Aufbewahrungsfristen von Backups

[Mr_JxM]

Hallo zusammen,
Ich habe mal eine Frage bzgl. der Aufbewahrungsfristen von Backups.
Wie lange habt ihr eingestellt, das auf eurem NAS o.Ä. die Backups aufbewahrt werden?

Wir sind ein Elektro-Fertigungsunternehmen im Bereich der SMD und THT Bestückung.
Ein Mitarbeiter soll wohl eventuell eine externe USB-Festplatte bekommen, worauf er dann die 
Sicherung der letzten Version aufbewahren kann. Die Frist dafür sollen wohl 5 Jahre werden.
Ihr habt richtig gehört, 5 Jahre....

Zitat von der Produktion:
,,Hintergrund ist, dass manche Produkte nur alle 2 oder gar 3 Jahre laufen. 
Sollte es dann ein Problem mit dem Programm geben, sind die Backups überschrieben"

->Die Lösung mit der externen Festplatte werden wir unserer Geschäftsführung und Produktion fachlich genau erklären,
wieso es ein großes Risiko mit sich bringt, eine externe USB-Festplatte an einen Mitarbeiter für Backups zu geben.
Zudem haben wir bei uns im Betrieb die NAS-Lösung "Synology". 

Meine Frage ist nun, wie hoch ist die Aufbewahrungsfrist bei euch so ungefähr?
Im Internet lese ich viel von zwischen 2-6Monaten oder 1 Jahr..

Schreibt gerne eurer Erfahrungen dazu

Ich bedanke mich vorab!

 

[Brapchu]

Schaut in die Gesetzestexte wie lange für eure Produkt Aufbewahrungsfristen sind.

Es gibt dafür gesetzliche Rahmenbedingungen.

[MiaMuh]

vor 14 Minuten schrieb Mr_JxM:

Hallo zusammen,
Ich habe mal eine Frage bzgl. der Aufbewahrungsfristen von Backups.
Wie lange habt ihr eingestellt, das auf eurem NAS o.Ä. die Backups aufbewahrt werden?

Wir sind ein Elektro-Fertigungsunternehmen im Bereich der SMD und THT Bestückung.
Ein Mitarbeiter soll wohl eventuell eine externe USB-Festplatte bekommen, worauf er dann die 
Sicherung der letzten Version aufbewahren kann. Die Frist dafür sollen wohl 5 Jahre werden.
Ihr habt richtig gehört, 5 Jahre....

Zitat von der Produktion:
,,Hintergrund ist, dass manche Produkte nur alle 2 oder gar 3 Jahre laufen. 
Sollte es dann ein Problem mit dem Programm geben, sind die Backups überschrieben"

->Die Lösung mit der externen Festplatte werden wir unserer Geschäftsführung und Produktion fachlich genau erklären,
wieso es ein großes Risiko mit sich bringt, eine externe USB-Festplatte an einen Mitarbeiter für Backups zu geben.
Zudem haben wir bei uns im Betrieb die NAS-Lösung "Synology". 

Meine Frage ist nun, wie hoch ist die Aufbewahrungsfrist bei euch so ungefähr?
Im Internet lese ich viel von zwischen 2-6Monaten oder 1 Jahr..

Schreibt gerne eurer Erfahrungen dazu

Ich bedanke mich vorab!

 

Wir haben für manche Dinge sogar 15 Jahre. Das ist echt unterschiedlich...

[SR2021]

vor 24 Minuten schrieb Mr_JxM:

Meine Frage ist nun, wie hoch ist die Aufbewahrungsfrist bei euch so ungefähr?

Bis zu 10 Jahre.

vor 25 Minuten schrieb Mr_JxM:

Ein Mitarbeiter soll wohl eventuell eine externe USB-Festplatte bekommen, worauf er dann die 
Sicherung der letzten Version aufbewahren kann. Die Frist dafür sollen wohl 5 Jahre werden.

OK, ein Mitarbeiter bekommt eine externe HDD und lagerte die dann wo? Bei sich daheim im Keller? Im Safe? ESD sicher?
HDDs / SSDs sind keine sinnvollen Medien zur Langzeitarchivierung, ab auf Tape damit.
 

[Meadril]

 

Moin,

wir haben noch Unterlagen von Hard- und Software von vor 25 Jahren. Oft bekommen wir sogar Geräte zur Reparatur oder Wartung, die älter als 15 Jahre sind. 

Wir sichern alles und ständig. Software versionieren wir und sichern den Server, so haben wir alle Programmversionen und können sie auch über Tags den HW-Versionen oder Kunden zuordnen.

Das könnten wir uns nicht leisten, wenn wir auf Programme, die 5 bis 10 Jahre alt sind, keinen Zugriff mehr hätten. 

Wie die rechtlichen Rahmenbedingungen sind, weiß ich nicht.

😄 

 

[Diskettenstanzer]

vor 8 Stunden schrieb Mr_JxM:

Zudem haben wir bei uns im Betrieb die NAS-Lösung "Synology". 

Synology ist keine NAS-Lösung, sondern ein Hersteller von Network attached Storage Systemen unterschiedlichster Preis- und Leistungsklassen. Von Homeuser- bis Highend ist alles dabei. Ein NAS stellt nicht unbedingt ein sauberes Backup-Konzept dar, denn firmenkritische Daten gehören auf einen externen Datenträger in Form eines Datensicherungsbandes und nach Abschluss der Sicherung in einen Tresor. 

Als IT-ler solltest du schon einmal was vom Grossvater-Vater-Sohn-Prinzip gehört haben.

[tkreutz2]

Ich schließe mich meinen Vorpostern an. Zum einen gibt es gesetzliche Fristen, über die man sich informieren muss, denn Information ist bekanntermaßen eine Holschuld und an Gesetzen ändert sich von Zeit- zu Zeit auch mal etwas. Eben gerade wird darüber diskutiert, bestimmte Fristen von 10- auf 5 Jahre zu verkürzen (Gesetz ist aber noch nicht durch). Ergo - stets informieren.

Der zweite Punkt ist die Technik. Es macht absolut keinen Sinn, gesetzliche Fristen mit technischen Entwicklungen zu verknüpfen, da die Entwicklung nicht gleich läuft. Bei technischen Sachen muss man sich ebenfalls immer über den aktuellen Stand informieren und danach entscheiden was passt.  Eine NAS ist kein Backup, sondern die NAS muss auch gesichert werden. Bei einer modernen NAS gibt es auch die Möglichkeit, Daten unveränderlich auf WORM schreiben zu lassen, die WORM aus der Rotation zu nehmen und mindestens an 3 unterschiedlichen Orten aufzubewahren in einem entsprechenden Datenschutzbehälter. (Nur mal als Beispiel). -> Hier muss man erst mal eine Schutzbedarfsanalyse machen.

Insgesamt muss man Backup- und Sicherungskonzepte erstellen, die passend sind zum jeweiligen Schutzbedarf. Das ist ein großer Aufwand und kann nicht mit so einem trivialen Ansatz abgedeckt werden. Hier muss man sehr im Detail die Daten analysieren und passende Konzepte entwickeln.

Um nur mal ein Beispiel zu nennen. Eine Sicherung der kompletten WaWi von vor 15 Jahren, ohne die Möglichkeit die Daten in 30 Jahren noch sehen- oder bearbeiten zu können (z.B. weil die Daten nicht als Flat Text vorliegen, oder proprietäre Dateiformate / Programme zum Einsatz kamen), dürfte wertlos sein. Also müssen die Daten erst mal in Format gebracht werden und auf ein Medium gebracht werden, was auch noch nach 30 Jahren lesbar ist. Wie wir wissen ändern sich Medien, als auch Datenformate ständig. Man muss hier also ständig Anpassungen vornehmen oder jemanden holen, der das kann, aus der Verantwortung kommt man deswegen nicht raus.

Ergo - Konzept überdenken und von jemanden machen lassen, der weiß, wie das geht.

Wenn man jetzt überhaupt keinen Plan / Vorstellung hat, sollte man mal einen Blick in die entsprechenden Unterlagen werfen (z.B. vom BSI Bund).

Viel Erfolg !

Bearbeitet 27. September von tkreutz2

[Tratos]

Würde das Konzept auch überdenken. USB-Platten sind nicht umbedingt als Backup geeignet. Da kannste auch 1TB USB-Sticks verteilen, und mal abgesehen davon ist es eine Sicherheitsquelle wenn jemand von Daheim dann mit der USB-Platte Vieren, Trojaner etc. ins Firmennetz schmugggeln kann, oder sich quasi daheim noch ein Backup zieht das dann vielleicht im Netz oder bei der Kokkurenz landet.

Würde es Server basierend in der Firma mit einem RAID-System sichern, und jede Nacht ein Backup auf ein Magnetband das dann in einem feuerfesten Safe for Ort lagert, und jede Woche ein Backup das in einem Bankschließfach aufbewart wird. Das sollte die Produktion gut schützen. Aber diese Entscheidung muss auf eure Prozesse abgestimmt sein, und die Geschäftsführung haftet dafür.

Aber etwas Lektüre: https://z-dbackup.de/bandlaufwerk-informationen/

 

 

 

 

[Diskettenstanzer]

vor 8 Stunden schrieb Tratos:

Würde das Konzept auch überdenken

Das unterschreibe ich.. Zudem ist es nicht die Aufgabe des Anwenders, Datensicherungen zu erstellen. Seine Aufgabe wäre es, in einem sauber definiertem Prozess der IT mitzuteilen, wie lange die Daten mit welcher Versionisierung aufzubewahren sind und wie schnell sie wiederhergestellt werden müssen. 

Wenn es sich um eine einmalige Datensicherung handelt von Daten, die sich nicht weiter verändern: eine weiter Bandkartusche im Tresor der IT-Abteilung frisst kaum Geld.

[HeinzHugo]

Ich glaube, hier geht's um zwei verschiedene Dinge:

Backup und Archivierung von Daten - denn afaik spricht im Gesetzestext keiner von Backupfristen, sehr wohl aber von Archivierungsfristen/-pflichten. Das würde ich auch sauber von einander trennen, zumal es an archivierte Daten auch weitere Anforderungen geben kann (z.B. wird im Geschäftsmailkontext oft von revisionssicherer Archivierung gesprochen bzw. diese gefordert! Das sind nochmal ganz andere Anforderungen an das darunter liegende System zur Archivierung)

Daher sollte erstmal für sich selbst klar gestellt werden, was man da macht: Archivieren - also die Daten wirklich "weglagern" - oder Backups erstellen, die für die Wiederherstellung von Produktivsystemen bei Datenausfall/Verlust genutzt werden.

Erfahrungsgemäß wird das beides oft miteinander verwurschtelt.

Hinsichtlich der technischen Umsetzung würde ich da je nach Anforderung zu einem Disk-to-Tape-Ansatz für die Archivierung tendieren: Daten, die innerhalb von 60 Tagen noch gebraucht werden, kommen auf ein Disk-basierten Speicher, alles, was dann raus altert, wird dann auf Tape (je nach Menge LTO8 oder ggf. höher) geschrieben.
Ein Backup-System kann man auch so aufsetzen --> Die Inkrementellen Backups bleiben rollierend X Tage auf Disk, das wöchentliche Backup schreibt man zusätzlich auf Tape. Einmal im Monat kann man dann noch ein Vollbackup zur Entnahme auf ein 2. Tape kopieren und das trocken, licht geschützt und kühl lagern (und hin und wieder einlegen, um die Lesbarkeit und Datenkonsistenz zu prüfen zu lassen).