Datensicherung kleiner Betriebe: Pflichten und Praxis

Das Wichtigste auf einen Blick

Pflichten und Grundlagen der Datensicherung kleiner Betriebe

Die DSGVO verlangt in Art. 32 Abs. 1 geeignete technische und organisatorische Maßnahmen. Dazu zählt ausdrücklich die Fähigkeit, die Verfügbarkeit personenbezogener Daten nach einem Zwischenfall wiederherzustellen. Eine belastbare Datensicherung kann dazu beitragen; welche Maßnahmen angemessen sind, hängt vom Risiko und vom Verarbeitungskontext ab.

Das BDSG ergänzt die DSGVO für den deutschen Rechtsraum. § 26 BDSG regelt die Verarbeitung personenbezogener Daten von Beschäftigten. Wer Mitarbeiterdaten sichert, muss die DSGVO und die ergänzenden Vorschriften des BDSG berücksichtigen.

Die amtlichen Volltexte der Regelwerke sind über die Plattform Gesetze im Internet abrufbar. Dort lassen sich die einschlägigen Paragrafen im Original nachlesen. Die Regelwerke bilden eine belastbare Grundlage für die Dokumentation im Betrieb.

Zuständig sind je nach Sitz des Betriebs der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit oder die Landesdatenschutzbeauftragten. In Bayern, Nordrhein-Westfalen, Hessen und Sachsen prüfen die jeweiligen Landesbehörden. Ein Betrieb aus Sachsen hat also eine andere Aufsichtsbehörde als einer aus Hamburg.

Für bestimmte Unternehmen gelten neben dem Datenschutzrecht zusätzliche IT-Sicherheits- und Meldepflichten. Ob ein Betrieb darunter fällt, hängt von seiner Tätigkeit und der gesetzlichen Einordnung ab; kleine Betriebe sind nicht automatisch betroffen. Bei Wachstum sollte der Betrieb prüfen, welche Anforderungen für ihn gelten.

Der BSI-Grundschutz ist kein Gesetz, sondern ein methodischer Standard des BSI. Er kann Betrieben helfen, Informationssicherheit systematisch zu organisieren; welche Maßnahmen erforderlich sind, hängt auch von gesetzlichen Pflichten und dem jeweiligen Risiko ab. Er ist nicht automatisch der verbindliche Maßstab für jeden Betrieb.

Grundschutz als Orientierung für Backups

Der BSI-Grundschutz arbeitet mit Bausteinen. Für die Planung einer Datensicherung sind insbesondere die Erfassung der zu sichernden Daten, getrennte Speicherorte, Zuständigkeiten und Wiederherstellbarkeit relevant. Welche konkreten Bausteine und Maßnahmen passen, hängt vom gewählten IT-Grundschutz-Vorgehen ab. Eine Übersicht zu Bausteinen zur Datensicherung bietet weitere Orientierung.

Ein wichtiges Schutzziel ist die Trennung von Produktivdaten und Sicherungskopien. Liegt ein Backup auf demselben Server wie die Originaldaten, kann ein einzelner Vorfall beide Kopien betreffen. Ransomware kann dann auch die Sicherung verschlüsseln.

Ein nachvollziehbares Sicherungskonzept sollte festhalten, welche Daten gesichert werden, in welchem Rhythmus, wohin und wie lange. So lassen sich Zuständigkeiten und Abläufe prüfen und bei Bedarf anpassen.

Auch die Wiederherstellung sollte regelmäßig getestet werden, nicht nur die erfolgreiche Sicherung. Ein Backup, das sich nicht zurückspielen lässt, erfüllt seinen Zweck nicht.

Die BSI-Publikationen zu Grundschutz und IT-Sicherheitsgesetz werden laufend fortgeschrieben und stehen öffentlich bereit. Für kleine Betriebe gibt es Basis-Absicherungen, die deutlich schlanker sind als das vollständige Kompendium.

Wer nach DIN EN ISO/IEC 27001 zertifiziert ist oder es anstrebt, kann die Grundschutz-Maßnahmen als Vorlage nutzen. Die Deutsche Akkreditierungsstelle (DAkkS) überwacht die Zertifizierungsstellen, die solche Audits durchführen.

Aufbewahrungsfristen und Löschkonzept rechtssicher gestalten

Aufbewahrungsfristen und Löschkonzept müssen aufeinander abgestimmt sein. Das eine legt fest, wie lange bestimmte Daten aufbewahrt werden müssen, das andere, wann sie gelöscht werden. Sicherungskopien können nach einem dokumentierten Ablauf auslaufen; sie müssen nicht zwingend zum selben Zeitpunkt wie Produktivdaten gelöscht werden.

Aufbewahrungspflichten ergeben sich insbesondere aus § 257 HGB und § 147 AO; die GoBD enthalten ergänzende Vorgaben zur ordnungsmäßigen Führung und Aufbewahrung elektronischer Bücher und Unterlagen. Je nach Dokument gelten unterschiedliche Fristen, darunter sechs- oder zehnjährige Fristen.

Umgekehrt gilt: Personenbezogene Daten ohne Aufbewahrungsgrund müssen gelöscht werden. Das Löschkonzept legt fest, wer löscht, wann und wie das nachgewiesen wird. Ohne Nachweis ist die Löschung im Streitfall nicht belegt.

Ein Löschbegehren nach Art. 17 DSGVO betrifft personenbezogene Daten auch dann, wenn sie in Sicherungskopien enthalten sind. Die Umsetzung muss das Backup-Verfahren berücksichtigen, etwa durch kontrollierte Rotation und einen dokumentierten Umgang mit Daten, die bei einer Wiederherstellung erneut auftauchen.

Ein Praxisbeispiel: Ein Handwerksbetrieb in Niedersachsen sichert täglich, behält 30 Tagesstände und 12 Monatsstände. Ein Kunde verlangt Löschung. Der Betrieb kann nach 30 Tagen bestätigen, dass der Datensatz aus den Tagesständen entfernt ist, und nach zwölf Monaten aus den Monatsständen.

Diese Fristen gehören, soweit möglich, ins Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Dort wird für jede Verarbeitung festgehalten, wie lange die Daten gespeichert werden und wann sie gelöscht werden sollen.

Das GeschGehG verlangt zusätzlich den Schutz von Geschäftsgeheimnissen. Backup-Medien mit Konstruktionsdaten oder Kalkulationen müssen also nicht nur datenschutz-, sondern auch geheimnisschutzrechtlich abgesichert sein.

Backup-Strategien: 3-2-1, Versionierung und Wiederherstellungstests

Die 3-2-1-Regel besagt: drei Kopien der Daten, auf zwei verschiedenen Medien, davon eine außerhalb des Betriebs. Sie ist kein Gesetz, aber der praktikabelste Standard für kleine Betriebe.

Drei Kopien bedeuten Original plus zwei Sicherungen. Zwei Medien heißt zum Beispiel NAS und Band oder NAS und externe Platte. Die dritte Kopie liegt räumlich getrennt, etwa in einem anderen Gebäude oder bei einem Dienstleister.

Versionierung schützt gegen versehentliche Änderungen und gegen Verschlüsselungstrojaner. Wer nur den letzten Stand sichert, überschreibt im Zweifel die intakte Version mit der verschlüsselten. Mehrere Generationen sind deshalb Pflicht.

Wiederherstellungstests gehören in den Kalender. Ein Test pro Quartal ist für kleine Betriebe realistisch. Getestet wird nicht nur eine Datei, sondern die vollständige Rücksicherung eines Systems.

Die Ergebnisse des Tests werden protokolliert: Datum, Umfang, Dauer, aufgetretene Fehler, Maßnahmen. Dieses Protokoll ist der Nachweis gegenüber der Aufsichtsbehörde.

Für Betriebe ohne eigene IT-Abteilung lohnt sich ein schriftlicher Ablaufplan. Er beschreibt, wer im Ernstfall anruft, wer die Rücksicherung startet und wer die Fachabteilung informiert.

Bei der Auswahl eines Cloud- oder Backup-Dienstes sollten Betriebe insbesondere Speicherort, Zugriffsschutz, Verschlüsselung, Wiederherstellungsverfahren, Vertragsbedingungen und Nachweise zu Sicherheitsmaßnahmen prüfen. Eine solche Prüfung ersetzt keine individuelle rechtliche Bewertung.

Verschlüsselung, Zugriffskontrolle und Protokollierung

Backups enthalten in der Regel die sensibelsten Daten des Betriebs. Sie müssen deshalb verschlüsselt gespeichert und verschlüsselt übertragen werden. Das gilt für lokale Medien ebenso wie für Cloud-Ziele.

Die Schlüsselverwaltung ist der kritische Punkt. Liegt der Schlüssel auf demselben Server wie das Backup, ist die Verschlüsselung wertlos. Schlüssel gehören getrennt, idealerweise in einen Safe oder ein separates System.

Zugriffskontrolle folgt dem Prinzip der minimalen Rechte. Nur wer Backups einspielen muss, bekommt Schreibzugriff. Wer nur prüfen muss, bekommt Lesezugriff. Administratorrechte auf dem Backup-System sind zu begrenzen.

Die Protokollierung relevanter Zugriffe auf Backup-Systeme ist ein wichtiger Bestandteil eines nachvollziehbaren Sicherheitskonzepts. Erfasst werden können etwa Zeitstempel, Benutzer und Aktion. Die Protokolle sollten selbst gesichert und gegen Veränderung geschützt werden.

Protokolle unterstützen die Fehlersuche und die Aufklärung von Vorfällen. Bei einer meldepflichtigen Verletzung des Schutzes personenbezogener Daten muss der Betrieb die Aufsichtsbehörde nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden benachrichtigen. Protokolle helfen, den Umfang des Vorfalls zu bestimmen.

Mehrfaktor-Authentifizierung für administrative Zugänge ist eine wichtige Schutzmaßnahme. Sie erschwert den Zugriff mit gestohlenen Zugangsdaten.

Auftragsverarbeitung bei externen Backup-Dienstleistern

Soweit ein externer Dienstleister personenbezogene Daten im Auftrag verarbeitet, liegt eine Auftragsverarbeitung nach Art. 28 DSGVO vor. Dafür ist ein Vertrag erforderlich.

Der Vertrag sollte unter anderem Weisungsbindung, Vertraulichkeit, Löschung nach Vertragsende und Unterstützung bei Betroffenenrechten regeln. Eine Verarbeitung durch einen Auftragsverarbeiter muss die Anforderungen des Art. 28 DSGVO erfüllen.

Bei Dienstleistern außerhalb der EU kommen zusätzliche Anforderungen hinzu. Der Betrieb muss prüfen, ob ein Angemessenheitsbeschluss vorliegt oder ob Standardvertragsklauseln und eine Risikoanalyse nötig sind.

Deutsche Rechenzentren sind kein Automatismus für Rechtmäßigkeit, können aber die Prüfung erleichtern. Entscheidend bleiben unter anderem Vertrag, technische und organisatorische Maßnahmen, Unterauftragsverarbeiter und mögliche Drittlandzugriffe.

Der Betrieb muss den Dienstleister auswählen, nicht nur beauftragen. Dazu gehören Referenzen, Zertifizierungen und eine Prüfung der technischen Maßnahmen. Ein Zertifikat nach DIN EN ISO/IEC 27001 ist ein starkes Indiz, ersetzt aber die eigene Prüfung nicht.

Der Bundesverband Informationswirtschaft, Telekommunikation und neue Medien (Bitkom) bietet Muster und Leitfäden für solche Verträge. Sie sind kein Ersatz für Rechtsberatung, sparen aber Zeit bei der Erstellung.

Umsetzungsschritte und Dokumentationsvorlagen

Die folgenden Schritte lassen sich in einem kleinen Betrieb innerhalb weniger Wochen umsetzen. Sie bauen aufeinander auf und erzeugen am Ende die Dokumentation, die Aufsichtsbehörden erwarten.

Zur Dokumentation gehört eine Checkliste, die der Betrieb abarbeitet und abzeichnet:

Wer diese sieben Punkte abarbeitet, schafft eine nachvollziehbare Grundlage für das Backup-Konzept. Ob die Maßnahmen im Einzelfall ausreichen, hängt von den gesetzlichen Pflichten und dem Risiko des Betriebs ab. Die Dokumentation ist dabei genauso wichtig wie die Technik.

Häufige Fragen