Datenstandort Schweiz

Backup und Wiederherstellung bei SaaS: Wer sichert was — und für wen?

Für: IT-Verantwortliche und Geschäftsführer, die wissen wollen, wie sicher ihre Daten in einem Projekttool wirklich sind.

Kurz erklärt

Beim Anbieter gesicherte Backups schützen vor Infrastrukturausfall und ermöglichen die Wiederherstellung des Gesamtsystems — nicht die Wiederherstellung einer einzelnen Aufgabe, die ein Nutzer vor drei Wochen gelöscht hat. Für die eigene Datensicherheit zählen drei Fragen: Backup-Frequenz und -Aufbewahrung beim Anbieter, Papierkorb/Wiederherstellung im Produkt, und ein regelmässiger Export unter eigener Kontrolle.

«Der Anbieter macht doch Backups» ist richtig und beantwortet die falsche Frage. Backups beim Anbieter sind für den Anbieter: Er stellt damit seinen Dienst wieder her, wenn ein Rechenzentrum ausfällt. Ob er damit deine gelöschte Kundenliste zurückholt, steht auf einem anderen Blatt — meist auf keinem.

Drei Ebenen der Sicherung

Bei einem SaaS-Produkt gibt es drei Schichten, und sie schützen vor verschiedenen Dingen:

Infrastruktur-Backup (Anbieter): Datenbank-Snapshots, oft täglich, mit Point-in-Time-Wiederherstellung über einige Tage bis Wochen. Schützt vor Ausfall, Datenkorruption, Anbieterfehlern. Gilt für alle Kunden gemeinsam — eine Wiederherstellung «nur für dich» ist selten möglich.
Produkt-Funktionen (Anbieter): Papierkorb, Archivierung, Versionierung, Audit-Log. Schützt vor eigenem Löschen und Fehlbedienung — sofern die Funktion existiert und die Frist noch läuft.
Eigener Export (du): CSV, JSON, PDF in der eigenen Ablage. Schützt vor Kündigung, Insolvenz des Anbieters, Kontosperre und allem, was der Anbieter nicht vorgesehen hat.

Die Fragen an den Anbieter

Aus der Datenschutz-Prüfung, Abschnitt Backup: Wie oft werden Backups erstellt, wie lange aufbewahrt, wo (Region)? Sind sie verschlüsselt? Wann wurde die Wiederherstellung zuletzt getestet? Gibt es im Produkt einen Papierkorb — mit welcher Frist? Kann ich Daten jederzeit vollständig exportieren, inklusive Anhängen? Ein Anbieter, der diese Fragen im Trust Center beantwortet, hat sie sich selbst gestellt.

Wie Flenio das handhabt

Datenbank und Dateien liegen bei Supabase in Zürich mit automatischen täglichen Backups und Point-in-Time-Wiederherstellung durch den Plattformbetreiber. Im Produkt: Archivierung für Projekte und Aufgaben, Audit-Log für Änderungen, unveränderbare Rechnungs-PDFs. Export in CSV und JSON jederzeit, Rechnungen als PDF. Was gelöscht wird, verschwindet aus den Backups mit deren Rotation — deshalb steht die Backup-Frist auch im Löschkonzept. Für kritische Bestände empfehlen wir einen eigenen Export im Quartalsrhythmus; das ist die Kopie, die dir gehört.

Häufige Fragen

Kann der Anbieter eine einzelne gelöschte Aufgabe wiederherstellen?

Technisch nur, wenn das Produkt einen Papierkorb oder eine Versionierung hat. Aus dem Infrastruktur-Backup einzelne Objekte zu extrahieren ist aufwendig und wird von den meisten Anbietern nicht angeboten.

Wie oft sollte ich exportieren?

Für Buchhaltungs- und Mandatsdaten quartalsweise, mindestens aber vor jedem Jahresabschluss und vor einer Kündigung. Der Export gehört in das eigene Backup-Konzept (3-2-1).

Sind Backups datenschutzrechtlich ein Problem?

Sie enthalten Personendaten und unterliegen denselben Regeln: Verschlüsselung, Zugriffskontrolle, Löschung nach Frist. Der AVV sollte Backups erwähnen.