Download Checkliste: Datensicherung & Backup unter der DSGVO

Was fordert die DSGVO für Backups?

Grundsätze für die Datenverarbeitung personenbezogener Daten

Artikel 5 der Datenschutz-Grundverordnung (DSGVO) fordert: Verantwortliche müssen personenbezogene Daten in einer Weise verarbeiten, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet.

Das schließt den Schutz ein vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung. Mittel der Wahl dafür sind geeignete technische und organisatorische Maßnahmen.

Verantwortliche müssen personenbezogene Daten also auch vor Verlust, Zerstörung und Schädigung bewahren.

Sicherheit der Verarbeitung personenbezogenen Daten

Die Datenschutz-Grundverordnung fordert in Artikel 32 die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen.

Darüber hinaus die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen.

Um die Verfügbarkeit und die Wiederherstellbarkeit zu gewährleisten, sind regelmäßige, vollständige Backups der personenbezogenen Daten wichtig.

Welche Probleme bestehen bei Backups?

Datensicherung bleibt für viele Unternehmen schwierig

Ohne regelmäßige und vollständige Backups lässt sich die Forderung der DSGVO nach Verfügbarkeit der personenbezogenen Daten und nach rascher Wiederherstellbarkeit bei Datenverlust nicht umsetzen.

Doch trotz Datensicherung kann es zu einem Datenverlust kommen:

• Eine mögliche Erklärung für Datenverluste trotz Backup ist ein mangelhaftes Konzept: Sind nicht alle Endgeräte im Backup eingebunden, können Daten auf diesem Weg verloren gehen.
• Ein weiteres Risiko: Sind die Backup-Dateien nicht vor unberechtigten Zugriffen geschützt, können sie selbst verloren gehen.

Datensicherung und Speicherbegrenzung

Auch wenn die Frage „Machen Sie regelmäßig Backups?“ schon oft Gegenstand zum Beispiel in Datenschutz-Unterweisungen war: Die Datensicherung muss ein zentrales Thema bleiben oder wieder werden. Denn oft sind die Lücken bei den Backup-Verfahren beträchtlich.

Beim Thema Datensicherung und Verfügbarkeit können und sollten Datenschutzbeauftragte mit der IT-Sicherheit zusammenarbeiten. Denn die Verfügbarkeit gehört neben der Vertraulichkeit und der Integrität zu den drei klassischen Schutzzielen der IT-Sicherheit.

Im Gegensatz zur IT-Sicherheit kennt der Datenschutz nach Datenschutz-Grundverordnung zusätzlich den Grundsatz der Speicherbegrenzung.

Demnach müssen Unternehmen personenbezogene Daten in einer Form speichern, die es nur so lange ermöglicht, eine betroffene Personen zu identifizieren, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist.

Ist der Zweck erfüllt und bestehen keine anderen rechtlichen Verpflichtungen mehr, müssen Verantwortliche die Daten auch wieder aus dem Backup löschen.

Was gehört in ein Backup-Konzept?

Verfahren zur Datensicherung

In Backups finden sich also zwei Datenschutz-Probleme wieder:

• Einerseits befinden sich Daten, die der Verantwortliche löschen muss, weiterhin in der Datensicherung.
• Andererseits fehlen häufig Daten in den Backups, die aus Gründen der Verfügbarkeit und Wiederherstellbarkeit gesichert werden müssten.

Unvollständige oder ungenaue Vorgaben zum Backup-Verfahren können eine Ursache für Mängel in der Datensicherung sein:

• Klären Sie, welche Daten aus welchen Datenquellen das Backup umfassen muss, ohne die mobilen Systeme oder die Cloud-Dienste, die im Einsatz sind, zu vergessen.
• Festgelegt sein muss auch, welche Datenbestände und Systeme wie oft und mit welcher Methode für welche Dauer gesichert werden.
• Ebenso muss klar sein, wo die Backups aufbewahrt und wie sie geschützt werden.
• Zur Datensicherung sollte der Verantwortliche eine eigene Policy erstellen.
• Zudem muss das Notfall-Handbuch Auskunft über die Regelungen zur Datensicherung geben.
• Nicht zu vergessen: Das Backup-Verfahren selbst muss abgesichert sein. Es sollte also zum Beispiel die Datenübertragung zum Backup-Server verschlüsselt sein.

Wie prüfen Sie ein Backup-Konzept?

Backup-Lösung und Backup-Konzept prüfen

Selbst die beste Richtlinie zur Datensicherung hilft wenig, wenn die Backup-Lösung die gewünschte Datensicherung nicht leisten kann.

Deshalb ist auch das Datensicherungs-Tool selbst genau zu prüfen. Wichtig ist insbesondere, dass

• die Backup-Funktion automatisierbar ist und im Hintergrund laufen kann,
• eine Benutzerverwaltung mit Privilegien-System verfügbar ist,
• das Tool ein Protokoll über die Backups erstellt,
• die Auswahl der zu sichernden Daten übersichtlich möglich ist,
• eine Änderung der Dateien, die für das Backup ausgewählt wurden, bestätigt werden muss (Schutz vor versehentlichen, ungewollten Backup-Änderungen),
• das Tool die Hardware, Betriebssysteme und Anwendungen aller zu sichernden Systeme unterstützt, auch die mobilen und die in der Cloud,
• es eine Benachrichtigung über Backup-Probleme z.B. via E-Mail oder SMS gibt, und
• der Backup-Dienst automatisch zum Restart fähig ist, wenn es  zu Problemen kommt.

Die folgende Tabelle listet die Prüfungen für das Backup-Konzept auf.

Was gehört zur Sicherheit von Backups?

Das generelle Problem besteht darin, dass personenbezogene und andere vertrauliche Daten nach dem Backup genauso geschützt werden müssen wie vor dem Backup.

Leider fehlen Backups jedoch oftmals in den Verschlüsselungs-Konzepten. Also werden die gesicherten Daten vielfach unverschlüsselt abgelegt.

Das liegt auch daran, dass viele Backup-Lösungen keine automatische Verschlüsselung anbieten, sondern die erzeugten Backups mit einer separaten Verschlüsselungs-Lösung bearbeitet werden müssen. Das vergessen die Mitarbeiter dann oft.

Unerlaubte Zugriffe verhindern

Besonders prekär wird die Sicherheitslage, wenn die Backups an Speicherorten liegen, die nicht die gleiche Zugriffsbeschränkung aufweisen wie die ursprünglichen Netzwerkbereiche, Ordner und Dateien.

So könnte die IT ein Backup ungewollt so einrichten, dass die gesicherten Daten in einem Verzeichnis landen, auf das jedermann Zugriff hat.

Innentäter mit genug krimineller Energie könnten auch Backups außerhalb der geschützten Zielverzeichnisse anlegen lassen. So bekommen sie Zugriff auf ungeschützte Backup-Kopien.

Sicherheit im Backup-Verfahren

Ziel eines sauberen Backup-Prozesses muss es also sein,

• die Vollständigkeit der Datensicherung zu gewährleisten,
• die Regelmäßigkeit zu sichern und damit die zeitliche Frequenz richtig zu wählen sowie
• die Datensicherheit der personenbezogenen Daten auch in Form von Backups sicherzustellen.

Backups haben den gleichen Schutzbedarf wie die Daten, die die Backups vor Verlust schützen sollen.

Diese einfach anmutende Regel wird leider gern außer Acht gelassen.

Wie lässt sich die Sicherheit von Backups prüfen?

Überprüfen Sie die Sicherheit der Backups anhand der folgenden Punkte:

• Bezieht das Backup neben Servern und stationären Arbeitsplatzrechnern auch Notebooks, Smartphones und andere mobile Endgeräte ein?
• Sind auch bei mobilen Datenbeständen unterwegs Backups vorgesehen?
• Passt die Backup-Häufigkeit zur Geschwindikeit, die der die zu sichernden Datenbestände sich ändern?
• Berücksichtigt das Backup-Konzept den Schutzbedarf der Daten?
• Stimmt der Zugriffsschutz für die Backup-Verzeichnisse?
• Sind auch die Backups entsprechend ihres Schutzbedarfs verschlüsselt?
• Kommt eine Backup-Lösung zum Einsatz, die eine integrierte Verschlüsselungs-Komponente hat?
• Werden die Backups sicher aufbewahrt, auch was Faktoren wie Brandschutz und Klimaanlage angeht?
• Testet die IT die Wiederherstellung der gesicherten Daten und den Backup-Prozess regelmäßig?
• Sind die Backups eindeutig gekennzeichnet?

Was ist jetzt zu tun?

Überprüfen Sie, ob das Backup-Konzept in Ihrem Unternehmen tatsächlich in vollem Umfang für die Vollständigkeit und die Sicherheit der Backups sorgt.

Denn nur so lässt sich über die Datensicherung die Verfügbarkeit gewähleisten, die die DSGVO fordert.

Oliver Schonschek