Backup und Wiederherstellung für Shops

Bestellungen, Kundenkonten und Rechnungsdaten lassen sich nicht nachkaufen. Ob eine Sicherung im Ernstfall hilft, entscheidet nicht die Zahl der Sicherungsläufe, sondern der letzte Wiederherstellungstest. Die Schritte unten gelten für Shops in Deutschland, Österreich und der Schweiz.

Was Sie vorab brauchen

• eine Liste Ihrer Datenbausteine: Shop-Datenbank, Dateien und Produktbilder, Konfiguration, Schnittstellen zu Warenwirtschaft und Versand, E-Mail-Postfach, DNS-Zone und TLS-Zertifikate
• je Baustein eine Aussage der Fachseite, wie viel Datenverlust (Recovery Point Objective, RPO) und wie viel Ausfallzeit (Recovery Time Objective, RTO) hinnehmbar sind
• die Zugangsdaten des Sicherungsziels und die Schlüssel zum Zurückspielen (Datenbankbenutzer, Anwendungs-Secrets, Verschlüsselungsschlüssel), getrennt vom Produktivsystem aufbewahrt
• eine Testumgebung, in der die Sicherung eingespielt wird, ohne den Live-Shop zu verändern
• ein Protokollblatt für den Test, abgelegt außerhalb des gesicherten Systems
• einen Eskalationsweg zu Hoster und Shopdienstleister mit Namen und Erreichbarkeit

Schritt für Schritt: Sichern und Zurückspielen planen

Schritt 1: Schutzbedarf und Ausfallfolgen je Baustein festhalten

Notieren Sie je Baustein, welche Daten darin liegen und was ein Verlust bedeutet: offene Bestellungen lassen sich nicht mehr ausliefern, Kundenkonten nicht mehr bedienen, Rechnungsnummern nicht mehr fortführen. In Deutschland und Österreich gilt Art. 32 DSGVO für Verantwortliche und Auftragsverarbeiter, die personenbezogene Daten verarbeiten, also spätestens ab Kundenkonto und Bestelladresse (ab 25. Mai 2018, Art. 99 Abs. 2 DSGVO); die Maßnahme richtet sich nach dem Risiko (Abs. 1 und Abs. 2). In der Schweiz bestimmen Sie zuerst den Schutzbedarf (Art. 1 Abs. 1 DSV); DSG und DSV gelten seit 1. September 2023. Auch ein in der Schweiz niedergelassener Shop kann nach Art. 3 Abs. 2 DSGVO erfasst sein, wenn er Personen in der Union Waren oder Dienstleistungen anbietet (Buchst. a) oder ihr Verhalten in der Union beobachtet (Buchst. b); dann gilt Art. 32 DSGVO für ihn zusätzlich zum DSG. Der BSI-Baustein CON.3.A1 nennt die abzustimmenden Rahmenbedingungen: zu sichernde Daten, Speicher- und Änderungsvolumen, Verfügbarkeits- und Vertraulichkeitsanforderungen, rechtliche Anforderungen und Zuständigkeiten.

Der IT-Grundschutz ist ein Standard des BSI und kein Gesetz; er bindet, soweit Gesetz, Aufsicht oder Vertrag auf ihn verweisen (redaktionelle Einordnung). Innerhalb des Bausteins unterscheidet das BSI Basis-Anforderungen (MUSS) und Standard-Anforderungen (SOLLTE).

Eine RAID-Spiegelung ersetzt keine Sicherung: CON.3 zählt Datenspiegelungen nicht zur Datensicherung, weil die gespiegelten Daten gleichzeitig verändert werden. Ein versehentliches Überschreiben oder Schadsoftware erreicht damit beide Kopien.

Schritt 2: Zeitziele festlegen (RTO und RPO)

Das RTO ist die Zeitspanne, in der ein System ausfallen darf, bevor der Geschäftsprozess Schaden nimmt; das RPO ist der Zeitpunkt vor dem Ausfall, bis zu dem die Daten wiederhergestellt werden müssen (NIST Special Publication 800-34 Rev. 1, Abschnitt 3.2). Beide Größen gehören an den Anfang, weil sie die Technik bestimmen. Sichert der Hoster nur einen nächtlichen Datenbankstand, liegt der RPO bei bis zu 24 Stunden, unabhängig vom gewünschten RTO (Beispiel).

CON.3.A6 ist eine Standard-Anforderung (SOLLTE) und sieht vor, dass das Sicherungskonzept die RPO je System aus dem Notfallmanagement aufnimmt. Wie Sie den Notfallplan aufbauen, beschreibt Shop-Ausfall: Monitoring und Notfallplan.

Schritt 3: Sicherungsart, Zeitpunkte und Aufbewahrung bestimmen

CON.3.A2 verlangt, Art, Häufigkeit und Zeitpunkte festzulegen, ebenso Speichermedien und Aufbewahrung; Sicherungen müssen auf separaten Speichermedien liegen. Das BSI unterscheidet Volldatensicherung (alle Dateien), inkrementelle Sicherung (Änderungen seit der letzten Sicherung) und differenzielle Sicherung (Änderungen seit der letzten Volldatensicherung) (BSI, „Datensicherung – wie geht das?“). Legen Sie fest, wie viele Generationen Sie wie lange behalten.

Planen Sie die Läufe so, dass einer endet, bevor der nächste beginnt; sonst brechen Läufe ab oder laufen parallel, und es entstehen keine vollständigen Sicherungen mehr (CON.3, Abschnitt 2.9).

Schritt 4: Drei Kopien auf zwei Medientypen, eine auswärts

Die 3-2-1-Regel stammt aus einer Empfehlung des US-amerikanischen Computer Emergency Response Team (US-CERT, heute Teil der CISA): drei Kopien einer Datei, zwei verschiedene Medientypen, eine Kopie außer Haus (US-CERT, Data Backup Options, 2012). Sie ist eine Behördenempfehlung, keine Rechtsnorm. Nach CON.3.A12 sollen Speichermedien räumlich getrennt von den gesicherten Systemen und möglichst in einem anderen Brandabschnitt liegen. Besonders schützenswerte Medien sollen nach CON.3.A2 nur während Sicherung und Wiederherstellung mit dem Netz verbunden sein; eine aus dem Produktivnetz beschreibbare Kopie erreicht Schadsoftware wie jede andere Datei (CON.3, Abschnitt 2.10).

Schritt 5: Verschlüsselung, Schlüssel und Zugriffe regeln

Verschlüsseln Sie Sicherungen, die Ihr Haus verlassen, und bewahren Sie den Schlüssel getrennt von der Sicherung auf; liegt er auf dem verlorenen System, ist die Sicherung nicht mehr zu öffnen (CON.3, Abschnitt 2.8). In Deutschland und Österreich nennt Art. 32 Abs. 1 Buchst. a DSGVO Verschlüsselung als eine der möglichen Maßnahmen, in der Schweiz verlangt Art. 3 Abs. 1 DSV Maßnahmen zur Zugriffs-, Zugangs- und Benutzerkontrolle und Abs. 2 Buchst. a bis c zur Datenträger-, Speicher- und Transportkontrolle.

Nach CON.3.A14 dürfen Sicherungen nicht absichtlich oder unbeabsichtigt überschrieben werden können; schreibenden Zugriff erhalten nur autorisierte Sicherungen und Administrationstätigkeiten. Begrenzen Sie die Rechte wie im Produktivsystem (Zugriffe und Rechte im Shop).

Schritt 6: Die Wiederherstellung schriftlich vorbereiten

Halten Sie fest, in welcher Reihenfolge Systeme und Anwendungen zurückkommen, wie die Sicherung eingespielt wird, welche Parameter gelten und welche Hard- und Software nötig ist (CON.3.A4). Fehlt diese Anleitung oder liegt sie nur auf dem ausgefallenen System, verzögert sich die Wiederherstellung erheblich (CON.3, Abschnitt 2.4). Notieren Sie auch, wer eine Wiederherstellung anordnet und wer sie ausführt (BSI, Umsetzungshinweise zum Baustein CON.3).

Schritt 7: Das Zurückspielen regelmäßig testen

CON.3.A15 verlangt, regelmäßig zu testen, ob die Sicherungen funktionieren, vor allem, ob gesicherte Daten einwandfrei und in angemessener Zeit zurückgespielt werden können. In Deutschland und Österreich kommt das Verfahren zur regelmäßigen Überprüfung der Wirksamkeit nach Art. 32 Abs. 1 Buchst. d DSGVO hinzu, in der Schweiz die Überprüfung über die gesamte Bearbeitungsdauer (Art. 1 Abs. 5 DSV).

Eine Zahl nennt keine dieser Quellen: Legen Sie einen Rhythmus fest, zum Beispiel einmal je Quartal und zusätzlich nach jeder Änderung an Shop-Version, Datenbankschema oder Sicherungsziel (redaktionelle Empfehlung), und testen Sie in der Testumgebung für den Shop, nicht zuerst im Produktivsystem.

Wiederherstellungstest: Protokoll und Zeitziele

Der Test ist bestanden, wenn zwei Zahlen und eine Stichprobe zusammenpassen: Die gemessene Dauer liegt innerhalb des RTO, der Datenstand innerhalb des RPO, und die geprüften Datensätze sind vollständig. Die Tabelle zeigt Beispielziele für einen kleinen Shop (Beispielannahmen der Redaktion, keine behördliche oder gesetzliche Vorgabe); Ihre Werte ergeben sich aus Schritt 1 und 2.

Baustein	Sicherungsintervall (Beispiel)	RPO (Beispiel)	RTO (Beispiel)
Shop-Datenbank mit Bestellungen und Kundenkonten	alle 15 Minuten	15 Minuten	4 Stunden
Shop-Anwendung, Konfiguration und Zugangsdaten	täglich	1 Tag	2 Stunden
Produktbilder und übrige Dateien	täglich	1 Tag	8 Stunden
Warenwirtschaft und Buchhaltungsexport	täglich nach dem Tagesabschluss	1 Tag	1 Arbeitstag
DNS-Zone und TLS-Zertifikate	bei jeder Änderung	bis zur letzten Änderung	1 Stunde

Jeder Testlauf bekommt ein Blatt oder eine Datei mit denselben Feldern, damit sich zwei Läufe vergleichen lassen:

Feld	Eintrag
Test-ID, Datum, Bearbeitung	fortlaufend nummeriert
Wiederherstellungsobjekt	Baustein und Datenstand der Sicherung
Sicherungsquelle	Speicherort, Medium, Generation
Zielwerte	RPO und RTO aus dem Konzept
Messung	Start, Ende, Dauer des Zurückspielens
Stichprobe	zum Beispiel 50 Bestellungen mit Kundenzuordnung, Bildanzahl, Summe
Ergebnis	bestanden oder Abweichung
Abweichung und Maßnahme	Ursache, Aufgabe, Person, Termin
Freigabe	Name, Datum, offene Punkte

So läuft der Test ab:

1. Zielwerte und den erwarteten Datenstand vorher notieren.
2. Die Sicherung in eine isolierte Testumgebung einspielen, ohne Verbindung zum Live-Shop.
3. Die Zeit bis zum lauffähigen Shop messen und mit dem RTO vergleichen.
4. Die Stichprobe prüfen: Bestellungen mit Kundenzuordnung, Rechnungsnummern, Bilder, Summen.
5. Eine einzelne Bestellung und eine einzelne Datei zurückholen, damit auch der Teilrestore geprüft ist.
6. Abweichungen mit Ursache, Aufgabe und Termin ins Protokoll eintragen.
7. Die Testumgebung nach dem Test löschen.

Die Behördenrichtlinie NIST SP 800-34 Rev. 1 nennt für solche Prüfungen unter anderem die Wiederherstellung auf einer Ersatzplattform aus Sicherungsmedien, die Erreichbarkeit nach innen und außen und die Rückkehr in den Normalbetrieb; die Ergebnisse gehören in einen Bericht mit Korrekturmaßnahmen (Abschnitt 3.5).

So prüfen Sie das Ergebnis

1. Die gemessene Dauer liegt unter dem RTO des Bausteins; sonst sind Konzept oder Technik zu ändern.
2. Der Datenstand der Sicherung liegt innerhalb des RPO; bei 24 Stunden Intervall sind bis zu 24 Stunden Verlust möglich (Beispiel).
3. Die Stichprobe ist vollständig: Bestellungen, Kundenzuordnung, Rechnungsnummern und Bilder zählen, Summen gegen den Shop prüfen.
4. Die Sicherung ließ sich mit dem separat aufbewahrten Schlüssel öffnen.
5. Der Live-Shop hat sich während des Tests nicht verändert.
6. Das Protokoll liegt außerhalb des gesicherten Systems (CON.3, Abschnitt 2.4).
7. Jede Abweichung hat eine verantwortliche Person und einen Termin.
8. Sie testen in einem Rhythmus, den Sie selbst festlegen, zum Beispiel einmal je Quartal, und zusätzlich nach jeder Änderung an Shop-Version, Datenbankschema oder Sicherungsziel (redaktionelle Empfehlung). CON.3.A15 verlangt regelmäßige Tests; für Deutschland und Österreich kommt das Verfahren zur regelmäßigen Überprüfung der Wirksamkeit nach Art. 32 Abs. 1 Buchst. d DSGVO hinzu, für die Schweiz die Überprüfung über die gesamte Bearbeitungsdauer nach Art. 1 Abs. 5 DSV.

Wenn etwas nicht klappt

Symptom	Ursache	Behebung
Ein Lauf endet nie, weil der nächste startet	Datenmenge passt nicht zum Intervall (CON.3, Abschnitt 2.9)	Intervall prüfen, inkrementell ergänzen, Laufzeit messen
Restore dauert länger als der RTO	Übertragungsweg oder Datenvolumen unterschätzt (BSI, Umsetzungshinweise zu CON.3)	Restore mit Zeitmessung üben, schnelleres Medium oder nähere Kopie wählen
Einzelne Dateien fehlen in jeder Generation	Speicherplatz oder Generationenzahl zu knapp (CON.3, Abschnitt 2.7)	Generationenzahl erhöhen, Speicherplatz überwachen
Die Sicherung lässt sich nicht öffnen	Schlüssel liegt auf dem verlorenen System (CON.3, Abschnitt 2.8)	Schlüssel getrennt aufbewahren und im Test entschlüsseln
Auch die Sicherung ist verschlüsselt oder gelöscht	Schadsoftware erreicht Sicherungen mit Schreibzugriff (CON.3, Abschnitt 2.10 und A14)	Schreibzugriff begrenzen, eine Kopie ohne Netzzugriff lagern
Die alte Sicherung lässt sich nicht mehr lesen	Format oder Werkzeug nicht mehr verfügbar (BSI, „Datensicherung – wie geht das?“)	Formate dokumentieren, Kopien rechtzeitig überführen

Wann Sie Hilfe holen sollten

Holen Sie Unterstützung, wenn das Backup des Hosters Ihre einzige Kopie ist (die 3-2-1-Empfehlung sieht eine Kopie außer Haus vor) oder wenn Ihr RTO unter der Zeit liegt, die Sie selbst zum Zurückspielen brauchen. Verlangen Sie vom Anbieter RPO und RTO schriftlich, das Protokoll des letzten Wiederherstellungstests und eine Kopie außerhalb seiner Infrastruktur; in Deutschland und Österreich muss der Auftragsverarbeiter die Maßnahmen nach Art. 32 ergreifen (Art. 28 Abs. 3 Buchst. c DSGVO), in der Schweiz müssen Sie sich die Fähigkeit des Auftragsbearbeiters vergewissern (Art. 9 Abs. 2 DSG). Den Vertrag zur Auftragsverarbeitung klären Sie mit Ihrer Datenschutzberatung. Weiteres zur Absicherung des Shops steht in der Grundschutz-Checkliste für Shop-Betreiber.