Aufbewahrungsrichtlinie für Backups: GFS, Sperrfristen und wie lange Sie welche Art von Backup aufbewahren

Aufbewahrungsrichtlinie für Backups: wie lange Sie Backups aufbewahren

Eine Aufbewahrungsrichtlinie für Backups legt je Datenklasse fest, wie lange Wiederherstellungspunkte auf jeder Kopie aufbewahrt werden und aus welchem Grund. Für die meisten Systeme eines mittelgroßen Unternehmens schlagen wir als Standard tägliche Wiederherstellungspunkte für 30 Tage und monatliche Vollsicherungen für 12 Monate nach dem Schema Großvater-Vater-Sohn (GFS) vor, jährliche Vollsicherungen nur dort, wo ein dokumentierter geschäftlicher oder rechtlicher Grund sie verlangt, und Unveränderlichkeit mit einer Sperrfrist so lang wie die kurzfristige Aufbewahrung.

Operative Wiederherstellungspunkte holen ein System nach einer fehlgeschlagenen Änderung, einer Löschung, einer Beschädigung oder einem Angriff zurück, deshalb sind sie eng getaktet und aktuell. Langfristige Punkte zeigen einen früheren Zustand noch Monate oder Jahre später, für eine Prüfung oder einen Rechtsstreit.

NIST SP 800-209 (Oktober 2020) empfiehlt einen Datensicherungsplan, der Häufigkeit und Aufbewahrung je Stufe festlegt, mit dem Beispiel „48 stündliche Snapshots, 30 tägliche Backups“, und dass jede Kopie nachverfolgt wird, „einschließlich der aktiven Löschung nicht mehr benötigter Kopien“.

Die Durchführungsverordnung (EU) 2024/2690 verlangt von den in ihrem Artikel 1 genannten Anbietern, darunter Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten und Anbieter verwalteter Dienste, im Anhang, Nummer 4.2.2 Buchstabe f, Sicherungspläne mit „Aufbewahrungsfristen entsprechend geschäftlichen und regulatorischen Anforderungen“. Die Technical Implementation Guidance der ENISA vom Juni 2025 nennt keine Zahl; zur Aufbewahrung verweist sie auf Nummer 3.2.5 zu den Protokollen, wo die Leitlinie ergänzt: „Löschen Sie Daten, wenn die Aufbewahrungsfrist endet.“

Operative Wiederherstellungspunkte und Verweildauer

Die kurzfristige Aufbewahrung entscheidet, wie weit sich ein System Tag für Tag zurücksetzen lässt; laut Veeams Benutzerhandbuch zu Version 13 legt sie fest, „wie viele Wiederherstellungspunkte Sie auf der Platte aufbewahren wollen und damit, wie ‚weit‘ Sie zurückgehen können“.

Die Untergrenze der kurzfristigen Aufbewahrung ist die Zeit, in der ein Schaden unbemerkt bleibt. Mandiants Bericht M-Trends 2026 vom 23. März 2026 beziffert die globale mediane Verweildauer der 2025 untersuchten Fälle auf 14 Tage. Nach einem Angriff muss der Wiederherstellungspunkt vor dem Eindringen liegen, nicht nur vor der Verschlüsselung, wie unser Leitfaden zur Wiederherstellung nach Ransomware in den ersten 72 Stunden erklärt. Ein Logikfehler, der seit dem letzten Release falsche Daten geschrieben hat, braucht ebenso einen Punkt aus der Zeit vor der Änderung. Dreißig Tage mit täglichen Punkten decken den Median mit Spielraum ab, und die monatlichen GFS-Vollsicherungen reichen in gröberem Abstand weiter zurück.

Um ein Eindringen zu datieren, braucht es Protokolle, deshalb gehört ihre Aufbewahrung in dieselbe Richtlinie. Nummer 3.2.5 im Anhang der Durchführungsverordnung verlangt, die Protokolle „für einen vorab festgelegten Zeitraum“ zu führen und zu sichern, und Mandiant warnt, dass bei einer Protokollaufbewahrung von 90 Tagen der Beginn eines Einbruchs, der fast 400 Tage dauerte, nicht mehr zu sehen ist.

GFS-Aufbewahrung in Veeam: Vollsicherungen je Woche, Monat und Jahr

Veeams Benutzerhandbuch beschreibt die Aufbewahrung nach Großvater-Vater-Sohn (GFS) als Speicherung von Backup-Dateien „über Wochen, Monate und sogar Jahre“. In Veeam Backup & Replication nimmt das Feld „Retention policy“ im Schritt „Storage“ des Assistenten für Backup-Jobs die kurzfristige Aufbewahrung in Tagen auf. Die Schaltfläche „Configure“ neben „Keep certain full backups longer for archival purposes“ öffnet die Einstellungen der langfristigen Aufbewahrung (GFS); im Assistenten der Konsole aktivieren Sie zuerst dieses Kontrollkästchen.

Laut Veeams Benutzerhandbuch erzeugt GFS „keine speziellen neuen Backup-Dateien“. GFS markiert Vollsicherungen, die der Job geschrieben hat, als wöchentlich, monatlich oder jährlich, und markierte Vollsicherungen ignorieren die kurzfristige Aufbewahrung, bis ihre eigene Frist abläuft. Ein monatlicher Punkt ist deshalb eine Vollsicherung, der Stand eines einzigen Tages in diesem Monat.

Die Vollsicherungen, die markiert werden, stammen aus den Forward-Incremental-Ketten mit periodischen synthetischen oder aktiven Vollsicherungen, die ein Hardened Repository ohnehin verlangt, wie unser Leitfaden zum Veeam Hardened Repository beschreibt. Auf XFS mit Fast Clone verweist Veeam „auf vorhandene Datenblöcke auf Volumes, statt Datenblöcke zwischen Dateien zu kopieren“, sodass eine aufbewahrte synthetische GFS-Vollsicherung nur die Blöcke kostet, die kein anderes aufbewahrtes Backup enthält. Aktive Vollsicherungen nutzen Fast Clone nicht und belegen ihre volle Größe, wie derselbe Leitfaden festhält.

Backup-Copy-Jobs behalten „alle Wiederherstellungspunkte, die während der angegebenen Anzahl von Tagen erstellt wurden“, und haben eigene GFS-Einstellungen. In Version 13.1 kann ein Scale-out Backup Repository mit Performance Tier und Archive Tier, aber ohne Capacity Tier, GFS-Punkte außerdem schon bei ihrer Erstellung in den Archive Tier kopieren, und Veeam merkt an, dass sich Kopier- und Verschiebemodus kombinieren lassen, „um je Tier eine andere Aufbewahrung anzuwenden“. Welche Kopien Sie vorhalten, ist Thema der 3-2-1-1-0-Backup-Regel.

Die Wiederherstellung eines alten monatlichen oder jährlichen Punkts je Testzyklus zeigt, ob die Verschlüsselungsschlüssel und Anwendungsversionen, von denen er abhängt, noch verfügbar sind; NIST SP 800-209 zählt die Aufbewahrung von Verschlüsselungsschlüsseln zu den Inhalten eines Datensicherungsplans.

Wie Sperrfristen und Aufbewahrung zusammenwirken

Ein gesperrter Wiederherstellungspunkt lässt sich vor Ablauf seiner Sperre nicht löschen, unabhängig davon, was die Aufbewahrung vorsieht. Veeam löscht eine Forward-Incremental-Kette erst, wenn ihr letztes Inkrement aus der Aufbewahrung gefallen ist, und auf einem Hardened Repository läuft die Sperre ab dem letzten Wiederherstellungspunkt der Kette; bei täglichen Läufen und wöchentlichen Vollsicherungen hält eine Sperre von 30 Tagen jede Kette deshalb etwa 36 Tage auf der Platte.

Eine kurzfristige Aufbewahrung von 30 Tagen hält die Kette für dieselben 36 Tage, unter dieser Sperre kostet sie also nicht mehr Plattenplatz als eine Aufbewahrung von 14 Tagen, und die Richtlinie entspricht dem, was auf der Platte liegt. Wöchentliche GFS-Vollsicherungen, die vier Wochen aufbewahrt werden, fügen ebenfalls nichts hinzu, weil sie innerhalb dieser 36 Tage liegen.

Auf einem Hardened Repository legt Veeams Benutzerhandbuch zu Version 13 (Seite aktualisiert am 8. September 2026) die Sperre einer Vollsicherung mit GFS-Flag auf den längeren der beiden Zeiträume fest, die Sperrfrist des Repositorys oder die GFS-Lebensdauer, wie es auch unser Artikel dazu darlegt, wovor ein unveränderliches Backup schützt. Eine jährliche Vollsicherung, die drei Jahre aufbewahrt wird, bleibt deshalb drei Jahre auf der Platte und lässt sich nicht vorzeitig löschen, weder um Platz freizugeben noch wegen einer Löschanfrage.

Aufbewahrungsplan je Datenklasse

Die Aufbewahrung je Klasse wird mit den Systemverantwortlichen im selben Gespräch vereinbart wie die Wiederherstellungsstufen aus unserem Leitfaden zu RPO und RTO: Jeder von ihnen nennt, wie weit eine Wiederherstellung zurückreichen muss und welche Datensätze aufbewahrt werden müssen.

Unsere vorgeschlagenen Ausgangswerte für ein mittelgroßes Unternehmen, kein Standard; die Antworten der Systemverantwortlichen ersetzen sie, und die Spalte Archiv folgt dem Aufbewahrungsplan der Rechtsabteilung. Unveränderliche Konfigurations-Backups laut Veeams What’s New in 13.1 (11. August 2026).

Unser Assessment von Security und Backup prüft Infrastruktur, Zugriffe und Backups und endet mit einer Risikokarte und einem priorisierten Maßnahmenplan. Schicken Sie uns Ihre Job-Liste mit den Aufbewahrungseinstellungen jedes Jobs über das Formular unten.

Kapazität für die GFS-Aufbewahrung: ein Rechenbeispiel

Wie viel Plattenplatz eine Aufbewahrungsrichtlinie braucht, hängt stärker davon ab, wie viele Blöcke sich zwischen den aufbewahrten Vollsicherungen unterscheiden und ob Block-Cloning greift, als von der Zahl der Punkte. Nehmen Sie das Beispiel aus unserem Leitfaden zum Hardened Repository, eine Vollsicherungsdatei von 10 TB mit Inkrementen von 0,5 TB pro Tag und wöchentlichen synthetischen Vollsicherungen mit Fast Clone. Behalten Sie 30 Tage tägliche Punkte unter einer Sperre gleicher Länge und fügen Sie dann 12 monatliche und 3 jährliche GFS-Vollsicherungen hinzu. Die Änderungsraten zwischen den GFS-Vollsicherungen in der Tabelle sind unsere Annahmen für dieses Beispiel, keine gemessenen Werte.

Unsere Rechnung mit angenommenen Änderungsraten, keine Messung; tägliche Kette aus unserem Leitfaden zum Veeam Hardened Repository; Füllgrenze von 80 Prozent aus Veeams Best-Practice-Leitfaden für Backup & Replication.

Ohne Block-Cloning oder mit aktiven Vollsicherungen ist jede GFS-Vollsicherung eine vollständige Datei von etwa 10 TB, und die 13 älteren Vollsicherungen brauchen etwa 130 TB statt 24,5 TB. Die angenommene monatliche Differenz von 1,5 TB passt zu Datenbanken, die jeden Tag dieselben Blöcke neu schreiben; wo sich Änderungen über die Daten verteilen, kann sie deutlich höher liegen, messen Sie sie deshalb vor der Dimensionierung auf dem aktuellen Repository.

Eurokommerz hält den Vertrag und liefert die Hardware zur Lösung, mit Lieferung und Garantie nach europäischem Recht. Schreiben Sie uns die Größe Ihrer Quelldaten, die tägliche Änderung und Ihre Aufbewahrungsziele über das Formular unten.

Speicherbegrenzung nach DSGVO und Löschanfragen in Backups

Artikel 5 Absatz 1 Buchstabe e DSGVO verlangt, dass personenbezogene Daten, in Backups wie in der Produktion, „in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist“, und nach Artikel 17 Absatz 1 ist der Verantwortliche verpflichtet, personenbezogene Daten „unverzüglich“ zu löschen, sofern einer der dort genannten Gründe zutrifft. Artikel 32 Absatz 1 Buchstabe c nennt zugleich die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen nach einem Zwischenfall rasch wiederherzustellen.

Der Bericht des Europäischen Datenschutzausschusses (EDSA) „Implementation of the right to erasure by controllers“ (Umsetzung des Rechts auf Löschung durch die Verantwortlichen), angenommen am 10. Februar 2026, legt dar, was 32 Aufsichtsbehörden in ihrer koordinierten Durchsetzungsmaßnahme 2025 festgestellt haben. Die Hälfte der antwortenden Behörden äußerte Bedenken zur Löschung in Backups, und viele Verantwortliche hatten dort kein eigenes Verfahren für Löschanfragen und verließen sich auf automatische Löschung oder auf die Aufbewahrungsfristen der Backups. Der Bericht nennt das Backup ein wichtiges Mittel, um die Integrität personenbezogener Daten bei Vorfällen wie Ransomware zu schützen, und hält fest, dass es je nach technischen Einstellungen und Risiken „nicht immer ratsam sein könnte, Informationen in Backups zu ändern oder zu löschen“. Für diesen Fall erwartet er Verfahren, die Löschanfragen nachverfolgen und sie nach einer Sicherheitsverletzung, welche die Integrität der Systeme beeinträchtigt, auf den wiederhergestellten Systemen so weit wie möglich umsetzen. Außerdem empfiehlt er den Verantwortlichen, die Löschung zu überprüfen und nachweisen zu können. Der EDSA könnte weitere Leitlinien zur Löschung in Backups erwägen, auch dazu, was „unverzüglich“ dort bedeutet.

Ein Image-Backup lässt sich nicht Datensatz für Datensatz bearbeiten, und ein unveränderliches lässt sich vor Ablauf seiner Sperre nicht ändern; das Verfahren setzt deshalb außerhalb der Kopien an:

1. Führen Sie ein Register der Löschanfragen mit Datum und betroffenen Systemen, außerhalb der Systeme und Backups, die es abdeckt.
2. Bevor ein wiederhergestelltes System mit personenbezogenen Daten wieder in Betrieb geht, wenden Sie jede seit seinem Wiederherstellungspunkt registrierte Löschung erneut an und halten Sie fest, dass dies geschehen ist.
3. Beschränken Sie das Durchsuchen und Wiederherstellen von Backups mit personenbezogenen Daten auf die Backup-Administratoren.
4. Dokumentieren Sie im Verzeichnis von Verarbeitungstätigkeiten, wie lange jede Backup-Ebene personenbezogene Daten aufbewahrt, einschließlich GFS-Punkten und Sperren; Artikel 30 Absatz 1 Buchstabe f verlangt für das Verzeichnis „die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien“.

Gesetzliche Aufbewahrungsfristen unterscheiden sich je Land

Aufbewahrungspflichten ergeben sich unter anderem aus Vertrags-, Handels-, Steuer-, Sozial- und Archivrecht, und sie unterscheiden sich zwischen den Mitgliedstaaten und zwischen Branchen; der Bericht des EDSA beschreibt Fristen, die sich aus „einer Vielzahl europäischer oder nationaler Gesetze oder Vorschriften“ ergeben. Artikel 17 Absatz 3 Buchstabe b DSGVO schließt die Löschung aus, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung nach dem Recht der Union oder der Mitgliedstaaten erforderlich ist. Welche Fristen gelten und ob die Durchführungsverordnung (EU) 2024/2690 das Unternehmen bindet, ist eine rechtliche Bewertung für die Rechtsabteilung, und die Backup-Richtlinie übernimmt den daraus folgenden Aufbewahrungsplan als Vorgabe.

Für Fristen von mehreren Jahren ist ein Archivsystem oder die Anwendung selbst meist besser geeignet als Image-Backups. Ein jährliches VM-Backup bringt Betriebssystem und Anwendungsversion jenes Jahres zurück, zusammen mit jedem Datensatz jenes Tages, einschließlich der seither gelöschten, während ein Export der gesetzlich geforderten Datensätze durchsuchbar bleibt und das Backup planmäßig ablaufen lässt.

Was wir tun

Im Rahmen unseres Service Cyber-Resilienz richtet unser Engineering-Partner Vixen.UNO unter einem europäischen Vertrag mit Eurokommerz Backup nach Veeam-Strategien ein, mit einem Ausweichstandort in Baltnetas Tier-3-Rechenzentren in Litauen und Ziel-RPO und -RTO, die im SLA fixiert sind, und führt regelmäßige Testwiederherstellungen zur Prüfung der Backup-Integrität durch. Das kostenpflichtige technische Assessment ist ein Review von Security und Backup und endet mit einer Risikokarte und einem priorisierten Maßnahmenplan; sein Preis steht vor Beginn fest. Wo wir oder unsere Partner personenbezogene Daten in Ihrem Auftrag verarbeiten, erhalten Sie auf Anfrage einen Auftragsverarbeitungsvertrag, mit Subauftragsverarbeitern namentlich im Vertrag, wie unsere Seite Sicherheit & Compliance beschreibt.

FAQ