Bundesamt für Sicherheit in der Informationstechnik

M 6.101 Datensicherung bei VoIP

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Administrator

Um bei Fehlkonfigurationen oder einem Ausfall, der nur durch den Austausch einer Komponente behoben werden kann, den VoIP-Betrieb schnell wieder aufnehmen zu können, müssen regelmäßig Sicherungen aller wichtigen Konfigurationsdateien angefertigt werden. Für die Datensicherung ist grundsätzlich die im Baustein B 1.4 Datensicherungskonzept genannte Vorgehensweise zu verwenden. Der Umfang der zu sichernden Dateien muss anhand der eingesetzten VoIP-Komponente ermittelt werden. Hierzu gehören unter anderem

  • alle VoIP-spezifischen Konfigurationseinstellungen,
  • übergeordnete Konfigurationseinstellungen, wie IP-Adressen, Passwörter und alle relevanten Konfigurationen des eingesetzten Betriebssystems,
  • Protokolldaten und
  • vom Benutzer individuell vorgenommene Einträge, wie persönliche Telefonbücher.

Diese Konfigurationseinstellungen müssen regelmäßig gesichert werden. Vor und nach jeder Änderung der Konfiguration ist ebenfalls eine Sicherung durchzuführen. Dabei ist darauf zu achten, dass mehrere Versionen (Generationen) der Sicherungsdateien gepflegt werden. Eine fehlerhafte Konfiguration kann durch das Einspielen der Version, die davor generiert wurde, oft behoben werden.

Es muss berücksichtigt werden, dass nach einem Release-Wechsel die vorhandenen Konfigurationsdateien eventuell nicht übernommen werden können. Wird nach einem Hardware-Ausfall ein Gerät mit einem aktuelleren oder älteren Release eingesetzt, können die vorhandenen Konfigurationsdateien eventuell nicht direkt übernommen werden. Daher sind bei einem Austausch aktuelle Hersteller-Informationen, beispielsweise aus Changelog-Dateien, zu sichten und zu berücksichtigen. Müssen die Konfigurationsdateien bei einem Release-Wechsel angepasst werden, muss sowohl die alte als auch die neue Version gesichert werden. Bei Problemen mit dem neueren Release kann auf diese Weise auch zu einem späteren Zeitpunkt auf die alte, eventuell stabilere Version gewechselt werden.

Die Datensicherung ist auf IT-Systemen und Medien durchzuführen, die von den für den Betrieb verwendeten IT-Systemen und Medien unabhängig sind. Dies können zum Beispiel Bandlaufwerke, CD-RW s oder andere IT-Systeme sein. Bei der Übertragung auf ein anderes System über ein Netz sollte überlegt werden, die Daten zu verschlüsseln oder über eigenes Administrationsnetz zu übertragen, um sie vor Abhören und Manipulationen zu schützen.

Es müssen regelmäßig Recovery-Übungen durchgeführt werden, um die Wiederherstellbarkeit der Sicherung zu prüfen (siehe hierzu auch M 6.41 Übungen zur Datenrekonstruktion ).

Prüffragen:

  • Existiert eine Regelung zur Festlegung von Inhalten und Umfang der Datensicherung?

  • Werden unterschiedliche Versionen von Konfigurationen und Veränderungen nachvollziehbar dokumentiert?

  • Sind die Sicherungsdateien der Konfiguration so beschaffen, dass sie im Konfliktfall nachvollzogen und rückgängig gemacht werden können?

  • Werden Störungs- und Notfallprozeduren regelmäßig getestet?

Stand: 13. EL Stand 2013