# OPS-06 Datensicherung und -wiederherstellung - Richtlinien und Verfahren - Bereich: OPS – Regelbetrieb - Gegenüber C5:2020: geändert - Webseite: https://c5.patrickscheid.de/ops-06/ **Ergänzende Information:** Insbesondere bei IaaS- und PaaS-Dienstmodellen liegt die Verantwortung für die Sicherung und Wiederherstellung von Cloud-Kundendaten häufig beim Cloud-Kunden und ist daher nicht Teil der vertraglichen Vereinbarungen zwischen Cloud-Anbieter und Cloud-Kunde. Ist die Datensicherung von Cloud-Kundendaten nicht Vertragsbestandteil, gilt dieses Kriterium nicht für Cloud-Kundendaten, wohl aber für abgeleitete Cloud-Dienstdaten und Cloud-Anbieterdaten. Inwieweit das Kriterium auf den Cloud-Dienst anwendbar ist, wird in der Systembeschreibung dargestellt. Die Datensicherungsrichtlinien und -verfahren legen fest, welche Art der Datensicherung durchgeführt werden soll (z. B. Umfang, Häufigkeit und Dauer) und legen fest, welche Daten in Sonderfällen (z. B. reine Nutzung von Rechenknoten ohne Datenspeicherung) zusätzlich gesichert werden sollen. Bei der Sicherung von Daten muss zwischen *Backups* und *Snapshots* virtueller Maschinen unterschieden werden. Snapshots ersetzen keine Backups, können aber Teil der Datensicherungs-Strategie zur Erreichung von Recovery Point Objectives (RPO) sein, wenn sie zusätzlich außerhalb des ursprünglichen Datenspeicherorts gespeichert werden. Die geschäftlichen Anforderungen des Cloud-Anbieters an Umfang, Häufigkeit und Dauer der Datensicherung ergeben sich aus der Business-Impact-Analyse (vgl. BCM-02) für Entwicklungs- und Betriebsprozesse des Cloud-Dienstes. Sofern für Cloud-Kundendaten und Cloud-Anbieterdaten unterschiedliche Datensicherungs- und -wiederherstellungsverfahren bestehen, sind beide Varianten Gegenstand der Prüfungen von Kontrollen nach diesem Kriterienkatalog. Bestehende vertragliche Vereinbarungen vor einer C5-Attestierung müssen nicht aktualisiert werden, um die in diesem Kriterium genannten Anforderungen zu berücksichtigen. Stattdessen sollten neue vertragliche Vereinbarungen so gestaltet werden, dass bestimmte Anforderungen klar definiert und mit Cloud-Kunden vereinbart werden. ## Basiskriterium ### OPS-06.01B Richtlinien und Verfahren für die regelmäßige Sicherung oder Replikation und regelmäßige Wiederherstellung von Cloud-Kundendaten, abgeleitete Cloud-Dienstdaten und Cloud-Anbieterdaten entsprechend der Sensibilität der Daten sind hinsichtlich der folgenden Aspekte gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt: 1. Umfang und Häufigkeit der Datensicherung sowie die Dauer der Datenaufbewahrung stehen im Einklang mit den vertraglichen Vereinbarungen mit den Cloud-Kunden und den Anforderungen des Cloud-Anbieters an die Betriebskontinuität für Recovery Time Objective (RTO) und Recovery Point Objective (RPO); 2. Die Datensicherung erfolgt in verschlüsselter, dem Stand der Technik entsprechender Form; 3. Sichere Aufbewahrung, Übertragung, Verwaltung und Entsorgung von Daten aus der Datensicherung; 4. Der Zugriff auf die gesicherten Daten und die Durchführung von Wiederherstellungen erfolgt nur durch autorisierte Personen; 5. Tests der Datenwiederherstellungsverfahren durch den Cloud-Anbieter (vgl. OPS-08); und 6. Sofern Bestandteil der vertraglichen Vereinbarung: Durchführung tatsächlicher Datenwiederherstellungsanfragen oder Wiederherstellungstests, die vom Cloud-Kunden initiiert wurden. Die Richtlinien und Verfahren enthalten Bedingungen für diejenigen Teile der Cloud-Anbieterdaten, die keine Sicherung erfordern. Für diese Teile der Cloud-Anbieterdaten ist dieses Unterkriterium nicht anwendbar. **Ergänzende Information:** Teile der Cloud-Anbieterdaten, für die keine Sicherung erforderlich ist, umfassen unter anderem Teile von Cloud-Anbieterdaten, die ohne Sicherung von Grund auf neu erstellt werden können. ## Zusatzkriterium ### OPS-06.01AS (Zusatz, verschärft 01B) Richtlinien und Verfahren für die mindestens tägliche Sicherung oder Replikation und regelmäßige Wiederherstellung von Cloud-Kundendaten, abgeleitete Cloud-Dienstdaten und Cloud-Anbieterdaten entsprechend der Sensibilität der Daten sind hinsichtlich der folgenden Aspekte gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt: 1. Umfang und Häufigkeit der Datensicherung sowie die Dauer der Datenaufbewahrung stehen im Einklang mit den vertraglichen Vereinbarungen mit den Cloud-Kunden und den Anforderungen des Cloud-Anbieters an die Betriebskontinuität für Recovery Time Objective (RTO) und Recovery Point Objective (RPO); 2. Die Datensicherung erfolgt in verschlüsselter, dem Stand der Technik entsprechender Form; 3. Sichere Aufbewahrung, Übertragung, Verwaltung und Entsorgung von Daten aus der Datensicherung; 4. Der Zugriff auf die gesicherten Daten und die Durchführung von Wiederherstellungen erfolgt nur durch autorisierte Personen; 5. Tests der Datenwiederherstellungsverfahren durch den Cloud-Anbieter (vgl. OPS-08); und 6. Sofern Bestandteil der vertraglichen Vereinbarung: Durchführung tatsächlicher Datenwiederherstellungsanfragen oder Wiederherstellungstests, die vom Cloud-Kunden initiiert wurden. Die Richtlinien und Verfahren enthalten Bedingungen für diejenigen Teile der Cloud-Anbieterdaten, die keine Sicherung erfordern. Für diese Teile der Cloud-Anbieterdaten gilt dieses Unterkriterium nicht. ## Korrespondierende Kriterien für Kunden Cloud-Kunden stellen durch geeignete Kontrollen sicher, dass die mit dem Cloud-Anbieter getroffenen vertraglichen Vereinbarungen über Umfang, Häufigkeit und Dauer der Datenspeicherung den geschäftlichen Anforderungen entsprechen. Die Geschäftsanforderungen werden im Rahmen der Business-Impact-Analyse (vgl. BCM-02) beurteilt. ## Änderungen gegenüber C5:2020 Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht. **Basiskriterium:** Specified which data types the criterion applies to. Extended aspects to be addressed by the policies and instructions by the secure storage, transfer, management and disposal of backup data, as well as the execution of actual data restore requests or tests if contractually agree upon. Added option to include provisions for cloud service provider data that does not require a backup. Bullet points are now sorted to ease discussions about specific list items. **Zusatzkriterium:** Additional criterion newly included to sharpen basic criterion to perform backups and restores daily instead of regularly. --- Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.