Wo Sie Backups aufbewahren und wie Sie sie schützen

Die Drei-Kopien-Regel

Bewahren Sie Ihre Daten in drei Kopien auf – Ihre Website und zwei Backups –, auf zwei verschiedenen Speichermedien, davon eines außerhalb des Servers Ihrer Website. Fällt eines aus, bleiben die beiden anderen.

Drei Orte, drei Zwecke

• Auf dem Server der Website. Praktisch, um nach einem fehlerhaften Update schnell zurückzukehren. Nutzlos, wenn der Server selbst ausfällt.
• Auf Ihrem Computer. Außerhalb des Servers, vorausgesetzt, Sie denken daran und bewahren die Datei sorgfältig auf: Sie enthält Ihre ganze Website.
• In einem eigenen Speicher, einem SFTP-Server oder einem S3-kompatiblen Speicher, wie ihn viele Speicherdienste anbieten. Außerhalb des Servers, und ohne dass Sie daran denken müssen, wenn das Backup von selbst dorthin übertragen wird.

Sicher verschlossen

Ein Backup enthält alles: die Konten, die Bestellungen, die Nachrichten Ihrer Kunden. In einem öffentlichen Ordner vergessen, kann es von jedem heruntergeladen werden. Ein Backup muss deshalb verschlüsselt sein und sein Schlüssel an einem anderen Ort liegen als die Datei: Sonst findet, wer die Datei findet, auch das Mittel, sie zu öffnen.

Und die DSGVO?

Wenn Ihre Website Daten von Personen speichert (Kunden, registrierte Nutzer, Bestellungen), speichern Ihre Backups sie auch. Die DSGVO verlangt unter anderem:

• die Daten wiederherstellen zu können, einschließlich des Zugangs zu ihnen, und zwar rasch nach einem Zwischenfall (Artikel 32): Das ist genau die Aufgabe eines Backups;
• sie zu schützen, zum Beispiel durch Verschlüsselung (Artikel 32);
• sie nicht länger als nötig aufzubewahren (Artikel 5): Wählen Sie eine Dauer, und lassen Sie die ältesten von selbst löschen;
• zu wissen, wo sie liegen: Ein Speicher außerhalb der Europäischen Union bedeutet eine Datenübermittlung, die rechtlich abgesichert sein muss (Kapitel V). Wählen Sie die Region Ihres Speichers bewusst.

Auch am Tag eines Datenlecks hilft die Verschlüsselung: Sind die gestohlenen Daten für Unbefugte unverständlich, entbindet die DSGVO davon, jede betroffene Person einzeln zu benachrichtigen (Artikel 34).