Prüfprogramm Backup und Wiederherstellung.
Wie Sie prüfen, ob Datensicherungen vollständig, geschützt und tatsächlich wiederherstellbar sind, orientiert am IT-Grundschutz-Baustein CON.3 Datensicherungskonzept.
Stand: 13. Oktober 2026 · Muster, keine Rechtsberatung
Muster als PDF herunterladen 8 Seiten, ohne Anmeldung
Als Excel-Vorlage herunterladen mit Spalten für Ergebnis und Bemerkung, ohne Anmeldung
Prüfungsziel
Die Prüfung beurteilt, ob die Organisation Daten und Systeme so sichert, dass sie nach einem Ausfall, einem Fehler oder einem Angriff innerhalb der geforderten Zeit und mit dem geforderten Datenstand wiederhergestellt werden können. Entscheidend ist der Nachweis, dass die Wiederherstellung funktioniert, nicht nur, dass Sicherungen laufen.
Geltungsbereich
- Server, virtuelle Maschinen, Datenbanken, Fachanwendungen und Dateiablagen im Rechenzentrum und, soweit relevant, an Standorten
- Daten in Cloud- und SaaS-Diensten, soweit die Organisation für ihre Sicherung verantwortlich ist
- Sicherungssoftware, Speichersysteme, Medien und Aufbewahrungsorte
- Nicht Gegenstand: Archivierung zur Erfüllung von Aufbewahrungspflichten, sofern nicht gesondert vereinbart
Prüfprogramm
| Nr. | Kriterium | Fundstelle | Prüfhandlung | Erwartete Nachweise |
|---|---|---|---|---|
| 1 | Ein Datensicherungskonzept besteht, ist freigegeben und aktuell. | BSI CON.3 | Konzept lesen, Freigabe und Datum der letzten Überprüfung feststellen und die Verantwortlichen erfragen. | Datensicherungskonzept mit Freigabevermerk und Version |
| 2 | Zulässiger Datenverlust und Wiederanlaufzeit je System sind aus den Anforderungen der Geschäftsprozesse abgeleitet. | BSI CON.3; BSI DER.4 | Vorgaben je System mit den Ergebnissen der Auswirkungsanalyse vergleichen und Abweichungen erfragen. | Übersicht der Vorgaben je System, Auswirkungsanalyse |
| 3 | Alle relevanten Systeme und Daten sind in die Sicherung einbezogen. | BSI CON.3 | Systemübersicht und Konfigurationsverwaltung mit den Sicherungsaufträgen abgleichen und nicht gesicherte Systeme ermitteln. | Systemübersicht, Liste der Sicherungsaufträge |
| 4 | Verfahren, Zeitpunkte und Aufbewahrungsdauer der Sicherungen entsprechen den Vorgaben des Konzepts. | BSI CON.3 | Konfiguration der Sicherungsaufträge für eine Stichprobe von Systemen mit dem Konzept vergleichen. | Auszug der Jobkonfiguration, Konzept |
| 5 | Sicherungsläufe werden überwacht, Fehler werden bearbeitet und nachvollziehbar abgeschlossen. | BSI CON.3 | Protokolle eines Monats ansehen, Fehlläufe auswählen und die Bearbeitung bis zum Abschluss verfolgen. | Sicherungsprotokolle, Meldungen und Tickets zu Fehlläufen |
| 6 | Sicherungen sind vor Manipulation und Verschlüsselung durch Schadsoftware geschützt, etwa durch getrennte Zugangsdaten und unveränderbare oder getrennt gelagerte Kopien. | BSI CON.3; NIS2-Richtlinie Art. 21 Abs. 2 lit. c; ISO/IEC 27001:2022 Anhang A 8.13 | Zugriffsrechte auf Sicherungssystem und Medien prüfen und feststellen, ob mindestens eine Kopie aus der Produktionsumgebung nicht änderbar ist. | Berechtigungsauszug, Architekturübersicht, Konfiguration unveränderbarer Speicher |
| 7 | Sicherungsmedien und gespeicherte Sicherungen sind gegen unbefugten Zugriff geschützt, bei Bedarf verschlüsselt. | BSI CON.3 | Verschlüsselungseinstellungen und Zugriffsrechte prüfen und die Schlüsselverwaltung ansehen. | Konfigurationsauszug, Konzept zur Schlüsselverwaltung |
| 8 | Mindestens eine Kopie wird räumlich getrennt vom Produktivsystem aufbewahrt. | BSI CON.3 | Aufbewahrungsorte ansehen und die räumliche und organisatorische Trennung beurteilen. | Standortliste der Kopien, Besichtigungsnotiz oder Nachweis des Dienstleisters |
| 9 | Wiederherstellungen werden regelmäßig getestet; Ergebnis und benötigte Zeit werden mit den Vorgaben verglichen. | BSI CON.3; ISO/IEC 27001:2022 Anhang A 8.13 | Testplan und Testprotokolle der letzten zwölf Monate prüfen und, wenn möglich, eine Wiederherstellung beobachten. | Testplan, Testprotokolle mit Zeitmessung, Abweichungsmeldungen |
| 10 | Das Wiederherstellungsverfahren ist dokumentiert, Verantwortliche sind benannt und die Dokumentation steht auch bei Ausfall der Hauptumgebung bereit. | BSI CON.3; BSI DER.4 | Handbuch lesen, Ablageorte prüfen und feststellen, ob die Unterlagen offline erreichbar sind. | Wiederherstellungshandbuch, Verantwortlichenliste, Ablagekonzept |
| 11 | Aufbewahrungs- und Löschfristen der Sicherungen sind festgelegt und werden eingehalten. | BSI CON.3 | Fristen mit den Einstellungen der Sicherungssoftware und den vorhandenen Beständen vergleichen. | Fristenregelung, Bestandsauszug der Sicherungen |
| 12 | Bei Cloud- und SaaS-Diensten ist geklärt, wer welche Daten sichert, und die Zusage des Anbieters ist nachweisbar. | ISO/IEC 27001:2022 Anhang A 5.23 | Verträge und Leistungsbeschreibungen zur Datensicherung lesen und Nachweise zu Sicherung und Wiederherstellung anfordern. | Vertragsauszüge, Leistungsbeschreibung, Bestätigungen des Anbieters |
| 13 | Die Verantwortlichen erhalten regelmäßig Kennzahlen zu Erfolgsquote, Testergebnissen und offenen Mängeln. | NIS2-Richtlinie Art. 21 Abs. 2 lit. f | Berichte der letzten zwölf Monate ansehen und Maßnahmen zu festgestellten Mängeln verfolgen. | Berichte, Maßnahmenliste |
Unterlagen zur Anforderung
- Datensicherungskonzept und Wiederherstellungshandbuch
- Vorgaben zu zulässigem Datenverlust und Wiederanlaufzeit je System
- Systemübersicht und Liste der Sicherungsaufträge
- Sicherungsprotokolle eines zusammenhängenden Monats
- Testplan und Testprotokolle der Wiederherstellung
- Berechtigungsauszug für Sicherungssystem und Medien
- Verträge und Leistungsbeschreibungen von Cloud- und Sicherungsdienstleistern
- Berichte zu Sicherungskennzahlen
Typische Feststellungen
- Wiederherstellungstests fanden nie oder nur für einzelne Dateien statt, nicht für komplette Systeme.
- Neue Systeme sind nicht in die Sicherung aufgenommen worden.
- Das Sicherungssystem ist mit denselben Administratorkonten erreichbar wie die Produktion.
- Es gibt keine Kopie, die vor Verschlüsselung durch Schadsoftware geschützt ist.
- Fehlgeschlagene Läufe werden nicht verfolgt, einzelne Systeme sind seit Wochen ohne gültige Sicherung.
- Die gemessene Wiederherstellungszeit liegt deutlich über der Vorgabe des Geschäftsbereichs.
Hinweis zu Fundstellen
Die Fundstellen verweisen auf Gesetze, Verordnungen und Standards, damit Sie die Anforderung im Original nachlesen können. Normtexte sind nicht abgedruckt. Kriterien und Prüfhandlungen sind eigene Formulierungen und ersetzen weder den Wortlaut der Vorschriften noch eine Rechtsberatung. Ob und in welchem Umfang eine Vorschrift für Ihre Organisation gilt, klären Sie vor der Prüfung.
Das vollständige Paket
Dieses Muster zeigt Ziel, Prüfzeilen und Unterlagen auf einer Seite. Zu Ihrem konkreten Prüfthema erstellt ProAuditMap das vollständige Paket: Prüfungsplan, Prüfprogramm je Prüfdimension, Unterlagenkatalog, Interviewleitfäden, Zeitplan, Kommunikation und Berichtsvorlage. Sie prüfen den Entwurf, geben ihn frei und exportieren nach Excel und Word.
Konto anlegen Vollständiges Beispielpaket ansehen Preise ansehen