Wiederherstellbarkeit – woran Sie erkennen, ob Ihr Backup im Ernstfall funktioniert

Kurz erklärt

Wiederherstellbarkeit beschreibt, ob sich Daten und Systeme aus einer Sicherung tatsächlich, vollständig und rechtzeitig zurückholen lassen. Ein erfolgreich abgeschlossener Backup-Job belegt das noch nicht: Erst ein Wiederherstellungstest zeigt, ob die Sicherung lesbar ist, das System startet und die Anwendungen funktionieren.

Vollständig

Daten, System und Abhängigkeiten

Nichts fehlt beim Restore.

Rechtzeitig

Innerhalb von RTO und RPO

Die Zielwerte werden eingehalten.

Belegt

Getestet und dokumentiert

Für Betrieb, Management und Audit.

Was bedeutet Wiederherstellbarkeit?

Ein Backup ist nur so viel wert wie die Wiederherstellung, die es ermöglicht. Wiederherstellbarkeit fragt deshalb nicht, ob gesichert wurde, sondern ob sich aus der Sicherung ein arbeitsfähiger Zustand herstellen lässt: Daten konsistent, Systeme startfähig, Anwendungen nutzbar.

Dazu gehört auch die Zeit. Maßstab sind RTO und RPO: Wie lange darf die Wiederherstellung dauern, und wie viel Datenverlust ist vertretbar? Eine Sicherung, die sich zwar zurückspielen lässt, dafür aber drei Tage braucht, erfüllt eine RTO von vier Stunden nicht.

Backup erfolgreich – heißt das wiederherstellbar?

Backup-Job erfolgreich

Die Software meldet, dass Daten geschrieben wurden. Ob sie vollständig, lesbar und frei von Schadcode sind und ob das System daraus startet, sagt diese Meldung nicht.

Wiederherstellung getestet

Das System wurde aus der Sicherung zurückgeholt, ist gestartet und hat die Funktionsprüfung bestanden – innerhalb der vereinbarten Zeit. Erst das belegt die Wiederherstellbarkeit.

Typische Ursachen für gescheiterte Wiederherstellungen sind beschädigte oder unvollständige Sicherungen, fehlende Abhängigkeiten wie Verzeichnisdienste oder Datenbanken, Treiberprobleme auf neuer Hardware und unbemerkt verschlüsselte Daten nach einem Angriff.

So prüfen Sie die Wiederherstellbarkeit

Systeme priorisierenLegen Sie fest, welche Systeme geschäftskritisch sind und welche RTO und RPO für sie gelten.
Testumgebung isolierenWiederhergestellt wird in einer abgeschotteten Umgebung, damit Produktivsysteme und Netz unberührt bleiben.
WiederherstellenDas System wird aus der Sicherung zurückgeholt – als ganzes System, nicht nur einzelne Dateien.
Funktion prüfenStartet das System? Laufen Dienste und Anwendungen, sind die Daten konsistent? Die Dauer wird gegen die RTO gemessen.
Dokumentieren und wiederholenErgebnis, Dauer und Abweichungen werden festgehalten. Der Test wird regelmäßig und nach größeren Änderungen wiederholt.

Manuell durchgeführt, sind solche Tests aufwendig und decken meist nur wenige Systeme ab. Automatisierte Recovery-Tests machen sie wiederholbar und liefern den Nachweis gleich mit. Eine Anleitung für die Praxis gibt unser Beitrag Recovery-Tests: So prüfen Sie Ihre Backups; wie ganze Server zurückkommen, erklärt der Eintrag Bare Metal Recovery.

Worauf es bei der Wiederherstellbarkeit ankommt

Regelmäßigkeit: Ein Test pro Jahr ist eine Momentaufnahme; Systeme und Abhängigkeiten ändern sich laufend.
Abdeckung: Werden alle kritischen Systeme geprüft oder nur eine Stichprobe?
Realistische Tests: Ganze Systeme mit ihren Abhängigkeiten wiederherstellen, nicht nur einzelne Dateien.
Messbarkeit: Wird die Dauer gegen RTO und RPO gemessen?
Geschützte Basis: Eine unveränderliche oder offline gelagerte Sicherung schützt die Grundlage jeder Wiederherstellung.
Nachweis: Sind die Ergebnisse für Management, Prüfer und Versicherer dokumentiert?

Wiederherstellbarkeit als Pflicht: DORA und NIS2

Für Finanzunternehmen verlangt DORA in Artikel 12 Richtlinien zur Datensicherung sowie Verfahren zur Wiederherstellung, die regelmäßig getestet werden. NIS2 zählt in Artikel 21 Backup-Management und Disaster Recovery zu den Maßnahmen des Risikomanagements. Auch Cyberversicherer fragen häufig nach getesteten Wiederherstellungen. Gefragt ist damit nicht mehr nur, ob gesichert wird, sondern ob die Wiederherstellung nachweislich funktioniert.

So unterstützt Cristie

Wiederherstellbarkeit mit Cristie

Cristie Resilience Booster®

Prüft die Wiederherstellbarkeit Ihrer Backups regelmäßig in einer isolierten Umgebung – mit Nachweis für Betrieb, Management und Audit. Zum Resilience Booster

System Recovery

Ganze Server aus der Sicherung wiederherstellen – auf gleicher oder anderer Hardware, als VM oder in der Cloud. Zur System Recovery

Backup-Check

In zehn Fragen prüfen, wo Ihre Datensicherung steht – inklusive Wiederherstellungstests. Zum Backup-Check

Können Sie Ihre Wiederherstellbarkeit belegen?

Wir zeigen Ihnen, wie sich Recovery-Tests automatisieren und für DORA, NIS2 oder Ihren Versicherer dokumentieren lassen.

Gespräch vereinbaren

Häufige Fragen zur Wiederherstellbarkeit

Was ist der Unterschied zwischen Backup und Wiederherstellbarkeit?

Das Backup ist die Kopie der Daten. Wiederherstellbarkeit beschreibt, ob sich aus dieser Kopie ein funktionierender Zustand herstellen lässt – vollständig und in der geforderten Zeit.

Wie oft sollte die Wiederherstellung getestet werden?

Eine allgemeine Vorgabe gibt es nicht. Bewährt hat sich, kritische Systeme regelmäßig und zusätzlich nach größeren Änderungen zu testen. Je öfter getestet wird, desto früher fallen Fehler auf – bevor es ernst wird.

Reicht es, einzelne Dateien testweise zurückzuholen?

Nein. Ein Datei-Restore zeigt nur, dass die Sicherung lesbar ist. Ob ein Server mit Betriebssystem, Anwendungen und Abhängigkeiten wieder startet, zeigt erst die Wiederherstellung des ganzen Systems.

Was ist ein Recovery-Test?

Ein Recovery-Test ist eine geplante Wiederherstellung aus der Sicherung, meist in einer isolierten Umgebung. Geprüft wird, ob das System startet und funktioniert und wie lange die Wiederherstellung dauert.

Lässt sich die Wiederherstellbarkeit automatisiert prüfen?

Ja. Spezialisierte Software stellt Systeme nach Zeitplan in einer isolierten Umgebung wieder her, prüft Start und Funktion und dokumentiert jedes Ergebnis.

Welche Rolle spielen RTO und RPO?

Sie sind der Maßstab. Die RTO legt fest, wie schnell ein System wieder laufen muss, die RPO, wie viel Datenverlust vertretbar ist. Ein Test zeigt, ob beides eingehalten wird.