Wiederherstellung testen

Modul 6: Backups · Lesezeit: 10 Minuten

Lernziel: Nach dieser Lektion können Sie einen Wiederherstellungstest planen und durchführen, in einfacher Sprache festlegen, wie viel Arbeit Sie maximal verlieren dürfen (RPO) und wie schnell etwas wiederhergestellt sein muss (RTO), und eine Wiederherstellungsreihenfolge festhalten.
Kernbegriffe: Wiederherstellungstest, RPO (wie viel Arbeit dürfen Sie verlieren), RTO (wie schnell muss es wieder funktionieren), Wiederherstellungsreihenfolge, Dokumentation

Ein Backup, das Sie nie wiederhergestellt haben, ist bloß eine Vermutung

Fast jeder, der nach einem Vorfall feststellt, dass das Backup nicht funktioniert, dachte, ein gutes Backup zu haben. Die Meldungen waren grün, die Festplatte war voll, das Programm lief jede Nacht. Erst beim Wiederherstellen zeigt sich, was schiefgelaufen ist. Typische Beispiele dafür, was sich dann herausstellt:

• Das Backup umfasste nur die Website-Dateien, nicht die Datenbank. Der Onlineshop kam zurück, aber ohne Bestellungen, Kunden und Produkte.
• Das Backup war verschlüsselt, aber der Schlüssel lag nur auf dem Laptop, der gestohlen wurde.
• Das Backup-Programm meldete seit vier Monaten einen Fehler, aber diese Meldungen gingen an die E-Mail-Adresse eines ausgeschiedenen Mitarbeiters.
• Das Backup war zwar vorhanden, aber die Wiederherstellung von 400 GB über eine normale Internetverbindung dauerte drei Tage.

Das niederländische NCSC empfiehlt daher, nicht nur zu kontrollieren, ob das Backup erstellt wurde, sondern regelmäßig auch tatsächlich etwas wiederherzustellen. Außerdem rät es, täglich zu überprüfen, ob die Backups gelaufen sind und ob dabei Fehler aufgetreten sind.

RPO: Wie viel Arbeit dürfen Sie verlieren?

Bevor Sie testen, müssen Sie wissen, was "gut genug" ist. Dafür gibt es zwei Begriffe, die Ihnen in jedem Gespräch mit einem IT-Dienstleister begegnen.

Der RPO (Recovery Point Objective) bedeutet in einfacher Sprache: Wie viel Arbeit dürfen Sie maximal verlieren? NIST beschreibt ihn als den Zeitpunkt, auf den Daten nach einer Störung zurückgesetzt werden müssen. Je häufiger Sie ein Backup erstellen, desto kleiner ist die Lücke.

Die Berechnung ist einfach: Sie verlieren maximal alles, was sich seit dem letzten erfolgreichen Backup verändert hat. Das niederländische NCSC nennt selbst ein Beispiel: Läuft Ihr Backup nachts um 03:00 Uhr und werden Sie um 16:00 Uhr getroffen, dann haben Sie möglicherweise einige Stunden Arbeit verloren.

Achten Sie auf zwei Fallstricke. Ein fehlgeschlagenes Backup zählt nicht: Dann rückt das letzte erfolgreiche Backup einen Schritt weiter zurück. Und bei Ransomware kommt es auf den Zeitpunkt an, zu dem der Schaden begann, nicht auf den Zeitpunkt, zu dem Sie ihn bemerken. Begann die Verschlüsselung um 11:15 Uhr und bemerken Sie es um 14:40 Uhr, dann ist das Backup von 12:00 Uhr bereits beschädigt und das von 11:00 Uhr ist das letzte erfolgreiche.

RTO: Wie schnell muss es wieder funktionieren?

Die RTO (Recovery Time Objective) bedeutet in einfacher Sprache: Wie lange darf es dauern, bis es wieder funktioniert? NIST beschreibt sie als die Zeit, die ein System sich in Wiederherstellung befinden darf, bevor es Ihr Unternehmen wirklich schädigt.

Die RTO unterscheidet sich je nach Komponente. Für Bäckerei Example:

Die RTO beeinflusst auch, welches Backup Sie wählen. Eine Festplatte in einem Tresor zu Hause beim Inhaber ist eine gute Offline-Kopie, aber wenn es vier Stunden dauert, sie zu holen und wiederherzustellen, erreichen Sie eine RTO von zwei Stunden nicht.

Ein Wiederherstellungstest in fünf Schritten

Ein Test muss nicht groß sein. Fangen Sie klein an und bauen Sie es aus.

1. Wählen Sie, was Sie testen. Beginnen Sie mit einer Datei, einem Ordner und einem Postfach. Führen Sie einmal im Jahr einen größeren Test durch: eine ganze Website mit Datenbank oder einen kompletten Laptop.
2. Stellen Sie neben dem Original wieder her. Überschreiben Sie zum Testen niemals Ihre echten Daten. Stellen Sie in einem separaten Ordner, als Kopie oder an einer Testumgebung wieder her.
3. Kontrollieren Sie den Inhalt. Öffnet sich die Datei? Enthält sie die E-Mail vom richtigen Datum? Funktioniert die Website mit der Datenbank vom selben Zeitpunkt? Eine Website mit heutigen Dateien und einer Datenbank vom Vormonat funktioniert oft nicht richtig.
4. Messen Sie die Zeit. Notieren Sie, wie lange es dauerte, von "ich muss etwas wiederherstellen" bis "es funktioniert". Vergleichen Sie das mit Ihrer RTO.
5. Räumen Sie auf und dokumentieren Sie. Entfernen Sie die Testkopie, damit sie keinen Speicherplatz belegt oder Verwirrung stiftet, und notieren Sie das Ergebnis.

Wiederherstellungsreihenfolge und Dokumentation

Bei einem größeren Vorfall muss alles gleichzeitig wiederhergestellt werden, was nicht geht. Legen Sie deshalb vorab die Wiederherstellungsreihenfolge fest: was zuerst, was danach. Meistens ist das: zuerst der Zugang (Ihr Passwort-Manager, Ihre E-Mail und Ihre Administratorkonten), dann was Geld einbringt (Kasse, Bestellungen, Rechnungen), dann der Rest.

Schreiben Sie pro Komponente auf ein Wiederherstellungsblatt:

• wo das Backup liegt und wie Sie darauf zugreifen (ohne Passwörter auf dem Blatt selbst: verweisen Sie auf den Passwort-Manager oder den Tresor);
• wer wiederherstellen darf und kann, und wer die Vertretung ist;
• die Schritte oder einen Link zur Anleitung Ihres Anbieters;
• das Datum und das Ergebnis des letzten Tests.

Bewahren Sie dieses Blatt auch auf Papier oder offline auf. Bei Ransomware liegt Ihr gemeinsamer Ordner mit der Dokumentation wahrscheinlich ebenfalls lahm. Dieses Blatt gehört zur Notfallkarte aus Lektion 8.1.

In der Praxis: So sieht es aus

In der Beispielumgebung WebOké Backups können Sie einen Test durchführen, ohne etwas an Ihrer aktuellen Website oder E-Mail zu ändern. Im Assistenten wählen Sie das Paket, den Backup-Zeitpunkt, die Komponenten und anschließend die Art der Wiederherstellung. Mit Als Kopie neben dem aktuellen kommt das Backup als Kopie in einen neuen Ordner, als Datenbank unter neuem Namen oder als neues Postfach. Bei einem Postfach geben Sie der Kopie einen Namen, zum Beispiel herstel, und öffnen diese im Webmail, um zu prüfen, ob die E-Mail von diesem Zeitpunkt enthalten ist. Entfernen Sie die Kopie danach wieder, denn sie zählt zu Ihrem Speicherplatz. Jede Wiederherstellung erhält einen Wiederherstellungscode aus acht Zeichen und einen Bericht darüber, was wiederhergestellt wurde.

Die Wissensdatenbank warnt auch vor einem häufigen Fehler: Wählen Sie bei einem Postfach nicht Vollständig wiederherstellen, denn dann verschwindet alles, was nach dem gewählten Zeitpunkt eingegangen ist. In Euro-Office und Nextcloud stellen Sie eine ältere Version eines Dokuments über den Versionsverlauf wieder her; die Version, die Sie ersetzen, bleibt dabei erhalten.

Bei anderen Anbietern heißt es anders und funktioniert manchmal anders. Können Sie bei Ihrem Anbieter nicht selbst als Kopie wiederherstellen, fragen Sie, wie Sie sicher testen können.

Zusammenfassung

• Ein Backup ist erst zuverlässig, wenn Sie es wiederhergestellt haben; testen Sie klein und regelmäßig, groß einmal im Jahr.
• RPO: wie viel Arbeit Sie verlieren dürfen. Sie verlieren alles seit dem letzten erfolgreichen Backup; ein fehlgeschlagenes oder infiziertes Backup zählt nicht.
• RTO: wie schnell es wieder funktionieren muss. Messen Sie bei jedem Test die tatsächliche Wiederherstellungszeit.
• Stellen Sie neben dem Original wieder her, kontrollieren Sie den Inhalt und entfernen Sie die Testkopie.
• Legen Sie Wiederherstellungsreihenfolge und Schritte auf einem Wiederherstellungsblatt fest, das auch offline existiert.

Quiz

Aufgabe

Aufgabe A6.3: Wie viel Arbeit geht verloren? Sie erhalten einen Backup-Zeitplan und einen Zeitpunkt des Ausfalls oder Angriffs. Berechnen Sie, wie viel Arbeit Sie maximal verlieren, und beurteilen Sie, ob der Zeitplan das RPO-Ziel erreicht. Das Programm prüft Ihre Antwort und erklärt pro Fall, wie es sich verhält.

Aufgabe D6.3: Ein echter Wiederherstellungstest. Stellen Sie eine Datei und ein Postfach (oder eine andere kleine Datenmenge) aus Ihrem eigenen Backup wieder her, neben dem Original. Kontrollieren Sie den Inhalt, messen Sie die Zeit, entfernen Sie die Testkopie und füllen Sie Ihr Wiederherstellungsblatt mit RPO, RTO und Wiederherstellungsreihenfolge aus.

Weiterführende Informationen

Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es ähnlich oder anders. Fragen Sie Ihren Anbieter.

• WebOké Backups: Ein Backup ansehen, wiederherstellen oder herunterladen
• Postfach oder gelöschte E-Mails aus dem Backup wiederherstellen
• WebOké Anleitung 6.10: WebOké Backups: Dateien wiederherstellen
• DirectAdmin Anleitung 16.3: Ein DirectAdmin-Backup wiederherstellen
• Euro-Office Handbuch 8.6: Versionshistorie: eine ältere Version wiederherstellen
• Niederländisches NCSC, Eine Backup-Strategie entwickeln: https://www.ncsc.nl/back-up/een-back-up-strategie-opstellen
• NIST, Glossar: Recovery Point Objective (Englisch): https://csrc.nist.gov/glossary/term/recovery_point_objective
• NIST, Glossar: Recovery Time Objective (Englisch): https://csrc.nist.gov/glossary/term/recovery_time_objective