Backup- und DR-Auswahl: die Kriterien, die unter NIS2 und DORA zählen

Warum es zählt

Das Recovery Point Objective ist, wie viel Arbeit du verlierst. Ein nächtlicher Job heißt ein voller Tag Transaktionen weg; eine Datenbank, die sich jede Sekunde ändert, braucht Minuten, nicht Stunden. Das Intervall, das ein Produkt wirklich durchhält, hängt vom Workload-Typ ab: Was bei einem Fileserver klappt, kann bei einer belasteten Datenbank oder einem SaaS-Postfach unmöglich sein, und die Marketingzahl ist der beste Fall über alle.

Warum es zählt

Die Wiederherstellungszeit skaliert mit Datenvolumen, Netzdurchsatz und der Zahl der Systeme, die parallel zurückkommen müssen. Eine Demo stellt eine kleine virtuelle Maschine in Minuten wieder her. Deine Tier-1-Systeme sind Terabytes mit Abhängigkeiten, und fünfzig davon stehen hinter einer Appliance Schlange. DORA erwartet Wiederherstellungsziele, die das Unternehmen tatsächlich einhalten kann, also an deinem Maßstab gemessen, nicht auf einer Folie.

Warum es zählt

Moderne Ransomware-Gruppen verschlüsseln nicht zuerst die Produktion. Sie suchen die Backup-Konsole, löschen oder verkürzen mit gestohlenen Admin-Zugangsdaten die Kopien und verschlüsseln erst danach. Ein Backup, das ein Administrator verkürzen, löschen oder überschreiben kann, ist nicht unveränderbar, und eine isolierte Kopie ist nur isoliert, wenn Weg, Zugangsdaten und die verwaltende Konsole außerhalb des Wirkungsradius einer Produktionskompromittierung liegen. NIS2 Artikel 21 nennt Backup-Management als Pflichtmaßnahme, und ein Backup, das der Angreifer löschen kann, erfüllt diesen Zweck nicht.

Warum es zählt

Ein Backup-Produkt, das einen deiner Workload-Typen nicht abdeckt, lässt diesen Typ ganz ohne Backup. Virtuelle Maschinen sind der einfache Fall; Datenbanken mit Anwendungskonsistenz, Container mit persistenten Volumes, physische Hosts und vor allem SaaS-Plattformen sind der Punkt, an dem die Abdeckung dünn wird. SaaS läuft unter geteilter Verantwortung: Der Anbieter hält den Dienst verfügbar, für deine Daten bist du zuständig, und ein gelöschtes Postfach oder ein kompromittiertes Konto kann Daten löschen, die der Anbieter nicht zurückbringen muss.

Warum es zählt

Backup-Daten wachsen schneller als Produktionsdaten, weil die Aufbewahrung sie vervielfacht. Globale Deduplizierung und Kompression entscheiden, ob drei Jahre Kopien in den budgetierten Speicher passen oder in das Dreifache. Die vom Vendor genannte Rate wurde an einem günstigen Datenmix gemessen; verschlüsselte, komprimierte oder medienlastige Daten deduplizieren kaum, und eine im Kleinen gemessene Rate bricht im Großen oft ein.

Warum es zählt

Ein Backup, aus dem nie wiederhergestellt wurde, ist eine Hoffnung. Stille Korruption, fehlende Anwendungskonsistenz, abgelaufene Schlüssel und vergessene Abhängigkeiten zeigen sich erst, wenn jemand tatsächlich wiederherstellt. DORA Artikel 11 erwartet, dass Pläne zur Geschäftsfortführung getestet werden, und NIS2 Artikel 21 erwartet wirksames Backup-Management, was sich bei einem ungetesteten Backup nicht belegen lässt. Tests, die die Produktion stören, werden nicht gefahren, also muss der Test unterbrechungsfrei und geplant laufen.

Warum es zählt

Eine Kopie im selben Gebäude, in derselben Cloud-Region oder im selben Konto teilt das Schicksal des Originals. Standort- oder cloud-übergreifende Replikation macht einen Standortverlust, einen Regionsausfall oder eine Kontoübernahme überlebbar. Ob synchron oder asynchron repliziert wird, entscheidet, wie viel du beim Failover verlierst, und ob das Failover automatisiert ist, entscheidet, ob es um drei Uhr nachts passiert oder nachdem jemand das Runbook gefunden hat.

Warum es zählt

Die meisten Restores sind keine Katastrophen. Es sind eine gelöschte Datei, ein E-Mail-Objekt, eine verlorene Tabelle, eine virtuelle Maschine, die in zehn Minuten laufen muss. Wenn jeder kleine Restore ein ganzes Volume oder eine ganze Datenbank zurückholen muss, frisst die tägliche Wiederherstellung Betriebszeit, und der kleine Vorfall wird zum großen Ausfall. Das direkte Mounten eines Snapshots als laufendes System macht granulare Wiederherstellung schnell.

Warum es zählt

Nach einem Angriff kannst du nicht ins kompromittierte Netz zurückspielen, weil die Persistenz des Angreifers mitkommt, und nicht die jüngste Kopie nehmen, weil sie die Malware schon enthalten kann. Du musst den letzten sauberen Wiederherstellungspunkt finden und eine isolierte Umgebung haben, in die du zurückspielst, scannst, prüfst und erst dann verbindest. DORA Artikel 12 erwartet, dass die Wiederherstellung über Systeme läuft, die vom Quellsystem getrennt sind, und NIS2 Artikel 21 erwartet Krisenmanagement, das in der Praxis funktioniert, nicht auf dem Papier.

Warum es zählt

Eine Disaster Recovery sind Dutzende Systeme, die in der richtigen Reihenfolge zurückkommen müssen, mit den richtigen Netzeinstellungen, IP-Adressen und Abhängigkeiten. Steht diese Reihenfolge nur in jemandes Kopf oder in einem Dokument von vor zwei Jahren, dauert die Wiederherstellung Tage. Orchestrierung macht aus dem Runbook etwas, das das Produkt ausführt und testet, und sie ist der Unterschied zwischen der Wiederherstellungszeit für ein System und der für den gesamten Bestand.

Warum es zählt

Ein Backup-Job, der seit drei Wochen still fehlschlägt, fällt an dem Tag auf, an dem du ihn brauchst. Monitoring muss dir fehlgeschlagene und ausgelassene Jobs, sinkende Erfolgsquoten und wachsende Restore-Zeiten melden, bevor sie zählen, und der Bericht muss einem Auditor belegen, dass die Backup-Richtlinie über die Zeit tatsächlich eingehalten wurde. NIS2 und DORA verlangen beide Nachweise, und der Nachweis ist der Trend, nicht das heutige Dashboard.

Warum es zählt

Die meisten Bestände sind hybrid: virtuelle Maschinen vor Ort, Workloads bei zwei Hyperscalern, SaaS obendrauf. Braucht jede Umgebung ihr eigenes Backup-Tool mit eigener Policy-Engine, kannst du keine einheitliche Aufbewahrungsrichtlinie über das Unternehmen belegen, und die zuletzt hinzugekommene Umgebung bekommt den schwächsten Schutz. Eine Richtlinie, einheitlich angewendet, macht die Compliance-Geschichte einfach.

Warum es zählt

Backups sind die vollständigste Kopie deiner Organisation an einem Ort. DSGVO Artikel 32 erwartet angemessene technische Maßnahmen, und Verschlüsselung ist die naheliegende. Aber Verschlüsselung schützt dich nur, wenn der Vendor deine Kopien nicht ohne dich entschlüsseln kann, und sie hilft in der Wiederherstellung nur, wenn du die Schlüssel noch erreichst, nachdem dein Key-Management-System selbst Teil des Verlusts ist.

Warum es zählt

Jedes Backup-Produkt kostet Menschen. Richtlinien pflegen, Agenten aktualisieren, Speicher erweitern, fehlgeschlagenen Jobs nachlaufen, Restore-Anfragen bedienen. Im Kleinen ist das eine Nebenaufgabe; bei tausend Workloads ist es ein Team, und das Produkt, das Speicher spart, aber zwei zusätzliche Administratoren braucht, ist nicht billiger. Die Besetzung, die das Produkt in deinem Zielmaßstab braucht, gehört zu seinem Preis.

Warum es zählt

Backups kollidieren mit Änderungen. Eine Vollsicherung während einer Datenbankmigration, eine Restore-Anfrage ohne Ticket, eine Aufbewahrungsänderung, die nicht im Change-Log steht: Jede ist eine kleine Lücke in der Nachweiskette, die ein Auditor findet. Die Integration in dein ITSM macht aus Restore-Anfragen Tickets mit Freigaben und lässt das Backup-System Change- und Wartungsfenster kennen, statt hineinzulaufen.

Warum es zählt

Backup-Daten wachsen schneller als Produktionsdaten, weil die Aufbewahrung sie vervielfacht, und die Speicherrechnung wächst mit. Die Dreijahreskosten sind die Lizenz plus der Speicher beim Volumen in Jahr drei, plus die unveränderbare Stufe, plus die isolierte Kopie, plus die Egress-Gebühren für den großen Restore, den du eines Tages fährst. Das billigste Angebot heute ist in Jahr drei oft der teuerste Vertrag.

Warum es zählt

Wo die Kopien liegen, ist nur die halbe Frage. Die Steuerungsebene, die Jobs plant, Metadaten hält, Dateinamen katalogisiert und Restore-Befehle absetzt, ist oft ein globaler Dienst, auch wenn Kopien und Replikate in einer EU-Region liegen. Backups enthalten jeden personenbezogenen Datensatz, den du hast, also gelten DSGVO Artikel 28 und die Übermittlungsregeln für die Kopien, die Replikate, den Katalog und den Supportzugriff auf alle drei.

Warum es zählt

Backups müssen so lange wiederherstellbar bleiben, wie deine Aufbewahrungspflichten laufen, und das kann Jahre nach dem Vendor-Wechsel sein. Liegen die Kopien in einem proprietären Format, das nur die Software des Vendors lesen kann, sind deine Exit-Kosten das ganze Aufbewahrungsfenster, nicht nur die Migration, und die Egress-Rechnung für Petabytes ist das zweite Schloss. DORA Artikel 28 erwartet Exit-Strategien für IKT-Dienste, die wichtige Funktionen stützen; Backup ist einer davon.

Warum es zählt

Die Angriffe auf Backups ändern sich jedes Jahr, und mit ihnen die Workloads, die du schützen musst. Ein Vendor, dessen Roadmap sich um Dashboards dreht, während Angreifer Backup-Konsolen ins Visier nehmen, oder dessen cloud-native und SaaS-Abdeckung hinter dem herhinkt, was du einführst, ist in zwei Jahren das falsche Produkt, auch wenn es heute das richtige ist. Die Roadmap gehört zur Bewertung, weil der Vertrag drei Jahre läuft.

Warum es zählt

Die im Piloten gemessenen Wiederherstellungszeiten sind dein Nachweis; was der Vendor schriftlich zusagt, ist dein Schutz. DORA erwartet Wiederherstellungsziele, die das Unternehmen einhalten kann, und eine Aufsicht wird fragen, was der Anbieter dir schuldet, wenn der Restore scheitert oder dreimal so lange dauert. Eine Ransomware-Wiederherstellungsgarantie mit Auszahlungsdeckel und einer Seite Ausschlüsse ist ein Marketinginstrument, keine Zusage.

Warum es zählt

Backup-Lizenzen werden pro geschütztem Terabyte, pro Workload oder pro virtueller Maschine bepreist, und jedes Modell belohnt einen anderen Bestand. Kapazitätspreise bestrafen Wachstum und lange Aufbewahrung; Preise pro VM bestrafen viele kleine Systeme; Preise pro Workload sind nur günstig, wenn die Workload-Definition zu deiner passt. Das Modell, das beim heutigen Bestand am billigsten ist, ist beim Bestand in Jahr drei oft das teuerste.

Warum es zählt

Die Lizenz ist der planbare Teil einer Backup-Rechnung. Die unplanbaren Teile sind Egress-Gebühren beim Wiederherstellen oder Ausstieg, Snapshot-Speicher, der sich im Cloud-Konto außerhalb der Buchhaltung des Backup-Produkts ansammelt, und Aufbewahrungsstufen, deren Preis pro Gigabyte sich ändert, wenn Daten altern. Ein Budget, das nur die Lizenz enthält, ist im ersten Jahr falsch.

Warum es zählt

Der angebotene Jahrespreis beim aktuellen Datenvolumen ist die Zahl, die die Geschäftsführung vergleicht. Sie ist zwischen Vendoren nur vergleichbar, wenn jedes Angebot denselben Umfang abdeckt: dasselbe geschützte Volumen, dieselbe Aufbewahrung, dieselben unveränderbaren und isolierten Kopien, dieselben SaaS-Quellen und dasselbe Supportlevel. Ein Angebot, das 30 Prozent billiger ist, schützt meist 30 Prozent weniger.