Angesichts der öfteren Cyberattacken, wie z.B. im Falle des Ransomware-Angriffes auf 1.300 Server von Media Markt / Saturn in der letzten Zeit, widmen wir diesen Blogbeitrag dem Thema Backup und Datensicherung.

Gelöschte Daten, lahmgelegte Netzwerke, versperrte Zugänge zu Unternehmensdaten, gestohlene Daten, Lösegeldforderungen. Diese Situationen gehören definitiv zu den schlimmsten Szenarien im Leben eines Unternehmers oder einer Unternehmerin. In einigen Fällen sind die Ursachen auf technische oder menschliche Fehler zurückzuführen, jedoch nicht immer.

Mehr denn je spielt bei Datenverlusten oder gesperrten Netzwerken die Cyberkriminalität eine große Rolle. Immerhin ist der Schaden bei deutschen Unternehmen von 103 in 2019, auf sagenhafte 223 Milliarden Euro im Jahr 2020 angewachsen (Quelle: Institut der deutschen Wirtschaft), Tendenz steigend. (Die Erpresser haben im Falle Media Markt/Saturn 50 bzw. 240 Mio. Dollar gefordert). Auch Homeoffice-Laptops und schlecht abgesicherte Netzwerke sind besonders leichte Beute für professionelle Hacker. IT-Ausfälle, Datendiebstahl, milliardenschwere materielle Verluste und Imageschaden sind die Folgen. Selbstverschuldet oder nicht, entspannt zuschauen können sicherlich nur diejenigen, die jederzeit einen Zugang auf aktuelle Datensicherung parat haben.

Aus unserer Erfahrung sind meistens die KMUs besonders schwer betroffen, die in der Regel unzureichend geschützt sind, über keine IT-Sicherheitskonzepte oder etablierte Backup-Routinen verfügen und so gesehen an der falschen Stelle Einsparpotenziale suchen. Auch bei Unternehmen bis zu 10 Mitarbeitern kann ein totaler IT-Ausfall mit Datenverlust die ganze unternehmerische Existenz kosten. Aber nicht nur durch Cyberkriminalität können Daten verloren gehen. Jedes Gerät (PC, Server, Tablet, Smartphone) kann theoretisch jederzeit kaputtgehen oder gestohlen werden.

Als cloud and more conusulting GmbH bieten wir zahlreiche Backuplösungen und -services an. Wir möchten Ihnen heute umfangreiche Informationen zu diesem Thema geben.

Aber was ist ein Backup bzw. eine korrekte Datensicherung?

Ein Backup ist eine Kopie von Unternehmensdaten und Systemdateien von z.B. Clients und Servern, die im Falle eines Systemausfalls und/oder Datenverlustes wiederhergestellt werden können. Um im Anlassfall den Betrieb wieder herzustellen, ist es notwendig, dass auch die Systeme, z.B. Datenbanksysteme, die die Applikationen für das Tagesgeschäft zur Verfügung stellen, schnell wieder einsatzbereit sind und nicht nur die Daten selbst, auf die diese Systeme zugreifen

Die Datensicherung kann entweder auf externen Speichersystemen (Server, NAS usw.), externen Festplatten, externen Laufwerken wie Bandlaufwerken oder auch in der Cloud gespeichert werden. Viele Unternehmen setzen auf einen hybriden Ansatz, wo die Sicherungsdateien einerseits auf externen physischen Datenträgern im Haus und andererseits in der Cloud liegen. Dieser Ansatz ist besonders zu empfehlen und entspricht der 3-2-1-0 Regel. Die Sicherungen in die Cloud müssen allen gängigen Anforderungen wie Verschlüsselung der Transportwege vom Unternehmen zu einem Cloudanbieter, Verschlüsselung der Daten in Ruhe im Rechenzentrum, DSGVO-konforme Abwicklung solcher Verträge, und lückenlose weitere Sicherheitsmaßnahmen erfüllen.

3-2-1-0 Regel und andere Schutzmechanismen beim Backup

Sollte einmal, trotz aller Vorkehrungen, beispielweise ein Verschlüsselungstrojaner den Datenbestand verschlüsseln, so ist es extremwichtig, dass die betroffenen Daten schnell und zuverlässig wiederhergestellt werden können, ohne Lösegeld zu zahlen.  Die 3-2-1-0 Regel schlägt dabei vor, 3 unabhängige Kopien der Daten, den Einsatz von mindestens 2 unterschiedlichen Backup-Medienarten (Festplatten, Bänder, online) und mindestens 1 ausgelagertes Backup (zweiter Standort, online) um hoffentlich 0 Probleme bei der Wiederherstellung zu haben.

Sehr risikoreich sind Sicherungen auf nur einem Medium (z.B. eine USB-Festplatte) und direkt verbundenen Medien, die bei einem Befall gleich mitbefallen werden können. Da sehr viele Unternehmen keinen zweiten Standort zur Verfügung haben, bieten sich bequeme online Sicherungsvarianten als Ergänzung an. Wichtig ist auch in diesem Zusammenhang, dass die Benutzer nicht auf alle Daten des Unternehmens im Tagesgeschäft zugreifen können, sondern nur auf die Daten, die für ihre tägliche Arbeit notwendig sind, damit im Falle des Falles nur ein gewisser Datenbestand angegriffen werden kann. Zusätzlich sollten so wenig Laufwerke wie möglich, sprich Netzwerklaufwerke, präsentiert werden, um die Ressourcen im Netzwerk hier auch relativ einfach schützen zu können. Denn keine Zugriffsmöglichkeit bedeutet im Normalfall auch keine Verschlüsselungsmöglichkeit durch den entsprechenden Benutzer. Weiters ist auch interessant, in welchem Kontext gearbeitet wird, d.h. Personen sollten als gewöhnliche Benutzer (Standardrechte) und nicht mit administrativen Rechten arbeiten. Zusätzlich soll auch die eingesetzte Sicherungssoftware nicht in einem Administrator-Kontext laufen, sondern mit eigenem, für das Backup zur Verfügung gestellten, Benutzer.

Welche Lösung ist für mich geeignet und was soll man dabei beachten?

Die Auswahl einer geeigneten Backuplösung ist für jedes Unternehmen oder auch für Privatpersonen individuell zu beurteilen. Sie hängt von vielen Faktoren ab. Denn nicht jedes Unternehmen produziert gleich viele Daten am Tag, nicht alle Daten müssen gleich oft gesichert werden und es werden unterschiedliche Systeme, wie Datenbanksysteme, eingesetzt. Daher empfehlen wir jedem Unternehmen sich Zeit zu nehmen, ein paar Fragen zu beantworten, um die geeignete Routine zu wählen.

 

Backup Checkliste

Welche sind die wesentlichen Fragen bei der Auswahl der richtigen Backup Lösung?
Nachstehend haben wir diese relevanten Fragen in eine Checkliste gepackt. Es gibt sehr viele Lösungen auf dem Markt, auch für sehr kleine Budgets. Aber welche passen zu Ihrem Unternehmen am besten? Besuchen Sie dafür auch unsere Website und erfahren Sie mehr über unsere Leistungspakete zu diesem Thema: Dokumenten Backup, Backup von Exchange Daten, Managed Backup.

 

 

1. Welche Daten und Systeme sind geschäftskritisch und schützenswert?

Sie kennen den Status und die wichtigsten Aspekte: welche Daten muss ich unbedingt schützen, aufgrund der gesetzlichen Auflagen z.B. EU-DSGVO und welche Daten sind für mein Unternehmen existenziell wichtig. Welche Risiken gehe ich ein, wenn ich das nicht tue. Welche Systeme, Applikationen und Datenbanken müssen verwendet werden können, damit das Tagesgeschäft abgewickelt werden kann?

2. und 3. RTO und RPO Werte

Sie haben für Ihr Unternehmen RTO (Recovery Time Objective) und RPO (Recovery Point Objective) Werte festgelegt. Der erste Wert besagt wie lange Sie auf die Daten verzichten können, oder anders gesagt wie lange ein Restore-Prozess dauern darf. Der zweite Wert sagt aus, wie aktuell die Backup-Daten sein müssen, d.h. wie viel Zeit zwischen den einzelnen Datensicherungen liegen darf?

4. Sicherungsstrategie

Unabhängig von der Unternehmensgröße empfiehlt es sich jedenfalls eine Sicherungsstrategie zu entwickeln. Sie sollte folgende Punkte beinhalten:

• Mit welchen Datenklassen habe ich in meinem Geschäft zu tun, denn wichtige Unternehmensdaten sollen öfters gesichert werden als z.B. Archiv Daten
• Wo werden diese Daten gespeichert? (Zentrale Server, Speichersysteme, Datenbanken oder auch in der Cloud)
• Wurden alle Daten in meinem Backup-Konzept berücksichtigt? Welche Daten wie oft und wohin gesichert werden sollen?
• Sind meine Speicherorte abgetrennt, damit z.B. beim Befall von einem Crypto-Trojaner nicht alle Orte gleich verschlüsselt werden?
• Wie und wohin werden Daten gesichert, die auf mobilen Geräten liegen?

5. Technische Fragen

• Wie viel Leistung steht auf den zu sichernden Systemen zur Verfügung und wann wurde die Hardware und Software zuletzt modernisiert?
• Sind die zu sichernden Systeme aktuell und funktionieren zufriedenstellen?
• Ist ausreichend Speicherkapazität auf den primären zu sichernden Systemen und den Backupsystemen vorhanden?
• Wie groß ist das zu sichernde Volumen?
• Gibt es ein definiertes Zeitfenster für die Sicherungsläufe?
• Ist genug Bandbreite vorhanden?

6. Organisatorische Fragen

• Gibt es ein definiertes Zeitfenster für die Durchführung der Sicherungsprozesse?
• Im Notfall sollte klar sein: wer, wann und worüber genau informiert werden soll.
• Wie ist der Ablauf bei einem Verlust von Daten/Systemen?
• Was ist für die Kontinuität der Geschäftsprozesse im Falle eines Ausfalls einiger Kernsysteme erforderlich?
• Gibt es einen Notfallplan?
• Wer wird wann wie verständigt, wenn sich etwas am Umfang der Datensicherung verändern muss, z.B. neue Systeme in Betrieb genommen werden?

7. Aktuelle Backup-Lösung

• Gibt es bestehende Backup-Routine in meinem Unternehmen?
• Ist diese Lösung dokumentiert?
• Gibt es ein Monitoring und Reporting zur aktuellen Lösung?
• Bin ich in der Lage, im Falle eines Hacker-Angriffs, innerhalb von kürzester Zeit weiterzuarbeiten?
• Wo und wie oft werden Backups erstellt?

8. 3-2-1-0 Regel

• Ist meine Backup-Strategie nach der 3-2-1-0 Regel ausgerichtet?
• Wie viele Speicherorte habe ich zur Verfügung und welche?

9. Nutze ich bereits Backup in der Cloud?

Diese Frage stellt gleich eine Alternative dar, die besonders für kleinere und mittlere Unternehmen interessant ist, nämlich die Cloud. Ein Backup in der Cloud ist für jedes Gerät und von überall durchführbar. Die einzige Voraussetzung ist eine Internetverbindung. Für diese Art der Datensicherung wird keine weitere Infrastruktur benötigt und für die Wartung fallen auch keine Aufwände an. Bei dieser Alternative ist zu beachten, dass das Rechenzentrum nach Möglichkeit in Europa angesiedelt ist, die Daten verschlüsselt transportiert und abgelegt werden und, dass das Rechenzentrum, wenn möglich, zertifiziert ist (z.B. ISO 27001).

10. Restore Tests und kontinuierliche Wartung

Um zu wissen, ob alles funktionieren wird, wenn es zu einem Problem kommt, müssen und dürfen wir nicht bis zu einem Ernstfall warten. Dazu gibt es entsprechende Wiederherstellungstests, die das belegen können, und das Risiko eines Verlustes weiter minimieren. Ein Backup ohne funktionierende Wiederherstellung ist faktisch nicht vorhanden. Wir bieten diese Wartungsaufgaben natürlich auch gerne für Sie an und führen diese für Sie regelmäßig durch.

Es ist wichtig jedenfalls zu beachten, dass ein Backup nicht als eine reine Software-Lösung gesehen werden soll; vielmehr als ein Prozess im Unternehmen, wo alle geschäftskritischen Daten definiert, und im Falle eines Ausfalls, ausreichend geschützt oder komplett wiederhergestellt werden können. Erst wenn die notwendigen Routinen, Zuständigkeiten und Abläufe definiert werden, kann eine entsprechende Backuplösung sinnvoll etabliert werden.

Bei Fragen schreiben Sie uns an support@cloudandmore.at oder rufen uns unter +43(2252)890340 an.