Ein Backup ist für die Frage gebaut, ob sich der Zustand von gestern wiederherstellen lässt. Ein Archiv ist für die Frage gebaut, ob sich in zehn Jahren nachweisen lässt, dass ein Dokument so vorlag und seit der Ablage unverändert ist. Beide enthalten dieselben Dateien, und genau das verleitet dazu, das eine für das andere zu halten. Die Verwechslung fällt meist erst auf, wenn ein Prüfer, ein Gericht oder ein Betroffener nachfragt.
Was eine Sicherung leistet
Eine Sicherung ist für den Ausfall gebaut. Platte defekt, Server verschlüsselt, Datenbank beschädigt, jemand hat den falschen Ordner gelöscht. Dann wird ein früherer Stand zurückgespielt, und der Betrieb geht weiter. Dafür ist die Sicherung optimiert, und sie wird in festen Abständen erneuert. Wie lange ältere Stände erhalten bleiben, ist eine Einstellung. Das reicht von Tagen bis zu Jahren, und gegen Verschlüsselungsangriffe empfiehlt das deutsche Bundesamt für Sicherheit in der Informationstechnik ausdrücklich unveränderbare Sicherungen, die nach dem Schreiben nicht mehr verändert oder gelöscht werden können (Quelle: BSI, Cybersicherheit für KMU).
Trotzdem bleibt eine Sicherung ein Abbild des Gesamtsystems zu einem Zeitpunkt. Sie enthält alles, auch Zwischenstände, die nie freigegeben waren, und Daten, die nach Datenschutzrecht inzwischen gelöscht sein müssten. Sie kennt keine Frist je Dokument, nur eine Aufbewahrung je Sicherungsstand. Und sie ordnet einem einzelnen Dokument keinen Nachweis zu, wer es wann abgelegt hat und dass es seither unverändert ist. Das sind Eigenschaften des Archivs, und sie entstehen nicht dadurch, dass eine Sicherung länger aufgehoben wird.
Was ein Archiv leistet
Ein Archiv ist für den Nachweis gebaut. Ein Dokument wird einmal abgelegt und danach nicht mehr verändert. Jede Ablage ist protokolliert, mit Zeitpunkt und Veranlasser. Zu jedem Dokument gehört eine Aufbewahrungsfrist, und am Ende der Frist wird es in einem geregelten Lauf vernichtet, mit Freigabe und Protokoll, wie in der Frage nach dem Löschen beschrieben. Der Zugriff ist eingeschränkt und nachvollziehbar.
Die Lesbarkeit über Jahrzehnte ist dabei eine eigene Aufgabe. PDF/A hilft für Dokumente, die als Bild oder Text vorliegen, ersetzt aber das Originalformat nicht in jedem Fall. Eine strukturierte Rechnung muss mit ihrem XML-Teil aufbewahrt werden, ein signiertes Dokument mit seiner Signatur. Dazu kommen Integritätsprüfungen und, über lange Zeiträume, die Umstellung auf neue Formate. Für das ersetzende Scannen sind diese Eigenschaften zusammen mit einer dokumentierten Verfahrensweise die Voraussetzung dafür, dass das Papier vernichtet werden darf.
Wo beide sich in die Quere kommen
Löschung nach Datenschutzrecht. Ein Betroffener verlangt die Löschung seiner Daten, oder eine Frist läuft ab. Das Archiv löscht geregelt, mit Protokoll. Die Sicherungen enthalten die Daten weiter, bis die jeweiligen Stände ausscheiden. Wie damit umzugehen ist, muss das Löschkonzept konkret regeln, einschließlich Aufbewahrungsdauer der Sicherungen, Zugriffsschutz und der Frage, wie eine bereits erfolgte Löschung nach einer Wiederherstellung erneut angewendet wird. Ein Absatz im Konzept allein macht die weitere Speicherung noch nicht zulässig, aber ohne diese Regelung steht das Unternehmen bei einer Anfrage ohne Antwort da.
Migration. Beim Systemwechsel wird die Sicherung des Altsystems gern als Rückfallebene behalten. Für die Umstellung selbst ist das richtig. Als Archiv des Altsystems taugt sie nur, wenn sie ohne das alte System lesbar ist und die Fristen je Dokument weiter bekannt sind, und beides ist bei einer reinen Systemsicherung meist nicht der Fall.
Cloud-Betrieb. Anbieter speichern redundant, oft mit Versionierung. Redundanz schützt vor Hardwareausfall, aber nicht vor einem Löschfehler oder einem kompromittierten Konto, die auf alle Kopien gleichzeitig wirken. Und sie sagt nichts über Unveränderbarkeit je Dokument und Fristen. Im ECM Playbook habe ich die Frage, ob ein Cloud-ECM überhaupt eine eigene Sicherung braucht, als Abwägung beschrieben, und sie fiel in den Unternehmen, die ich kenne, unterschiedlich aus.
Was daraus folgt
Wiederherstellung und langfristige Aufbewahrung brauchen jeweils passende Verfahren, und dieselbe Lösung kann beide liefern, wenn sie es nachweislich tut. Eine Sicherung allein erfüllt die Anforderungen an ein Archiv nicht von selbst, weil ihr Fristen je Dokument, Ablageprotokoll und Nachweis der Unveränderbarkeit fehlen. Ein Archiv wiederum braucht selbst eine Wiederherstellungsstrategie, weil Unveränderbarkeit nicht vor Ausfall schützt. Entscheidend sind die Funktionen und Abläufe, die sich für die eingesetzte Lösung belegen lassen.
Die Unterscheidung ist alt. Sie war schon in den 1990ern Teil jeder Archivierungsdiskussion, und sie hat die Cloud unbeschadet überstanden. Was sich geändert hat, ist die Menge dessen, was gesichert wird, und die Zahl derer, die glauben, damit sei auch archiviert.