Backup-Strategie ist ein dokumentierter Plan, mit dem Unternehmen festlegen, welche Daten und Systeme wie oft, auf welchen Medien, an welchen Orten und mit welchen Wiederherstellungszielen gesichert und getestet werden. Im Rahmen der NIS2-Richtlinie ist Backup-Strategie relevant, weil Art. 21 Abs. 2 Buchst. c Backup-Management, Business Continuity, Disaster Recovery und Krisenmanagement ausdrücklich als Mindestmaßnahme des Cyberrisikomanagements nennt.
Was bedeutet Backup-Strategie einfach erklärt?
Eine Backup-Strategie beantwortet nicht nur die Frage, ob Backups vorhanden sind, sondern ob ein Unternehmen nach einem Vorfall tatsächlich wieder arbeitsfähig wird. Dazu gehören Sicherungsintervalle, Verantwortlichkeiten, Speicherorte, technische Trennung und dokumentierte Tests.
Für die Praxis ist besonders wichtig, zwischen Sicherung und Wiederherstellung zu unterscheiden. Ein Backup ohne definierten Restore-Prozess hilft im Ernstfall oft nicht. Deshalb gehören RTO und RPO in jede belastbare Strategie.
Welche Elemente gehören zu einer guten Backup-Strategie?
Eine gute Backup-Strategie kombiniert technische Redundanz mit klaren Geschäftsanforderungen. Für viele Unternehmen ist die 3-2-1-Regel der pragmatische Mindeststandard:
- 3 Kopien: produktive Daten plus zwei Sicherungskopien.
- 2 Medien: zum Beispiel lokale Sicherung und separates Speichermedium oder Cloud.
- 1 Kopie außerhalb des Primärstandorts: offsite oder logisch getrennt.
Ergänzend sollten Unternehmen heute prüfen, ob zusätzliche air-gapped Backups nötig sind. Diese Sicherungen sind physisch oder logisch vom laufenden Netzwerk getrennt und erschweren es Angreifern, Backups bei einem Ransomware Vorfall gleich mit zu verschlüsseln oder zu löschen.
Warum ist Backup-Strategie für NIS2-betroffene Unternehmen wichtig?
Eine Backup-Strategie ist für NIS2-betroffene Unternehmen wichtig, weil Verfügbarkeit und Wiederanlauf keine Nebenthemen mehr sind. Art. 21 Abs. 2 Buchst. c der Richtlinie (EU) 2022/2555 verlangt ausdrücklich Maßnahmen zu Business Continuity, Backup-Management, Disaster Recovery und Krisenmanagement. Der deutsche Umsetzungsrahmen greift das mit dem Verweis auf Backup-Management und Wiederherstellung nach Notfällen in § 30 Abs. 2 Nr. 3 BSIG-E auf.
Das bedeutet praktisch: Unternehmen müssen nicht nur Daten speichern, sondern nachweisen können, dass kritische Prozesse nach einem Cybervorfall kontrolliert wieder anlaufen. Genau deshalb hängt die Backup-Strategie eng mit Business Continuity, Disaster Recovery und dem NIS2-Hub zusammen.
Praxisbeispiel aus einem deutschen Unternehmen
Ein deutscher Maschinenbauer mit 280 Mitarbeitenden betreibt ERP, Produktionsplanung und CAD-Daten. Nach einem Ransomware-Angriff stellt das Unternehmen fest, dass zwar tägliche Backups existieren, aber weder RTO noch RPO definiert wurden. Das ERP lässt sich erst nach 36 Stunden wiederherstellen, aktuelle Konstruktionsstände fehlen.
Nach dem Vorfall führt das Unternehmen eine neue Backup-Strategie ein. Kritische Systeme erhalten abgestufte Wiederanlaufziele, die ERP-Daten werden häufiger gesichert, eine unveränderbare Offsite-Kopie wird ergänzt und vierteljährliche Restore-Tests werden verbindlich durchgeführt.
Häufige Fehler bei der Umsetzung
Unternehmen sollten insbesondere diese Punkte vermeiden:
- Backups ohne definierte RTO- und RPO-Ziele.
- Restore-Tests nur auf dem Papier.
- Keine getrennte oder unveränderbare Kopie gegen Angriffe auf das Primärsystem.
- Unklare Verantwortung zwischen IT, Fachbereich und Krisenmanagement.
- Keine Verzahnung mit Cyberhygiene und Notfallorganisation.
FAQ
Was ist eine Backup-Strategie?
Eine Backup-Strategie ist ein verbindlicher Plan für Datensicherungen und Wiederherstellung mit definierten Sicherungsintervallen, Speicherorten, RTO-, RPO- und Restore-Vorgaben.
Welche Rolle spielt eine Backup-Strategie unter NIS2?
Backup-Strategie ist unter NIS2 relevant, weil Art. 21 Abs. 2 Buchst. c Business Continuity, Backup-Management, Disaster Recovery und Krisenmanagement ausdrücklich nennt.
Wenn Sie Backup-Strategie, Rollenverantwortung und regulatorische Mindeststandards für NIS2 strukturiert aufbauen wollen, ist unsere NIS2-Schulung der passende nächste Schritt.