Staging-Umgebung

Bestellbestätigungen, Mahnungen und Newsletter erreichen echte Empfänger ein zweites Mal – aus einem System, das niemand freigegeben hat. Eine Kopie der Produktivdatenbank bringt echte Adressen mit, und zeitgesteuerte Aufgaben laufen nach der Übernahme weiter. Die Gleichheit mit dem Produktivsystem endet deshalb bei den Zugängen nach außen: Mailversand auf einen Abfangdienst, Zahlungsanbieter auf Testschlüssel, Rückrufadressen auf Leerlauf. Nach Artikel 5 Absatz 1 DSGVO ist es zudem ein anderer Zweck als der der Erhebung.

Eine Staging-Umgebung beweist, dass eine Änderung funktioniert; ein Backup stellt einen früheren Stand wieder her. Die Verbindung verläuft in einer Richtung: Das Rückspielen einer Sicherung lässt sich nur dort üben, wo es nichts zerstört. Das BSI führt das im Baustein zum Datensicherungskonzept als Basis-Anforderung – regelmäßig getestet werden muss, ob gesicherte Daten einwandfrei und in angemessener Zeit zurückgespielt werden können. Eine nie zurückgespielte Sicherung ist eine Annahme, kein Nachweis.

Nein, solange die Vorschau auf einer leeren oder geteilten Datenbank läuft. Eine Vorschau je Entwicklungszweig prüft den Code, die Staging-Umgebung prüft den Übergang: die Reihenfolge der Datenbankänderungen, die Laufzeit bei realistischer Datenmenge, das Zusammenspiel mehrerer Zweige nach dem Zusammenführen. Diese Fehler entstehen erst im Bestand. Als Ersatz taugt eine Vorschau nur mit derselben Konfiguration und einer Datenkopie in Produktionsgröße – dann ist sie eine Staging-Umgebung mit wechselnder Adresse.

Vor jeder Abnahme und nach jeder Änderung am Datenbankschema. Eine Kopie, die älter ist als die letzte Schemaänderung, prüft einen Stand, den es nicht mehr gibt; der Lauf der Änderungsskripte bleibt ungetestet, und der ist beim Wechsel auf die echte Seite der riskanteste Schritt. Der Aufwand liegt nicht im Kopieren, sondern im Anonymisieren: Das Skript muss bei jedem Abzug erneut laufen, und jedes neu hinzugekommene Feld mit Personenbezug fehlt darin, bis jemand es nachträgt.

Bei einer Seite ohne Datenbank, ohne Formularverarbeitung und ohne Redaktionssystem, deren Auslieferung aus der Versionsverwaltung kommt: Dort braucht die Rücknahme einer Änderung einen Befehl, und eine zweite Kopie zeigt nichts, was der Bau nicht schon zeigt. Gegenzurechnen ist der Unterhalt – dieselben Aktualisierungen zweimal, eine eigene Zugangssperre, ein wiederkehrender Datenabzug. Bleibt das liegen, steht eine zweite, ungepflegte Installation desselben Codes im Netz.