DSGVO und BSI-Grundschutz für Datensicherung im deutschen Betrieb

Das Wichtigste auf einen Blick

• Datensicherung kleiner Betriebe ist keine Kür, sondern Pflicht aus DSGVO, BDSG und dem IT-Sicherheitsgesetz 2.0.
• Der BSI-Grundschutz fordert nachvollziehbare Backup-Konzepte, getrennte Speicherung und regelmäßige Wiederherstellungstests.
• Aufbewahrungsfristen und ein schriftliches Löschkonzept müssen zusammenpassen, sonst drohen Bußgelder.
• Die 3-2-1-Regel bleibt der praktikable Standard für Betriebe mit wenigen Systemen.
• Bei externen Backup-Dienstleistern ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO Pflicht.
• Ohne Dokumentation gilt ein Backup-Konzept im Streitfall als nicht vorhanden.

Pflichten aus DSGVO, BDSG und BSI-Grundschutz für Datensicherung kleiner Betriebe

Die DSGVO verlangt in Art. 32 Abs. 1 geeignete technische und organisatorische Maßnahmen. Dazu zählt ausdrücklich die Fähigkeit, die Verfügbarkeit personenbezogener Daten nach einem Zwischenfall wiederherzustellen. Ein Backup ist damit kein IT-Thema, sondern eine Rechtspflicht.

Das BDSG ergänzt die DSGVO für den deutschen Rechtsraum. Es regelt unter anderem den Beschäftigtendatenschutz nach § 26 und verschärft die Anforderungen an Auftragsverarbeitung und Videoüberwachung. Wer Mitarbeiterdaten sichert, sichert also Daten, für die das BDSG eigene Maßstäbe setzt.

Den amtlichen Volltext beider Regelwerke führt die Plattform Gesetze im Internet, dort lassen sich die einschlägigen Paragrafen im Original nachlesen. Die Teilliste D bündelt Datenschutzvorschriften, die für Betriebsnetze und die dort verarbeiteten Daten gelten. Beide Quellen sind für die Dokumentation im Betrieb die belastbare Grundlage.

Zuständig sind je nach Sitz des Betriebs der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit oder die Landesdatenschutzbeauftragten. In Bayern, Nordrhein-Westfalen, Hessen und Sachsen prüfen die jeweiligen Landesbehörden. Ein Betrieb aus Sachsen hat also eine andere Aufsichtsbehörde als einer aus Hamburg.

Das IT-Sicherheitsgesetz 2.0 erweitert die Pflichten für Betreiber kritischer Anlagen. Kleine Betriebe fallen selten darunter, doch die Bundesnetzagentur und das BSI veröffentlichen Meldepflichten, die bei Wachstum relevant werden. Wer heute sauber dokumentiert, hat später weniger Aufwand.

Der BSI-Grundschutz ist kein Gesetz, sondern ein anerkannter Standard. Er dient Gerichten und Aufsichtsbehörden als Maßstab dafür, was ein ordnungsgemäßer Betrieb als Stand der Technik tun muss. Wer ihn ignoriert, muss im Schadensfall erklären, warum.

Was BSI-Grundschutz für Backups konkret fordert: Bausteine und Maßnahmen

Der BSI-Grundschutz arbeitet mit Bausteinen. Für Backups relevant sind vor allem die Bausteine zur Datensicherung, zu Servern, zu Netzen und zur Organisation. Jeder Baustein enthält Maßnahmen mit Kennungen, die sich direkt in ein Sicherheitskonzept übernehmen lassen.

Kern der Anforderung ist die Trennung von Produktivdaten und Sicherungskopien. Ein Backup, das auf demselben Server wie die Originaldaten liegt, erfüllt die Anforderung nicht. Ransomware verschlüsselt sonst beides in einem Zug.

Der Grundschutz verlangt außerdem ein dokumentiertes Sicherungskonzept. Darin steht, welche Daten gesichert werden, in welchem Rhythmus, wohin und wie lange. Fehlt dieses Dokument, ist die Maßnahme formal nicht umgesetzt.

Ein weiterer Punkt ist die Wiederherstellung. Der Grundschutz fordert regelmäßige Tests, nicht nur die erfolgreiche Sicherung. Ein Backup, das sich nicht zurückspielen lässt, erfüllt seinen Zweck nicht.

Die BSI-Publikationen zu Grundschutz und IT-Sicherheitsgesetz werden laufend fortgeschrieben und stehen öffentlich bereit. Für kleine Betriebe gibt es Basis-Absicherungen, die deutlich schlanker sind als das vollständige Kompendium.

Wer nach DIN EN ISO/IEC 27001 zertifiziert ist oder es anstrebt, kann die Grundschutz-Maßnahmen als Vorlage nutzen. Die Deutsche Akkreditierungsstelle (DAkkS) überwacht die Zertifizierungsstellen, die solche Audits durchführen.

Aufbewahrungsfristen und Löschkonzept rechtssicher gestalten

Aufbewahrungsfristen und Löschkonzept sind zwei Seiten derselben Medaille. Das eine sagt, wie lange Daten bleiben müssen, das andere, wann sie weg müssen. Beides muss im Backup identisch gelten.

Handelsrechtliche Aufbewahrungsfristen liegen bei sechs oder zehn Jahren, je nach Unterlage. Steuerrechtlich gilt Ähnliches. Ein Backup, das diese Daten nach zwei Jahren löscht, verletzt die Aufbewahrungspflicht.

Umgekehrt gilt: Personenbezogene Daten ohne Aufbewahrungsgrund müssen gelöscht werden. Das Löschkonzept legt fest, wer löscht, wann und wie das nachgewiesen wird. Ohne Nachweis ist die Löschung im Streitfall nicht belegt.

Das Problem verschärft sich in Backups. Ein Löschbegehren nach Art. 17 DSGVO erfasst auch Sicherungskopien. Viele Betriebe arbeiten deshalb mit rotierenden Sicherungsständen und dokumentieren, wann ein Datensatz aus allen Ständen verschwunden ist.

Ein Praxisbeispiel: Ein Handwerksbetrieb in Niedersachsen sichert täglich, behält 30 Tagesstände und 12 Monatsstände. Ein Kunde verlangt Löschung. Der Betrieb kann nach 30 Tagen bestätigen, dass der Datensatz aus den Tagesständen entfernt ist, und nach zwölf Monaten aus den Monatsständen.

Diese Fristen gehören ins Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Dort steht für jede Verarbeitung, wie lange die Daten gespeichert werden und wann sie gelöscht werden.

Das GeschGehG verlangt zusätzlich den Schutz von Geschäftsgeheimnissen. Backup-Medien mit Konstruktionsdaten oder Kalkulationen müssen also nicht nur datenschutz-, sondern auch geheimnisschutzrechtlich abgesichert sein.

Backup-Strategien: 3-2-1, Versionierung und Wiederherstellungstests

Die 3-2-1-Regel besagt: drei Kopien der Daten, auf zwei verschiedenen Medien, davon eine außerhalb des Betriebs. Sie ist kein Gesetz, aber der praktikabelste Standard für kleine Betriebe.

Drei Kopien bedeuten Original plus zwei Sicherungen. Zwei Medien heißt zum Beispiel NAS und Band oder NAS und externe Platte. Die dritte Kopie liegt räumlich getrennt, etwa in einem anderen Gebäude oder bei einem Dienstleister.

Versionierung schützt gegen versehentliche Änderungen und gegen Verschlüsselungstrojaner. Wer nur den letzten Stand sichert, überschreibt im Zweifel die intakte Version mit der verschlüsselten. Mehrere Generationen sind deshalb Pflicht.

Wiederherstellungstests gehören in den Kalender. Ein Test pro Quartal ist für kleine Betriebe realistisch. Getestet wird nicht nur eine Datei, sondern die vollständige Rücksicherung eines Systems.

Die Ergebnisse des Tests werden protokolliert: Datum, Umfang, Dauer, aufgetretene Fehler, Maßnahmen. Dieses Protokoll ist der Nachweis gegenüber der Aufsichtsbehörde.

Für Betriebe ohne eigene IT-Abteilung lohnt sich ein schriftlicher Ablaufplan. Er beschreibt, wer im Ernstfall anruft, wer die Rücksicherung startet und wer die Fachabteilung informiert.

Die Verbraucherzentrale informiert in ihrem Bereich Digitale Welt zu Cloud-Diensten und Datenschutz und hilft bei der Einschätzung, welche Angebote für Betriebe taugen. Das ersetzt keine Rechtsberatung, gibt aber eine erste Orientierung.

Verschlüsselung, Zugriffskontrolle und Protokollierung

Backups enthalten in der Regel die sensibelsten Daten des Betriebs. Sie müssen deshalb verschlüsselt gespeichert und verschlüsselt übertragen werden. Das gilt für lokale Medien ebenso wie für Cloud-Ziele.

Die Schlüsselverwaltung ist der kritische Punkt. Liegt der Schlüssel auf demselben Server wie das Backup, ist die Verschlüsselung wertlos. Schlüssel gehören getrennt, idealerweise in einen Safe oder ein separates System.

Zugriffskontrolle folgt dem Prinzip der minimalen Rechte. Nur wer Backups einspielen muss, bekommt Schreibzugriff. Wer nur prüfen muss, bekommt Lesezugriff. Administratorrechte auf dem Backup-System sind zu begrenzen.

Protokollierung ist Pflicht, nicht Kür. Jeder Zugriff auf Backup-Systeme wird mit Zeitstempel, Benutzer und Aktion erfasst. Diese Protokolle werden selbst gesichert und gegen Veränderung geschützt.

Die Protokolle dienen zwei Zwecken: der Fehlersuche und dem Nachweis gegenüber Aufsichtsbehörden. Bei einem Datenvorfall nach Art. 33 DSGVO muss der Betrieb innerhalb von 72 Stunden melden. Ohne Protokolle lässt sich der Umfang nicht bestimmen.

Mehrfaktor-Authentifizierung für administrative Zugänge ist heute Standard. Sie kostet wenig und verhindert den häufigsten Angriffsweg: gestohlene Zugangsdaten.

Auftragsverarbeitung bei externen Backup-Dienstleistern

Wer Backups bei einem externen Dienstleister ablegt, gibt personenbezogene Daten aus der Hand. Das ist Auftragsverarbeitung nach Art. 28 DSGVO und braucht einen schriftlichen Vertrag.

Der Vertrag muss Weisungsbindung, Vertraulichkeit, Löschung nach Vertragsende und Unterstützung bei Betroffenenrechten regeln. Fehlt er, ist die Übermittlung rechtswidrig, unabhängig davon, wie sicher der Dienstleister arbeitet.

Bei Dienstleistern außerhalb der EU kommen zusätzliche Anforderungen hinzu. Der Betrieb muss prüfen, ob ein Angemessenheitsbeschluss vorliegt oder ob Standardvertragsklauseln und eine Risikoanalyse nötig sind.

Deutsche Rechenzentren sind kein Automatismus für Rechtmäßigkeit, aber sie vereinfachen die Prüfung. Ein Anbieter mit Standort in Deutschland unterliegt dem BDSG und der Aufsicht der Landesdatenschutzbehörden.

Der Betrieb muss den Dienstleister auswählen, nicht nur beauftragen. Dazu gehören Referenzen, Zertifizierungen und eine Prüfung der technischen Maßnahmen. Ein Zertifikat nach DIN EN ISO/IEC 27001 ist ein starkes Indiz, ersetzt aber die eigene Prüfung nicht.

Der Bundesverband Informationswirtschaft, Telekommunikation und neue Medien (Bitkom) bietet Muster und Leitfäden für solche Verträge. Sie sind kein Ersatz für Rechtsberatung, sparen aber Zeit bei der Erstellung.

Umsetzungsschritte und Dokumentationsvorlagen

Die folgenden Schritte lassen sich in einem kleinen Betrieb innerhalb weniger Wochen umsetzen. Sie bauen aufeinander auf und erzeugen am Ende die Dokumentation, die Aufsichtsbehörden erwarten.

1. Bestandsaufnahme: Alle Systeme, Datenarten und Verarbeitungen auflisten. Festhalten, welche Daten personenbezogen sind und welchen Aufbewahrungsfristen sie unterliegen.
2. Schutzbedarf festlegen: Für jede Datenart bewerten, welcher Schaden bei Verlust oder Offenlegung entsteht. Daraus ergibt sich der Sicherungsrhythmus.
3. Sicherungskonzept schreiben: Festlegen, was, wie oft, wohin und wie lange gesichert wird. Die 3-2-1-Regel als Grundlage nehmen und Abweichungen begründen.
4. Löschkonzept ergänzen: Für jede Datenart das Löschdatum oder die Löschfrist eintragen. Den Ablauf beschreiben, wie ein Löschbegehren durch alle Sicherungsstände verfolgt wird.
5. Technik einrichten: Verschlüsselung, Zugriffskontrolle, Mehrfaktor-Authentifizierung und Protokollierung konfigurieren. Externe Dienstleister per Auftragsverarbeitungsvertrag einbinden.
6. Testen und protokollieren: Eine vollständige Rücksicherung durchführen und das Ergebnis schriftlich festhalten. Den Test in den Kalender eintragen.
7. Prüfen und nachziehen: Jährlich das Konzept prüfen, Änderungen an Systemen und Rechtslage einarbeiten. Die Prüfung dokumentieren.

Zur Dokumentation gehört eine Checkliste, die der Betrieb abarbeitet und abzeichnet:

• Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO liegt vor
• Sicherungskonzept ist schriftlich und datiert
• Löschkonzept nennt Fristen und Verantwortliche
• Backup-Medien sind verschlüsselt, Schlüssel getrennt verwahrt
• Zugriffsrechte sind dokumentiert und auf Minimum begrenzt
• Wiederherstellungstest wurde im laufenden Jahr durchgeführt und protokolliert
• Auftragsverarbeitungsverträge mit allen externen Dienstleistern liegen unterschrieben vor

Wer diese sieben Punkte abarbeitet, hat die wesentlichen Anforderungen aus DSGVO, BDSG und BSI-Grundschutz erfüllt. Die Dokumentation ist dabei genauso wichtig wie die Technik.

Häufige Fragen

Wie lange muss ein kleiner Betrieb Backups aufbewahren? So lange, wie die längste Aufbewahrungsfrist der enthaltenen Daten reicht. Bei Handelsunterlagen sind das sechs oder zehn Jahre, bei rein personenbezogenen Daten ohne Aufbewahrungsgrund deutlich kürzer.

Reicht ein Backup in der Cloud für den BSI-Grundschutz? Nein, eine Kopie genügt nicht. Der Grundschutz verlangt getrennte Speicherung und mehrere Sicherungsstände. Die 3-2-1-Regel mit einer Kopie außerhalb des Betriebs ist der praktikable Weg.

Brauche ich einen Auftragsverarbeitungsvertrag, wenn der Dienstleister in Deutschland sitzt? Ja. Die Pflicht nach Art. 28 DSGVO gilt unabhängig vom Standort. Der Vertrag regelt Weisungsbindung, Löschung und Unterstützung bei Betroffenenrechten.

Was passiert, wenn ich kein Löschkonzept habe? Bei einer Prüfung oder einem Löschbegehren können Sie die Löschung nicht nachweisen. Das kann zu Bußgeldern führen und erschwert die Verteidigung im Streitfall erheblich.

Wie oft muss ich die Wiederherstellung testen? Eine feste gesetzliche Frequenz gibt es nicht. Ein Test pro Quartal ist für kleine Betriebe angemessen, mindestens einmal jährlich sollte es sein. Wichtig ist die Dokumentation.

Gilt der BSI-Grundschutz auch für Betriebe mit fünf Mitarbeitern? Der Grundschutz ist kein Gesetz, aber ein anerkannter Maßstab für den Stand der Technik. Auch kleine Betriebe müssen angemessene Maßnahmen ergreifen, die Basis-Absicherung des BSI ist dafür zugeschnitten.