🏠[[Startseite ISMS]]  
📘 Kapitel:[[01. Kontext und Führung]]

🔄 **Zuletzt geändert am:** `= dateformat(this.file.mtime, "dd.MM.yyyy HH:mm:ss")`

**Version:** 1.1  
**Datum:** [Aktuelles Datum]  
**Dokumenteverantwortung:** [[IT-Verantwortliche(r)]]

---

#### 1. Zweck der Richtlinie
Diese Richtlinie legt die Anforderungen an die Sicherung und Wiederherstellung von Daten fest, um die Verfügbarkeit, Integrität und Vertraulichkeit geschäftskritischer Informationen zu gewährleisten, insbesondere im Falle von Datenverlust, Cyberangriffen oder technischen Störungen.

#### 2. Geltungsbereich
Die Richtlinie gilt für:
- Alle geschäftskritischen Daten, Systeme und Anwendungen der Beispiel-Unternehmen GmbH.
- Daten, die lokal, in der Cloud, auf Servern oder mobilen Geräten gespeichert werden.

---

## 3. Anforderungen

### **3.1 Backup-Strategie**
- **Regelmäßige Sicherung**:
  - Alle geschäftskritischen Daten müssen entsprechend ihrer Priorität regelmäßig gesichert werden:
    - **Täglich** für geschäftskritische Systeme (z. B. ERP, CRM),
    - **Wöchentlich** für weniger kritische Systeme.
- **Redundante Speicherung**:
  - Backups sind an mindestens **zwei unterschiedlichen Speicherorten** zu speichern (z. B. lokaler Server und Cloud-Speicher).
  - Mindestens ein Backup-Speicherort muss offline oder unveränderlich (immutable) sein.
- **Verschlüsselung**:
  - Alle Backups müssen mit einem vom Unternehmen genehmigten Verschlüsselungsalgorithmus (z. B. AES-256) verschlüsselt werden, um unbefugten Zugriff zu verhindern.

### **3.2 Verantwortlichkeiten**
- Die [[IT-Verantwortliche(r)]] ist verantwortlich für:
  - Die Erstellung, Überwachung und Pflege der Backup-Strategie,
  - Regelmäßige Überprüfung der Backup-Durchführung.
- Mitarbeitende müssen sicherstellen, dass lokal gespeicherte geschäftliche Daten in autorisierten Backup-Systemen gesichert werden.

### **3.3 Sicherstellung der Wiederherstellbarkeit**
- Die Wiederherstellbarkeit von Backups muss regelmäßig getestet werden:
  - **Mindestens einmal pro Quartal** für kritische Systeme,
  - Zusätzlich nach größeren Systemänderungen.
- Alle Wiederherstellungstests müssen dokumentiert und der [[IT-Verantwortliche(r)]] vorgelegt werden.
- Es müssen Prozesse definiert sein, die eine schnelle und zuverlässige Wiederherstellung der Daten im Ernstfall gewährleisten.

### **3.4 Aufbewahrungsrichtlinien**
- **Speicherfristen**:
  - Backups sind gemäß den gesetzlichen und unternehmensinternen Aufbewahrungsfristen aufzubewahren.
  - Für personenbezogene Daten gelten spezielle Löschfristen gemäß DSGVO und DSG.
- **Löschung**:
  - Alte Backups, die nicht mehr benötigt werden, sind sicher zu löschen. Die Löschung ist zu dokumentieren.

### **3.5 Datenspeicherung auf mobilen Geräten**
- Mobile Geräte müssen in autorisierte Backup-Systeme integriert sein, um eine regelmäßige Sicherung zu gewährleisten (siehe [[01.56 Richtlinie für mobile Geräte]]).
- Lokale Backups auf mobilen Geräten sind nur nach Genehmigung des/der [[IT-Verantwortliche(r)]] zulässig und müssen verschlüsselt sein.

### **3.6 Schutz vor Ransomware und Datenverlust**
- **Trennung von Systemen**:
  - Backups dürfen nicht direkt mit den produktiven IT-Systemen verbunden sein, um Ransomware-Angriffe zu verhindern.
- **Offline- und revisionssichere Backups**:
  - Mindestens ein Backup muss offline oder in einer revisionssicheren Cloud gespeichert werden.
- **Schutzmaßnahmen**:
  - Zugriff auf Backups muss streng kontrolliert werden. Es gelten die Prinzipien der minimalen Rechte (Least Privilege) und Multi-Faktor-Authentifizierung.

### **3.7 Schulung und Sensibilisierung**
- **Mitarbeiterschulungen**:
  - Mitarbeitende erhalten Schulungen zur sicheren Handhabung von Daten, Backups und Wiederherstellungsprozessen.
- **Onboarding**:
  - Neue Mitarbeitende werden im Rahmen des Onboardings in die Backup- und Wiederherstellungsrichtlinien eingewiesen.
- **Sensibilisierung**:
  - Regelmäßige Schulungen zum Schutz vor Datenverlust und Cyberangriffen (z. B. Ransomware) sind Pflicht.

---

## 4. Überprüfung und Aktualisierung
- **Regelmäßige Überprüfung**:
  - Die Backup-Strategie wird mindestens einmal jährlich durch die [[IT-Verantwortliche(r)]] überprüft und an neue technische oder gesetzliche Anforderungen angepasst.
- **Auditierung**:
  - Die Einhaltung der Backup- und Wiederherstellungsrichtlinien wird regelmäßig durch interne Audits überprüft.

---

🏷️ **Tags:**  
- #Backup #Datenwiederherstellung #Datenverfügbarkeit #RansomwareSchutz #ISO_Kontrolle_8_13 #ISO_Kontrolle_17_3
