Backup

Nein. § 147 Absatz 3 der Abgabenordnung verlangt zehn Jahre für Bücher, Inventare und Jahresabschlüsse, acht Jahre für Buchungsbelege und sechs Jahre für Handels- und Geschäftsbriefe. Ein Backup rotiert dagegen: Alte Stände werden überschrieben, sobald der Speicherplatz knapp wird. Absatz 2 derselben Vorschrift verlangt außerdem, dass die Unterlagen während der ganzen Frist jederzeit verfügbar und unverzüglich lesbar sind – ein Sicherungsstand, der sich nur mit der damaligen Software öffnen lässt, erfüllt das nicht.

Nein, denn eine Synchronisation gibt jede Änderung weiter – auch das Löschen und auch die Verschlüsselung durch einen Schädling. Sie hält den aktuellen Zustand doppelt, nicht dessen Geschichte. Der Papierkorb begrenzt, wie weit zurück überhaupt etwas zu holen ist: Microsoft löscht Elemente in OneDrive bei privaten Konten nach 30 Tagen, bei Geschäftskonten nach 93 Tagen endgültig. Wer einen Fehler später entdeckt, hat keine Quelle mehr.

Verantwortlich bleibt der Betreiber. Ein Hoster verarbeitet personenbezogene Daten nach Artikel 28 Absatz 3 DSGVO nur auf dokumentierte Weisung; die Pflicht zu Sicherheitsmaßnahmen nach Artikel 32 DSGVO trifft beide, entfällt für den Betreiber aber nicht. Faustregel: Was nicht im Auftragsverarbeitungsvertrag oder in der Leistungsbeschreibung mit Intervall und Aufbewahrungsdauer steht, ist nicht zugesagt. Eine Sicherung, die der Hoster für ganze Server führt, deckt den Einzelfall eines Kunden nicht ab.

Alles, was außerhalb des Webverzeichnisses lag. Der DNS-Eintrag samt Mailrouting liegt beim Registrar, nicht im Backup; TLS-Zertifikate, zeitgesteuerte Aufgaben, Serverdienste, PHP-Version und Umgebungsvariablen mit Zugangsdaten zu Zahlungs- und Versanddiensten ebenso. Diese Teile lassen sich nur aus einer Installationsanleitung rekonstruieren, die jemand gepflegt hat. Ein Backup ist erst dann vollständig, wenn daneben eine Liste aller Dienste steht, ohne die die Website nicht arbeitet.

Weiter als die Verweildauer des Angreifers im System. Ein Lagebericht zu Sicherheitsvorfällen weist für 2024 eine globale mediane Verweildauer von 11 Tagen aus, gegenüber 10 Tagen im Jahr davor; wurde der Vorfall von außen gemeldet, lag sie bei 26 Tagen. Ein Sicherungsvorrat von sieben Tagen enthält damit in mehr als der Hälfte der Fälle bereits den Zugang des Angreifers. Der Median sagt nur, dass die Hälfte darunter lag – nach oben ist er offen.