Ein Backup-Programm meldet jeden Abend „Erfolgreich“. Die externe Festplatte blinkt, das NAS zeigt grüne Häkchen und irgendwo in der Cloud liegen ebenfalls Daten. Klingt beruhigend. Nur beantwortet das noch nicht die entscheidende Frage: Lassen sich die benötigten Daten im Ernstfall tatsächlich wiederherstellen?
Genau deshalb gehört ein Wiederherstellungstest zur Datensicherung dazu. Im Baustein CON.3 des IT-Grundschutz-Kompendiums verlangt das Bundesamt für Sicherheit in der Informationstechnik (BSI), regelmäßig zu testen, ob Datensicherungen wie gewünscht funktionieren, vor allem ob gesicherte Daten einwandfrei und in angemessener Zeit zurückgespielt werden können (S1). Auch die US-Behörde CISA rät, Verfügbarkeit und Integrität von Backups regelmäßig in einem Disaster-Recovery-Szenario zu testen (S2). Ein grünes „Backup erfolgreich“ ist also ein guter Anfang – aber noch kein Beweis für eine funktionierende Wiederherstellung.
Backup und Wiederherstellung sind zwei verschiedene Dinge
Beim Backup werden Daten kopiert. Beim Restore müssen aus diesen Sicherungen wieder nutzbare Dateien, Einstellungen oder komplette Systeme entstehen. Dazwischen können viele Dinge schiefgehen: Eine Sicherung ist unvollständig, Zugangsdaten für den Backup-Speicher fehlen, ein benötigter Verschlüsselungsschlüssel ist nicht mehr vorhanden oder die verwendete Software kann das alte Sicherungsformat nicht mehr sauber lesen.
Das BSI führt fehlende Wiederherstellungstests als Gefährdung auf: Regelmäßiges Sichern gewährleiste nicht automatisch, dass sich Daten auch problemlos wiederherstellen lassen (S1). Die Planung der Rücksicherung sollte laut BSI zudem einem Praxistest unterzogen werden, um Komplikationen bereits vor dem Ernstfall zu erkennen (S3).
Was sollte ein Restore-Test tatsächlich prüfen?
1. Einzelne Dateien wiederherstellen
Der einfachste Test ist gleichzeitig einer der wichtigsten: Wählen Sie einige typische Dateien aus der Sicherung aus – beispielsweise ein PDF, ein Foto, eine Tabellenkalkulation und ein Dokument – und stellen Sie diese in einen separaten Testordner wieder her. Öffnen Sie die Dateien anschließend mit der vorgesehenen Anwendung.
Damit prüfen Sie mehr als nur die Existenz eines Backup-Archivs. Sie sehen, ob die Daten wirklich lesbar sind und ob der Wiederherstellungsweg praktisch funktioniert.
2. Verschiedene Sicherungsstände ausprobieren
Wenn Ihre Backup-Lösung Versionen oder mehrere Wiederherstellungspunkte aufbewahrt, testen Sie nicht ausschließlich die jüngste Kopie. Ein älterer Stand kann wichtig werden, wenn eine beschädigte oder unerwünscht veränderte Datei bereits mehrfach mitgesichert wurde. Welche Aufbewahrungsdauer sinnvoll ist, hängt davon ab, wie häufig sich Ihre Daten ändern und wie weit Sie im Problemfall zurückgehen können müssen.
3. Zugangsdaten und Schlüssel mitdenken
Ein verschlüsseltes Backup schützt sensible Daten – kann aber ohne den erforderlichen Schlüssel selbst zum Problem werden. Das BSI nennt als Beispiel, dass verschlüsselte Daten nicht wiederhergestellt werden können, wenn bei einem Datenverlust auch der Schlüssel betroffen ist und nicht daran gedacht wurde, ihn getrennt aufzubewahren. Verwendete Schlüssel sollten mit einer getrennten Datensicherung geschützt werden (S1). Prüfen Sie deshalb beim Restore-Test auch, ob die für die Wiederherstellung benötigten Zugangsdaten tatsächlich verfügbar sind.
4. Bei wichtigen Systemen mehr als Dateien testen
Bei einem privaten Fotoarchiv reicht häufig ein Datei-Restore als realistischer Test. Bei einem geschäftlich wichtigen Server, einer Datenbank oder einer Fachanwendung sieht das anders aus. Dort muss geklärt werden, ob sich nicht nur Dateien zurückholen lassen, sondern die Anwendung anschließend auch wieder sinnvoll betrieben werden kann.
NIST beschreibt in SP 1800-11 die Wiederherstellung nach Ransomware und anderen destruktiven Ereignissen als Frage der Datenintegrität: Organisationen müssten sich schnell erholen und der Richtigkeit der wiederhergestellten Daten vertrauen können (S4, sinngemäß aus dem Englischen). Der notwendige Testumfang sollte sich daher am tatsächlichen Schaden orientieren, den ein Ausfall verursachen würde.
Wie oft sollte man testen?
Eine pauschale Zahl für jeden Haushalt und jedes Unternehmen wäre unseriös. Die BSI-Anforderung verlangt regelmäßige Tests (S1); einen festen Wochen- oder Monatsrhythmus nennt sie nicht. Entscheidend sind Risiko und Änderungsrate.
Pragmatisch bedeutet das: Ein selten verändertes privates Fotoarchiv braucht keinen wöchentlichen Komplett-Restore. Bei täglich veränderten Geschäftsdaten sollte die Wiederherstellbarkeit dagegen wesentlich enger überwacht werden. Zusätzlich ist ein Test sinnvoll, wenn die Backup-Software, der Speicherort, die Verschlüsselung oder wesentliche Systeme geändert wurden.
Warum Ransomware die Sache wichtiger macht
Backups sind nicht automatisch außerhalb der Reichweite eines Angriffs. CISA weist darauf hin, dass viele Ransomware-Varianten versuchen, erreichbare Backups zu finden und zu löschen oder zu verschlüsseln. Die Behörde rät deshalb zu verschlüsselten Offline-Backups kritischer Daten und zu regelmäßigen Tests ihrer Verfügbarkeit und Integrität (S2). Das BSI schreibt in seinen Ransomware-Maßnahmen, Daten müssten in einem Offline-Backup gesichert werden; dieses werde nach dem Backupvorgang von den anderen Systemen des Netzes getrennt (S3).
Das ergänzt die klassische Backup-Strategie, ersetzt sie aber nicht. Wer noch keine strukturierte Datensicherung hat, findet im DGH-IT-Beitrag zur 3-2-1-Regel einen sinnvollen Einstieg.
Was ein Restore-Test nicht leisten kann
Ein erfolgreicher Test heute garantiert nicht, dass jede spätere Sicherung fehlerfrei ist. Er beweist auch nicht automatisch, dass ein komplettes Unternehmen nach einem größeren Vorfall sofort weiterarbeiten kann. Dazu gehören je nach Umgebung weitere Themen wie Ersatzhardware, Internetzugang, Lizenzen, Dokumentation, Zuständigkeiten und Prioritäten für die Wiederanlaufreihenfolge.
Auch ein automatischer Integritätscheck der Backup-Software ist nicht dasselbe wie ein echter Restore. Solche Prüfungen sind nützlich, ersetzen aber nicht vollständig den praktischen Nachweis, dass benötigte Daten mit den vorhandenen Mitteln zurückgeholt und verwendet werden können.
Ein einfacher Test ohne Großprojekt
Für viele Privathaushalte und kleine Betriebe genügt als Einstieg ein überschaubarer Ablauf: Einige wichtige Dateien auswählen, aus einem aktuellen und einem älteren Sicherungsstand in einen getrennten Ordner wiederherstellen, die Dateien öffnen und kurz dokumentieren, wann der Test durchgeführt wurde und ob Probleme auftraten. Bei geschäftskritischen Systemen muss der Test entsprechend erweitert werden.
Wichtig ist nicht, aus jedem Backup-Test ein Wochenendprojekt zu machen. Wichtig ist, den Unterschied zwischen „wurde kopiert“ und „kann wiederhergestellt werden“ nicht zu ignorieren.
Fazit
Eine Datensicherung ist kein Selbstzweck. Ihr Wert zeigt sich erst dann, wenn Daten nach einem Defekt, Fehlbedienung oder Sicherheitsvorfall wieder verfügbar werden. Regelmäßige, zum eigenen Risiko passende Restore-Tests schaffen dafür Gewissheit und decken Fehler auf, solange noch Zeit besteht, sie zu beheben.
Für Privatpersonen reicht oft ein einfacher Datei-Test. Selbstständige und kleine Unternehmen sollten zusätzlich prüfen, welche Systeme für den Betrieb wirklich wichtig sind und wie deren Wiederherstellung praktisch abläuft. Technik muss im Ernstfall funktionieren – ein grünes Häkchen allein ist dafür etwas dünn.
Quellen & weiterführende Informationen
- (S1) BSI: CON.3 Datensicherungskonzept (Edition 2023), Anforderung CON.3.A15 und Abschnitte 2.2 und 3.2
- (S2) CISA: #StopRansomware Guide
- (S3) BSI: Top-10-Ransomware-Maßnahmen – Backups, Datensicherungskonzept und zentrale Datenhaltung
- (S4) NIST: SP 1800-11, Data Integrity: Recovering from Ransomware and Other Destructive Events, September 2020
- Alle Quellen abgerufen am 31.10.2026.
Schreibe einen Kommentar