Wiederherstellungstest: Protokollvorlage für Backups und Systeme

Dass Daten regelmäßig gesichert werden, gewährleistet nicht automatisch, dass sie sich problemlos wiederherstellen lassen (BSI IT-Grundschutz, Baustein CON.3, Gefährdung 2.2). Der Baustein verlangt deshalb als Basis-Anforderung regelmäßige Tests, ob gesicherte Daten einwandfrei und in angemessener Zeit zurückgespielt werden können (CON.3.A15). Für österreichische Unternehmen ist der IT-Grundschutz eine anerkannte Empfehlung, keine Pflicht. Die Nummern beziehen sich auf das Kompendium Edition 2023. Der Nachfolger Grundschutz++ ist laut BSI ab 1.1.2027 zertifizierbar, der IT-Grundschutz noch bis 30.11.2031; sein Anwenderkatalog führt den Restore-Test als NOT.4.16.1 (SOLLTE, anhand repräsentativer Stichproben). Verbindliche Vorgaben ergeben sich aus dem NISG 2026 und, für personenbezogene Daten, aus der DSGVO:

1. 1

   Testplan festlegen

   Im Testplan (Abschnitt 04) für mindestens zwölf Monate eintragen, welches System wann mit welcher Testart geprüft wird; die Geschäftsführung gibt ihn frei (BSI-Standard 200-4, Kap. 13.3).

2. 2

   Je Test ein Exemplar ausfüllen

   Teil A vor dem Test, Teil B währenddessen, Teil C und D danach. Befunde verfolgen Sie bis zum erfolgreichen Nachtest.

Aufbau und Felder sind eine Empfehlung von TOMORIS. Der BSI-Standard 200-4 sieht je Übung Übungskonzept, Übungsprotokoll und Übungsbericht vor und erlaubt, sie in einem Dokument zu sammeln (Kap. 13.2). Ersetzen Sie Platzhalter wie [System], [Name, Funktion] und [Datum] und füllen Sie die Felder „__________“ aus. Die DSGVO nennt den Test nicht ausdrücklich; aus Sicht von TOMORIS ist er ein naheliegender Weg, die Fähigkeit nach lit. c zu überprüfen.

Oft genügt es, die zeitkritischen Teile in aufbauenden Stufen zu testen (BSI-Standard 200-4, Kap. 13.9); auch Stellvertretende sollen üben (Kap. 13.2). Probe für die Offline-Kopie: Ein (Domänen-)Administrator versucht, auf die getrennten Kopien zuzugreifen; das sollte nicht gelingen (Maßnahmenkatalog Ransomware, Kap. 2). Empfehlung von TOMORIS: Löschsperren nur an einer eigens angelegten Testsicherung prüfen. NIS2-Einrichtungen testen nach Nr. 4.2.6 DVO-Anhang auch Redundanzen, etwa das Umschalten zwischen redundant ausgelegten Systemen (BSI-Standard 200-4, Tabelle 34); dafür können Sie Teil B bis D sinngemäß verwenden.

Die Jahresübungsplanung soll mindestens zwölf Monate umfassen und je Übung Zeitraum, Art, Ziel und Umfang, Zuständige, Übende, Ressourcen und den erwarteten Einfluss auf den Normalbetrieb festhalten (BSI-Standard 200-4, Kap. 13.3). Bei NIS2-Einrichtungen müssen die Tests sicherstellen, dass Sicherungskopien und Redundanzen im Ernstfall zuverlässig sind und alle für eine wirksame Wiederherstellung nötigen Kopien, Verfahren und Kenntnisse abdecken; eine Häufigkeit nennt der DVO-Anhang nicht, nur „regelmäßig“ (Nr. 4.2.6). Die Musterrichtlinie in NIST SP 800-34 sieht jährliche Tests der Wiederherstellungsfähigkeit vor (Abschnitt 3.1). Die Häufigkeiten des BSI unten sind ein Beispiel, keine Vorgabe.

Für NIS2-Einrichtungen: Die ENISA-Umsetzungshilfe zur DVO (Technical Implementation Guidance, Juni 2025, nicht rechtsverbindlich) nennt zu Nr. 4.2.6 als Beispiel wöchentliche Prüfungen für Daten hoher Kritikalität, monatliche für mittlere und niedrige und eine Prüfung sofort nach wesentlichen Änderungen. Zu Nr. 4.1.4 rät sie, Notfall- und Wiederanlaufpläne mindestens jährlich zu testen, auch als Planbesprechung, und die vollständige Wiederherstellung auf einen bekannten Zustand in die Tests des Wiederanlaufplans aufzunehmen.

• Risikoeinschätzung, risikosenkende Maßnahmen und Abbruchkriterien festgelegt, der Weg zurück in den Ausgangszustand vorbereitet; Freigabe der Geschäftsführung, falls der Test den Betrieb beeinträchtigen kann (BSI-Standard 200-4, Kap. 13.9.1).
• Testumgebung realitätsnah, aber vom Produktionsbetrieb abgekapselt; Aufbau und Rückbau geplant (Kap. 13.9.1).
• Die Wiederherstellungsanleitung liegt auch außerhalb des Sicherungssystems vor, etwa auf Papier, und wird im Test verwendet (CON.3.A6, Gefährdung 2.4).
• Schlüssel verschlüsselter Sicherungen sind aus getrennter Ablage verfügbar (CON.3.A13, erhöhter Schutzbedarf); Ersatz- oder Testhardware steht bereit (NIST SP 800-34, 3.5.1); bei Online-Speicher schaffen Sicherungssystem und Netzanbindung die zulässige Wiederherstellungszeit (CON.3.A9).
• Ablauf mit Dienstleistern abgestimmt, die Sicherung oder Wiederherstellung betreiben, wenn angemessen gemeinsam getestet (DER.4.A16, erhöhter Schutzbedarf); für NIS2-Einrichtungen rät auch die ENISA-Umsetzungshilfe zu Nr. 4.2.6, Lieferanten in Tests einzubeziehen.
• Auch Stellvertretende üben (BSI-Standard 200-4, Kap. 13.2, dort für die Rollen der Notfallorganisation). Empfehlung von TOMORIS: Den Restore führt, wo möglich, die Vertretung nach der dokumentierten Anleitung aus.

Das Protokoll soll prägnant und für sachverständige Dritte verständlich sein (BSI-Standard 200-4, Kap. 13.2). Empfehlung von TOMORIS: alle Zeitstempel von derselben Uhr, T0 vorab festlegen.

Bei unbeabsichtigten Auswirkungen auf den Betrieb nach den festgelegten Kriterien abbrechen und den Ausgangszustand schnellstmöglich herstellen (Kap. 13.9.1); die Übungsleitung prüft die Abbruchkriterien fortlaufend (Tabelle 36). Alles eigens für den Test Geschaffene wird danach rückgängig gemacht (Kap. 13.9.1).

So rechnen Sie (Empfehlung von TOMORIS, abgeleitet aus den Begriffen des BSI-Standards 200-4, Kap. 7 und 8): T0 steht im Test für den Ausruf des Notfalls, also den Beginn der Wiederherstellung; Erkennen und Alarmieren (BAO-Reaktionszeit) sind darin nicht enthalten. Die erreichte Wiederanlaufzeit (RTA) reicht von T0 bis zur Übergabe T1 an den Fachbereich. Für den Datenverlust gilt T0 zugleich als angenommener Ausfallzeitpunkt: Die RPA ist der Abstand zwischen dem Zeitstempel des jüngsten vollständig zurückgekommenen Datenstands und T0.

• Vor dem Einspielen geprüft, ob die Sicherung schon Schadsoftware enthalten könnte; gearbeitet mit einer Kopie der Sicherung oder einem Schreibschutz (BSI-Maßnahmenkatalog Ransomware, Kap. 2).
• Daten vollständig zurück und auf dem Stand der letzten verfügbaren Sicherung (NIST SP 800-34, 4.4); Prüfweg, etwa Anzahl, Größe, Prüfsummen: __________
• Konfigurationsdaten und in Cloud-Diensten gespeicherte Daten zurückgekommen (DVO-Anhang Nr. 4.2.2 lit. b); verschlüsselte Sicherung mit dem Schlüssel aus getrennter Ablage entschlüsselt (CON.3.A13, erhöhter Schutzbedarf).
• Alle Funktionen geprüft, bereit für den Normalbetrieb (NIST SP 800-34, 4.4); bestätigt durch [Name, Funktion] aus dem Fachbereich.
• Offline-Kopie: Zugriffsversuch mit (Domänen-)Administratorrechten gescheitert (Maßnahmenkatalog Ransomware, Kap. 2). Unveränderliche Kopie: Löschen oder Überschreiben einer Testsicherung abgewiesen (Überschreiben: CON.3.A14; Löschen: Empfehlung von TOMORIS).
• Die Anleitung war verständlich, vollständig und fachlich richtig; Abweichungen stehen in Teil D (BSI-Standard 200-4, Kap. 13.9).

Je getesteter Ressource: erfolgreich, teilweise erfolgreich oder nicht erfolgreich (BSI-Standard 200-4, Kap. 13.9.2, Tabelle 40). Gesamtergebnis: bestanden / nicht bestanden, denn ein Test ist nach ISO 22398 eine Übung mit objektiv gemessenem Ergebnis (Kap. 13). Eine fehlerfreie Übung ist kein Erfolgskriterium; erfolgreich ist sie auch, wenn Korrekturbedarf erkannt und zur Verbesserung genutzt wird (Kap. 13.10).

NIS2-Einrichtungen dokumentieren Testergebnisse und ergreifen erforderlichenfalls Korrekturmaßnahmen (DVO-Anhang Nr. 4.2.6); die Lehren aus Tests fließen in die Pläne ein (Nr. 4.1.4). Das BSI empfiehlt, Ursachen zu ermitteln, Verbesserungen zu überwachen und Verzögerungen der Leitung zu melden (DER.4.A14, erhöhter Schutzbedarf). Empfehlung von TOMORIS: einen Befund erst nach erfolgreichem Nachtest schließen. Gilt der Anhang für Sie über § 2 NISV 2026 und können Sie Nr. 4.2.6 vorübergehend oder wegen Ihrer Größe nicht erfüllen, verlangt § 4 NISV 2026 kompensierende Maßnahmen, begründet dokumentiert und mindestens jährlich auf Wirksamkeit geprüft.

• Der Status „Sicherung erfolgreich“ ersetzt keinen Restore-Test (CON.3, Gefährdung 2.2).
• Anleitung und Schlüssel liegen nicht getrennt und fallen mit aus (Gefährdungen 2.4 und 2.8).
• Die Konfiguration fehlt in der Sicherung, nur Inhaltsdaten sind gesichert (DVO-Anhang Nr. 4.2.2 lit. b).
• Immer dieselbe Übungssituation erhöht die Gefahr von Betriebsblindheit (BSI-Standard 200-4, Kap. 13.2).