugriff aus der eigenen IT-Umgebung zu schützen. Denn das Ziel Cyberkrimineller ist es, die auf den erfolgreich kompromittierten IT-Systemen gespeicherten Daten zu verschlüsseln und für die Herausgabe des zur Entschlüsselung not-wendigen Schlüssels ein Lösegeld zu verlangen. Da Backups den Absichten der Angreifer entgegenstehen, suchen diese oft gezielt nach Onlinebackups, um diese ebenfalls zu verschlüsseln oder unbrauchbar zu machen.
Setzt man die Datenschutzbrille auf, so stellt die Datenschutz-Grundverordnung in Art. 32 Abs. 1 und 2 Anforderungen an die Verarbeitung personenbezogener Daten und damit auch an ein Backupkonzept zur Sicherstellung der Verfügbarkeit:
In Art. 32 Abs. 1 lit. c DSGVO wird als Grundfähigkeit eines Backups die Wiederherstellbarkeit im Falle eines physischen oder technischen Zwischenfalls gefordert, die Daten müssen sich also rasch rekonstruieren lassen. In Art. 32 Abs. 1 lit. d DSGVO wird gefordert, dass die technischen und organisatorischen Maßnahmen, wie das Backup, regelmäßig daraufhin überprüft, bewertet und evaluiert werden, ob die Wirksamkeit weiterhin gewährleistet ist.
Auch die Informationssicherheit zählt Verfügbarkeit, Integrität, Vertraulichkeit und Belastbarkeit von Systemen und Diensten als wesentliche Schutzziele auf, um die Verarbeitung auf Dauer sicherzustellen. Vor allem die Verfügbarkeit personenbezogener Daten ist als Garantie zu verstehen, dass die Funktionen eines IT-Systems, IT-Anwendungen, Dienstleistungen, Netze oder Informationen von den Anwendern jederzeit bestimmungsgemäß genutzt werden können. Darüber hinaus kennt der Datenschutz zusätzlich den Grundsatz der Speicherbegrenzung.
Das Vorhandensein einer Datensicherung ist für ein Unternehmen in der Regel beruhigend, sodass die Frage, ob und wie das Backup verwendet werden kann, erst relevant wird, wenn die gesicherten Daten nach einem Vorfall wiederhergestellt werden müssen oder sollen. Das heißt, nicht nur das erfolgreiche Erstellen einer Datensicherung muss vorab überprüft werden, sondern auch das Wiederherstellen von Daten aus einem Backup. Als Bestandteil organisatorischer Maßnahmen zum Thema Datensicherung gehört es, dass entsprechende Prozesse existieren, dokumentiert sind und die für das Backup verantwortlichen Personen die Wiederherstellung von Daten regelmäßig üben.
Um das versehentliche Löschen von Daten, die Beschädigung eines Speichermediums bis hin zu katastrophalen Schäden an einem Standort zu verhindern, ist eine Strategie erforderlich. Optimal ist die 3-2-1-Regel, bei der jede Zahl für ein Merkmal der Datensicherung steht: „3“ steht für eine dreifache Kopie der Daten: das Original plus zwei Kopien. „2“ steht für zwei verschiedene Medienarten zum Speichern der Daten, z. B. eine externe Festplatte und eine Cloud. „1“ bedeutet, dass ein Datensatz auf einem Medium gespeichert ist und sich nicht an demselben Ort befindet, an dem sich die andere Kopie bzw. das Original befinden.
Neben den verschiedenen Medien sind der Zeitpunkt des Erstellens und die Vollständigkeit der Daten von Bedeutung. Einen guten Überblick über weitere Aspekte der Datensicherung mit Hinweisen zur Umsetzung gibt der IT-Grundschutz-Baustein CON.3 „Datensicherungskonzept“ des BSI (Bundesamt für Sicherheit in der Informationstechnik).
Die Verfügbarkeit der Geschäftsprozesse und der damit verbundenen IT-Systeme und Daten ist zu gewährleisten. Personenbezogene Daten verarbeitende Stellen müssen sich daher aktiv und kontinuierlich mit der Thematik auseinandersetzen, um beispielsweise bei der Wahrnehmung der Rechte der Betroffenen handlungsfähig zu sein. Dies beginnt mit dem Auskunftsrecht nach Art. 15 DSGVO, das sich auch auf personenbezogene Daten beziehen kann, die ggf. in Backupsystemen gespeichert sind. Auch das Recht auf Berichtigung nach Art. 16 DSGVO, das Recht auf Löschung nach Art. 17 DSGVO und das Recht auf Einschränkung der Verarbeitung nach Art. 18 DSGVO können Daten in Backupsystemen betreffen.
Es bleibt festzuhalten: Datensicherungen stellen für viele Unternehmen ein Problem dar. Eine mögliche Erklärung für Datenverluste trotz Backup ist ein mangelhaftes Konzept: Werden nicht alle Endgeräte in das Backup einbezogen, können auf diesem Weg Daten verloren gehen. Dennoch gehören regelmäßige und effektive Datensicherungen zu den notwendigen technischen und organisatorischen Maßnahmen, um die Sicherheit der Verarbeitung gewährleisten zu können. Ein bekanntes Sprichwort in IT-Kreisen lautet daher „Kein Backup? Kein Mitleid!“
