Drei Sicherheitsnetze, drei Zwischenfälle
„Das ist gesichert“ sagt man über sehr unterschiedliche Mechanismen. Jeder fängt eine Art von Zwischenfall auf, mit einer handelnden Person und einer Grenze.
| Sicherheitsnetz | Wer handelt | Was es auffängt | Seine Grenze |
|---|
| Papierkorb und Wiederherstellungsordner | Der Benutzer, in seinem Postfach | Die kürzliche Fehlbedienung | Kurze Dauer, und nichts, wenn das Postfach selbst gelöscht oder kompromittiert ist |
| Backup des Dienstes | Der Betreiber, auf Anfrage | Die Rückkehr einer Nachricht, eines Ordners oder eines Postfachs zu einem früheren Stand | Die Aufbewahrungsdauer und der Abstand zwischen zwei Backups |
| Notfallbetrieb der Plattform | Der Betreiber, ohne Anfrage | Den Ausfall: Die Post kommt weiter an oder wieder an | Holt keine gelöschte Nachricht zurück |
Die Kopie, die der Hersteller oder Hoster für seine eigene Verfügbarkeit auf mehreren Festplatten oder Servern vorhält, gehört zum dritten Netz. Sie schützt vor einem Hardwareausfall. Sie schützt nicht vor einer Löschung: Eine gelöschte Nachricht ist sofort auf allen Replikaten gelöscht. Das ist die häufigste Verwechslung zwischen Redundanz und Backup.
Holt ein Backup eine gelöschte Nachricht zurück?
Ja, mit drei Einschränkungen.
- Die Aufbewahrungsdauer. Bei einer Aufbewahrung von 30 Tagen ist eine vor sechs Wochen gelöschte Nachricht in keinem Backup mehr enthalten. Wird die Löschung erst beim Jahresabschluss bemerkt, kommt das Backup zu spät.
- Der Wiederherstellungspunkt. Ein Backup ist eine Momentaufnahme. Eine Nachricht, die um 10:05 Uhr eingeht und um 10:40 Uhr gelöscht wird, vor dem nächsten Backup, wurde nie erfasst. Je dichter die Backups aufeinander folgen, desto kleiner wird dieses Fenster; null ist es nie.
- Der Zweck. Ein Backup dient dazu, zu einem früheren Stand zurückzukehren. Es ersetzt keine mehrjährige Archivierung, die Nachrichten aufbewahrt, um sie vorlegen zu können, mit eigenen Regeln für Dauer und Zugriff.
Die absichtliche Löschung verdient besondere Aufmerksamkeit. Ein unzufriedener Mitarbeiter, der sein Postfach leert, oder ein Angreifer, der ein Administratorkonto übernommen hat, kann die Nachrichten löschen und versuchen, auch die Backups zu löschen. Daher der Wert eines Backups, das während seiner Aufbewahrungsdauer niemand ändern kann, auch kein Administrator des E-Mail-Systems. Der Leitfaden der ANSSI zur Datensicherung empfiehlt, die Backup-Server innerhalb des Administrationssystems abzuschotten, und rät, den Unveränderlichkeitsmechanismus einer WORM-Lösung zu prüfen, statt sich auf das Wort zu verlassen.
Unabhängig vom Server: was das bedeutet
Ein unabhängiges Backup liegt außerhalb des E-Mail-Systems, das es schützt. Konkret:
- Es wird auf einem anderen System gespeichert, vorzugsweise an einem anderen Standort, damit ein Vorfall im Serverraum es nicht mitreißt;
- die Zugangsdaten, mit denen das E-Mail-System verwaltet wird, reichen nicht aus, um es zu löschen;
- es ist verschlüsselt, damit die Kopie kein zweiter Zugang zu den Nachrichten ist;
- es wird getestet. Die ANSSI formuliert es schlicht: Backups müssen regelmäßig getestet werden. Ein nie wiederhergestelltes Backup bleibt eine Annahme.
Derselbe Leitfaden empfiehlt die „3-2-1“-Regel, die mit drei getrennten Kopien der Daten beginnt, und definiert das Offline-Backup als Sicherung auf einem Datenträger, der von jedem Informationssystem getrennt ist. Diese Begriffe gelten für E-Mails ebenso wie für Dateien; ihre Anwendung auf Dokumente finden Sie unter Versionierung, Replikation und Backup.
Beispiel. In einer Kanzlei mit 25 Personen (hypothetischer Fall) löscht ein Mitarbeiter versehentlich den Ordner eines Mandanten, leert den Papierkorb und bemerkt es erst am folgenden Montag. Der Wiederherstellungsordner enthält nichts Nützliches mehr. Das Backup vom vorangegangenen Freitag enthält den Ordner. Der Betreiber stellt ihn im Postfach wieder her; es fehlen nur die Nachrichten, die zwischen zwei Backups eingingen und gelöscht wurden.
Wenn der Server ausfällt
E-Mail verträgt kurze Ausfälle gut. Ein sendender Server, der Ihren nicht erreicht oder einen temporären Fehler erhält, behält die Nachricht in der Warteschlange und versucht es erneut. Solange der Ausfall kürzer dauert als die Frist, nach der der Absender aufgibt – üblicherweise einige Tage –, geht nichts verloren: Die Post kommt an, sobald der Dienst wieder läuft. Der Leitfaden ein E-Mail-System ohne Unterbrechung migrieren beschreibt diesen Mechanismus im Detail. Ein Filter-Gateway vor dem E-Mail-System spielt dieselbe Rolle: Es hält die angenommene Nachricht, bis der Server antwortet.
Was die Benutzer sehen, ist etwas anderes: kein Webmail mehr, Telefone, die nicht mehr synchronisieren, kein Versand möglich. Genau diese Dauer misst der erste Indikator.
RTO (maximal tolerierbare Ausfallzeit): die angestrebte Zeit, um den Dienst wieder in Betrieb zu nehmen. RPO (maximal tolerierbarer Datenverlust): die in Zeit ausgedrückte Datenmenge, deren Verlust man akzeptiert, wenn der Speicher aus dem letzten Backup wiederaufgebaut werden muss.
Der RPO betrifft nicht die Post, die bei den Absendern wartet: Sie kommt an, sobald der Dienst zurück ist. Er betrifft die bereits in die Postfächer zugestellten Nachrichten und die Aktionen der Benutzer seit dem letzten Backup, für den Fall, dass der Speicher selbst verloren ginge. Ein RPO von weniger als 2 Stunden bedeutet, dass höchstens zwei Stunden dieses Verlaufs zu rekonstruieren wären. Das sind Ziele: Fragen Sie, wie sie gemessen und getestet werden.
Den Server wechseln, ohne die Domain zu wechseln
Ein längerer Ausfall, ein Vertragsende oder die Übernahme des Anbieters können einen Wechsel des E-Mail-Systems erzwingen. Ihre Domain und Ihre Adressen ändern sich nicht: Der MX-Eintrag verweist auf die neue Plattform. Die Methode mit Parallelbetrieb, Kopierdurchläufen und stimmigem SPF, DKIM und DMARC ist in ein E-Mail-System ohne Unterbrechung migrieren beschrieben. Sie wird hier nicht wiederholt.
Häufige Fragen
Ersetzt Redundanz das Backup?
Nein. Redundanz kopiert auch die Löschungen. Sie schützt vor einem Hardwareausfall, nicht vor einem Fehler oder einer absichtlichen Löschung.
Geht eine während eines Ausfalls empfangene Nachricht verloren?
In der Regel nicht: Der Absender behält sie und versucht es erneut. Sie geht nur verloren, wenn sie endgültig abgewiesen wird oder der Ausfall länger dauert als die Aufgabefrist des Absenders.
Reichen dreißig Tage Backup?
Um nach einem Fehler zu einem früheren Stand zurückzukehren, oft ja. Um Nachrichten mehrere Jahre aufzubewahren, nein: Das ist die Aufgabe der Archivierung. Siehe Nachrichten archivieren.
Muss der Angriff auf ein Postfach schnell entdeckt werden?
Ja, denn die Aufbewahrungsfrist läuft. Der vorgelagerte Schutz ist Sache des Filter-Gateways; siehe das vorhandene E-Mail-System schützen.
Wo Klytic steht
Bei Klytic Mail gibt es alle drei Sicherheitsnetze, und sie sind getrennt.
- Auf Benutzerseite ermöglicht der Ordner „Gelöschte Elemente“, gelöschte Nachrichten selbst und kostenlos zurückzuholen.
- Auf Seite des Dienstes wird das E-Mail-System stündlich gesichert. Die Backups sind verschlüsselt, werden 30 Tage aufbewahrt, an mehrere Standorte repliziert und sind unveränderlich: Ein geschriebenes Backup kann weder geändert noch gelöscht werden. Sie werden laufend überwacht, und die Wiederherstellungen werden jeden Monat getestet. Klytic stützt sich dabei auf die Dienste von WeDoBack, die auf der Seite Sicherheit und Backup beschrieben sind.
- Auf Plattformseite lauten die veröffentlichten Ziele: Wiederinbetriebnahme in weniger als 4 Stunden (RTO) und höchstens 2 Stunden Datenverlust (RPO). Klytic MTA, vor dem E-Mail-System platziert, bewahrt eine Nachricht, deren Zielserver nicht erreichbar ist, vorübergehend und verschlüsselt auf.
Die Wiederherstellung einer Nachricht, eines Ordners oder eines Postfachs beantragen Sie beim Support unter Angabe des betroffenen Elements und des ungefähren Datums. Sie ist inklusive bei einer Fehlfunktion des Dienstes, bei absichtlicher Löschung durch einen Mitarbeiter oder bei einem bei einem Austritt zu früh gelöschten Konto (im Rahmen von 3 Anfragen pro Monat) sowie bei einem Angriff trotz ordnungsgemäß geschützter Arbeitsplätze. Nach einer versehentlichen Löschung, einer Fehlbedienung oder wenn die Arbeitsplätze unzureichend geschützt waren, ist sie Gegenstand eines kostenpflichtigen Support-Tickets. Der kostenlose Ordner „Gelöschte Elemente“ bleibt die erste Anlaufstelle. Das Vorgehen ist in eine Nachricht oder ein Postfach wiederherstellen beschrieben.
Was das Angebot nicht abdeckt: eine Selbstbedienungs-Wiederherstellung durch den Benutzer über den Ordner „Gelöschte Elemente“ hinaus und eine Aufbewahrung über 30 Tage hinaus durch das Backup. Um Nachrichten mehrere Jahre aufzubewahren, wird die revisionssichere Archivierung als Option angeboten.
Diese Seite beschreibt einen allgemeinen Rahmen. Maßgeblich sind die Zusagen Ihres Vertrags.
Quellen
Abgerufen im Oktober 2026.
- ANSSI, „Sauvegarde des systèmes d’information : les fondamentaux“ (Datensicherung von Informationssystemen: die Grundlagen), Version 1.1: Definition des Offline-Backups, „3-2-1“-Regel, regelmäßige Tests der Backups, Abschottung der Backup-Server, Prüfung des Unveränderlichkeitsmechanismus, Entsprechung von PDMA und RPO sowie DMIA und RTO. cyber.gouv.fr
- Klytic, Sicherheit und Backup: Rhythmus, Aufbewahrung, Verschlüsselung, Replikation, Unveränderlichkeit, monatliche Tests, angestrebte RTO und RPO, Wiederherstellung einer E-Mail, eines Ordners oder eines Postfachs. klytic.com
- Klytic, Häufig gestellte Fragen: stündliches Backup außer Telefonie, Wiederanlaufziele, vorübergehende Aufbewahrung durch Klytic MTA, wenn der Zielserver nicht erreichbar ist. klytic.com
- Klytic, Ein E-Mail-System ohne Unterbrechung migrieren: Warteschlange der Absender bei temporärem Fehler, Rolle des MX, Parallelbetrieb. klytic.com
