Arbeitsvorlage

Version 1.2 · Quellenstand: 1. November 2026. Die Standangabe bezeichnet die Quellenpflege und keine Fach-, Rechts- oder Nutzungsfreigabe.

Zweck

Dieses Protokoll hilft Schweizer KMU, einen Wiederherstellungstest als überprüfbaren Ablauf zu planen, durchzuführen und nachzubereiten. Es dokumentiert nicht nur, ob eine Sicherung technisch lesbar ist, sondern ob ein klar bestimmter kritischer Geschäftsprozess mit sauberen Systemen, einem ausreichenden Datenstand und innerhalb des vereinbarten Zeitrahmens wieder betrieben werden kann.

Die Vorlage stützt sich auf die BACS-Phasen Vorbereitung, Vorfallsbewältigung und Nachbearbeitung sowie auf die Empfehlung, Backups in einem Disaster-Recovery-Szenario auf Verfügbarkeit und Integrität zu testen.^{[1] [2]} Sie ist kein Zertifikat und keine Garantie, dass eine Wiederherstellung in jedem Cybervorfall gelingt.

Anwendung

Füllen Sie die Felder vor dem Test gemeinsam mit IT, Prozessverantwortung und der zuständigen Führungsperson aus. Führen Sie den Test nur in einer freigegebenen, vom angenommen kompromittierten Bereich getrennten Umgebung durch. Halten Sie Zeiten, Entscheidungen und Abweichungen unmittelbar fest. Schliessen Sie den Ablauf erst nach Debriefing, Massnahmenplanung und einem Nachtest kritischer Befunde ab.

Wichtige Grenze: Dieses Arbeitsmittel simuliert einen Vorfall. Es darf keine produktiven Daten verschlüsseln, keine Schadsoftware einsetzen und keine Wiederanlaufmassnahmen in der Produktivumgebung auslösen, wenn dies nicht ausdrücklich freigegeben und risikogerecht abgesichert ist.

1. Testauftrag und Freigabe

Testszenario

2. Geschäftsprozess und Ziele

Begriffshilfe: Das RTO (Recovery Time Objective) ist die maximal akzeptierte Zeit bis zur vereinbarten Mindestfunktion des Geschäftsprozesses. Das RPO (Recovery Point Objective) ist der maximal vertretbare Datenverlust, als Zeitspanne gemessen. Ziele werden von der Organisation festgelegt; sie sind keine Eigenschaft eines Backup-Produkts.

Abhängigkeiten und Wiederanlaufreihenfolge

3. Rollen, Kommunikation und Unterlagen

Kontrollpunkte vor dem Start

• Der Testauftrag, die Testumgebung und die Abbruchkriterien sind freigegeben.
• Die Testumgebung ist von der als kompromittiert angenommenen Umgebung getrennt.
• Notfallkontakte, Eskalationswege und Stellvertretungen sind über einen unabhängigen Zugang verfügbar.
• Zugänge zu Sicherungen, Systemvorlagen, Installationsmedien, Konfigurationsdokumentation und nötigen Lizenzen sind erreichbar.
• Der Sicherungssatz ist eindeutig bezeichnet; der erwartete Datenstand ist festgehalten.
• Die Prozessverantwortung kennt Testfall und Abnahmekriterium.
• Der Umgang mit Testdaten und Personendaten ist geklärt.
• Das Vorgehen gefährdet keine produktiven Systeme oder Daten.

4. Durchführungsprotokoll

Technische Kontrollpunkte

Abgrenzung zum Vorfallsbefund: Die beiden letzten Kontrollpunkte dokumentieren nur die Komponenten und Fixnachweise der für diesen Test bereitgestellten Wiederanlaufumgebung. Die BACS-Warnung zu PHP empfiehlt bei integrierten und extern betriebenen Komponenten die Kontrolle der tatsächlich laufenden korrigierten Version oder eines vom Anbieter als behoben bestätigten Pakets; ein Update beseitigt jedoch keine bereits erfolgte Kompromittierung.^[6] Dieses Protokoll beurteilt deshalb weder einen früheren Daten- oder Kontenkompromiss noch dessen Umfang, Zeitpunkt oder Folgen. Beweise, Logs und betroffene produktive Systeme gehören in einem tatsächlichen Vorfall in eine gesonderte, fachlich gesteuerte Incident-Response- und Forensikbehandlung.

Fachliche Abnahme

Abnahmeentscheid: ☐ Mindestfunktion erreicht ☐ Mit Einschränkungen erreicht ☐ Nicht erreicht

Begründung / Einschränkungen:

................................................................................................................................................

5. Messung und Ergebnis

Gesamtergebnis: ☐ Bestanden ☐ Bestanden mit Auflagen ☐ Nicht bestanden ☐ Abgebrochen

Entscheid durch / Datum:

................................................................................................................................................

6. Debriefing und Massnahmen

Das BACS empfiehlt ein strukturiertes Debriefing, um aus der Bewältigung zu lernen und Vorfall-, Notfall- und Krisenplanung fortlaufend zu verbessern.^[1] Führen Sie das Debriefing zeitnah durch und konzentrieren Sie sich auf beobachtbare Fakten.

Leitfragen

• Was hat den Wiederanlauf beschleunigt oder verzögert?
• Welche Abhängigkeit, Information, Berechtigung oder Freigabe war nicht vollständig bekannt?
• War die Wiederherstellungsreihenfolge für den Geschäftsprozess richtig?
• Konnten RTO und RPO nachweisbar erreicht werden?
• War die Datenqualität für die vereinbarte Mindestfunktion ausreichend?
• Welche Rolle, Stellvertretung oder Lieferantenleistung war unklar oder nicht erreichbar?
• Welche Massnahme verhindert eine Wiederholung der kritischen Abweichung?

Nachtest und Dokumentenpflege

Grenzen und Eskalation

Dieses Protokoll ersetzt keine forensische Untersuchung, keine Incident Response und keine fachjuristische Beratung. In einem tatsächlichen Ransomware-Vorfall empfiehlt das BACS, den Infektionsweg zu ermitteln, Neuinfektionen zu verhindern, betroffene Systeme vor der Datenwiederherstellung neu aufzusetzen und allfällige forensische Sicherungen vor Reparaturversuchen oder Neustarts frühzeitig durch Fachpersonen zu beurteilen.^[3]

Ein einzelnes Anzeichen beweist keine Malware-Infektion. Mehrere ungewöhnliche Beobachtungen rechtfertigen laut BACS jedoch eine genauere Untersuchung; bei einer bestätigten Infektion empfiehlt das BACS ein Neuaufsetzen und anschliessende Passwortänderungen.^[5]

⚖️ Fachprüfung erforderlich Ergibt ein Test Hinweise auf eine reale Kompromittierung oder einen Datenabfluss, stoppen Sie den Test nach dem definierten Sicherheitsverfahren. Melde- und Informationspflichten sind anhand des konkreten Sachverhalts durch Datenschutz- und Rechtsfachpersonen zu beurteilen. Art. 24 DSG verlangt eine Meldung an den EDÖB so rasch als möglich, wenn eine Datensicherheitsverletzung voraussichtlich zu einem hohen Risiko für Persönlichkeit oder Grundrechte führt.^[4]

Quellen