Bewährte Verfahren für Server-Backups, die eine Wiederherstellung ermöglichen

Ein ausgefallener Server ist selten das eigentliche Problem. Das eigentliche Problem besteht darin, festzustellen, dass das einzige Backup unvollständig, nicht zugänglich, zu alt oder noch nie getestet wurde. Bewährte Verfahren für Server-Backups verwandeln einen Ausfall von einem geschäftsbedrohenden Ereignis in eine kontrollierte Wiederherstellungsmaßnahme. Für jedes Unternehmen, das auf gehostete Anwendungen, Datenbanken, Dateien, E-Mails oder Kundenportale angewiesen ist, ist dieser Unterschied von entscheidender Bedeutung.

Eine Backup-Strategie sollte nicht danach beurteilt werden, wie oft sie ausgeführt wird. Sie sollte anhand einer praktischen Frage bewertet werden: Können Sie die richtigen Daten an den richtigen Ort innerhalb einer für Ihr Unternehmen akzeptablen Zeitspanne wiederherstellen? Dies erfordert Planung, Trennung, Überwachung und regelmäßige Nachweise, dass die Wiederherstellung funktioniert.

Bevor Sie sich für eine Backup-Software entscheiden oder festlegen, wie viel Speicherplatz Sie erwerben möchten, sollten Sie definieren, welche Folgen ein Datenverlust für die einzelnen Systeme hätte. Eine Finanzdatenbank, ein gemeinsames Projektlaufwerk und ein interner Testserver bergen nicht das gleiche Betriebsrisiko. Für sie sollte daher nicht automatisch derselbe Backup-Zeitplan gelten.

Zwei Kennzahlen sorgen für Klarheit in der Diskussion. Das Recovery Point Objective (RPO) legt fest, wie viel Datenverlust akzeptabel ist. Wird eine Datenbank alle vier Stunden gesichert, beträgt der maximal zu erwartende Verlust vier Stunden an Änderungen. Das Recovery Time Objective (RTO) legt fest, wie schnell ein Dienst wieder verfügbar sein muss.

Ein kleines Unternehmen kann möglicherweise akzeptieren, dass ein Archivserver erst am nächsten Arbeitstag wiederhergestellt wird, während ein Buchungssystem oder eine Produktionsdatenbank möglicherweise innerhalb einer Stunde wieder betriebsbereit sein muss. Eine schnellere Wiederherstellung ist in der Regel mit höheren Kosten verbunden, da sie häufigere Backups, schnellere Speichermedien, eine Standby-Infrastruktur oder Replikation erfordern kann. Es gibt keine allgemeingültige Lösung. Die richtige Wahl hängt vom Wert des Dienstes, dem Umfang der sich ändernden Daten und den Kosten von Ausfallzeiten ab.

Halten Sie diese Ziele in verständlicher Sprache fest. Sie bieten den technischen Teams eine fundierte Grundlage für Entscheidungen und vermitteln der Geschäftsleitung ein realistisches Bild der bestehenden Sicherheitsvorkehrungen.

Das traditionelle 3-2-1-Modell ist nach wie vor ein solider Ausgangspunkt: Bewahren Sie mindestens drei Kopien Ihrer Daten auf zwei verschiedenen Speichermedien auf, wobei sich eine Kopie an einem externen Standort befinden sollte. Dies schützt vor häufigen Ausfällen wie einem defekten Festplattenarray, versehentlichem Löschen, Brand, Diebstahl oder einem Vorfall in der lokalen Infrastruktur.

Für viele Unternehmen reicht eine einzige externe Kopie jedoch nicht mehr aus. Ransomware kann Produktionssysteme sowie alle Backup-Speicher verschlüsseln, auf die mit denselben Anmeldedaten kontinuierlich zugegriffen werden kann. Ein sichereres Modell sieht eine unveränderliche oder Offline-Kopie vor. Ein unveränderlicher Backup-Speicher verhindert, dass Daten während einer festgelegten Aufbewahrungsfrist verändert oder gelöscht werden, selbst wenn ein Administratorkonto kompromittiert wird.

Das bedeutet nicht, dass jedes Backup sofort überall kopiert werden muss. Große Datenmengen, begrenzte Bandbreite und Wiederherstellungsfristen beeinflussen die Konzeption. Ein praktischer Ansatz könnte darin bestehen, schnelle lokale Backups für dringende Wiederherstellungen, eine verschlüsselte Kopie an einem separaten Standort zur Gewährleistung der Ausfallsicherheit und eine unveränderliche Kopie für kritische Systeme zu verwenden. Der Schlüssel liegt in der Trennung: Ein einzelner Vorfall darf nicht dazu führen, dass alle Kopien auf einmal zerstört werden.

Die Backup-Verwaltung erfordert eigene Identitäts- und Zugriffskontrollen. Verwenden Sie dedizierte Konten, eine starke Multi-Faktor-Authentifizierung und nur die für die jeweilige Aufgabe unbedingt erforderlichen Berechtigungen. Verlassen Sie sich nicht auf ein einziges Domänenadministrator-Konto mit weitreichenden Berechtigungen für die Produktions- und Backup-Verwaltung.

Bewahren Sie Wiederherstellungsdaten sicher auf und gewähren Sie autorisierten Mitarbeitern kontrollierten Zugriff darauf. Im Falle eines Vorfalls können ein fehlender Verschlüsselungsschlüssel oder ein nicht verfügbarer Passwort-Tresor die Wiederherstellung ebenso stark verzögern wie ein fehlendes Backup.

Ein Server besteht aus mehr als nur seinen sichtbaren Dateien. Eine Wiederherstellung kann fehlschlagen, wenn zwar Daten wiederhergestellt werden, jedoch nicht die Konfiguration, die Anwendungseinstellungen, die Zertifikate, die Berechtigungen oder die Datenbankprotokolle, die für die Nutzung dieser Daten erforderlich sind.

Bei virtuellen Maschinen können Backups auf Image-Ebene einen schnellen Weg zur Wiederherstellung einer gesamten Workload bieten. Sie sollten jedoch nach Möglichkeit anwendungsorientiert sein, insbesondere bei transaktionalen Datenbanken. Eine Kopie, die erstellt wird, während eine Datenbank aktiv Daten schreibt, mag technisch vollständig sein, ist jedoch logisch inkonsistent.

Bei physischen Servern oder speziellen Anwendungen sollten Sie System-Backups gegebenenfalls mit anwendungsspezifischen Exporten kombinieren. Datenbank-Dumps, Konfigurations-Backups und Kopien von Verschlüsselungsschlüsseln können als wichtige zweite Schutzebene dienen. Stellen Sie sicher, dass Ihr Plan Folgendes umfasst:

Der letzte Punkt wird oft übersehen. Eine Anwendung kann von einem DNS-Eintrag, einer Speicherfreigabe, einem E-Mail-Relay oder einem anderen Server abhängig sein. Halten Sie diese Abhängigkeiten fest, damit die Wiederherstellung nicht zu einem Rätsel wird.

Sicherungsdaten enthalten häufig die sensibelsten Informationen eines Unternehmens: Kundendaten, Finanzunterlagen, Mitarbeiterdaten und interne Kommunikation. Verschlüsseln Sie Sicherungen sowohl während der Übertragung als auch während der Speicherung. Dies ist besonders wichtig, wenn Kopien an einen anderen Standort oder in einen gehosteten Speicher übertragen werden.

Verschlüsselung ist nur dann sinnvoll, wenn die Schlüsselverwaltung diszipliniert erfolgt. Bewahren Sie die Schlüssel getrennt von den Sicherungsdaten auf, kontrollieren Sie, wer darauf zugreifen darf, und stellen Sie sicher, dass es einen dokumentierten Wiederherstellungsprozess gibt, falls ein Schlüsselinhaber nicht erreichbar ist. Bewahren Sie die Schlüssel so lange auf, wie die damit verschlüsselten Sicherungen wiederherstellbar bleiben müssen.

Die Aufbewahrungsfristen müssen zudem den tatsächlichen Verpflichtungen entsprechen. Bestimmte Informationen müssen möglicherweise aus rechtlichen, vertraglichen oder betrieblichen Gründen aufbewahrt werden, während andere Daten nicht auf unbestimmte Zeit gespeichert werden sollten. Lange Aufbewahrungsfristen erhöhen die Speicherkosten und können unnötige Risiken mit sich bringen. Legen Sie die Aufbewahrungsfristen nach System und Datentyp fest, anstatt für alles eine pauschale Frist anzuwenden.

Ein erfolgreicher Sicherungsvorgang belegt lediglich, dass die Daten kopiert wurden. Er belegt jedoch nicht, dass die Sicherung nutzbar ist, dass die Wiederherstellungsanweisungen korrekt sind oder dass die wiederhergestellte Anwendung gestartet werden kann.

Die Wiederherstellung sollte regelmäßig und auf verschiedenen Ebenen getestet werden. Ein Test auf Dateiebene stellt sicher, dass ein Benutzerdokument abgerufen werden kann. Ein Test auf Serverebene stellt sicher, dass ein Rechner wiederhergestellt werden kann. Ein Test der Anwendungswiederherstellung prüft, ob Datenbanken, Dienste und der Benutzerzugriff nach der Wiederherstellung funktionieren. Kritische Dienste sollten am häufigsten und am gründlichsten getestet werden.

Führen Sie die Wiederherstellung nach Möglichkeit in einer isolierten Umgebung durch. Dadurch wird verhindert, dass ein wiederhergestellter Server Live-Systeme beeinträchtigt, und das Team erhält die Möglichkeit, Konfigurationen sicher zu überprüfen. Messen Sie die tatsächlich benötigte Zeit, vergleichen Sie diese mit der RTO und halten Sie etwaige Abweichungen fest. Wenn die Wiederherstellung eines Schlüsselsystems sechs Stunden dauert, während das Unternehmen zwei Stunden erwartet, ist der Plan noch nicht zweckmäßig.

In die Tests sollten auch Personen einbezogen werden. Stellen Sie sicher, dass mehr als eine Person den Wiederherstellungsprozess versteht, weiß, wo die Dokumentation gespeichert ist, und über die erforderlichen Zugriffsrechte verfügt, um Maßnahmen zu ergreifen. Klare Zuständigkeiten verhindern Zögern, wenn jede Minute zählt.

Backup-Systeme erfordern eine aktive Überwachung. Fehlgeschlagene Aufträge, versäumte Zeitpläne, geringe Speicherkapazität und ungewöhnliche Änderungen des Backup-Umfangs sollten Warnmeldungen auslösen, die an eine bestimmte Person oder ein bestimmtes Team weitergeleitet werden. Ein wöchentlicher Bericht, den niemand liest, ist keine Überwachung.

Achten Sie auf Warnmeldungen, die für sich genommen harmlos erscheinen. Ein Server, der aufgrund eines Berechtigungsfehlers ausgeschlossen wurde, eine Datenbank-Sicherung, deren Größe plötzlich abnimmt, oder ein Sicherungsspeicher, dessen Kapazität fast erschöpft ist – all dies kann im ungünstigsten Moment zu einem ernsthaften Problem werden. Untersuchen Sie fehlgeschlagene und unvollständige Aufträge umgehend und vergewissern Sie sich anschließend, dass der nächste erfolgreiche Auftrag alle erforderlichen Daten enthält.

Es ist zudem sinnvoll, nicht nur den Abschluss der Datensicherung zu überwachen, sondern auch die Wiederherstellungsbereitschaft. Verfolgen Sie das Alter der letzten erfolgreichen Kopie, die Verfügbarkeit unveränderlichen Speichers, die Ergebnisse von Wiederherstellungstests und die für die Wiederherstellung benötigte Zeit. Diese Kennzahlen vermitteln ein wesentlich realistischeres Bild des Schutzes.

Bei einem Ausfall reicht technisches Wissen allein nicht aus. Die Teams benötigen ein prägnantes Runbook, aus dem hervorgeht, wer Entscheidungen trifft, wie ein Vorfall eskaliert wird, welche Systeme zuerst wiederhergestellt werden und wo die aktuellen Informationen zur Wiederherstellung zu finden sind.

Bewahren Sie das Dokument außerhalb der darin beschriebenen Systeme auf. Sollten sowohl der Dateiserver als auch die interne Dokumentationsplattform ausfallen, benötigen die Mitarbeiter dennoch Zugriff auf Wiederherstellungsschritte, Support-Ansprechpartner, Verfahren zur Authentifizierung und Netzwerkdiagramme. Eine gesicherte Offline-Kopie ist eine sinnvolle Vorsichtsmaßnahme.

Unternehmen, die dedizierte Server, Colocation oder gehostete Infrastruktur nutzen, sollten die Zuständigkeiten im Voraus festlegen. Legen Sie fest, wer für das Betriebssystem, die Backup-Plattform, den Austausch von Hardware, die Netzwerkkonfiguration und die Wiederherstellung von Anwendungen verantwortlich ist. Der Infrastruktur-Support kann noch so gut sein – kein Anbieter kann Daten wiederherstellen, die nie gesichert wurden, oder eine Anwendung, deren Wiederherstellungsanforderungen nie mitgeteilt wurden.

Serverumgebungen ändern sich ständig. Es kommen neue Anwendungen hinzu, Datenbanken wachsen, die Zugriffsrechte der Mitarbeiter ändern sich und Dienste werden zwischen Plattformen verlagert. Überprüfen Sie den Umfang der Datensicherung immer dann, wenn Sie eine wesentliche Systemänderung vornehmen – nicht erst nach einem Vorfall.

Überprüfen Sie mindestens einmal im Jahr gemeinsam mit den Personen, die auf die Systeme angewiesen sind, die RPOs, RTOs, Aufbewahrungsfristen, Speicherkapazitäten und Ergebnisse der Wiederherstellungstests. Beziehen Sie dabei sowohl die Geschäftsinhaber als auch die IT-Abteilung mit ein. Sie sind am besten in der Lage zu erklären, welche Prozesse warten können und welche nicht.

„Sicher ist sicher“ ist kein bloßer Slogan, wenn ein Server ausfällt. Es ist das Ergebnis davon, genau zu wissen, was geschützt ist, nachweisen zu können, dass es wiederhergestellt werden kann, und darauf zu vertrauen, dass echte Menschen bereitstehen, um im Ernstfall zu handeln.