Backup- und Wiederherstellungsanforderungen im Framework-Vergleich

Backup und Wiederherstellung gehören zum gemeinsamen Kern: Jedes der elf Frameworks, die wir zuordnen, verlangt sie, auch die DSGVO (GDPR), die die Fähigkeit fordert, Verfügbarkeit und Zugang zu personenbezogenen Daten zeitnah wiederherzustellen. Die Anforderung, die sich am stärksten unterscheidet, ist nicht die Häufigkeit, sondern der Schutz: Seit Ransomware gezielt Backups angreift, achten Frameworks zunehmend darauf, ob ein Angreifer, der Ihr Netzwerk kontrolliert, auch Ihre Kopien zerstören kann.

Wer was verlangt

Framework	Backup & Recovery	Verknüpfung
NIST CSF 2.0	PR.DS-11RC.RP-03	Themendefinition
ISO 27001	A.8.13	Crosswalk
CIS v8.1	CIS 11.2CIS 11.3CIS 11.5CIS 11.4	Crosswalk
SOC 2	A1.2	Redaktionell
PCI DSS	9.4.1.1	Crosswalk
CMMC	MP.L2-3.8.9	Crosswalk
800-53	CP-6CP-9	Crosswalk
HIPAA	§164.308(a)(7)(ii)(A)§164.310(d)(2)(iv)	Crosswalk
GDPR	Art.32(1)(c)	Redaktionell
NIS2	4.2	Crosswalk
Essential Eight	ISM-1511ISM-1810ISM-1811ISM-1814ISM-1707ISM-1515	Redaktionell

Vollständige Details und die Begründung für jede Verknüpfung: Backup & Recovery über Frameworks hinweg →

Häufigkeit

Nur wenige Frameworks legen eine feste Häufigkeit fest. Die CIS Controls verlangen automatisierte Backups wöchentlich oder häufiger, je nach Sensibilität (11.2). HIPAA verlangt einen Datensicherungsplan, der wiederherstellbare, exakte Kopien von ePHI erstellt und pflegt (§164.308(a)(7)(ii)(A)). Die Essential Eight verlangt Backups im Einklang mit den Anforderungen der Geschäftskontinuität. ISO 27001 (A.8.13), SP 800-53 (CP-9) und SOC 2 (A1.2) überlassen die Häufigkeit Ihren Wiederherstellungszielen, und das ist die richtige Antwort: Sichern Sie so oft, dass der mögliche Datenverlust für Sie tragbar bleibt.

Schutz

Hier unterscheiden sich die Frameworks am stärksten:

• CIS verlangt den Schutz der Wiederherstellungsdaten (11.3) und eine isolierte Instanz davon (11.4): offline, cloudseitig isoliert oder anderweitig für einen Angreifer im Netzwerk unerreichbar.
• Die Essential Eight bauen den Schutz in ihre Reifegrade ein: Nicht privilegierte Konten können nicht auf Backups anderer Konten zugreifen, und auf den höheren Stufen können selbst privilegierte Konten Backups weder ändern noch löschen.
• CMMC verlangt, dass die Vertraulichkeit von CUI in Backups geschützt wird (MP.L2-3.8.9); PCI DSS verlangt, dass Offline-Backup-Medien sicher gelagert werden (9.4.1.1).
• ISO 27001 und SOC 2 erwarten einen angemessenen Schutz von Backups, nennen Unveränderbarkeit jedoch nicht ausdrücklich.

Wiederherstellungstests

CIS verlangt Wiederherstellungstests vierteljährlich oder häufiger, auf Stichprobenbasis (11.5). Die Essential Eight verlangt, dass die Wiederherstellung von Daten, Anwendungen und Einstellungen im Rahmen von Notfallwiederherstellungsübungen getestet wird. ISO 27001 verlangt, dass Backups getestet werden, ohne eine Häufigkeit vorzugeben, und SOC 2-Prüfer suchen unter A1.3 nach Wiederherstellungstests. Ein Backup, das nie wiederhergestellt wurde, ist eine Hoffnung, aber keine Kontrolle.

Wichtigste Erkenntnisse

• Backup und Wiederherstellung gehören zu den fünf Themen, die jedes Framework, das wir zuordnen, verlangt.
• Frameworks unterscheiden sich weniger bei der Häufigkeit als beim Schutz: CIS und die Essential Eight schützen Backups ausdrücklich vor Angreifern.
• Wiederherstellungstests sind der am meisten vernachlässigte Teil; CIS verlangt vierteljährliche Tests auf Stichprobenbasis.
• Eine Grundlage (regelmäßige Backups, eine isolierte Kopie, Verschlüsselung, vierteljährliche Wiederherstellungstests) erfüllt alle.
• Cloud-Anbieter schützen ihre Infrastruktur, nicht Ihre Daten vor Löschung, Beschädigung oder Verschlüsselung.

Eine Grundlage, die alle erfüllt

1. Sichern Sie Daten, Anwendungen und Konfiguration in einer Häufigkeit, die sich an den Recovery Point Objectives orientiert, und mindestens wöchentlich.
2. Halten Sie mindestens eine Kopie isoliert, offline oder unveränderbar, sodass Domänenadministratoren sie nicht löschen können.
3. Verschlüsseln Sie Backups, die sensible oder regulierte Daten enthalten.
4. Testen Sie Wiederherstellungen vierteljährlich auf Stichprobenbasis und führen Sie mindestens jährlich eine vollständige Wiederherstellungsübung durch.
5. Dokumentieren Sie die Ergebnisse, einschließlich Fehlern und Korrekturen: Das ist der Nachweis, den jeder Prüfer verlangt.

Die Themenseite Backup & Recovery listet jede Anforderung mit ihrer Quelle auf; Disaster Recovery und Business Continuity behandeln die umfassenderen Pläne. Zu den anderen Themen, die alle Frameworks gemeinsam haben, siehe den gemeinsamen Kern.

Fragen

Wie oft müssen Backups getestet werden?

Die CIS Controls verlangen Wiederherstellungstests vierteljährlich oder häufiger (11.5), und die Essential Eight verlangt, dass die Wiederherstellung im Rahmen von Notfallwiederherstellungsübungen getestet wird. Die meisten anderen Frameworks verlangen Tests ohne feste Häufigkeit.

Verlangen Frameworks Offline- oder unveränderbare Backups?

Nur wenige sagen dies ausdrücklich. Die CIS Controls verlangen eine isolierte Instanz der Wiederherstellungsdaten (11.4), und die höheren Reifegrade der Essential Eight verhindern, dass Konten, auch privilegierte, Backups ändern oder löschen.

Machen Cloud-Dienste Backups überflüssig?

Nein. Cloud-Anbieter schützen ihre Infrastruktur, aber die meisten schützen Sie nicht davor, Ihre eigenen Daten zu löschen, zu beschädigen oder zu verschlüsseln. Frameworks erwarten weiterhin, dass Sie Backups von dem, wofür Sie verantwortlich sind, erstellen und deren Wiederherstellung testen.