HYBRID BACKUP & RECOVERY RECHTLICHE ASPEKTE DER DATENSICHERUNG BACKUPSTRATEGIEN FÜR KLEINE UND MITTLERE UNTERNEHMEN

Transkript

1 RECHTLICHE ASPEKTE DER DATENSICHERUNG BACKUPSTRATEGIEN FÜR KLEINE UND MITTLERE UNTERNEHMEN Stand: Oktober 2015

2 INHALT EINLEITUNG ZU SICHERNDE DATEN UND DOKUMENTE IM UNTERNEHMEN DIE RECHTLICHEN RAHMENBEDINGUNGEN DER BEGRIFF DER REVISIONSSICHERHEIT ZERTIFIZIERUNG DER REVISIONSSICHERHEIT RECHTE AN DEN DATEN GEEIGNETE SPEICHER- UND SICHERUNGSVERFAHREN ONSITE-BACKUPS OFFSITE-BACKUPS DIE CLOUD DER HYBRIDE ANSATZ BACKUP-LÖSUNGEN VON CARBONITE ÜBERSICHT RECHTLICHER RAHMENBEDINGUNGEN 2015 Carbonite Germany GmbH. Aussagen über Ausstattung und technische Funktionalitäten sind unverbindlich und dienen nur der Information. Änderungen vorbehalten. Die Inhalte dieses Artikels wurden mit größter Sorgfalt recherchiert. Dennoch kann keine Haftung für die Richtigkeit, Vollständigkeit und Aktualität der bereit gestellten rechtlichen Informationen übernommen werden. Die Informationen sind insbesondere allgemeiner Art, dienen allein informatorischen Zwecken und stellen keine Rechtsberatung im Einzelfall dar. Bei konkreten Rechtsfragen konsultieren Sie bitte einen Rechtsanwalt.

3 EINLEITUNG Nahezu alle Prozesse in Unternehmen sind heute elektronisch gesteuert. Entsprechend groß ist auch die Menge der dabei anfallenden elektronischen Daten. Gleichzeitig sind diese Daten zu speichern und zu sichern. Auch kleine und mittlere Unternehmen haben es in vielen Geschäftsbereichen mit rechtlichen Rahmenbedingungen zu tun, die sie zur revisionssicheren und rechtskonformen Aufbewahrung geschäftlicher Dokumente über viele Jahre hinweg verpflichten. Zur Wahrung der allgemeinen Schutz- und Sorgfaltspflicht verlangt der Gesetzgeber an dieser Stelle den regelmäßigen, geeigneten und lückenlosen Einsatz von Datensicherungsroutinen. Kommen personenbezogene Daten ins Spiel, greifen außerdem die gesetzlichen Vorgaben zum Datenschutz sowie Regelungen für eine sichere Verwahrung und Speicherung von Daten, also zur Datensicherheit. Die Verantwortung für die Einhaltung von gesetzlichen Bestimmungen und internen Richtlinien liegt bei der Geschäftsführung eines Unternehmens. Hierzu gehört auch die rechtssichere Umsetzung im Bereich der Datensicherung. Ein Unternehmen muss jederzeit plausibel darlegen können, dass es Daten durch eine definierte Backup-Strategie sichert und diese im Verlustfall zeitnah wiederherstellen kann. Ist dies nicht der Fall, können Verantwortliche gegebenenfalls in persönliche Haftung genommen werden. Im Falle erheblicher Pflichtverstöße kann sogar der Versicherungsschutz des Unternehmens und der Mitglieder des Managements gefährdet sein. Da Datensicherungssysteme neben der Absicherung des Geschäfts gleichzeitig den Bedürfnissen des Datenschutzes genügen müssen, stehen Unternehmen zudem vor der Aufgabe, geeignete Maßnahmen zu ergreifen, die unternehmenskritische und personenbezogene Daten vor Verlust und ungewollter Offenlegung schützen. Laut Bundesdatenschutzgesetz (BDSG) verantworten Unternehmen die Sicherheit personenbezogener Daten, etwa von Mitarbeitern und Kunden ( 9 BDSG Technische und organisatorische Maßnahmen). Die Anlage zu 9 BDSG sieht verschiedene Kontrollmaßnahmen vor. Dabei spielt der Stand der Technik eine entscheidende Rolle. Auf der technischen Seite sind Backup- und Disaster-Recovery-Lösungen in der Praxis häufig tragende Säulen der Umsetzung dieser Anforderungen. Datenverlust und andere Verstöße gegen das BDSG können Informationspflichten auslösen und laut Gesetz mit einem Bußgeld von bis zu Euro geahndet werden. 3

4 ZU SICHERNDE DATEN UND DOKUMENTE IM UNTERNEHMEN DIE RECHTLICHEN RAHMEN- BEDINGUNGEN Grundsätzlich sind alle Daten und Dokumente zu sichern, die gesetzlichen Aufbewahrungspflichten unterliegen oder als Beweismittel in einem Zivilprozess dienen könnten. Beispiele hierfür sind Rechnungen und Lieferscheine, die als Nachweis einer abgeschlossenen Transaktion dienen können. Aber auch andere Unterlagen sind zu sichern. Ärzte oder Rechtsanwälte müssen beispielsweise die ordnungsgemäße Beratung ihrer Patienten und Klienten dokumentieren. So regelt 10 Abs. 3 der (Muster-Berufsordnung für die in Deutschland tätigen Ärztinnen und Ärzte (MBO-Ä 1997)), dass ärztliche Aufzeichnungen zehn Jahre lang aufzubewahren sind. All diese Dokumente müssen gesichert und revisionssicher archiviert werden. Lässt sich ein Dokument nachträglich verändern, kann die Beweiskraft der Daten eingeschränkt sein. In diesem Fall würde die Sicherung nicht den geforderten Kriterien genügen. Gesetzliche Vorschriften wie die des Handelsgesetzbuchs (HGB) über eine ordnungsgemäße, nachvollziehbare und revisionssichere Buchführung bilden den Rahmen für die Pflicht zur Datensicherung im Unternehmen. So regelt es beispielsweise die Aufbewahrungsfristen von kaufmännischen Dokumenten. Nach 257 Abs. 1 Nr. 2 und 3, Abs. 4 HGB sind empfangene Handelsbriefe und Wiedergaben (Kopien, Durchschriften) abgesandter Handelsbriefe sechs Jahre aufzubewahren. Durch das KonTraG (Gesetz zur Kontrolle und Transparenz im Unternehmensbereich) wurden insbesondere einige Vorschriften des Handelsgesetzbuches und des Aktiengesetzes präzisiert und erweitert. Die Aufbewahrungsfristen von bestimmten Daten können bis zu zehn Jahre betragen. Ferner unterliegen in der Bundesrepublik Deutschland alle Dokumente, die sich mit dem Thema Steuern in Verbindung bringen lassen, den Grundsätzen zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff (GoBD). Es handelt sich dabei um eine für Behörden verbindliche Verwaltungsanweisung des Bundesfinanzministeriums (BMF), die die Anforderungen der Finanzverwaltung an eine IT-gestützte Buchführung darstellt. Sie hat damit faktisch enorme Auswirkungen auf die Wirtschaft. Die GoBD gelten seit dem 1. Januar Abgelöst wurden dadurch die GDPdU (Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen), die am 1. Januar 2002 in Kraft traten. Damit wurden seinerzeit Rechtsnormen aus der Abgabenordnung und dem Umsatzsteuergesetz zur digitalen Aufbewahrung von Buchhaltungen, Buchungsbelegen und Rechnungen konkretisiert. Die Grundsätze ordnungsmäßiger DV-gestützter Buchführungssysteme (GoBS) wurden ebenfalls durch die GoBD abgelöst. Die GoBD umfassen Regeln zur Aufbewahrung und Archivierung handelsund steuerrechtlich relevanter digitaler Unterlagen und zur Mitwirkung von Steuerpflichtigen bei Betriebsprüfungen. Im Kern geht es darum, dass einem Betriebsprüfer jederzeit lesender Zugriff auf alle digitalen Unterlagen von steuerlicher Bedeutung gewährt werden muss. Dokumente müssen entsprechend so gesichert werden, dass auf die Archive jederzeit zugegriffen werden kann. Zugleich fordern die GoBD sogar, dass Dokumente, die etwa in einem Dokumenten-Management-System abgelegt sind, nicht mehr lediglich in Papierform aufbewahrt werden dürfen, sondern elektronisch zu archivieren sind. 4

5 Allerdings dürfte es kein Unternehmen geben, in dem die Regelungen zu 100 Prozent erfüllt sind. Denn beispielsweise gehören zu den steuerlich relevanten digitalen Unterlagen auch alle Mails, die Vorgänge von steuerlicher Bedeutung betreffen. Bei Unterlagen, die im Rahmen einer Betriebsprüfung üblicherweise eine Rolle spielen, sollten sich Unternehmen aber an die strengen Anforderungen der GoBD halten. Letztlich geht es bei der Betrachtung rechtlicher Aspekte der Datensicherung um zwei Fragen: Was kann getan werden und was muss getan werden. Verbleiben die Daten im Unternehmen, können alle Daten gesichert werden, die legal gespeichert wurden. DER BEGRIFF DER REVISIONSSICHERHEIT Vielfach genutzt, wird der Begriff der Revisionssicherheit oft mit unterschiedlichen Bedeutungen versehen. Der Gesetzgeber orientiert sich allerdings klar am Verständnis der Revision aus ökonomischer Sicht. Er bezieht sich daher auf aufbewahrungspflichtige Daten und Dokumente des handelsund steuerrechtlichen Bereichs sowie auf deren Archivierung in elektronischen Systemen. In Deutschland muss diese Archivierung, wie bereits erwähnt, den Anforderungen des Handelsgesetzbuches, der Abgabenordnung (AO) und den GoBD (die in Nr von Unveränderbarkeit sprechen) sowie weiteren steuerrechtlichen, handelsrechtlichen und gesellschaftsrechtlichen Vorgaben entsprechen. Revisionssicherheit ist dabei im gesamten Archivierungsprozess einzuhalten. Sie betrifft damit sowohl die Art und Weise der Datenarchivierung als auch die technische Durchführung. Zu diesem Zweck haben Unternehmen also auch für zuverlässige Prozesse, eine ordnungsgemäße Nutzung und den sicheren Betrieb der eingesetzten Lösung zu sorgen. Revisionssichere Systeme kennzeichnen sich hauptsächlich dadurch, dass elektronische Informationen wieder auffindbar, nachvollziehbar, unveränderbar und verfälschungssicher archiviert sind. In Anlehnung an das HGB lassen sich folgende Kriterien benennen: - Ordnungsmäßigkeit - Vollständigkeit - Sicherheit des Verfahrens - Schutz vor Verfälschung, Veränderung und Verlust - Nutzung nur durch Berechtigte - Einhaltung der Aufbewahrungsfristen - Dokumentation des Verfahrens - Nachvollziehbarkeit und Prüfbarkeit 5

6 ZERTIFIZIERUNG DER REVISIONSSICHERHEIT Allgemeingültige Zertifizierungen der Revisionssicherheit gibt es nicht, denn der konkrete Einsatz beim Anwender, seine Verfahren, Informationen und Prozesse sowie der sichere Betrieb sind wesentlicher Bestandteil der Revisionssicherheit. Ob die Revisionssicherheit nach Maßgabe des Gesetzgebers erfüllt ist, ist für jedes Unternehmen im konkreten Einzelfall zu bewerten. In der Praxis übernehmen in aller Regel Wirtschaftsprüfer die Überprüfung und Zertifizierung von elektronischen Archivsystemen beim Anwender vor Ort. Vom Fachausschuss für Informationstechnologie des Instituts der Wirtschaftsprüfer in Deutschland e.v. (IDW) gibt hierfür eine eigene Vorgabe. Zu finden ist sie in der Stellungnahme zur Rechnungslegung: Grundsätze ordnungsgemäßer Buchführung bei Einsatz von Informationstechnologie (IDW RS FAIT 1). Aber auch der TÜViT kann die Einhaltung der Revisionssicherheit auf Basis einer Verfahrensdokumentation zertifizieren. Dies geschieht auf der Grundlage der Prüfkriterien für Dokumentenmanagement-Lösungen (PK-DML) des VOI e.v. (Verband Organisations- und Informationssysteme). RECHTE AN DEN DATEN In Deutschland können Rechte an Daten unter anderem durch das Urheberrechtsgesetz (UrhG) und andere Gesetze zum Schutz von Immaterialgütern sowie durch Vorschriften des Strafgesetzbuches (StGB) geschützt sein. Sie regeln und beschränken, wie der Urheber, sein Arbeitgeber, eventuelle Auftraggeber und andere Dritte über die Daten verfügen dürfen. Ein zwingender Zusammenhang zwischen dem Eigentum am Datenträger, auf dem Daten gespeichert werden, und der Verfügungsbefugnis besteht nicht. Hat ein Verfügungsberechtigter die Daten rechtmäßig auf einem Fremddatenträger gespeichert, ist er unverändert Rechteinhaber. GEEIGNETE SPEICHER- UND SICHERUNGS- VERFAHREN Eine rechtskonforme Backup-Strategie sollte Datensicherheit mit größtmöglicher Verfügbarkeit und Produktivität verbinden sowie gleichzeitig die besonderen Schutzanforderungen von Daten mit Personenbezug berücksichtigen. Orientierung liefert die Regel. Geschäftskritische Daten sollten dreimal existieren und auf zwei verschiedenen Medien gespeichert werden, eines davon immer offsite, also an einem Ort fernab der Produktivsysteme. ONSITE-BACKUPS IM EIGENEN UNTERNEHMEN Sogenannte Onsite-Backups sind beliebt, da ein Unternehmen bei der Archivierung im eigenen Haus die Kontrolle über die Daten behält. Genutzt werden dabei meist externe Datenträger oder Netzwerkspeichersysteme. Insbesondere NAS- (Network Attached Storage) und SAN-Systeme (Storage Attached Network) sind hier eine gute Wahl, da sie als geteilte Ressourcen hohe Flexibilität bieten und die Produktivität steigern. Reine Onsite-Backups im Unternehmen genügen den skizzierten Sicherheitsund Rechtsansprüchen allerdings nicht, denn lokale Speicherressourcen sind jederzeit durch klassische Gefahren wie Diebstahl oder Brand bedroht. Auch die zunehmende Vernetzung der Arbeitswelt über das Internet erhöht die Risiken für Daten in Unternehmensnetzwerken erheblich. Selbst die beste Gefahrenabwehr bietet hier keinen hundertprozentigen Schutz. 6

7 OFFSITE-BACKUPS AUSSER HAUS Aus diesem Grund sichern viele Unternehmen ihre Daten außer Haus, also offsite. Bei traditionellen Verfahren werden Daten auf externen Medien, etwa Magnetbändern oder optischen Datenträgern, gespeichert und an speziell gesicherten Orten verwahrt. Für kleine und mittlere Betriebe ist dies allerdings eine sehr aufwändige Sicherungsmethode. Zudem können herkömmliche Backup-Prozesse die Produktivumgebung beeinträchtigen. Daher wird diese Form des Offsite-Backups oft nur wöchentlich durchgeführt. Kurze Wiederherstellungszeiträume, die aus rechtlichen Gründen gefordert sein können, lassen sich so kaum wirtschaftlich umsetzen. DIE SICHERUNG IN DER CLOUD Für kleine und mittlere Unternehmen empfiehlt sich daher ein online- oder Cloud-basiertes Vorgehen. Da VPN- oder WAN-Verbindungen für diese meist zu kostspielig sind, werden die Daten via Internet an das Rechenzentrum übertragen. Wichtig ist daher, dass der Dienstanbieter zuverlässige Verschlüsselungsmethoden und eine effektive Datenkompression verwendet. Nur so können Daten schnell und geschützt über das Web ins Rechenzentrum übertragen werden. Der Austausch von Daten zwischen Client und Rechenzentrum sollte daher über eine verschlüsselte SSL-Verbindung erfolgen. Zum Schutz der Online-Sicherungssätze empfiehlt sich außerdem eine Vorverschlüsselung auf Dateisystemebene mit 256-Bit AES. Deutsche Unternehmen, die ihre Daten langfristig und rechtskonform im Cloud-Speicher archivieren möchten, sollten zudem darauf achten, dass das Rechenzentrum des gewählten Anbieters in Deutschland steht und die Daten nach deutschen Datenschutzvorgaben gesichert werden. Orientierung bieten hier Zertifizierungen wie die ISO/IEC und das BDSG. DER HYBRIDE ANSATZ Ein reines Online-Backup ist aber ebenso wenig eine konsistente Backup- Strategie wie die rein lokale Datenhaltung. Fallen die Verbindung zum Dienst oder der Service auf Seiten des Anbieters aus, kann die Geschäftstätigkeit von Unternehmen empfindlich gestört werden. Eine optimale Strategie besteht daher aus zwei Komponenten. Aus dem parallelen Einsatz einer Onsite-Sicherung auf lokalen Netzwerkspeichern und aus dem verschlüsselten Offsite-Backup in einem hochsicheren Rechenzentrum. Hybride Backupund Recovery-Lösungen mit webbasierten Backups bieten auch kleinen Betrieben eine komfortable und kostengünstige Möglichkeit, eine konsistente Backup-Strategie umzusetzen. 7

8 BACKUP-LÖSUNGEN VON CARBONITE Als einer der führenden Anbieter von hybriden Backup-Lösungen betreut Carbonite weltweit ca. 1,5 Millionen Kunden. Online-Backups werden von Carbonite in einem hochsicheren deutschen Rechenzentrum gespeichert. Datenverluste durch Diebstahl, Brand, Cyberangriffe oder Computerviren, die für lokale Backups ein hohes Risiko bedeuten, können so nahezu ausgeschlossen werden. Eine gesicherte SSL-Datenübertragung über das Internet, eine verschlüsselte Archivierung im Rechenzentrum und eine optional zusätzliche Private- Key-Verschlüsselung garantieren maximalen Datenschutz. Dank private Key hat nur der Kunde Zugriff auf seine Daten. Online gesicherte Daten sind stets verfügbar. Gehen lokale Daten verloren, lassen sich diese schnell und einfach wiederherstellen. Dazu muss nur das entsprechende Backup ausgewählt und der gewünschte Zielort bestimmt werden. Schon befinden sich Dateien und Ordner in kürzester Zeit wieder auf dem lokalen System. Online-Backups können mit Carbonite Server Backup vollständig automatisiert werden. Für jeden Sicherungssatz kann dabei ein individueller Zeitplan zur Ausführung und zur Archivierungsdauer festgelegt werden. Einmal konfiguriert, muss sich der Nutzer um die Datensicherung nicht mehr kümmern. Mit Carbonite Server Backup lassen sich Online-Backups leicht überwachen. Automatisch erstellte Berichte im Client oder per halten Nutzer jederzeit über den aktuellen Stand ihrer Backups auf dem Laufenden. Anwender haben zudem die Möglichkeit, mehrere Versionen ihrer Daten zu sichern. Geänderte Daten können als neues Backup gespeichert werden. So ist es möglich, den Verlauf von Arbeitsprozessen detailliert nachzuvollziehen. Online-Backups mit Carbonite Server Backup sind günstig. Mit einer Jahreslizenz erhält der Kunde eine vollständige Datensicherungslösung, ohne selbst in Hardoder Software investieren zu müssen. Online-Speicher ist im Preis inbegriffen und kann jederzeit erweitert werden. Alle Schnittstellen für Exchange, SQL, Office 365 oder Hyper-V sind im Funktionsumfang enthalten. 8

9 ÜBERSICHT RECHTLICHER RAHMENBEDINGUNGEN Handelsgesetzbuch (HGB) Nach HGB 257 Abs. 1 Nr. 2 und 3 HGB sind Geschäftspapiere mit kaufmännischer und steuerlicher Bedeutung sechs Jahre aufzubewahren. 238, 239 HGB schreiben eine nachvollziehbare, revisionssichere Führung der Handelsbücher vor. Weitere Anforderungen an das Kontroll- und Risiko-Managementsystem wurden durch das Gesetz zur Modernisierung des Bilanzrechts (BilMoG) in das HGB eingefügt. Abgabenordnung (AO) Nach AO 147 müssen unter anderem Bücher, Aufzeichnungen, Inventare, Jahresabschlüsse, Lageberichte, die Eröffnungsbilanz und Buchungsbelege zehn Jahre aufbewahrt werden. Aktiengesetz (AktG), GmbH- Gesetz (GmbHG) sowie sonstige handels- und gesellschaftsrechtliche Gesetze Durch das Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG) wurden Aufbewahrungspflichten in die jeweiligen Gesetze eingeführt. Finanz- und steuerrelevante Daten sind derzeit zehn Jahre aufzubewahren. Ein Sicherheitskonzept ist erforderlich. Bundesdatenschutzgesetz (BDSG) Enthält Regelungen für die Erhebung, Verarbeitung und Nutzung personenbezogener Daten. Personenbezogene Daten sind gegen Zerstörung und Verlust zu schützen. 9 BDSG und die Anlage hierzu schreiben technische und organisatorische Maßnahmen zur Einhaltung des Datenschutzes vor. Basel II Unternehmensbezogene Daten von Banken sind zu sichern. Ein hinreichendes Notfallkonzept muss vorhanden sein. EuroSOX (Abschlussprüfungs- Richtlinie 2006/43/EG) Planungen für den langfristigen Erhalt des Betriebs sowie ein Notfallkonzept sind erforderlich. Mindestanforderungen für das Risiko-Management (MaRisk) von Kreditinstituten und Versicherungen Die BaFin (Bundesanstalt für Finanzdienstleistungsaufsicht) verlangt ein Risikomanagement. GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff) Konkretisieren die Ordnungsmäßigkeitsanforderungen der Finanzverwaltung an den Einsatz von IT bei der Buchführung und bei sonstigen Aufzeichnungen. (Muster-)Berufsordnung für die in Deutschland tätigen Ärztinnen und Ärzte (MBO-Ä 1997) Enthält Aufbewahrungspflichten für Patientendaten. 9

10 ÜBER CARBONITE GERMANY GMBH CARBONITE GERMANY GMBH GUTENBERGSTR ISMANING FON: SALES@CARBONITE.DE Carbonite ist ein führender Anbieter von Hybrid Backup- und Recovery-Lösungen für kleine und mittlere Unternehmen. Die Anwendungen verbinden lokale Backups mit Online-Datenhaltung in einem deutschen Rechenzentrum und bieten Nutzern maximalen Schutz für ihre Geschäftstätigkeit. Für optimalen Datenschutz sorgen AES 128-Bit Standardverschlüsselung und ein optionales AES 256-Bit Private Key Verfahren. Die Anwendungen bestechen durch einfache Installation und Bedienung. In wenigen Schritten lassen sich geschäftskritischen Datenbanken, Anwendungen und Server per Hot- Backup sichern. Unterstützt wird die Erstellung vollständiger Server-Images inklusive Betriebsystem, Applikationen und Einstellungen. Eine Bare Metal Recovery Funktion erlaubt die Wiederherstellung auch auf völlig neuer Server-Hardware. Carbonite Lösungen punkten mit vielen Funktionen und individuellen Einstelloptionen. Dazu gehören automatisierte Sicherungs- und Archivierungszeitpläne, Kompressionseinstellungen und ein flexibles Bandbreitenmanagement. KOSTENFREIE TESTVERSION ANFORDERN Überzeugen Sie sich von Carbonite Server Backup und testen Sie kostenlos die 30tägige Trial-Version mit vollem Funktionsumfang! 10

11 Stand: Oktober 2015