ADR-020: Backup und Wiederherstellung¶

Stand: 09.08.2026 11:52 Branch: main Status: Akzeptiert

Datum, Uhrzeit	Version	Änderung	Autor
09.08.2026 11:52	1.0	Risikobasierte V1-Ziele, Backuparchitektur und Wiederherstellungsnachweise festgelegt	Codex

Kontext¶

Artikel 32 der Datenschutz-Grundverordnung verlangt eine dem Risiko angemessene Sicherheit, die zeitnahe Wiederherstellbarkeit personenbezogener Daten und regelmässige Wirksamkeitsprüfungen. Das Schweizer Datenschutzrecht verlangt ebenfalls risikogerechte technische und organisatorische Massnahmen. Der Leitfaden des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten richtet die Datensicherung insbesondere an Datenart, Datenmenge, Änderungshäufigkeit und mögliche Auswirkungen aus.

Die Vorschriften nennen keine allgemeingültige Anzahl Minuten oder Stunden. DiveLogix360 muss deshalb messbare interne Ziele festlegen, begründen, technisch umsetzen und durch Wiederherstellungstests nachweisen.

Begriffe¶

Recovery Point Objective (RPO, Wiederherstellungspunktziel): maximal tolerierter Zeitraum zwischen dem letzten wiederherstellbaren Datenstand und dem Ausfall.
Recovery Time Objective (RTO, Wiederherstellungszeitziel): maximal tolerierter Zeitraum vom Start der Wiederherstellung bis zur geprüften Betriebsbereitschaft.
Point-in-Time Recovery (PITR, Wiederherstellung auf einen bestimmten Zeitpunkt): Wiederherstellung einer Datenbank aus Basissicherung und fortlaufend archivierten Transaktionsprotokollen.

Entscheidung für V1¶

Für produktive UC00-Daten gelten als allgemeine Obergrenzen ein RPO von höchstens einer Stunde und ein RTO von höchstens acht Stunden.
Diese Werte sind interne risikobasierte V1-Schutzziele und keine gesetzlich vorgegebenen Zahlen.
PostgreSQL verwendet fortlaufende Write-Ahead-Log-Archivierung (WAL-Archivierung) für PITR, ergänzt durch tägliche Sicherungen und mindestens wöchentliche Vollsicherungen.
Verschlüsselte Datenbank- und erforderliche Objektbackups werden in einem separaten privaten Hetzner-Object-Storage-Bucket am Standort Falkenstein (fsn1) abgelegt. Der produktive Objektspeicher bleibt in Nürnberg (nbg1).
Backupschlüssel werden getrennt von den Backups über AWS Key Management Service (AWS KMS) in Frankfurt (eu-central-1) geschützt. Klartextschlüssel werden nicht persistiert oder protokolliert.
Produktive PITR-Daten werden sieben Tage, verschlüsselte rollierende Backups höchstens 35 Tage aufbewahrt. Planmässig gelöschte Primärdaten laufen spätestens nach 35 Tagen aus Backups aus und dürfen bei einer Wiederherstellung nicht unkontrolliert reaktiviert werden.
Hetzner-Cloud-Server-Backups dürfen ergänzend verwendet werden, sind wegen täglicher Erstellung, sieben Sicherungsständen und nicht enthaltenen Volumes aber kein ausreichendes primäres Datenbank-Backup.
Fehlgeschlagene, verspätete, unvollständige oder nicht entschlüsselbare Sicherungen lösen einen Alarm an eine verantwortliche Person aus.

Risikobasierte Datenklassenmatrix¶

Datenklasse	Änderung und Verlustfolge	RPO	RTO	Zusätzliche Regel
Benutzer, Tenant und Onboarding	Laufende Änderungen; Verlust verursacht Wiederholung, falsche Status oder Zugriffsprobleme	Höchstens 1 Stunde	Höchstens 8 Stunden	PITR und tägliche Sicherung
Bestätigte Vertragsabschlüsse	Nicht ohne Beweisrisiko rekonstruierbar	Kein bewusst akzeptierter Verlust nach Erfolgsbestätigung	Höchstens 8 Stunden	Erfolgsantwort erst nach dauerhafter Speicherung von Vertragsdatensatz, PDF-Objekt und Auditnachweis
Vertragsdokumente und Offboarding-Exporte	Rechtlich beziehungsweise betrieblich nachweisrelevant	Kein bewusst akzeptierter Verlust nach bestätigter Ablage	Höchstens 8 Stunden	Versionierung, Integritätsprüfung und getrennte Objektaufbewahrung
Vertrags- und Datenschutzaudit	Nachweis von Entscheidungen, Zugriffen und Löschungen	Höchstens 1 Stunde für Ereignisse; täglicher Sammelnachweis reproduzierbar	Höchstens 8 Stunden	Transaktionale Ereignisspeicherung und erneute Versiegelung
E-Mail-Versandnachweise	Zustellung kann kontrolliert wiederholt werden	Höchstens 1 Stunde	Höchstens 8 Stunden	Keine Nachrichteninhalte oder Geheimnisse im Nachweis
Rein technische Systemprotokolle	Teilweise reproduzierbar, geringere fachliche Kritikalität	Je festgelegter Protokollklasse höchstens 1 bis 24 Stunden	Höchstens 24 Stunden	Sicherheitsrelevante Ereignisse folgen der strengeren Auditklasse

Dauerhafte Speicherung eines Vertragsabschlusses¶

Ein Vertragsabschluss darf erst als erfolgreich bestätigt werden, wenn:

der Vertragsdatensatz und seine unveränderlichen Parteiendaten dauerhaft in SQL gespeichert sind;
die vollständige PDF-Kopie verschlüsselt und mit Integritäts-Hash im privaten Objektspeicher abgelegt ist;
das Vertragsereignis revisionsfähig gespeichert ist;
alle Referenzen, Versionen und Hashwerte konsistent sind.

Schlägt einer dieser Schritte fehl, wird kein erfolgreicher Abschluss gemeldet. Asynchrone Teilschritte verwenden idempotente Wiederholung, Kompensation und Alarmierung. „Kein bewusst akzeptierter Verlust“ ist kein Versprechen absoluter technischer Unmöglichkeit, sondern eine verbindliche Erfolgs- und Wiederherstellungsregel.

Prüf- und Nachweispflichten¶

Backupjobs werden täglich automatisch auf Vollständigkeit, Alter, Grösse und Entschlüsselbarkeit überwacht.
Sicherungen werden monatlich technisch geprüft.
Quartalsweise wird eine dokumentierte Wiederherstellung mit gemessenem RPO und RTO durchgeführt.
Jährlich wird eine vollständige Notfallwiederherstellung von Anwendung, Datenbank, Objekten, Schlüsseln und Konfiguration erprobt.
Wiederherstellungen prüfen zusätzlich, dass bereits gelöschte oder gesperrte Daten nicht unkontrolliert produktiv reaktiviert werden.
Vor dem ersten Produktivbetrieb müssen RPO und RTO in einem vollständigen Wiederherstellungstest erreicht sein.

Datenschutz- und Produktivsperre¶

Die technische Auswahl ersetzt keine Providerfreigabe. Hetzner Object Storage in Falkenstein und die dafür verwendete AWS-KMS-Schlüsselverwaltung bleiben under_review, bis Vertrag, Regionen, Unterauftragnehmer, Supportzugriffe, Verschlüsselung, Aufbewahrung, Löschung und Wiederherstellung nachgewiesen sind.