Backup-Strategie fürs Hinweisgebersystem: Hinweise für die Praxis

Ein Hinweisgebersystem verwahrt die sensibelsten Daten in Ihrem Unternehmen: Vorwürfe, Namen, Beweise und den Verlauf jeder internen Untersuchung. Die Backup-Strategie dafür muss deshalb zwei Dinge gleichzeitig leisten, die sich oft im Weg stehen. Keine Meldung darf verloren gehen, und keine Sicherungskopie darf zum Leck werden. Hier lesen Sie, welche Daten Sie sichern müssen, wie Sie die bewährte 3-2-1-Regel auf vertrauliche Meldungen übertragen, wie Sie die gesetzliche Löschfrist auch in Backups einhalten und wie Sie die Notfallwiederherstellung so planen und testen, dass sie im Ernstfall funktioniert.

Kurz gesagt

• Das Hinweisgeberschutzgesetz verlangt, dass Meldungen dauerhaft abrufbar dokumentiert werden. Ohne funktionierendes Backup lässt sich diese Pflicht bei einem Systemausfall nicht erfüllen.
• Sichern Sie nicht nur den Meldungstext, sondern auch Zeitstempel, Anhänge, Bearbeitungsverlauf, Rückmeldungen und den Verfahrensabschluss.
• Die 3-2-1-Regel gilt auch hier: drei Kopien, zwei Medien, eine an einem anderen Standort. Jede Kopie braucht aber dieselbe Verschlüsselung und dieselben engen Zugriffsrechte wie das Original.
• Drei Jahre nach Verfahrensabschluss muss die Dokumentation gelöscht werden. Ihr Aufbewahrungszyklus für Backups muss dazu passen.
• Eine Wiederherstellung, die nie getestet wurde, ist ein Versprechen ohne Beleg. Testen Sie regelmäßig und dokumentieren Sie das Ergebnis.

Inhaltsverzeichnis

• Warum Meldungen eine eigene Backup-Strategie brauchen
• Welche Daten Sie sichern müssen
• Die 3-2-1-Regel für vertrauliche Meldungen
• Backups vor Zugriff, Manipulation und Ransomware schützen
• Aufbewahrung und Löschung: der Dreijahres-Konflikt im Backup
• Notfallwiederherstellung planen und testen
• Eigenbetrieb oder Cloud-Lösung: die richtigen Fragen
• Unsere Sicht: Wer weniger speichert, muss weniger schützen
• Ashio: Meldekanal mit Schutz bis in die Sicherung
• Häufige Fragen
• Quellen

Warum Meldungen eine eigene Backup-Strategie brauchen

Viele Unternehmen behandeln das Hinweisgebersystem als eine Anwendung unter vielen und hängen es an die allgemeine IT-Sicherung an. Das greift zu kurz, weil hier zwei gesetzliche Pflichten zusammenkommen, die eine normale Dateisicherung nicht abbildet.

Die erste ist die Dokumentationspflicht. Nach § 11 Abs. 1 HinSchG müssen alle eingehenden Meldungen in dauerhaft abrufbarer Weise dokumentiert werden, unter Beachtung des Vertraulichkeitsgebots. “Dauerhaft abrufbar” heißt praktisch: Ein defekter Server, ein versehentlich gelöschter Fall oder ein verschlüsselter Datenbestand nach einem Cyberangriff dürfen die Dokumentation nicht vernichten. Genau dafür existiert ein Backup.

Die zweite ist die Vertraulichkeit. § 8 HinSchG verpflichtet Meldestellen, die Identität der hinweisgebenden Person und der in der Meldung genannten Personen zu wahren. Diese Pflicht endet nicht an der Datenbank. Sie gilt für jede Kopie, also auch für das Band im Tresor, das Image auf dem NAS und den Export in der Cloud. Wer sie verletzt, riskiert mehr als einen Imageschaden: Nach § 40 HinSchG kann eine vorsätzliche oder leichtfertige Verletzung des Vertraulichkeitsgebots eine Ordnungswidrigkeit sein.

Daraus folgt der Kern jeder Backup-Strategie für Hinweisgebersysteme: Verfügbarkeit und Vertraulichkeit sind gleichrangig. Ein Backup, das jeder Administrator öffnen kann, ist ebenso ein Problem wie ein Backup, das es nicht gibt. Hinzu kommt ein Vertrauensargument. Hinweisgebende Personen melden nur, wenn sie sicher sind, dass ihre Angaben geschützt bleiben. Geht eine Meldung verloren oder taucht ein Name in einer schlecht geschützten Kopie auf, ist dieses Vertrauen auf lange Zeit beschädigt.

Welche Rolle das System im Gesamtgefüge der Compliance spielt, erklären wir ausführlich in unserem Beitrag Was ist ein Hinweisgebersystem?.

Welche Daten Sie sichern müssen

Eine Meldung ist mehr als ein Textfeld. Ein gutes Beispiel dafür, welche Angaben anfallen, liefert die Datenschutzinformation zum Hinweisgebersystem der Häcker Küchen GmbH & Co. KG: Gespeichert werden Uhrzeit, Datum und Inhalt der Meldung sowie Informationen zu ihrer Bearbeitung, insbesondere Folgemaßnahmen, Rückmeldungen und der Abschluss des Verfahrens. Für Ihre Sicherung bedeutet das: Wer nur die Meldungen sichert und den Bearbeitungsverlauf vergisst, kann nach einer Wiederherstellung nicht mehr nachweisen, was wann mit einem Hinweis geschehen ist.

Der letzte Punkt wird am häufigsten übersehen. Wer seine Backups verschlüsselt und den Schlüssel im selben Speicher ablegt, hat im Ernstfall entweder keinen Schutz oder keinen Zugriff.

Die 3-2-1-Regel für vertrauliche Meldungen

Die 3-2-1-Regel ist der Standard, den auch Behörden empfehlen. Das Landesamt für Sicherheit in der Informationstechnik Bayern beschreibt sie in seinem Merkblatt zur Datensicherung so: drei Sicherungen auf zwei verschiedenen Medien, davon eine an einem anderen Standort. Als geeignete Speicherorte nennt das Merkblatt externe Datenträger und Cloud-Backups.

Für ein Hinweisgebersystem übertragen Sie die Regel mit drei Zusätzen:

1. Drei Kopien, jede gleich geschützt. Das Original im System plus zwei Sicherungen. Keine der Kopien darf schwächer verschlüsselt oder breiter zugänglich sein als das Original.
2. Zwei Medien, getrennt verwaltet. Etwa ein Speicher im Rechenzentrum und ein zweiter, logisch getrennter Speicher. Ideal ist, dass nicht dieselben Zugangsdaten beide Medien öffnen.
3. Eine Kopie außer Haus, mit klarer Rechtsgrundlage. Der externe Standort muss datenschutzrechtlich sauber sein. Liegt er außerhalb der EU, prüfen Sie, ob ein angemessenes Datenschutzniveau besteht.

Viele IT-Teams ergänzen die Regel heute um eine Kopie, die sich nicht verändern lässt (unveränderlich oder offline). Das ist für Meldungen besonders sinnvoll: Ein Angreifer, der Ihr System verschlüsselt, soll nicht auch die Sicherungen erreichen.

Vollsicherung, inkrementell oder differentiell

Die drei klassischen Backup-Arten unterscheiden sich darin, was bei jedem Lauf gesichert wird. Die Vollsicherung kopiert alles und ist am einfachsten wiederherzustellen, braucht aber am meisten Speicher. Die inkrementelle Sicherung kopiert nur, was sich seit dem letzten Backup geändert hat, und ist schnell, verlangt bei der Wiederherstellung aber die ganze Kette. Die differentielle Sicherung kopiert alles seit der letzten Vollsicherung, ein Mittelweg.

Hinweisgebersysteme haben meist ein überschaubares Datenvolumen, aber eine hohe Änderungsfrequenz in aktiven Fällen. Bewährt hat sich deshalb eine regelmäßige Vollsicherung, ergänzt um häufige inkrementelle Läufe. Wie oft genau, hängt davon ab, wie viel Datenverlust Sie verkraften können. Dazu mehr im Abschnitt zur Notfallwiederherstellung.

Backups vor Zugriff, Manipulation und Ransomware schützen

Der Landesbeauftragte für den Datenschutz Baden-Württemberg stellt in seinen FAQ zum Hinweisgeberschutzgesetz klar, dass technische und organisatorische Maßnahmen sicherstellen müssen, dass nur die mit der Bearbeitung betrauten Personen Zugriff auf die Meldungsdokumentation haben. Das ist der Prüfstein für jede Sicherung. Fragen Sie sich bei jeder Kopie: Wer kann sie öffnen, und gehört diese Person zur Meldestelle?

In der Praxis ist die Antwort oft unbequem. Backup-Administratoren, externe IT-Dienstleister oder Hosting-Partner haben technisch Zugriff auf Sicherungen, ohne zur Meldestelle zu gehören. Diese Lücke schließen Sie mit folgenden Maßnahmen:

• Verschlüsselung vor dem Backup. Die Daten sollten bereits verschlüsselt sein, bevor sie gesichert werden. Dann sieht der Backup-Prozess nur unlesbare Daten.
• Schlüsselhoheit bei der Meldestelle. Die Schlüssel liegen nicht beim Team, das die Backups betreibt.
• Rollen statt Sammelkonten. Jeder Zugriff auf Sicherungen läuft über ein persönliches Konto und wird protokolliert.
• Getrennte Zugangsdaten für die Offsite-Kopie. Ein kompromittiertes Administratorkonto darf nicht alle Kopien erreichen.
• Unveränderliche Sicherungen. Mindestens eine Kopie lässt sich für eine definierte Zeit weder löschen noch überschreiben.
• Wiederherstellung im Vier-Augen-Prinzip. Wer einen Fall zurückspielt, braucht eine Freigabe durch die Meldestelle.

Ein enger Kreis ist auch in der Unternehmenspraxis üblich. Häcker Küchen beschreibt in der oben genannten Datenschutzinformation, dass der Zugriff auf einen engen Kreis ausdrücklich autorisierter Personen beschränkt ist, die besonders zur Vertraulichkeit verpflichtet sind. Dieselbe Logik muss für Ihre Sicherungen gelten.

Wer die Daten oder ihre Sicherungen in der Schweiz speichert oder speichern lässt, sollte zusätzlich die dortigen Regeln kennen. Einen Überblick über die Pflichten nach dem revidierten Schweizer Datenschutzgesetz lohnt sich gerade dann, wenn es um Zugriffsbeschränkungen und den Schutz besonders sensibler Personendaten geht.

Ob die Meldestelle intern, bei einem Beauftragten oder bei einer Kanzlei angesiedelt ist, bestimmt übrigens auch, wer die Schlüssel verwahrt. Die Optionen vergleichen wir in Wer kann interne Meldestelle sein?

Aufbewahrung und Löschung: der Dreijahres-Konflikt im Backup

Hier liegt die größte Stolperfalle. Nach § 11 Abs. 5 HinSchG wird die Dokumentation drei Jahre nach Abschluss des Verfahrens gelöscht. Sie kann länger aufbewahrt werden, um die Anforderungen des Gesetzes oder anderer Rechtsvorschriften zu erfüllen, solange dies erforderlich und verhältnismäßig ist.

Das Problem: Backups sind darauf ausgelegt, Daten festzuhalten. Wenn Sie einen Fall im System fristgerecht löschen, existiert er in älteren Sicherungen weiter. Bewahren Sie Monats- oder Jahressicherungen über viele Jahre auf, steckt die gelöschte Meldung darin womöglich noch lange nach Fristablauf.

So lösen Sie den Konflikt:

1. Aufbewahrungszyklus begrenzen. Legen Sie fest, wie lange eine Sicherung höchstens existiert. Je kürzer der Zyklus, desto schneller verschwinden gelöschte Fälle auch aus den Kopien.
2. Löschprotokoll führen. Dokumentieren Sie, welcher Fall wann gelöscht wurde. Wird eine ältere Sicherung zurückgespielt, löschen Sie die betroffenen Fälle sofort erneut.
3. Keine Langzeitarchive aus Gewohnheit. Jahressicherungen “für alle Fälle” passen nicht zu einem Gesetz, das Löschung vorschreibt.
4. Begründete Ausnahmen dokumentieren. Wenn ein Fall wegen eines laufenden Verfahrens länger aufbewahrt wird, halten Sie Grund und neues Löschdatum schriftlich fest.
5. Schlüssel gezielt vernichten. Bei verschlüsselten Sicherungen kann das Löschen des zugehörigen Schlüssels die Daten unlesbar machen. Klären Sie mit Ihrer Datenschutzbeauftragten, ob dieses Vorgehen für Ihr System als Löschung genügt.

Welche weiteren Pflichten das Gesetz für Meldestellen vorsieht, fassen wir auf unserer Seite zum Hinweisgeberschutzgesetz zusammen.

Notfallwiederherstellung planen und testen

Ein Backup beantwortet die Frage, ob Daten noch existieren. Die Notfallwiederherstellung beantwortet die Frage, wie schnell die Meldestelle wieder arbeitsfähig ist. Beides gehört in einen schriftlichen Plan.

Zwei Kennzahlen festlegen

• RPO (Recovery Point Objective): Wie viel Datenverlust ist höchstens akzeptabel? Wenn eine Meldung kurz vor dem Ausfall eingeht und das letzte Backup einen Tag alt ist, ist diese Meldung womöglich verloren, und die hinweisgebende Person weiß nichts davon. Für einen Meldekanal sollte der RPO deshalb kurz sein.
• RTO (Recovery Time Objective): Wie lange darf die Meldestelle ausfallen? Hier zählen die gesetzlichen Fristen für Eingangsbestätigung und Rückmeldung. Ein mehrtägiger Ausfall kann diese Fristen gefährden.

Den Wiederanlauf in Schritten beschreiben

1. Ausfall erkennen und melden. Wer bemerkt einen Ausfall, und wen informiert diese Person? Legen Sie eine Erreichbarkeit fest, die auch außerhalb der Bürozeiten funktioniert.
2. Schaden eingrenzen. Bei Verdacht auf einen Angriff wird das System isoliert, bevor irgendetwas zurückgespielt wird.
3. Sauberen Wiederherstellungspunkt wählen. Bei Ransomware ist die jüngste Sicherung nicht immer die richtige, wenn sie bereits befallen ist.
4. Wiederherstellen in geschützter Umgebung. Nur berechtigte Personen sehen die Daten während des Vorgangs.
5. Integrität prüfen. Stimmen Fallanzahl, Zeitstempel und Audit-Trail mit dem letzten bekannten Stand überein?
6. Löschprotokoll anwenden. Bereits gelöschte Fälle, die mit der Sicherung zurückkamen, werden erneut gelöscht.
7. Meldestelle informieren und Fristen prüfen. Welche Fälle haben während des Ausfalls Fristen gerissen oder sind kurz davor?
8. Vorfall dokumentieren. Ursache, Dauer, Maßnahmen und Lehren gehören in das Notfallprotokoll.

Regelmäßig testen und dokumentieren

Wie ernst Prüfer das nehmen, zeigt die IDR-Prüfungsleitlinie L 113-2 zum Notfallmanagement. Sie nennt regelmäßige Tests von Systemausfällen, Datenwiederherstellung und Systemwiederanlauf sowie deren systematische Dokumentation als Prüfpunkte. Ein guter Test spielt einen echten Datenstand in eine getrennte Umgebung zurück, misst die Zeit bis zur Arbeitsfähigkeit und hält fest, ob RPO und RTO eingehalten wurden. Verwenden Sie für Tests nach Möglichkeit Testfälle oder führen Sie sie mit denselben Personen durch, die auch im Echtbetrieb Zugriff hätten.

Eigenbetrieb oder Cloud-Lösung: die richtigen Fragen

Betreiben Sie das Hinweisgebersystem selbst, liegt die gesamte Backup-Strategie bei Ihnen. Nutzen Sie eine Cloud-Plattform, übernimmt der Anbieter den technischen Teil. Die Verantwortung für die Dokumentation bleibt aber bei Ihrer Meldestelle. Diese Fragen sollten Sie deshalb in jedem Fall klären:

Der letzte Punkt ist Ihre eigene Rückfallebene. Ein exportierbarer, unveränderter Audit-Trail erlaubt es Ihnen, die Dokumentation unabhängig vom Anbieter nachzuweisen. Für kleinere Unternehmen ist eine Cloud-Lösung oft der realistischere Weg, weil kein eigenes Team für Sicherung und Wiederherstellung nötig ist. Was das für den Mittelstand konkret bedeutet, lesen Sie im Beitrag Hinweisgebersystem für KMU.

Unsere Sicht: Wer weniger speichert, muss weniger schützen

In Gesprächen mit Compliance-Teams erleben wir oft, dass die Backup-Strategie erst nach der Einführung des Meldekanals Thema wird. Dann zeigt sich, dass Meldungen in E-Mail-Postfächern, Fileshares und den Sicherungen beider Systeme verstreut liegen, jeweils mit anderen Zugriffsrechten. Jede dieser Kopien ist eine Stelle, an der die Vertraulichkeit brechen kann.

Wir halten deshalb einen Grundsatz für wichtiger als jede Sicherungstechnik: Daten, die gar nicht erst entstehen, müssen auch nicht gesichert, geschützt oder gelöscht werden. Ein Meldekanal, der keine IP-Adressen und keine Identitätsdaten erfasst, hinterlässt auch in keinem Backup eine Spur, die auf die hinweisgebende Person zeigt. Das entlastet die gesamte Kette von der Datenbank bis zur Offsite-Kopie.

Der zweite Grundsatz: Verschlüsselung gehört an den Anfang, nicht ans Ende. Wenn Meldungen durchgängig verschlüsselt sind, bevor sie überhaupt gespeichert werden, sieht auch jede Sicherung nur unlesbare Daten. Und drittens: Der Audit-Trail ist kein Zusatz, sondern Ihr Beweis. Nach einer Wiederherstellung muss er lückenlos und unverändert belegen, wer wann was getan hat.

Ashio: Meldekanal mit Schutz bis in die Sicherung

Ashio ist darauf ausgelegt, dass sensible Daten gar nicht erst anfallen: Der Meldekanal arbeitet ohne IP-Tracking und ohne Identitätsdaten, Meldungen sind Ende-zu-Ende-verschlüsselt. Die Plattform wird vollständig in der Schweiz gehostet, nach ISO 27001, mit DSGVO-konformer Datenspeicherung. Revisionssichere Dokumentation, automatische Fristenüberwachung und ein exportierbarer, unveränderlicher Audit-Trail sind im Preis enthalten. Das Basic-Paket kostet 29 € pro Monat, nach einer kostenfreien Testphase. Wie der wirklich anonyme Meldekanal funktioniert, sehen Sie direkt bei uns, oder Sie starten gleich auf ashio.eu.

Häufige Fragen

Muss ich Backups meines Hinweisgebersystems nach drei Jahren auch löschen?

Das Gesetz schreibt die Löschung der Dokumentation drei Jahre nach Verfahrensabschluss vor, und Sicherungen sind Kopien dieser Dokumentation. Begrenzen Sie daher den Aufbewahrungszyklus Ihrer Backups und führen Sie ein Löschprotokoll, damit gelöschte Fälle nach einer Wiederherstellung erneut entfernt werden. Klären Sie Details mit Ihrer Datenschutzbeauftragten.

Darf die IT-Abteilung Zugriff auf die Sicherungen haben?

Nur die mit der Bearbeitung betrauten Personen sollen Zugriff auf die Meldungsdokumentation haben. Die IT darf Sicherungen technisch betreiben, sollte ihren Inhalt aber nicht lesen können. Das erreichen Sie, indem die Daten vor der Sicherung verschlüsselt werden und die Schlüssel bei der Meldestelle liegen.

Wie oft sollte ich die Wiederherstellung testen?

Eine feste gesetzliche Vorgabe gibt es dafür nicht. Testen Sie mindestens nach jeder größeren Änderung am System und in einem festen Rhythmus, den Sie in Ihrem Notfallplan festlegen. Entscheidend ist, dass jeder Test dokumentiert wird, denn genau das prüfen Auditoren.

Reicht die 3-2-1-Regel für ein Hinweisgebersystem aus?

Sie ist die richtige Grundlage für die Verfügbarkeit, deckt aber die Vertraulichkeit nicht ab. Ergänzen Sie sie um Verschlüsselung jeder Kopie, getrennte Zugangsdaten, mindestens eine unveränderliche Sicherung und eine Löschregel, die zur gesetzlichen Aufbewahrungsfrist passt.

Wer ist verantwortlich, wenn ein Cloud-Anbieter Daten verliert?

Die Pflicht zur Dokumentation trifft Ihre Meldestelle, auch wenn ein Anbieter die Technik betreibt. Regeln Sie Sicherung, Standort und Wiederherstellung deshalb vertraglich und lassen Sie sich Nachweise wie Zertifizierungen zeigen. Eine eigene Exportmöglichkeit für Fälle und Audit-Trail gibt Ihnen zusätzliche Sicherheit.

Quellen

• § 8 HinSchG: Vertraulichkeitsgebot
• § 11 HinSchG: Dokumentation der Meldungen
• § 40 HinSchG: Bußgeldvorschriften
• LSI Bayern: Datensicherung (Backup und Recovery)
• LfDI Baden-Württemberg: FAQ Hinweisgeberschutzgesetz
• IDR-Prüfungsleitlinie L 113-2 Notfallmanagement
• Häcker Küchen: Datenschutzinformation zum Hinweisgebersystem

Empfehlungen

• Was ist ein Hinweisgebersystem? Aufbau, Pflicht & Software