März 5, 2026

Anhang A 8.13 Sicherung von Information

(nach ISO/IEC 27001:2022 und ISO/IEC 27002:2022)

Die Sicherung von Informationen ist eine grundlegende Maßnahme zur Gewährleistung der Verfügbarkeit und Integrität von Informationen. Ohne geeignete Sicherungsmaßnahmen können Informationen durch technische Fehler, menschliche Fehlhandlungen, Schadsoftware oder physische Ereignisse verloren gehen. Dieses Control stellt sicher, dass Informationen regelmäßig gesichert und im Bedarfsfall zuverlässig wiederhergestellt werden können.

Zweck des Controls

A 8.13 soll gewährleisten, dass Informationen und informationsverarbeitende Systeme durch geeignete Sicherungsmaßnahmen geschützt sind. Ziel ist es, Datenverluste zu verhindern, die Wiederherstellbarkeit sicherzustellen und die Auswirkungen von Störungen oder Sicherheitsvorfällen zu minimieren.

Anforderungen und Maßnahmen

1. Festlegung einer Sicherungsstrategie

Organisationen müssen eine Sicherungsstrategie definieren, insbesondere:

  • Ziele der Informationssicherung
  • zu sichernde Informationen und Systeme
  • Sicherungsintervalle und -arten
  • Aufbewahrungsfristen
  • Verantwortlichkeiten

Die Strategie muss dokumentiert und bekannt sein.

2. Identifikation und Klassifizierung zu sichernder Informationen

Zu sichernde Informationen müssen identifiziert werden:

  • Berücksichtigung der Informationsklassifizierung
  • Priorisierung kritischer Informationen
  • Abhängigkeiten zwischen Daten und Systemen
  • Anforderungen aus Geschäftsprozessen

Dies stellt eine risikoorientierte Sicherung sicher.

3. Durchführung regelmäßiger Sicherungen

Sicherungen müssen regelmäßig durchgeführt werden:

  • automatisierte Sicherungsprozesse
  • Sicherung in definierten Intervallen
  • Überwachung des Sicherungserfolgs
  • Protokollierung der Sicherungen

So wird die Verfügbarkeit gewährleistet.

4. Schutz der Sicherungen

Sicherungskopien müssen geschützt werden:

  • Schutz vor unbefugtem Zugriff
  • physischer und logischer Schutz
  • Verschlüsselung, sofern erforderlich
  • getrennte Aufbewahrung von Primärdaten

Dies verhindert Missbrauch oder Manipulation.

5. Aufbewahrung und Standort der Sicherungen

Die Aufbewahrung von Sicherungen muss geregelt sein:

  • Festlegung sicherer Speicherorte
  • Trennung von Produktionssystemen
  • Berücksichtigung externer oder ausgelagerter Standorte
  • Einhaltung rechtlicher Anforderungen

So werden Risiken durch Standortausfälle reduziert.

6. Wiederherstellung und Tests

Die Wiederherstellbarkeit muss regelmäßig geprüft werden:

  • Durchführung von Wiederherstellungstests
  • Überprüfung der Datenintegrität
  • Dokumentation der Testergebnisse
  • Anpassung der Sicherungsstrategie bei Bedarf

Tests sind entscheidend für Wirksamkeit.

7. Umgang mit Änderungen und Ausnahmen

Änderungen an Sicherungsprozessen müssen geregelt sein:

  • Anpassung bei System- oder Prozessänderungen
  • dokumentierte Ausnahmen
  • Bewertung der Auswirkungen auf die Sicherheit
  • Genehmigung durch zuständige Stellen

So bleibt die Sicherung aktuell.

8. Dokumentation und Integration ins ISMS

Sicherungsmaßnahmen müssen dokumentiert sein:

  • Sicherungsstrategie und Verfahren
  • Nachweise über Sicherungen und Tests
  • Verantwortlichkeiten
  • Integration in Risiko- und Sicherheitsprozesse

Die Dokumentation unterstützt Audits und Nachvollziehbarkeit.

Zusammenfassung

A 8.13 fordert, dass Organisationen Informationen systematisch sichern, um Datenverluste zu vermeiden und die Wiederherstellbarkeit sicherzustellen. Durch eine klare Sicherungsstrategie, regelmäßige Sicherungen, Schutz der Sicherungskopien, regelmäßige Tests sowie umfassende Dokumentation wird sichergestellt, dass Informationen auch bei Störungen oder Sicherheitsvorfällen verfügbar bleiben. Das Control ist ein zentraler Bestandteil der technischen Sicherheitsmaßnahmen im Informationssicherheitsmanagementsystem.

Auditor prüft die Nachweis-Checkliste im ISO-27001-Audit
A 8.13 · in der Praxis

Was der Auditor hier sehen will

Vier Fragen, die im Zertifizierungsaudit zu A 8.13 tatsächlich gestellt werden – und woran sie sich entscheiden.

„Was wird wie oft gesichert – und woher kommt der Turnus?“
Der Sicherungsturnus muss aus dem zulässigen Datenverlust folgen, nicht aus Gewohnheit.
„Wann haben Sie zuletzt eine Rückspielung getestet?“
Das ist die entscheidende Frage. Eine Sicherung ohne erfolgreichen Rücksicherungstest ist unbewiesen.
„Wie sind die Sicherungen vor Verschlüsselung durch Angreifer geschützt?“
Offline- oder unveränderliche Kopien sind heute Stand der Technik. Sicherungen im selben Netz sind mit betroffen.
„Wo lagern die Sicherungen?“
Räumliche Trennung gehört dazu – ein Brand darf nicht Original und Kopie treffen.
Das Dokument dazu

A 8.13-1 Backup Richtlinie

Sicherungskonzept mit Umfang, Turnus und Aufbewahrung · Rücksicherungstests mit Nachweis · Schutz der Sicherungen vor Manipulation und räumliche Trennung. In der ISMS-Plattform entsteht das Dokument aus Ihren Angaben und ist mit dem Control und seinen Nachweisen verknüpft.

Sie arbeiten die Norm gerade durch? Alle Klauseln und Controls im Überblick