Das Symptom
Die Sicherung läuft seit Jahren. Grünes Häkchen, jede Nacht, keine Fehlermeldung. Dann kommt der Ernstfall – ein Trojaner, ein Plattendefekt, ein versehentlich gelöschtes Projekt – und beim ersten echten Wiederherstellungsversuch stellt sich heraus: Das Archiv ist unvollständig. Oder es lässt sich nicht entschlüsseln. Oder es enthält seit dem Umzug im Frühjahr einen Ordner, den es gar nicht mehr gibt, und nicht den, in dem seither gearbeitet wird. Oder es lässt sich zwar zurückspielen, aber es dauert vier Tage.
Die „Layer 8“-Wahrheit
Eine Sicherung ist keine Datei. Sie ist ein Versprechen über die Zukunft, und Versprechen prüft man, bevor man sich auf sie verlässt. Das BSI führt die fehlenden Wiederherstellungstests deshalb nicht als lästige Zusatzarbeit, sondern als eigene Gefährdung mit eigener Überschrift, und der Satz dazu ist so unbequem wie richtig: Werden Daten regelmäßig gesichert, gewährleistet dies nicht automatisch, dass diese auch problemlos wiederhergestellt werden können.
Der Grund liegt darin, dass Sichern und Wiederherstellen zwei verschiedene Vorgänge sind, die über verschiedene Wege laufen und an verschiedenen Stellen scheitern. Beim Sichern wird gelesen und geschrieben; das klappt fast immer, denn es ist der Weg, den der Hersteller getestet hat und den das Programm täglich geht. Beim Wiederherstellen muss zusätzlich alles stimmen, was in der Zwischenzeit niemand angesehen hat: der Schlüssel, das Kennwort, das Format, die Version des Programms, die Auswahl der Verzeichnisse, die Rechte, die Reihenfolge und der freie Platz auf dem Ziel. Jeder dieser Punkte kann sich stillschweigend geändert haben, ohne dass eine einzige Sicherung deswegen als fehlgeschlagen gemeldet worden wäre.
Genau deshalb formuliert das BSI die Prüfung als Muss-Anforderung, und zwar zweiteilig: Es muss regelmäßig getestet werden, ob die Datensicherungen wie gewünscht funktionieren, vor allem, ob gesicherte Daten einwandfrei und in angemessener Zeit zurückgespielt werden können. Der zweite Halbsatz wird regelmäßig überlesen und ist der teurere. Eine Wiederherstellung, die funktioniert, aber vier Tage dauert, ist im Betrieb dasselbe wie keine – nur mit einem besseren Gefühl vorher.
Der Test selbst hat eine einzige eiserne Regel: Er läuft auf ein leeres Ziel. Niemals über den Bestand, aus dem gesichert wurde. Wer eine Sicherung testweise über die Originale spielt und dabei feststellt, dass sie unvollständig ist, hat den einzigen intakten Datenbestand mit einem kaputten überschrieben und den Beweis dafür gleich mitgeliefert. Ein leerer Ordner, ein leerer Datenträger, eine virtuelle Maschine – irgendetwas, dessen Verlust nichts kostet.
Und zum Prüfen selbst: Größe und Änderungsdatum sind kein Beleg für Gleichheit. rsync bietet dafür beides, was man braucht, und beides ohne Risiko – einen Probelauf, der laut Handbuch keine Änderungen vornimmt, und einen Vergleich über eine 128-Bit-Prüfsumme je Datei statt über Größe und Zeitstempel. Bleibt die Ausgabe leer, ist die Wiederherstellung inhaltlich identisch mit dem Original. Das ist der Unterschied zwischen sieht gut aus und ist geprüft.
Bleibt der Teil, an den man erst denkt, wenn es zu spät ist: die Anleitung. Das BSI weist ausdrücklich darauf hin, dass eine nur digital vorliegende Wiederherstellungsinformation bei einem Großschaden wie Ransomware mit verloren geht – und damit die Wiederherstellung gefährdet. Das Kennwort des Sicherungsarchivs im Passwortmanager auf dem verschlüsselten Rechner ist genau dieser Fall. Ein Blatt Papier im Ordner ist unmodern, unsicher gegen Einbrecher und in diesem einen Punkt allem Digitalen überlegen: Es ist noch da, wenn sonst nichts mehr da ist.