Wie schützt man Unternehmensdaten wirksam vor Datenverlust?

Unternehmensdaten sind nur dann wirksam vor Verlust geschützt, wenn sie nicht bloss gespeichert, sondern unabhängig gesichert, kontrolliert und im Ernstfall wiederhergestellt werden können. Dafür braucht es eine auf die Geschäftsprozesse abgestimmte Backup-Strategie, geschützte Zugriffsrechte, regelmässige Wiederherstellungstests und einen dokumentierten Notfallplan.

Für Schweizer KMU betrifft das weit mehr als den Ausfall einer Festplatte. Rechnungen, Kundendaten, Personalinformationen, Produktionsunterlagen und Datenbanken einer Unternehmenssoftware können durch Fehlbedienung, Cyberangriffe, technische Defekte oder Probleme beim Cloud-Anbieter verloren gehen. Auch eine funktionierende Datensicherung hilft nur eingeschränkt, wenn Anwendungen, Verschlüsselungsschlüssel oder benötigte Zugangsdaten fehlen.

Entscheidend ist deshalb, wie viel Datenverlust ein Unternehmen tatsächlich verkraften kann und wie schnell seine wichtigsten Arbeitsabläufe wieder funktionieren müssen. Diese Anforderungen bestimmen die geeigneten technischen und organisatorischen Schutzmassnahmen.

Warum können Unternehmensdaten trotz Cloud-Nutzung dauerhaft verloren gehen?

Unternehmensdaten können trotz Cloud-Nutzung dauerhaft verloren gehen, weil Cloud-Verfügbarkeit nicht automatisch eine unabhängige, langfristig wiederherstellbare Datensicherung bedeutet. Versehentliches Löschen, abgelaufene Aufbewahrungsfristen, kompromittierte Konten oder beschädigte Dateien können auch in Cloud-Systemen irreversible Folgen haben. Entscheidend sind die vereinbarten Sicherungsfunktionen, die Zugriffskontrolle und die Möglichkeit, frühere Datenstände unabhängig wiederherzustellen.

Beim Cloud Computing gilt grundsätzlich eine Aufteilung der Verantwortlichkeiten zwischen Dienstleister und Kunde. Wie diese konkret aussieht, hängt vom gewählten Servicemodell und vom Vertrag ab.

Bei einer selbst verwalteten Cloud-Infrastruktur muss das Unternehmen häufig Betriebssysteme, Anwendungen, Berechtigungen und Datensicherung selbst organisieren. Bei einer vollständig verwalteten Softwarelösung übernimmt der Anbieter mehr Betriebsaufgaben. Daraus folgt jedoch nicht automatisch, dass jede versehentliche Löschung rückgängig gemacht werden kann oder beliebig alte Datenstände verfügbar bleiben.

Das Bundesamt für Cybersicherheit beschreibt in seinen Informationen zu Cloud Computing und Cybersicherheit die Bedeutung des gewählten Servicemodells, der Exportierbarkeit von Daten und der vertraglichen Sicherheitsanforderungen.

Warum Synchronisation keine Datensicherung ersetzt

Eine Synchronisationslösung überträgt Änderungen zwischen verbundenen Geräten und Speicherorten. Das erleichtert die Zusammenarbeit, verbreitet aber unter Umständen auch fehlerhafte Änderungen.

Wird eine Datei versehentlich gelöscht, kann die Löschung automatisch auf andere Geräte übertragen werden. Verschlüsselt eine Ransomware zugängliche Dokumente, können auch deren beschädigte Fassungen synchronisiert werden.

Eine Versionierung kann solche Ereignisse abfedern. Sie hilft allerdings nur, solange geeignete frühere Versionen vorhanden, zugänglich und nicht ebenfalls kompromittiert sind.

Weitere Risiken entstehen durch:

• Abgelaufene Aufbewahrung: Ein benötigter Datenstand wurde gemäss den geltenden Regeln bereits gelöscht.
• Kompromittierte Administratorrechte: Angreifer können Daten, Sicherungen oder Wiederherstellungsfunktionen manipulieren, soweit ihre Berechtigungen dies erlauben.
• Gemeinsame technische Abhängigkeiten: Produktivdaten und Backups können vom selben Konto, Verwaltungszugang oder Anbieter abhängig sein.
• Vertragsende: Nach Ablauf vereinbarter Export- oder Rückholfristen ist der Zugriff auf frühere Daten möglicherweise nicht mehr möglich.

Welche Rolle der Datenstandort in der Schweiz spielt

Für Schweizer Unternehmen ist neben der technischen Sicherheit auch der rechtliche Rahmen wichtig. Werden Personendaten im Ausland verarbeitet oder bekanntgegeben, müssen die einschlägigen Voraussetzungen des Schweizer Datenschutzgesetzes berücksichtigt werden.

Die Speicherung im Ausland ist dabei nicht grundsätzlich verboten. Massgeblich sind unter anderem das betreffende Empfängerland, angemessene Datenschutzgarantien und gegebenenfalls besondere gesetzliche oder vertragliche Anforderungen.

Die Datenlokalisierung ersetzt jedoch keine Datensicherung: Auch ein ausschliesslich in der Schweiz betriebener Cloud-Dienst kann von Fehlkonfigurationen, Cyberangriffen oder Datenkorruption betroffen sein.

Die zentrale Konsequenz lautet: Vor der Entscheidung für eine Cloud-Lösung muss feststehen, wie Daten unabhängig exportiert, geschützt und nach einem schweren Zwischenfall zurückgespielt werden können. Daraus ergeben sich die Anforderungen an die eigentliche Backup-Strategie.

Wie erstellt man eine Backup-Strategie für geschäftskritische Daten?

Eine wirksame Backup-Strategie beginnt mit der Bewertung geschäftskritischer Prozesse und nicht mit dem Kauf eines Speichersystems. Unternehmen müssen bestimmen, welche Daten für den Betrieb unverzichtbar sind, welchen Datenverlust sie akzeptieren können und wie schnell eine Wiederherstellung erfolgen muss. Daraus lassen sich Sicherungsintervalle, Speicherorte, Aufbewahrungsregeln und organisatorische Zuständigkeiten ableiten.

Für ein Schweizer KMU können beispielsweise Rechnungsstellung, Lohnverarbeitung, Auftragsabwicklung oder Produktionssteuerung unterschiedlich hohe Anforderungen haben.

Fällt die zentrale Auftragsdatenbank aus, stehen möglicherweise mehrere Abteilungen still. Der Verlust älterer Marketingentwürfe kann dagegen weniger unmittelbare Auswirkungen haben.

Eine erste Bestandsaufnahme sollte deshalb jedem wichtigen Geschäftsprozess die verwendeten Anwendungen, Datenbestände und verantwortlichen Personen zuordnen.

RPO und RTO als Entscheidungsgrundlage

Zwei Kennzahlen helfen, die betrieblichen Anforderungen in technische Vorgaben zu übersetzen:

• Recovery Point Objective (RPO): Beschreibt den maximal akzeptablen zeitlichen Abstand zwischen dem wiederhergestellten Datenstand und dem Ausfallereignis.
• Recovery Time Objective (RTO): Beschreibt die angestrebte maximale Dauer, innerhalb der eine betroffene Systemressource wiederhergestellt sein soll, bevor nicht akzeptable Auswirkungen entstehen.

Die NIST-Fachpublikation zur Notfallplanung von Informationssystemen erläutert diese Planungsgrössen im Zusammenhang mit Geschäftsprozessanalysen, Wiederherstellungsstrategien und Notfalltests. Sie dient als technische Orientierung, nicht als gesetzliche Vorgabe für Schweizer KMU.

Die folgende Tabelle zeigt, welche Entscheidungen sich aus unterschiedlichen betrieblichen Anforderungen ergeben.

Ein niedriges RPO allein garantiert kein niedriges RTO. Eine grosse Datenbank kann häufig gesichert werden und dennoch lange für die vollständige Wiederherstellung benötigen.

Die 3-2-1-Regel praktisch umsetzen

Als Ausgangspunkt eignet sich die 3-2-1-Regel: drei Datenkopien insgesamt, zwei unterschiedliche Speichermedien beziehungsweise geeignete Speichertechnologien und eine Kopie an einem externen Ort.

Für ein Unternehmen mit cloudbasierter Verwaltungssoftware könnte eine Umsetzung aus produktiven Cloud-Daten, einer separat verwalteten Sicherung und einer zusätzlich geschützten externen Kopie bestehen. Ob diese Architektur die Regel tatsächlich erfüllt, hängt unter anderem von der technischen Unabhängigkeit und den Zugriffsmöglichkeiten der einzelnen Kopien ab.

Die Regel allein garantiert weder Schutz vor kompromittierten Administratorrechten noch eine erfolgreiche Wiederherstellung. Unveränderliche oder offline aufbewahrte Sicherungen können diese Schwächen ergänzen.

Besonders wichtig ist, dass der Notfallplan auch bei Abwesenheit einzelner Schlüsselpersonen funktioniert. Erst danach lässt sich sinnvoll entscheiden, wie lokale und cloudbasierte Sicherungen kombiniert werden sollen.

Lokales Backup oder Cloud-Backup: Welche Kombination schützt besser vor Ausfällen?

Eine Kombination aus lokalem und cloudbasiertem Backup bietet häufig einen umfassenderen Schutz als die alleinige Nutzung eines Speicherorts. Lokale Sicherungen ermöglichen unter geeigneten Bedingungen schnelle Wiederherstellungen ohne grosse Internetabhängigkeit. Externe Cloud-Sicherungen schützen zusätzlich vor Schäden am Unternehmensstandort. Gegen Ransomware wirken beide jedoch nur zuverlässig, wenn die Sicherungskopien ausreichend isoliert und vor Manipulation geschützt sind.

Welche Lösung geeignet ist, hängt von Datenvolumen, Wiederherstellungszielen, Infrastruktur und Bedrohungsszenarien ab.

Ein lokales Backup auf einem Netzwerkspeicher kann bei einem defekten Arbeitsplatzrechner sehr nützlich sein. Befindet sich dieser Speicher jedoch im selben Gebäude, ist er möglicherweise ebenfalls von Brand, Wasser oder Diebstahl betroffen.

Ein externes Cloud-Backup kann diese räumliche Abhängigkeit reduzieren. Bei einem umfangreichen Restore können allerdings Internetanbindung, Übertragungsgeschwindigkeit und die Verfügbarkeit des Cloud-Anbieters entscheidend werden.

Warum Backup-Isolation wichtiger als der Speicherort sein kann

Moderne Angriffe beschränken sich nicht zwangsläufig auf produktive Dateien. Sind Backup-Verzeichnisse mit denselben Administratorrechten erreichbar, können Angreifer unter Umständen auch Sicherungen löschen oder verschlüsseln.

Zwei Schutzprinzipien sind deshalb besonders relevant:

• Offline-Isolation: Ein Sicherungsmedium wird ausserhalb der Sicherungsvorgänge vom produktiven Netzwerk getrennt.
• Unveränderlichkeit: Eine geeignete technische Konfiguration verhindert, dass Sicherungen während einer festgelegten Schutzdauer durch gewöhnliche Änderungs- oder Löschvorgänge manipuliert werden.

Beide Verfahren benötigen sorgfältige Berechtigungs- und Schlüsselverwaltung. Auch eine unveränderliche Sicherung ist kein Ersatz für die Kontrolle ihrer Vollständigkeit.

Das Bundesamt für Cybersicherheit empfiehlt in seinen Empfehlungen zur Datensicherung unter anderem, externe Sicherungsmedien nach der Sicherung zu trennen sowie Kopien vor physischen Gefahren zu schützen. Für Unternehmen mit automatisierten Sicherungsprozessen müssen diese Grundsätze in eine praktikable Architektur übertragen werden.

Vertragliche Anforderungen bei Schweizer Unternehmen

Bei einem externen Backup-Anbieter sollten die vertraglichen Regelungen nicht nur Speicherkapazität und Verfügbarkeit abdecken. Relevant sind auch Wiederherstellungsmöglichkeiten, Datenexport, Zugriffsschutz, Löschverfahren und der Umgang mit Vertragsbeendigung.

Die Informationen des EDÖB zur Bekanntgabe von Personendaten ins Ausland erläutern, unter welchen Voraussetzungen Personendaten grenzüberschreitend bekanntgegeben werden dürfen.

Bei Berufsgeheimnissen, Geschäftsgeheimnissen oder branchenspezifischen Anforderungen können zusätzliche Prüfungen notwendig sein.

Eine verteilte Sicherungsarchitektur reduziert bestimmte Risiken. Ob sie tatsächlich funktioniert, hängt allerdings auch davon ab, ob die gespeicherten Daten später vollständig und korrekt wiederhergestellt werden können.

Welche Backup-Fehler führen erst bei der Wiederherstellung zum Datenverlust?

Besonders gefährlich sind Backup-Fehler, die während des Sicherungsvorgangs unbemerkt bleiben. Dazu gehören unvollständige Sicherungen, verlorene Verschlüsselungsschlüssel, beschädigte Daten, nicht mehr unterstützte Dateiformate und fehlende Anwendungskomponenten. Ein technisch erfolgreicher Backup-Job beweist daher nicht, dass sich ein betriebsfähiges System tatsächlich wiederherstellen lässt.

Ein Sicherungsprogramm kann einen abgeschlossenen Lauf melden, obwohl bestimmte Verzeichnisse ausgeschlossen wurden oder eine Datenbank nicht konsistent gesichert ist.

Das Problem fällt möglicherweise erst auf, wenn ein Server ersetzt werden muss und die betroffene Anwendung mit den vorhandenen Daten nicht startet.

Vier typische Fehlerquellen

• Unvollständige Sicherung: Geschäftsdaten sind vorhanden, wichtige Konfigurationsdateien, Datenbankkomponenten oder zusätzliche Speicherorte fehlen jedoch.
• Fehlende Entschlüsselung: Die Sicherungsdateien existieren, aber der benötigte Schlüssel oder das Wiederherstellungskennwort ist nicht mehr verfügbar.
• Nicht mehr nutzbare Software: Ein proprietäres Backup-Format benötigt eine Anwendungsversion, Lizenz oder technische Umgebung, die nicht mehr betrieben werden kann.
• Unbemerkt gesicherte Beschädigung: Fehlerhafte Daten wurden über längere Zeit erfolgreich kopiert, während ältere intakte Versionen bereits aus der Aufbewahrung gefallen sind.

Gerade bei Unternehmenssoftware bestehen zusätzliche Abhängigkeiten. Eine wiederhergestellte Datenbank kann beispielsweise eine bestimmte Version der Anwendung, passende Schnittstellen, einen Lizenzdienst oder spezifische Datenbankeinstellungen benötigen.

Deshalb muss zwischen dem erfolgreichen Lesen einer Sicherungsdatei und der tatsächlichen Wiederinbetriebnahme des Geschäftsprozesses unterschieden werden.

Aufbewahrungsfristen anhand des Entdeckungsrisikos festlegen

Die richtige Backup-Aufbewahrung hängt nicht allein von der gewünschten Sicherungshäufigkeit ab. Entscheidend ist auch, wie spät ein Fehler entdeckt werden könnte.

In einem hypothetischen Szenario bleibt eine fehlerhafte Änderung an Kundendaten zunächst unbemerkt. Werden nur sehr junge Datenstände aufbewahrt, könnten bei der Entdeckung bereits alle vorhandenen Sicherungen den fehlerhaften Zustand enthalten.

Eine sinnvolle Vorgehensweise besteht darin, typische Fehlerarten und deren mögliche Entdeckungszeitpunkte zu untersuchen. Daraus lassen sich gestaffelte Aufbewahrungsregeln für kurzfristige Wiederherstellungen und ältere Wiederherstellungspunkte entwickeln.

Dabei müssen technische Speicherfristen von gesetzlichen Aufbewahrungs- und Löschpflichten unterschieden werden. Ein Backup ist nicht automatisch ein geeignetes Geschäftsarchiv.

Abhängigkeit vom Anbieter rechtzeitig prüfen

Besonders bei cloudbasierter Unternehmenssoftware sollte vor Vertragsabschluss geklärt werden, ob Daten in einem dokumentierten, von Dritten verarbeitbaren Format exportiert werden können.

Ein Datenexport ist allerdings erst dann wirklich brauchbar, wenn die erforderlichen Beziehungen, Metadaten und Strukturen erhalten bleiben und sich das Ergebnis prüfen lässt.

Zusätzlich sollte feststehen, wie die Daten nach einem Anbieterwechsel erneut in einer verwendbaren Anwendung bereitgestellt werden können.

Die entscheidende Kontrolle besteht deshalb nicht nur darin, Sicherungsdateien zu prüfen, sondern sie unter realistischen Bedingungen zurückzuspielen.

Wann sollten Backups durch vollständige Restore-Tests geprüft werden?

Vollständige Restore-Tests sollten regelmässig und insbesondere nach wesentlichen Änderungen an Anwendungen, Infrastruktur, Datenspeicherung oder Zugriffsverfahren durchgeführt werden. Die konkrete Testhäufigkeit richtet sich nach den geschäftlichen Risiken und den definierten Wiederherstellungszielen. Ein erfolgreicher Test ist nur für die geprüfte Systemkonfiguration aussagekräftig und ersetzt keine erneute Prüfung nach relevanten Änderungen.

Ein Restore-Test muss nachweisen, dass aus einer vorhandenen Sicherung wieder nutzbare Daten und gegebenenfalls ein funktionsfähiges Anwendungssystem entstehen.

Dafür reicht es nicht aus, die Existenz einer Backup-Datei zu kontrollieren. Auch das automatische Prüfen von Prüfsummen liefert nur einen Teilnachweis: Die gespeicherten Daten können technisch unverändert und dennoch fachlich unvollständig oder für eine Anwendung ungeeignet sein.

Drei Stufen der Wiederherstellungsprüfung

Die Prüfstufen bauen aufeinander auf, haben aber unterschiedliche Aussagekraft. Ein bestandener Einzeldateitest bedeutet noch nicht, dass eine vollständige Unternehmensanwendung wiederhergestellt werden kann.

Bei einem umfassenden Test sollten daher Datenintegrität, Anwendungsfunktionen und benötigte externe Dienste gemeinsam betrachtet werden.

Welche Ereignisse einen neuen Test auslösen sollten

Besonders sinnvoll ist eine erneute vollständige Prüfung nach:

• einem grösseren Update der Unternehmenssoftware oder des Datenbanksystems;
• einem Wechsel des Backup-Anbieters, der Speicherarchitektur oder wichtiger Serverkomponenten;
• einer Änderung der Datenstruktur oder zentraler Anwendungsschnittstellen;
• einer Umstellung von Authentifizierung, Verschlüsselung oder Schlüsselverwaltung;
• organisatorischen Veränderungen, durch die bisherige Verantwortlichkeiten oder Zugänge wegfallen.

Unabhängig von solchen Ereignissen sollte das Unternehmen eine risikobasierte Testplanung festlegen. Je kürzer der zulässige Wiederanlauf und je schwerer die Ausfallfolgen, desto wichtiger sind häufige und aussagekräftige Nachweise.

Auch der organisatorische Ablauf muss funktionieren

Ein Wiederherstellungstest sollte nicht ausschliesslich von jener Person durchgeführt werden können, die das Backup eingerichtet hat.

Die Beteiligten müssen nachvollziehen können, welche Systeme zuerst wiederhergestellt werden, wo notwendige Zugangsinformationen sicher hinterlegt sind und wer über die Wiederaufnahme des Betriebs entscheidet.

Jeder Test sollte mit Datum, geprüfter Konfiguration, verwendetem Sicherungsstand, tatsächlicher Wiederherstellungsdauer, festgestellten Abweichungen und Korrekturmassnahmen dokumentiert werden.

Die Wiederherstellung muss zudem in einer geeigneten isolierten Umgebung erfolgen, damit produktive Daten nicht unbeabsichtigt überschrieben oder möglicherweise kompromittierte Inhalte erneut in Betrieb genommen werden.

Selbst erfolgreiche Wiederherstellungstests bleiben jedoch begrenzt aussagekräftig, wenn die zugrunde liegende Infrastruktur im Ernstfall nicht verfügbar ist.

Welche Infrastrukturfehler gefährden die Verfügbarkeit geschäftskritischer Anwendungen?

Geschäftskritische Anwendungen werden besonders durch einzelne Ausfallpunkte, fehlende Redundanz und unerkannte technische Abhängigkeiten gefährdet. Dazu zählen zentrale Server, Internetverbindungen, Stromversorgung, Identitätsdienste und externe Plattformen. Selbst vollständig gesicherte Daten lassen sich nicht produktiv nutzen, wenn die benötigte Anwendung oder ihre grundlegende Infrastruktur nicht wiederhergestellt werden kann.

Ein Unternehmen kann über intakte Datensicherungen verfügen und trotzdem längere Zeit arbeitsunfähig bleiben.

Steht beispielsweise die zentrale Verwaltungssoftware nicht zur Verfügung, können Mitarbeitende unter Umständen weder Aufträge bearbeiten noch Rechnungen erstellen. Die Daten sind zwar vorhanden, ihre Nutzung bleibt aber blockiert.

Typische einzelne Ausfallpunkte erkennen

Folgende Abhängigkeiten verdienen besondere Aufmerksamkeit:

• Zentraler Server: Eine einzige Hardwarekomponente beherbergt mehrere wichtige Anwendungen ohne vorbereitete Ersatzlösung.
• Internetverbindung: Cloudbasierte Anwendungen können bei einem Verbindungsausfall nicht erreicht werden.
• Stromversorgung: Fehlende oder ungeeignete unterbrechungsfreie Stromversorgung verhindert einen kontrollierten Weiterbetrieb beziehungsweise das sichere Herunterfahren.
• Identitätsverwaltung: Ohne funktionierenden Authentifizierungsdienst können berechtigte Mitarbeitende und Administratoren wichtige Systeme nicht nutzen.
• Gemeinsamer Infrastrukturstandort: Mehrere vermeintlich unabhängige Dienste hängen von denselben technischen Ressourcen ab.

Eine Redundanz hilft nur dann, wenn sie nicht dieselbe Fehlerursache teilt. Zwei Systeme in einem einzigen Raum können beispielsweise weiterhin von demselben Stromausfall betroffen sein.

Versteckte Abhängigkeiten im Wiederanlaufplan erfassen

Neben den offensichtlichen Servern und Speichergeräten müssen weitere Komponenten dokumentiert werden.

Bei selbst betriebenen Systemen liegt die technische Verantwortung weitgehend beim Unternehmen beziehungsweise seinen beauftragten IT-Dienstleistern.

Bei verwalteten Cloud- oder Unternehmenssoftwarelösungen übernimmt der Anbieter bestimmte Betriebsaufgaben. Trotzdem sollten die Zuständigkeiten für Störungen, Datenwiederherstellung und Notfallkommunikation vertraglich nachvollziehbar sein.

Vor der Beschaffung sind deshalb Informationen zu Redundanz, Sicherheitsarchitektur, Wiederherstellungsverfahren und Service-Level-Vereinbarungen relevant. Besonders wichtig ist die Unterscheidung zwischen zugesicherter Dienstverfügbarkeit und konkreten Möglichkeiten zur Wiederherstellung eines früheren Datenstands.

Auf dieser Grundlage lässt sich unterscheiden, welche Systeme zwingend geschützt werden müssen und bei welchen Informationen ein geringerer Schutzaufwand vertretbar ist.

Wie klassifiziert man Unternehmensdaten nach Schutzbedarf und Zugriffsrisiko?

Unternehmensdaten werden nach Schutzbedarf klassifiziert, indem ihre Bedeutung für Vertraulichkeit, Integrität und Verfügbarkeit bewertet wird. Eine einfache Einteilung in öffentliche, interne, vertrauliche und besonders kritische Daten unterstützt die Festlegung geeigneter Sicherungsintervalle, Zugriffsrechte und Schutzmassnahmen. Entscheidend ist dabei nicht nur, wie sensibel Informationen sind, sondern auch, welche Folgen ihr Verlust oder ihre Veränderung hätte.

Ein einheitlicher Schutz für sämtliche Dateien ist weder immer notwendig noch wirtschaftlich sinnvoll.

Ein öffentlich zugänglicher Produktkatalog hat andere Vertraulichkeitsanforderungen als Personaldossiers. Gleichzeitig kann eine Produktionsdatei für den Geschäftsbetrieb unverzichtbar sein, obwohl sie kaum vertrauliche Inhalte enthält.

Deshalb sollten Unternehmen die Auswirkungen von Datenverlust und unbefugter Offenlegung getrennt bewerten.

Vier Schutzklassen für ein Schweizer KMU

Diese Einteilung ist eine praktische Orientierung und kein allgemeingültiges rechtliches Klassifizierungsschema.

Ein Unternehmen muss zusätzlich festlegen, wer die Klassifizierung vornimmt, welche Datenbestände betroffen sind und wann die Bewertung überarbeitet wird.

Verfügbarkeit und Vertraulichkeit getrennt bewerten

Der Schutzbedarf kann anhand dreier Dimensionen bestimmt werden:

• Vertraulichkeit: Welche Folgen hätte es, wenn unberechtigte Personen die Informationen einsehen könnten?
• Integrität: Welche Schäden könnten durch fehlerhafte oder unbefugt veränderte Daten entstehen?
• Verfügbarkeit: Wie schwer würde ein Verlust oder längerer Zugriffsausfall den Geschäftsbetrieb beeinträchtigen?

Eine zentrale Produktionsdatenbank kann sehr hohe Verfügbarkeitsanforderungen haben. Vertrauliche Bewerbungsunterlagen benötigen dagegen besonders strenge Zugriffskontrollen, obwohl ihre sofortige Wiederherstellung möglicherweise weniger zeitkritisch ist.

Aus der jeweiligen Bewertung lassen sich Mindestmassnahmen ableiten: Sicherungshäufigkeit, Versionierung, Zugriffsbeschränkungen, Verschlüsselung und geeignete Prüfverfahren.

Bei Personendaten müssen die geltenden Anforderungen des Schweizer Datenschutzgesetzes berücksichtigt werden. Für bestimmte Branchen, insbesondere bei spezialgesetzlich geschützten Informationen, können weitere Pflichten hinzukommen.

Die konkreten Anforderungen sollten deshalb anhand der betroffenen Datenarten, Tätigkeiten und einschlägigen Branchenvorschriften geprüft werden.

Der tatsächliche Schutz endet jedoch nicht am ursprünglichen Speicherort. Sobald verschiedene Anwendungen dieselben Informationen verarbeiten, müssen auch die Datenflüsse und beteiligten Systeme berücksichtigt werden.

Wie schützt man sensible Unternehmensdaten in einer vernetzten Softwarelandschaft?

Sensible Unternehmensdaten werden in einer vernetzten Softwarelandschaft durch eine Kombination aus Datenflussanalyse, kontrollierten Zugriffsrechten, Verschlüsselung, Überwachung und unabhängigen Backups geschützt. Dabei müssen nicht nur zentrale Anwendungen, sondern auch Schnittstellen, mobile Geräte, externe Dienstleister und synchronisierte Datenbestände berücksichtigt werden. Jede zusätzliche Verbindung kann neue Zugriffs- und Verlustrisiken schaffen.

In vielen Unternehmen werden Informationen gleichzeitig in einer Verwaltungssoftware, Buchhaltungslösung, Dokumentenablage, E-Mail-Umgebung und mehreren Fachanwendungen verarbeitet.

Diese Vernetzung erleichtert Arbeitsabläufe, vergrössert aber auch die technische Angriffsfläche.

Eine fehlerhafte Schnittstelle kann beispielsweise Daten unbeabsichtigt überschreiben. Ein zu weitreichender API-Schlüssel kann unbefugte Zugriffe ermöglichen. Und wenn dieselbe Datei in mehreren Anwendungen gespeichert wird, ist nicht immer klar, welche Version als verbindlich gilt.

Datenflüsse und Verantwortlichkeiten sichtbar machen

Ein Unternehmen sollte zunächst dokumentieren, wo sensible Informationen entstehen, gespeichert, übertragen und verarbeitet werden.

Dazu gehört die Zuordnung von:

• Datenquellen und führenden Anwendungen;
• internen und externen Empfängern;
• API-Verbindungen, Synchronisationen und automatisierten Exporten;
• Zugriffsrechten und administrativen Verantwortlichkeiten;
• Speicherorten, Aufbewahrungsregeln und Sicherungsmöglichkeiten.

Eine solche Übersicht macht sichtbar, welche Datenbestände möglicherweise nicht von der zentralen Backup-Lösung erfasst werden.

Sie hilft ausserdem, technische Abhängigkeiten von Softwareanbietern und externen Dienstleistern gezielt zu überprüfen.

Technische und organisatorische Kontrollen kombinieren

Zu einem wirksamen Schutzkonzept gehören mehrere aufeinander abgestimmte Massnahmen.

Der Zugriff auf sensible Informationen sollte nach dem Prinzip der geringsten notwendigen Berechtigungen erfolgen. Mitarbeitende und technische Schnittstellen erhalten damit nur jene Rechte, die sie für ihre jeweiligen Aufgaben benötigen.

Für externe und besonders privilegierte Zugänge sollte eine geeignete Mehrfaktor-Authentisierung eingesetzt werden. Sensible Daten sollten bei der Übertragung und bei der Speicherung entsprechend ihrem Schutzbedarf verschlüsselt sein.

Zusätzlich sind nachvollziehbare Zugriffsprotokolle wichtig, um verdächtige Aktivitäten und fehlerhafte Berechtigungen erkennen zu können. Die Protokollierung muss ihrerseits gegen unbefugte Veränderungen geschützt und datenschutzkonform ausgestaltet werden.

Organisatorisch benötigt das Unternehmen geregelte Prozesse für den Eintritt und Austritt von Mitarbeitenden, die Freigabe neuer Schnittstellen sowie die regelmässige Überprüfung bestehender Berechtigungen.

Die zentrale Unternehmenssoftware als kritische Plattform behandeln

Eine gut konfigurierte Unternehmenssoftware kann die Verteilung von Informationen auf lokale Dateien, isolierte Tabellen und unkontrollierte E-Mail-Anhänge reduzieren.

Das erleichtert die Verwaltung von Berechtigungen und schafft klarere Verantwortlichkeiten für zentrale Datenbestände.

Gleichzeitig erhöht die Bündelung geschäftskritischer Prozesse die Bedeutung dieser Plattform. Ein Ausfall, eine Fehlkonfiguration oder ein kompromittierter Administrationszugang kann mehrere Abteilungen gleichzeitig betreffen.

Deshalb müssen insbesondere folgende Fragen beantwortet sein: Welche Daten und Konfigurationen lassen sich unabhängig exportieren? Wer darf Sicherungen verändern oder löschen? Können Anwendungen nach einer Störung innerhalb der betrieblich erforderlichen Zeit wieder genutzt werden? Und wie werden Schnittstellen nach einer Wiederherstellung auf Konsistenz geprüft?

Als nächster praktischer Schritt empfiehlt sich eine gemeinsame Bestandsaufnahme von Geschäftsprozessen, Datenflüssen, Sicherungen und Zugriffsrechten. Daraus können Verantwortliche einen priorisierten Massnahmenplan erstellen und seine Wirksamkeit anhand dokumentierter Wiederherstellungstests überprüfen.