OPS-06 Datensicherung und -wiederherstellung - Richtlinien und Verfahren
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Specified which data types the criterion applies to.
Extended aspects to be addressed by the policies and instructions by the secure storage, transfer, management and disposal of backup data, as well as the execution of actual data restore requests or tests if contractually agree upon.
Added option to include provisions for cloud service provider data that does not require a backup.
Bullet points are now sorted to ease discussions about specific list items.
Zusatzkriterium
Additional criterion newly included to sharpen basic criterion to perform backups and restores daily instead of regularly.
Wortlaut in C5:2020
Basiskriterium
Policies and instructions for data backup and recovery are documented, communicated and provided in accordance with SP-01 regarding the following aspects.
- The extent and frequency of data backups and the duration of data retention are consistent with the contractual agreements with the cloud customers and the Cloud Service Provider's operational continuity requirements for Recovery Time Objective (RTO) and Recovery Point Objective (RPO);
- Data is backed up in encrypted, state-of-the-art form;
- Access to the backed-up data and the execution of restores is performed only by authorised persons; and
- Tests of recovery procedures (cf. OPS-08).
Ergänzende Information zu allen Unterkriterien
Insbesondere bei IaaS- und PaaS-Dienstmodellen liegt die Verantwortung für die Sicherung und Wiederherstellung von Cloud-Kundendaten häufig beim Cloud-Kunden und ist daher nicht Teil der vertraglichen Vereinbarungen zwischen Cloud-Anbieter und Cloud-Kunde.
Ist die Datensicherung von Cloud-Kundendaten nicht Vertragsbestandteil, gilt dieses Kriterium nicht für Cloud-Kundendaten, wohl aber für abgeleitete Cloud-Dienstdaten und Cloud-Anbieterdaten. Inwieweit das Kriterium auf den Cloud-Dienst anwendbar ist, wird in der Systembeschreibung dargestellt.
Die Datensicherungsrichtlinien und -verfahren legen fest, welche Art der Datensicherung durchgeführt werden soll (z. B. Umfang, Häufigkeit und Dauer) und legen fest, welche Daten in Sonderfällen (z. B. reine Nutzung von Rechenknoten ohne Datenspeicherung) zusätzlich gesichert werden sollen. Bei der Sicherung von Daten muss zwischen *Backups* und *Snapshots* virtueller Maschinen unterschieden werden. Snapshots ersetzen keine Backups, können aber Teil der Datensicherungs-Strategie zur Erreichung von Recovery Point Objectives (RPO) sein, wenn sie zusätzlich außerhalb des ursprünglichen Datenspeicherorts gespeichert werden. Die geschäftlichen Anforderungen des Cloud-Anbieters an Umfang, Häufigkeit und Dauer der Datensicherung ergeben sich aus der Business-Impact-Analyse (vgl. BCM-02) für Entwicklungs- und Betriebsprozesse des Cloud-Dienstes. Sofern für Cloud-Kundendaten und Cloud-Anbieterdaten unterschiedliche Datensicherungs- und -wiederherstellungsverfahren bestehen, sind beide Varianten Gegenstand der Prüfungen von Kontrollen nach diesem Kriterienkatalog.
Bestehende vertragliche Vereinbarungen vor einer C5-Attestierung müssen nicht aktualisiert werden, um die in diesem Kriterium genannten Anforderungen zu berücksichtigen. Stattdessen sollten neue vertragliche Vereinbarungen so gestaltet werden, dass bestimmte Anforderungen klar definiert und mit Cloud-Kunden vereinbart werden.
Basiskriterium
Richtlinien und Verfahren für die regelmäßige Sicherung oder Replikation und regelmäßige Wiederherstellung von Cloud-Kundendaten, abgeleitete Cloud-Dienstdaten und Cloud-Anbieterdaten entsprechend der Sensibilität der Daten sind hinsichtlich der folgenden Aspekte gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt:
- Umfang und Häufigkeit der Datensicherung sowie die Dauer der Datenaufbewahrung stehen im Einklang mit den vertraglichen Vereinbarungen mit den Cloud-Kunden und den Anforderungen des Cloud-Anbieters an die Betriebskontinuität für Recovery Time Objective (RTO) und Recovery Point Objective (RPO);
- Die Datensicherung erfolgt in verschlüsselter, dem Stand der Technik entsprechender Form;
- Sichere Aufbewahrung, Übertragung, Verwaltung und Entsorgung von Daten aus der Datensicherung;
- Der Zugriff auf die gesicherten Daten und die Durchführung von Wiederherstellungen erfolgt nur durch autorisierte Personen;
- Tests der Datenwiederherstellungsverfahren durch den Cloud-Anbieter (vgl. OPS-08); und
- Sofern Bestandteil der vertraglichen Vereinbarung: Durchführung tatsächlicher Datenwiederherstellungsanfragen oder Wiederherstellungstests, die vom Cloud-Kunden initiiert wurden.
Die Richtlinien und Verfahren enthalten Bedingungen für diejenigen Teile der Cloud-Anbieterdaten, die keine Sicherung erfordern. Für diese Teile der Cloud-Anbieterdaten ist dieses Unterkriterium nicht anwendbar.
Ergänzende Information
Teile der Cloud-Anbieterdaten, für die keine Sicherung erforderlich ist, umfassen unter anderem Teile von Cloud-Anbieterdaten, die ohne Sicherung von Grund auf neu erstellt werden können.
Zusatzkriterium
OPS-06.01AS
Zusatz, verschärft01BRichtlinien und Verfahren für die mindestens tägliche Sicherung oder Replikation und regelmäßige Wiederherstellung von Cloud-Kundendaten, abgeleitete Cloud-Dienstdaten und Cloud-Anbieterdaten entsprechend der Sensibilität der Daten sind hinsichtlich der folgenden Aspekte gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt:
- Umfang und Häufigkeit der Datensicherung sowie die Dauer der Datenaufbewahrung stehen im Einklang mit den vertraglichen Vereinbarungen mit den Cloud-Kunden und den Anforderungen des Cloud-Anbieters an die Betriebskontinuität für Recovery Time Objective (RTO) und Recovery Point Objective (RPO);
- Die Datensicherung erfolgt in verschlüsselter, dem Stand der Technik entsprechender Form;
- Sichere Aufbewahrung, Übertragung, Verwaltung und Entsorgung von Daten aus der Datensicherung;
- Der Zugriff auf die gesicherten Daten und die Durchführung von Wiederherstellungen erfolgt nur durch autorisierte Personen;
- Tests der Datenwiederherstellungsverfahren durch den Cloud-Anbieter (vgl. OPS-08); und
- Sofern Bestandteil der vertraglichen Vereinbarung: Durchführung tatsächlicher Datenwiederherstellungsanfragen oder Wiederherstellungstests, die vom Cloud-Kunden initiiert wurden.
Die Richtlinien und Verfahren enthalten Bedingungen für diejenigen Teile der Cloud-Anbieterdaten, die keine Sicherung erfordern. Für diese Teile der Cloud-Anbieterdaten gilt dieses Unterkriterium nicht.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen durch geeignete Kontrollen sicher, dass die mit dem Cloud-Anbieter getroffenen vertraglichen Vereinbarungen über Umfang, Häufigkeit und Dauer der Datenspeicherung den geschäftlichen Anforderungen entsprechen. Die Geschäftsanforderungen werden im Rahmen der Business-Impact-Analyse (vgl. BCM-02) beurteilt.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen