DRP und BCP

Ausgelagerter DRP: Vorteile und Grenzen

Bei einem ausgelagerten DRP überträgt man einem Dienstleister den Ort, an dem die Server wieder anlaufen, und oft auch die Aufbewahrung der Kopien. Einem KMU erspart das den Kauf eines zweiten Serverraums. Es erspart ihm nicht, zu wissen, wer auslöst, wo der Schlüssel liegt und ob der letzte Test erfolgreich war.

Aktualisiert im Oktober 20264 Min. Lesezeit5 zitierte Quellen

Das Wichtigste

Vorteile: kein zweites Gebäude, Kosten vor allem nutzungsabhängig, Kopien bereits extern, Tests ohne eigene Hardware.
Grenzen: Der RPO bleibt der der Sicherung, die RTO hängt von Personen und Servicezeiten ab, der Schlüssel liegt in Ihrer Verantwortung.
Die ANSSI, die nationale Cybersicherheitsbehörde Frankreichs, empfiehlt, vor dem Versand an den Dienstleister zu verschlüsseln und zu prüfen, ob die Wiederherstellungsdauer mit Ihrer tolerierbaren Ausfallzeit vereinbar ist.
Der Vertrag muss die Hosting-Standorte auflisten, die Reversibilität regeln und, wenn personenbezogene Daten verarbeitet werden, die Klauseln nach Artikel 28 DSGVO enthalten.
Ein automatischer Starttest ist kein fachlicher Test.

Vorteile

Kein zweites Gebäude. Die Instanzen existieren beim Dienstleister. Am Tag des Schadensfalls muss niemand losrennen, um einen Server zu kaufen.
Kosten vor allem nutzungsabhängig. In einem Modell mit tageweiser Aktivierung kosten Monate ohne Vorfall die Vorbereitung (Speicher, Agenten, Adressen), nicht eine laufende Serverflotte.
Kopien bereits extern. DRP und ausgelagerte Datensicherung speisen sich gegenseitig. Es werden keine Bänder transportiert.
Technische Tests ohne eigene Hardware möglich. Ein Image beim Dienstleister zu starten, erfordert keinen Testserver im Abstellraum.
Gewählte geografische Zone. Nützlich, wenn Gesetz oder Vertrag ein Land vorschreiben, sofern der Vertrag dies tatsächlich festhält. Die ANSSI empfiehlt, vom Dienstleister die Liste aller Speicherorte der Daten zu verlangen, einschließlich Haupt- und Ausweichstandorten.

Grenzen

Der RPO ist keine Zauberei. Er entspricht dem Alter der gewählten Sicherung. Der Dienstleister rekonstruiert keine Eingaben, die nie kopiert wurden.
Die RTO hängt von Personen ab. Ist die einzige berechtigte Person nicht erreichbar, startet die Instanz nicht. Die Auslagerung schafft keine Rufbereitschaft, die Sie nicht gekauft haben. Bei einem Dienstleister, der werktags von 9:00 bis 17:30 Uhr erreichbar ist, wartet ein Schadensfall am Samstagabend, sofern nichts anderes vereinbart ist. Die ANSSI mahnt hier zur Wachsamkeit: Die Wiederherstellungsdauer beim Dienstleister muss mit Ihrer maximal tolerierbaren Ausfallzeit vereinbar sein.
Der Schlüssel. Wenn nur Sie entschlüsseln können, können nur Sie wiederherstellen. Die ANSSI empfiehlt ausdrücklich, die Sicherungen mit einem eigenen Mittel des Unternehmens zu verschlüsseln, bevor sie an den Dienstleister gehen. Das schützt vor unbefugtem Lesen. Es ist aber auch eine Verantwortung: Schlüssel verloren, DRP unbrauchbar. Ein seriöser Dienstleister wird Ihnen nicht anbieten, den Schlüssel „als Notlösung“ aufzubewahren, ohne zu erklären, dass er die Daten dann lesen kann.
Das Netzwerk. Die Benutzer müssen die Notfallumgebung erreichen. Ein ausgelagerter DRP ohne vorgesehene IP und ohne getestetes VPN stellt Server wieder her, die niemand erreicht.
Die Rückkehr. Die Rückkehr an den reparierten Standort, mit den zwischenzeitlich erfassten Daten, ist ein eigenes Projekt. Verträge sprechen viel über die Umschaltung hin, wenig über die Rückkehr.
Der Starttest ist kein fachlicher Test. Eine automatische monatliche Prüfung des Starts ist ein echtes Plus. Sie beweist nicht, dass die Fachanwendung funktioniert.
Die Abhängigkeit. Ein Wechsel des Dienstleisters erfordert, die Kopien erneut einzulesen. Der Vertrag muss festlegen, innerhalb welcher Frist und in welcher Form Sie mit Ihren Daten gehen: Das nennt die ANSSI Reversibilität, die Möglichkeit, die ausgelagerte Funktion zurückzunehmen oder einem Dritten zu übertragen, mit Unterstützung des Dienstleisters während der Migration.

Was der Vertrag enthalten muss

Der Leitfaden der ANSSI zur Auslagerung empfiehlt, dem Vertrag einen Sicherheitsplan (französisch „PAS“) beizufügen und die Prüfung der Sicherungs- und Notfallverfahren vorzusehen. Enthalten die Kopien personenbezogene Daten, was fast immer der Fall ist, ist der Dienstleister ein Auftragsverarbeiter im Sinne der DSGVO. Artikel 28 schreibt dann einen schriftlichen Vertrag vor, und der Leitfaden für Auftragsverarbeiter der CNIL, der französischen Datenschutzbehörde, beschreibt dessen Inhalt im Detail.

Punkt	Warum	Wo prüfen
Hosting-Standorte, Haupt- und Ausweichstandort	Gesetzliche oder vertragliche Standortvorgabe	Vertrag, Sicherheitsplan
Support- und Aktivierungszeiten	Sie sind Teil der tatsächlichen RTO	Leistungsbedingungen
Enthaltene Tests und Tests gegen Angebot	Die RTO vor dem Schadensfall messen	Kommerzielles Angebot
Besitz des Verschlüsselungsschlüssels	Vertraulichkeit und Wiederherstellungsfähigkeit	Vertrag, internes Verfahren
Reversibilität	Bei einem Wechsel mit den eigenen Daten gehen	Eigene Klausel
Verbleib der Daten bei Vertragsende	DSGVO: Rückgabe oder Löschung aller Kopien	Auftragsverarbeitungsvertrag
Weitere Auftragsverarbeiter	DSGVO: vorherige schriftliche Genehmigung	Auftragsverarbeitungsvertrag
Benachrichtigung bei einer Verletzung	DSGVO: Der Auftragsverarbeiter informiert den Kunden	Auftragsverarbeitungsvertrag

Artikel 32 DSGVO verlangt darüber hinaus die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen rasch wiederherzustellen, sowie ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der Maßnahmen. Ein ausgelagerter DRP trägt dazu bei, wenn er tatsächlich getestet wird.

Wann er die richtige Wahl ist

KMU ohne zweiten Serverraum, ein bis einige Server, deren Ausfall sich in Stunden und nicht in Minuten bemisst, und der Wunsch, nicht in ungenutzte Hardware zu investieren. Bemisst sich der Ausfall in Minuten, sollten Sie eher einen BCP prüfen, im Wissen um seine laufenden Kosten: siehe Ausgelagerter BCP: Vorteile und Grenzen.

Bei WeDoBack

Der ausgelagerte DRP entspricht dem veröffentlichten Angebot PRA: Speicher ab 175 € zzgl. MwSt. pro TB und Monat, Agenten, öffentliche IP-Adressen zu 0,54 € zzgl. MwSt. pro Monat, Instanzen, Aktivierung im Schadensfall mit Abrechnung pro Tag, monatlicher Starttest ohne Eingriff in die Produktion, Test unter realen Bedingungen von bis zu 10 Stunden gegen Angebot. Die Daten werden vor dem Versand auf dem Rechner verschlüsselt, mit einem Schlüssel im Besitz des Kunden, und auf Servern gespeichert, die der Datensicherung vorbehalten sind, redundant in mehreren europäischen Ländern oder in der von der Gesetzgebung des Kunden vorgeschriebenen Zone. Die genutzten Rechenzentren und Lösungen sind nach ISO 27001 und HDS (französische Zertifizierung für das Hosting von Gesundheitsdaten) zertifiziert, und die Verarbeitung erfolgt gemäß DSGVO. Der persönliche Support ist von 9:00 bis 13:00 Uhr und von 14:00 bis 17:30 Uhr (Pariser Zeit) erreichbar. Diese Zeiten sind Teil der tatsächlichen RTO. Sie sollten vor der Unterschrift gelesen werden, nicht nach dem Schadensfall.

Das PRA-Angebot entdecken Ein Angebot anfordern

Häufige Fragen

Welche Klauseln sollte man in einem Vertrag über einen ausgelagerten DRP prüfen?

Die Hosting-Standorte (Haupt- und Ausweichstandort), die Support- und Aktivierungszeiten, die Art der Auslösung, die enthaltenen Tests, die Reversibilität (in welcher Form und innerhalb welcher Frist Sie Ihre Daten zurückerhalten) und, für personenbezogene Daten, die Klauseln der DSGVO: dokumentierte Weisungen, Sicherheit, weitere Auftragsverarbeiter, Verbleib der Daten bei Vertragsende.

Darf der Dienstleister den Verschlüsselungsschlüssel zur Sicherheit aufbewahren?

Er darf es, kann dann aber Ihre Daten lesen. Wenn nur Sie den Schlüssel besitzen, kann niemand sonst die Kopien entschlüsseln, aber Sie müssen ihn sicher und außerhalb des Standorts aufbewahren, mit mindestens zwei Personen, die ihn wiederfinden können. Die ANSSI, die französische Behörde für Cybersicherheit, empfiehlt die Verschlüsselung mit einem eigenen Mittel des Unternehmens vor dem Versand.

Reicht ein ausgelagerter DRP für die DSGVO-Konformität aus?

Er trägt zu Artikel 32 bei, der Maßnahmen verlangt, um die Verfügbarkeit personenbezogener Daten rasch wiederherzustellen, sowie ein Verfahren zur regelmäßigen Überprüfung der Maßnahmen. Allein reicht er nicht: Es braucht außerdem einen Auftragsverarbeitungsvertrag nach Artikel 28, ein Verzeichnis der Verletzungen und dokumentierte Tests.

Weiterführende Ratgeber

Quellen

Dokumente eingesehen im Oktober 2026.

Auslagerung und Sicherheit von Informationssystemen: ein Leitfaden zur Risikobeherrschung (2010, auf Französisch) — ANSSI (französische Behörde)
Datensicherung von Informationssystemen – Die Grundlagen (ANSSI-BP-100, v1.1, 27. November 2025, auf Französisch) — ANSSI (französische Behörde)
Europäische Datenschutz-Grundverordnung – Leitfaden für Auftragsverarbeiter (Ausgabe September 2017, auf Französisch) — CNIL (französische Datenschutzbehörde)
Verordnung (EU) 2016/679 (DSGVO), Artikel 28 und 32 — EUR-Lex
Angebot PRA: Wiederaufnahme des Betriebs nach einem Schadensfall — WeDoBack

Ein Projekt zu Sicherung, DRP oder BCP?

Über 20 Jahre Erfahrung im Schutz von Unternehmensdaten.

Angebot anfordern +33 9 72 50 78 28

Schützen Sie Ihre Daten mit WeDoBack

Verschlüsselte externe Sicherung, unveränderlicher Speicher, DRP und BCP: Beschreiben Sie uns Ihre Server, wir schlagen Ihnen die passende Kombination vor.

Angebot anfordern Angebote und Preise ansehen