Technik
Ein Backup ist eine Datensicherung, also eine Kopie von Daten auf einem separaten Speichermedium, aus der sich verlorene Daten wiederherstellen lassen.
Ein Backup ist eine Datensicherung, also eine Kopie Ihres Datenbestands auf einem separaten Speichermedium zur Wiederherstellung verlorener oder beschädigter Daten. Das BSI beschreibt den Zweck im IT-Grundschutz-Baustein CON.3 so, dass der Betrieb der Informationstechnik über einen redundanten Datenbestand kurzfristig wieder aufgenommen werden kann, wenn Teile der aktiv genutzten Daten verloren gehen. Zu einem vollständigen Datensicherungskonzept zählt das BSI neben dem Erstellen der Sicherung (Backup) auch das Zurückspielen auf das Ursprungssystem (Restore), weshalb beide Vorgänge als regelmäßige Aufgaben in die Website-Pflege gehören. Als Ursachen für Datenverlust nennt das BSI unter anderem defekte Hardware, Schadsoftware, einen Brand sowie das absichtliche oder versehentliche Löschen von Daten.
Eine Spiegelung der Festplatten über ein RAID-System wertet das BSI ausdrücklich nicht als Datensicherung, weil die gespiegelten Daten gleichzeitig mit dem Original verändert werden. Ein RAID beugt damit dem Ausfall einzelner Datenträger durch einen Hardwaredefekt vor, während ein versehentliches Überschreiben oder eine Infektion mit Schadsoftware beide Kopien zugleich betrifft. Viele Formen von Ransomware suchen nach der Darstellung des BSI außerdem nach Netzlaufwerken mit Schreibzugriff und verschlüsseln dort ebenfalls sämtliche Daten. Unzureichend abgesicherte Sicherungsmedien können dabei selbst verschlüsselt werden, weshalb das BSI empfiehlt, besonders schützenswerte Medien nur während der Sicherung und der Wiederherstellung mit dem Netz oder dem Ursprungssystem zu verbinden.
Eine WordPress-Website setzt sich laut der Dokumentation von WordPress.org aus zwei Teilen zusammen, die Sie für eine vollständige Wiederherstellung beide benötigen, nämlich der Datenbank und den Dateien. Die Datenbank enthält Inhalte wie Beiträge, Seiten und Kommentare sowie die Einstellungen. Zu den Dateien zählen der WordPress-Kern, Themes und Plugins, die hochgeladenen Medien sowie die Dateien wp-config.php und .htaccess. Eine Kopie des WordPress-Verzeichnisses enthält die Datenbank in der Regel nicht, weil diese in einem eigenen Datenbanksystem wie MySQL oder MariaDB und damit außerhalb des Verzeichnisses liegt. Für eine stimmige Sicherung rät WordPress.org, beide Teile als zusammengehörigen Satz etwa zur gleichen Zeit zu sichern und dabei zuerst die Datenbank und danach die Dateien zu kopieren.
Den Export der Datenbank erstellen Sie zum Beispiel mit phpMyAdmin oder auf der Kommandozeile mit mysqldump, und als Ergebnis entsteht eine Datei mit einer Endung wie .sql, .gz oder .bz2. Viele Hoster sichern den gesamten Server, doch nach dem Hinweis von WordPress.org dauert es, eine Kopie aus diesen Sicherungen anzufordern. WordPress.org empfiehlt deshalb, das Sichern und Wiederherstellen der eigenen Website selbst zu beherrschen. Automatische Sicherungen über Plugins oder Werkzeuge des Hosters ergänzen Sie nach dem Rat von WordPress.org am besten gelegentlich durch eine manuelle Sicherung, die das Funktionieren des automatischen Vorgangs bestätigt.
Das BSI unterscheidet drei Verfahren, von denen die Volldatensicherung zu einem bestimmten Zeitpunkt sämtliche zu sichernden Dateien auf einen zusätzlichen Datenträger speichert. Eine inkrementelle Sicherung speichert nach einer ersten Vollsicherung jeweils nur die seit der letzten Sicherung geänderten Dateien, sodass Sie für eine Wiederherstellung die Vollsicherung und alle folgenden Teilsicherungen nacheinander einspielen. Die differentielle Sicherung erfasst dagegen stets alle Änderungen seit der letzten Vollsicherung, weshalb für die Wiederherstellung die Vollsicherung und die aktuelle differentielle Sicherung genügen. Für virtuelle Umgebungen und Storage-Systeme empfiehlt das BSI zu prüfen, ob ergänzende Snapshots zwischen den vollständigen Sicherungen mehrere schnell wiederherstellbare Zwischenstände bereitstellen können.
Nach dem Baustein CON.3 des BSI richten sich Art, Häufigkeit und Zeitpunkte der Sicherung nach Einflussfaktoren wie dem Änderungsvolumen, den Änderungszeitpunkten und den Verfügbarkeitsanforderungen der Daten. WordPress.org nennt als allgemeine Orientierung eine wöchentliche Sicherung für kleinere Websites mit wenigen Beiträgen und eine tägliche Sicherung für Websites mit hoher Aktivität. Vor jedem WordPress-Update und vor einem Umzug an einen neuen Ort, wie er bei einer Website-Migration ansteht, empfiehlt WordPress.org zusätzlich eine Sicherung der Datenbank.
Datensicherungen gehören nach CON.3 immer auf separate Speichermedien, die räumlich getrennt von den gesicherten Systemen und möglichst in einem anderen Brandabschnitt lagern. WordPress.org empfiehlt, mindestens drei aktuelle Sicherungen an verschiedenen Orten vorzuhalten. Als Beispiele nennt die Dokumentation den Server des Hosters, einen Cloud-Speicher und den eigenen Rechner. Für Sicherungen in der Cloud rät das BSI, die Datenschutzbestimmungen des Anbieters zu prüfen und auf eine verschlüsselte Übertragung und Speicherung der Daten zu achten. Den Schlüssel verschlüsselter Sicherungen bewahren Sie nach dem Rat des BSI getrennt auf, damit ein Datenverlust nicht zugleich Sicherung und Schlüssel unbrauchbar macht.
Regelmäßige Sicherungen gewährleisten nach dem BSI noch keine erfolgreiche Wiederherstellung, weshalb CON.3 regelmäßige Tests verlangt, ob sich gesicherte Daten einwandfrei und in angemessener Zeit zurückspielen lassen. Vor einem manuellen Update bezeichnet WordPress.org die Kontrolle der angelegten Sicherungen auf Vorhandensein und Nutzbarkeit ausdrücklich als wesentlichen Schritt. Beim Zurückspielen einer WordPress-Website spielen Sie nach der Dokumentation von WordPress.org zuerst die Dateien und danach die Datenbank ein und passen bei geänderten Zugangsdaten der Datenbank die wp-config.php an. Die Angaben zur Wiederherstellung bewahren Sie nach dem Rat des BSI so auf, dass sie auch bei einem Ausfall der Sicherungssysteme verfügbar sind, da rein digital abgelegte Anleitungen bei einem Ransomware-Angriff mit verloren gehen können.
Verarbeitet Ihre Website personenbezogene Daten, etwa über ein Kontaktformular, verlangt Artikel 32 der DSGVO geeignete technische und organisatorische Maßnahmen für ein dem Risiko angemessenes Schutzniveau. Ausdrücklich genannt wird darin die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen. Daneben führt Artikel 32 ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit dieser Maßnahmen auf. Für das Löschen und Vernichten von Datensicherungen verweist das BSI im Baustein CON.3 auf den eigenen Baustein CON.6 Löschen und Vernichten.