Wenn etwas schiefgeht, stellt man wieder her.
Wenn Daten verloren gehen, holt man sie zurück.
Wenn Systeme ausfallen, kehrt man zu einem früheren Stand zurück.
Backups sind unverzichtbar.
Doch nach einem Cybervorfall beantworten sie die falsche Frage.
Die eigentliche Frage lautet nicht „Können wir die Daten wiederherstellen?“
Sondern:
„Können wir beweisen, dass die Daten noch stimmen?“
Wiederherstellung ist nicht dasselbe wie Verifizierung
Nach einem Vorfall beeilen sich Organisationen, ihre Systeme wieder online zu bringen.
Backups erfüllen ihren Zweck: Dateien tauchen wieder auf, Datenbanken werden wiederhergestellt, Dienste laufen wieder an.
Doch etwas Entscheidendes fehlt.
Ein Backup kann Ihnen sagen:
• welche Daten zu einem bestimmten Zeitpunkt vorhanden waren,
• welche Version wiederhergestellt wurde,
• wann die Wiederherstellung stattfand.
Es kann Ihnen nicht sagen:
• ob die Daten bereits vor dem Backup kompromittiert waren,
• ob Datensätze unbemerkt verändert wurden,
• ob die Informationen als Beweismittel vertrauenswürdig sind.
Wiederherstellung gibt Ihnen Kontinuität.
Verifizierung gibt Ihnen Glaubwürdigkeit.
Die gefährliche Annahme hinter Backups
Die meisten Organisationen gehen von einer stillschweigenden Annahme aus:
„Wenn es aus einem Backup stammt, muss es korrekt sein.“
Nach einem Vorfall wird diese Annahme zum Risiko.
Angreifer löschen Daten nicht immer.
Sie verändern sie. Subtil. Gezielt. Unauffällig.
Ein einziges geändertes Feld.
Ein veränderter Zeitstempel.
Eine abgeänderte Klausel in einem Dokument.
Backups bewahren all das getreu auf - einschließlich der Kompromittierung.
Technisch betrachtet sieht alles in Ordnung aus. Aus rechtlicher, regulatorischer oder prüferischer Sicht ist alles fragwürdig.
Prüfer verlangen keine Backups. Sie verlangen Beweise.
Wenn Prüfer, Aufsichtsbehörden oder Rechtsabteilungen eingreifen, interessiert sie nicht, ob die Wiederherstellung erfolgreich war.
Sie stellen andere Fragen:
• Woher wissen Sie, dass dieser Datensatz nicht verändert wurde?
• Können Sie beweisen, dass dieses Dokument zu diesem Zeitpunkt genau in dieser Form existierte?
• Welche Belege haben Sie dafür, dass diese Daten authentisch sind?
„Weil wir es aus dem Backup wiederhergestellt haben“ ist keine Antwort. Es ist eine Annahme - und Annahmen halten einer genauen Prüfung nicht stand.
Ohne überprüfbaren Nachweis:
• Audits geraten ins Stocken oder scheitern,
• Compliance-Berichte werden angefochten,
• rechtliche Positionen werden geschwächt,
• Entscheidungen verzögern sich.
Das Problem ist nicht die Speicherung. Es ist das Vertrauen.
Die meisten Sicherheitsstrategien sind auf den Schutz der Datenspeicherung ausgerichtet:
• die Datenbank verschlüsseln,
• Zugriffe härten,
• Daten replizieren,
• Backups erstellen.
Alles notwendig. Nichts davon ausreichend.
Vertrauen hängt nicht davon ab, wo Daten gespeichert sind.
Es hängt davon ab, ob sich ihre Integrität unabhängig verifizieren lässt.
Nach einem Vorfall muss Vertrauen verdient werden - nicht vorausgesetzt.
Und Vertrauen, das allein von internen Systemen abhängt, ist fragil, vor allem wenn genau diese Systeme gerade kompromittiert wurden.
Der Nachweis muss außerhalb des Schadensradius liegen
Wenn sich Ihre einzigen Belege in denselben Systemen befinden, die angegriffen wurden, haben Sie keine Belege - Sie haben Unsicherheit.
Ein echter Nachweis hat drei Eigenschaften:
• Unveränderlich: Er lässt sich nachträglich nicht ändern
• Mit Zeitstempel: Er belegt, wann etwas existierte
• Unabhängig: Er bleibt bestehen, selbst wenn interne Systeme ausfallen
Ohne diese Eigenschaften mögen Daten wiederherstellbar sein - aber sie sind nicht belastbar.
Backups sind notwendig. Sie reichen nicht aus.
Dies ist kein Argument gegen Backups.
Es ist ein Argument dagegen, sich für etwas auf sie zu verlassen, wofür sie nie gedacht waren.
Bei Backups geht es um Verfügbarkeit.
Bei Nachweisen geht es um Integrität.
Kontinuität ohne Glaubwürdigkeit ist fragil.
Und in regulierten Umgebungen, in denen viel auf dem Spiel steht, ist Fragilität ein Risiko, das sich Organisationen nicht leisten können.
Im nächsten Artikel beleuchten wir, was es tatsächlich bedeutet, Datenintegrität bereits ab der Konzeption nachzuweisen - und warum die Verifizierung bei der Entstehung der Daten beginnen muss, nicht erst nach einem Vorfall.
Denn nach einer Sicherheitsverletzung lautet die Frage nicht mehr, ob Sie die Daten wiederhergestellt haben - sondern ob ihnen irgendjemand vertrauen kann.