Das Backup ist grün. Funktioniert auch der Wiederanlauf?

Der Test endet erst beim Geschäftsprozess

Eine Sicherung kann technisch erfolgreich sein und im Notfall trotzdem nicht rechtzeitig helfen. Vielleicht fehlt der Zugang zur Verwaltungsoberfläche. Vielleicht liegt der Schlüssel im ebenfalls ausgefallenen Passwortsystem. Oder die Datenbank lässt sich wiederherstellen, während der zugehörige Identitätsdienst noch nicht funktioniert. Wer Cyberresilienz beurteilen will, muss deshalb den Wiederanlauf eines vollständigen Geschäftsprozesses prüfen.

Die gemeinsame Ransomware-Handreichung von CISA und weiteren US-Sicherheitsbehörden empfiehlt offline gehaltene, verschlüsselte Sicherungen sowie regelmäßige Prüfungen ihrer Verfügbarkeit und Integrität. Das ist ein Ausgangspunkt. Für ein Unternehmen lautet die weiterführende Frage: Kann die zuständige Fachabteilung nach der Wiederherstellung tatsächlich arbeiten? Ein geöffnetes Verzeichnis oder ein gestarteter Server beantwortet diese Frage noch nicht.

Zwei Zielwerte, die der Fachbereich festlegen muss

Zuerst braucht der Dienst eine vereinbarte Wiederanlaufzeit und eine Grenze für den tolerierbaren Datenverlust. Die Wiederanlaufzeit beschreibt die angestrebte Zeit bis zur Wiederaufnahme des betroffenen Prozesses. Sie muss kürzer sein als die maximal tolerierbare Ausfallzeit. Die Verlustgrenze beschreibt, wie weit der letzte nutzbare Datenstand zurückliegen darf. Diese Ziele müssen fachlich begründet sein. Die häufigste verfügbare Sicherungsfrequenz ist nicht automatisch die passende Antwort.

Ein gedachtes Beispiel: Ein Unternehmen vereinbart für seine Auftragsbearbeitung acht Stunden Wiederanlaufzeit und höchstens eine Stunde Datenverlust. Die Übung muss dann nachweisen, dass ein konsistenter Datenstand innerhalb dieser Grenzen bereitsteht und Aufträge wieder bearbeitet werden können. Dauert allein das Rückladen sieben Stunden, bleibt kaum Zeit für Prüfung, Zugangseinrichtung und Freigabe. Das Beispiel ist eine Planungshilfe und kein Branchenrichtwert.

Das NIST-Handbuch zur Notfallplanung stellt die Analyse geschäftlicher Auswirkungen und die Priorisierung der Wiederherstellung in den Mittelpunkt. Für den Alltag lässt sich daraus ableiten: Nicht jeder Dienst erhält dasselbe Ziel. Ein öffentliches Informationsangebot, die Lohnabrechnung kurz vor Auszahlung und eine Produktionssteuerung können sehr unterschiedliche Anforderungen haben.

Abhängigkeiten gehören vor die Anwendung

Erstellen Sie für einen ausgewählten Prozess eine kurze Abhängigkeitskette. Dazu gehören Identitäten, Namensauflösung, Netzwerk, Zertifikate, Schlüssel, Datenbanken, Schnittstellen und der Zugriff auf die Sicherungen selbst. Kennzeichnen Sie außerdem externe Dienstleister und deren Erreichbarkeit. So wird sichtbar, welche Voraussetzung zuerst zurückkehren muss und an welcher Stelle ein einzelner Zugang den gesamten Ablauf blockiert.

Bewahren Sie eine freigegebene Fassung der Wiederanlaufanleitung so auf, dass sie auch bei Ausfall der normalen Arbeitsumgebung erreichbar ist. Das schließt Kontaktlisten, notwendige Vertragsinformationen und die Zuständigkeit für Freigaben ein. Zugangsdaten gehören in ein dafür vorgesehenes geschütztes Verfahren, nicht unverschlüsselt in dieselbe Anleitung. Eine dokumentierte Vertretung verhindert, dass das Wissen an einer einzigen Person hängt.

Auch die Unabhängigkeit der Sicherung verdient einen praktischen Nachweis. Kann ein kompromittiertes Administrationskonto produktive Daten und alle Sicherungen verändern? Ist eine unveränderbare Kopie während ihrer zugesagten Aufbewahrung tatsächlich geschützt? Wer darf die Schutzfrist verändern? Solche Fragen sind konkreter als die pauschale Aussage, die Daten lägen zusätzlich in einer Cloud.

Eine Übung mit kontrolliertem Umfang

Beginnen Sie in einer isolierten Umgebung mit einem überschaubaren, aber vollständigen Dienst. Die Übung benötigt einen definierten Datenstand, einen Startzeitpunkt, ein Abbruchkriterium und einen fachlichen Abnahmetest. Produktive Systeme werden dafür nicht unkontrolliert abgeschaltet. Personenbezogene oder vertrauliche Testdaten müssen auch in der Wiederherstellungsumgebung angemessen geschützt bleiben.

Protokollieren Sie Wartezeiten genauso wie technische Arbeit. Eine Stunde für die Suche nach einem zuständigen Dienstleister gehört zur tatsächlichen Wiederanlaufzeit. Prüfen Sie anschließend Datenkonsistenz, Berechtigungen und einen repräsentativen Geschäftsvorgang. Bei einem unterstellten Angriff kommt die Untersuchung hinzu, ob der gewählte Sicherungsstand bereits kompromittiert sein könnte. Eine erfolgreiche Rücksicherung allein klärt das nicht.

Halten Sie fest, welche Schritte nur deshalb gelangen, weil die ursprüngliche Umgebung noch erreichbar war. Solche stillen Hilfen verfälschen das Ergebnis: Ein Zertifikat aus dem produktiven System oder eine spontan nachgeschlagene Konfiguration steht im wirklichen Notfall möglicherweise nicht zur Verfügung. Der nächste Test sollte genau diese Abhängigkeit beseitigen.

Aus Fehlern werden verbindliche Verbesserungen

Der wichtigste Teil beginnt nach der Übung. Jede Abweichung erhält eine verantwortliche Person, eine Frist und einen erneuten Nachweis. Ein unklarer Kontakt wird aktualisiert, ein zu langsamer Datenexport vermessen, eine fehlende Berechtigung kontrolliert ergänzt. Die Leitung sollte sehen, welcher Geschäftsprozess seine Ziele erreicht und wo noch eine bewusst akzeptierte Lücke besteht.

Neue Anwendungen, geänderte Identitätsdienste und größere Datenmengen können einen früher bestandenen Test entwerten. Legen Sie deshalb neben einem regelmäßigen Termin auch Änderungsanlässe für eine erneute Prüfung fest. Ein belastbarer Wiederanlauf ist ein gepflegter Betriebsprozess. Seine Qualität zeigt sich an nachvollziehbaren Ergebnissen und daran, dass erkannte Hindernisse anschließend wirklich verschwinden.

• Wiederanlaufzeit und maximalen Datenverlust mit dem Fachbereich vereinbaren.
• Zugänge, Schlüssel und technische Abhängigkeiten vorab erfassen.
• Einen vollständigen Geschäftsvorgang isoliert wiederherstellen und abnehmen.
• Festgestellte Lücken beheben und die betroffenen Schritte erneut prüfen.