Drei Kopien der Daten
Das Original plus zwei Kopien. Eine Kopie im selben Konto, mit denselben Zugangsdaten wie das Original, fällt mit ihm.
Hosting und Backups
Backups in der Schweiz: Was ein KMU vor der Wahl eines Hosters prüfen sollte
Ein Kontinuitätsplan ist nur so gut wie seine Notfallkopien: ihr Standort, ihre Unabhängigkeit und der Nachweis, dass man sie wiederherstellen kann. Hier die Fragen, in der richtigen Reihenfolge.
Warum der Standort der Backups zählt
Wenn ein KMU von Souveränität spricht, meint es oft die Website oder das Postfach. Für die Geschäftskontinuität liegt die entscheidende Frage woanders: Wo liegen die Kopien, mit denen Sie nach einem Ausfall, einem menschlichen Fehler oder Ransomware neu starten, und wer kann darauf zugreifen?
Diese Seite betrachtet das Thema aus Sicht eines Unternehmens, das seinen Wiederanlauf vorbereitet. Sie ergänzt die Seite Souveränität, die erklärt, wie Contivaro selbst Daten behandelt, und das im Vorsorgekonzept beschriebene Vorgehen.
Weiter unten steht ein konkretes Beispiel eines Schweizer Hosters, mit Angaben des Anbieters und einem klaren Vorbehalt: Ein Website-Hosting ist kein Kontinuitätsplan.
Die 3-2-1-Regel
Drei Kopien, zwei Medien, eine extern: ohne die Schweiz zu verlassen
Die 3-2-1-Regel ist ein Standard der Praxis, keine gesetzliche Pflicht. Sie lässt sich vollständig innerhalb der Schweiz umsetzen, sofern jede Kopie wirklich unabhängig von den anderen ist.
Zwei verschiedene Medien
Zum Beispiel Speicher vor Ort und Online-Speicher. Zwei Medien derselben Technik und desselben Anbieters zählen als ein einziger Ausfallpunkt.
Eine externe Kopie, in der Schweiz
Ein anderes Rechenzentrum im selben Land. Verlangen Sie, dass der Standort im Vertrag steht und nicht nur auf der Verkaufsseite.
Eine Kopie ausser Reichweite eines Angreifers
Ransomware verschlüsselt, was sie erreicht. Eine unveränderliche oder getrennte Kopie bleibt lesbar, wenn Administrator-Zugangsdaten gestohlen wurden.
Fünf Fragen an jeden Anbieter
Sie gelten für Hoster, Backup-Anbieter und IT-Dienstleister. Eine vage Antwort ist schon eine Antwort.
- Wo liegen die Daten, und wo die Kopien?
Das Hauptrechenzentrum, das Rechenzentrum der Notfallkopie und der Ort, an dem der Support arbeitet. Alle drei können abweichen.
- Wurde die Wiederherstellung getestet, mit welchem Ergebnis?
Ein Backup, das nie wiederhergestellt wurde, ist eine Hypothese. Verlangen Sie Datum des letzten Tests, gemessene Dauer und was gefehlt hat. Siehe [Wiederherstellungstests](kind:exercices).
- Wie lange dauert die Wiederherstellung, und wie weit reicht sie zurück?
Das sind Ihre tolerierbare Ausfallzeit und Ihr tolerierbarer Datenverlust, in Stunden ausgedrückt. Der Anbieter kann sie nicht für Sie erraten.
- Wer sind die Unterauftragnehmer, und werden Sie über Änderungen informiert?
Ein Anbieter, der einen Teil der Bearbeitung an Dritte gibt, muss das offenlegen und Ihre vorgängige Zustimmung für jeden neuen Unterauftragnehmer einholen.
- Wie kommt man aus dem Vertrag heraus?
Format der zurückgegebenen Daten, Frist, Kosten, schriftlich bestätigte Löschung. Ein Ausstieg, der nie geübt wurde, ist kein Ausstieg.
Ein Anbieter, ein einziger Ausfallpunkt
Hosting, Mail und Backups bei einem einzigen Anbieter zu bündeln ist bequem und oft günstiger. Es ist aber auch ein Kontinuitätsrisiko, das man benennen muss.
Dasselbe Konto für alles
Wird ein Administratorzugang kompromittiert, können Original und Backup zusammen betroffen sein. Trennen Sie die Zugangsdaten und aktivieren Sie überall starke Authentifizierung.
Derselbe Ausfall für alles
Ein Vorfall bei einem Anbieter trifft alles, was er für Sie betreibt. Halten Sie mindestens eine nutzbare Kopie ausserhalb seiner Infrastruktur.
Dieselbe Abrechnung für alles
Ein Streitfall oder eine Kontosperrung legt alles gleichzeitig lahm. Planen Sie den Fall ein, dass das Konto an einem Freitagabend gesperrt wird.
Ein geübter Ausstieg
Wissen Sie, wie man bei einem anderen Anbieter wiederherstellt, auch langsam. Der aufschlussreichste Test ist, einen Dienst auf einer Infrastruktur hochzufahren, die nicht Ihre gewohnte ist.
Was das DSG verlangt, in einfachen Worten
Artikel des Bundesgesetzes vom 25. September 2020 über den Datenschutz (SR 235.1), am 29. September 2026 auf Fedlex geprüft. Die amtlichen Titel sind dem französischen Text entnommen. Dies ist keine Rechtsberatung.
| Artikel | Amtlicher Titel | Was das für Ihre Backups bedeutet |
|---|---|---|
| Art. 8 | Datensicherheit (Sécurité des données) | Verantwortliche und Auftragsbearbeiter gewährleisten durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit. Ein Backup mit Personendaten ist betroffen. |
| Art. 9 | Bearbeitung durch Auftragsbearbeiter (Sous-traitance) | Die Übertragung der Bearbeitung an Dritte setzt einen Vertrag oder eine gesetzliche Grundlage voraus. Der Verantwortliche stellt sicher, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann, und dieser darf nur mit vorgängiger Genehmigung weitere Dritte beiziehen. |
| Art. 16 | Grundsätze zur Bekanntgabe ins Ausland (Principes) | Personendaten dürfen nur ins Ausland bekanntgegeben werden, wenn der Bundesrat einen angemessenen Schutz festgestellt hat oder geeignete Garantien bestehen. |
| Art. 17 | Ausnahmen (Dérogations) | Ausnahmen von Artikel 16 bestehen, etwa bei ausdrücklicher Einwilligung oder zur Vertragserfüllung. Eine Kopie, die in der Schweiz bleibt, erspart die Frage. |
Transparenz zu diesem Link
Als "Werbelink" gekennzeichnete Links sind Affiliate-Links. Wir erhalten möglicherweise eine Provision, wenn Sie über diesen Link abschliessen, ohne Mehrkosten für Sie. Die Provision beeinflusst den Inhalt dieser Seite nicht: Vorbehalte und Grenzen stehen in jedem Fall da, und es gibt weitere Schweizer Hoster.
Was ein Schweizer Hoster nicht beseitigt
Ein Schweizer Anbieter unterliegt weiterhin Schweizer Recht: Eine Behörde kann ihm die Herausgabe von Daten anordnen, und eine ausländische Behörde kann den Weg der Rechtshilfe gehen. Hosting in der Schweiz beseitigt auch nicht das Risiko von Ausfall, Fehler oder Angriff. Es senkt die rechtliche Exposition und vereinfacht die Anwendung des DSG, ersetzt aber weder Verschlüsselung noch eine unabhängige Kopie noch einen Wiederherstellungstest.
Offizielle Quellen
Gesetzestext: Datenschutzgesetz auf Fedlex, Artikel 8, 9, 16 und 17.
Aufsichtsbehörde: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter.
Cybersicherheit: Bundesamt für Cybersicherheit, für Vorfallmeldungen und Empfehlungen an Unternehmen.
FAQ
Häufige Fragen
Genügt ein Schweizer Hosting, um das DSG einzuhalten?
Nein. Der Standort vereinfacht die Frage der Auslandsbekanntgabe, doch das Gesetz verlangt auch angemessene Sicherheit (Art. 8) und einen vertraglichen Rahmen für die Auftragsbearbeitung (Art. 9). Der Standort ersetzt diese Massnahmen nicht.
Kann ein Shared-Webhosting als Backup dienen?
Nicht als Hauptbackup des Unternehmens. Es schützt eine Website, über kurze Zeit. Ihre Arbeitsplätze, Server und Ihre Mail brauchen eine eigene Kopierstrategie.
Muss man den Anbieter wechseln, um die 3-2-1-Regel einzuhalten?
Nicht unbedingt. Die Kopien müssen unabhängig sein: anderes Konto, anderer Standort, idealerweise andere Technik, und eine getestete Wiederherstellung.
Erhalten Sie eine Provision für den gezeigten Hoster?
Wir erhalten möglicherweise eine Provision, wenn Sie über den als "Werbelink" gekennzeichneten Link abschliessen, ohne Mehrkosten für Sie. Sie beeinflusst den Inhalt der Seite nicht.
Analyse anfragen
Zuerst wissen, wo Sie stehen
Sagen Sie uns, welche Anwendungen Sie nicht verlieren dürfen, wie lange Sie ohne sie durchhalten und wann zuletzt eine Wiederherstellung wirklich getestet wurde. Antwort innerhalb von zwei Arbeitstagen.
- Schweizer Ingenieurarbeit
- Antwort innerhalb von zwei Arbeitstagen
Contivaro schreiben
Sagen Sie uns, wann zuletzt eine Wiederherstellung getestet wurde. Lautet die Antwort «nie», beginnen wir dort.
Contivaro schreiben