Im Rahmen unserer Sachverständigentätigkeit erstellen wir regelmäßig Gutachten für Versicherungen nach Cyberangriffen oder sonstigen Vorfällen in der IT, bei der geschäftskritische Daten verloren gingen, die wiederhergestellt werden müssen.
Nicht selten stellt sich im Rahmen der Überprüfung heraus, dass zwar Backups erstellt wurden, diese aber aus verschiedenen Gründen nicht wiederhergestellt werden können.
Beispielhaft seien folgende Probleme benannt:
- Im Rahmen eines Cyberangriffs wurden nicht nur die produktiven Systeme verschlüsselt, sondern auch das Backup, da keine ausreichende technische Absicherung des Zugriffs auf die Backup-Systeme gegeben war.
- Nach dem Ausfall eines Speichersystems oder Servers wird festgestellt, dass die Sicherung bereits seit einiger Zeit nicht mehr erfolgreich gelaufen ist.
- Es wurden die falschen Daten gesichert.
- Ein technischer Defekt führte zur Beschädigung eines RAID‑Systems. Der Betreiber ging irrtümlich davon aus, dass RAID bereits eine vollständige Datensicherung darstellt.
Wenn Sie eine IT-Versicherung haben, erfordern die Versicherungsbedingungen immer eine ordnungsgemäße Datensicherung nach dem Stand der Technik.
Grundsätzlich bedeutet das:
- Es muss sichergestellt sein, dass eine Datensicherung durchgeführt wird, die auch die relevanten geschäftskritischen Daten umfasst.
- Es muss sichergestellt sein, dass sich die Datensicherung wiederherstellen lässt.
Welche Datensicherungsmethode nach dem Stand der Technik geeignet ist, hängt im Wesentlichen von Art und Umfang der Infrastruktur, den konkreten Anwendungssystemen und dem zu sichernden Datenvolumen ab.
Die Datensicherungszeiten überschreiten nicht selten die zur Verfügung stehenden Zeitfenster und es wird getrickst, um eine halbwegs konsistente Sicherung hinzubekommen. Ob und wie im Falle eines Schadens die Daten in einem konsistenten Zustand wiederhergestellt werden können, zeigt sich oft erst, wenn es ernst wird.
Eine wesentliche Herausforderung ist auch der Schutz der Datensicherung vor Zerstörung im Rahmen eines Schadenfalls oder Cyberangriffs. Es ist schon länger üblich, Datensicherungen an einem anderen Ort aufzubewahren als die zu sichernden Daten. Damit werden beispielsweise im Fall eines Brandes nicht gleichzeitig die Produktivdaten und die Datensicherung zerstört. In aller Regel wird die räumliche Trennung durch eine Sicherung über ein internes Netzwerk in andere Räumlichkeiten oder das Internet an einen anderen Standort realisiert. Dadurch wird zwar das Problem der physischen Zerstörung gelöst, aber nicht, wenn ein Hacker im Rahmen eines Cyberangriffs Zugriff auf die Systeme erlangt.
Gelingt es einem Angreifer ein Netzwerk zu infiltrieren und administrative Rechte zu erlangen, kann der Angreifer unter Umständen auch unmittelbar auf die Backup-Systeme zugreifen und damit jegliches Backup auch an anderen Standorten zerstört, wenn die Systeme über das interne Netzwerk oder das Internet erreichbar sind. Die Lösung dieses Problems ist nicht trivial und erfordert entsprechendes Know-how.
Schauen Sie mal in Ihren IT-Versicherungsvertrag, welche Art von Backups von Ihnen verlangt werden.
- Müssen Ihre Backups „vom Netzwerk getrennt“ aufbewahrt werden?
- Sind diese regelmäßig zu prüfen oder auf alternierenden Medien zu sichern?
- Könnte Ihre unternehmensweite Backup-Lösung bereits wochenlang unbemerkt durch einen Cyber-Angriff manipuliert oder abgeschaltet worden sein?
- Werden Daten von den Produktivsystemen auf Ihre Backup-Systeme geschrieben (schlecht) oder kann das Backup-System die Daten von den Produktivsystemen ziehen (gut)?
- Erfüllt Ihre Backup-Lösung die Anforderungen des Versicherungsvertrags?
Es wäre zudem ratsam, neben der Erstellung von Backups auch ein Datensicherungskonzept zu erstellen, in dem Sie nachweisen, wie sie ihre Daten konkret sichern und wie der konkrete Ablauf der Wiederherstellung geplant ist.
Dies sind nur einige der Punkte denen Sie besondere Aufmerksamkeit schenken sollten, wenn Sie eine IT-Versicherung haben.
Vielleicht ist es an der Zeit einen Sachverständigen zu beauftragen, um prüfen zu lassen, ob Ihre Datensicherung die Versicherungsbedingungen erfüllt.
Im Schadensfall macht es sonst die Versicherung.
Kontaktieren Sie uns unter info@1atg.de, Stichwort „Versicherungsklauseln“.