Re: Datensicherung auf Blu-Ray vs. externe Festplatten
Hallo Martin,
...
> > >> Ich selbst schrieb ursprünglich in diesem Thread:
> > >> > Diese Eigenschaft kann sich gegenüber wiederholt beschreibbaren
> > >> > Medien wie Festplatten oder Flash-Speichern als Vorteil
> > >> > erweisen, wenn ich sicher gehen will, dass die einmal
> > >> > gesicherten Daten nachträglich nicht mehr verfälscht werden
> > >> > können.
...
> > >> > Darum hätte *ich* persönlich Bauchschmerzen damit, wenn ich meine
> > >> > Sicherungskopien auf optische Medien *komplett* durch Festplatten
> > >> > ersetzen müsste.
...
Jemand anders kommentierte:
> > Ich kenne seine konkrete Anforderung nicht, aber es gibt durchaus
> > Bereiche, wo Du nur mit WORM-Medien arbeiten darfst, um gerichtsfest
> > verwertbare Nachweise liefern zu können. Finanzdienstleister zum
> > Beispiel. Es geht hier weniger darum, dass Dritte das Backup
> > verfälschen, sondern dass derjenige, der das Backup erstellt hat, es
> > nachträglich zu seinen Gunsten fälscht.
Martin Steigerwald schrieb am Samstag, den 09.05.2015 um 13:55:
> Hmmm, und wie verhindert der reine Einsatz solcher Medien dies?
Ohne begleitende organisatorische Maßnahmen geht das vermutlich
nicht.
Wir machen das bei uns (und wir sind keine Bank und auch kein
Finanzdienstleister) ganz simpel und pragmatisch: Von jedem
fertigen Backup-Archiv wird von meinem Skript ein SHA256-Hash
erstellt und zum Schluß mit auf das Archiv-Medium gebrannt.
Das machen wir wöchentlich und auf dem neuesten Medium sind
auch immer zusätzlich alle SHA256-Hashes aller vorigen Archive
mit drauf.
Nehmen wir einmal an, wir bekommen irgendwann eine Buchprüfung
und der Prüfer vom Finanzamt argumentiert möglicherweise,
dass wir die elektronischen Unterlagen nachträglich verfälscht
haben können. Ich kann dann dagegen argumentieren,
dass ich dafür die ganze Serie von 52 Medien pro Jahr bis
zurück zum beanstandeten geprüften Jahr hätte neu erstellen
müssen, damit das wieder schlüssig wird, was unplausibel
aufwändig gewesen wäre.
Nun bin ich kein Anwalt! Aber ich hoffe trotzdem, dass
ich damit die für ein Klein-Unternehmen zumutbare Mühe und
Sorgfalt für eine revisionssichere elektronische Archivierung
aufgewendet habe.
Ich kann natürlich die Liste mit den SHA256-Hashes zusätzlich
auch mit meinem PGP-Key signieren oder vielleicht noch besser
ausdrucken und mit Firmenstempel und Unterschrift abheften.
Aber ob das eine oder andere dann vor einem Finanzgericht
wirklich helfen würde? ;-)
> Das kann doch nur funktionieren, wenn Du das Medium dann jemanden anderen
> gibst, und Du das denn einfach nicht mehr hast. Sonst könnstest Du ja selbst
> auch ein Neues brennen und damit das Backup fälschen.
Stimmt theoretisch. Natürlich könnte man jetzt die Medien
auch noch zusätzlich bei einem Notar hinterlegen. Aber das
kostet dann wieder kräftig Gebühren. Ich glaube nicht, dass
das auch noch von einem Kleinunternehmen verlangt werden kann.
> Mit anderen Worten, solange ich nichts anderes lerne, gehe ich davon aus,
> dass eine starke kryptographische Signatur sicherer ist.
>
> Oder Du fälschst das Backup gleich beim Initialen erstellen. Es wäre also
> sicherzustellen, dass Du die Backup-Software und den Backup-Prozess nicht
> selbst beeinflussen kannst. Da helfen dann zunächst mal weder optische Medien
> noch eine Signatur.
Das stimmt. Es gibt jedoch noch einen anderen Grund, der neben
der auch für Steuerprüfer leicht verständlichen „Nur-einmal
beschreibbar-Fähigkeit“ für WORM-Medien spricht: Es könnte
theoretisch sein, dass sich auf allen Computern der Firma ein
hartnäckiges Schad-Programm einnistet, das sich ---weil im
Flash-Speicher verankert--- nicht so leicht eliminieren lässt.
Während vom Team in aller Eile versucht wird, diese Systeme
doch wieder sauber neu einzurichten, werden dann plötzlich
auch alle Backup-Medien angeschlossen und auch gleich mit
diesem Wurm verseucht und schon ist die absolute Katastrophe da.
Okay: Dieses Szenario ist hoffentlich *SEHR* unwahrscheinlich.
Aber eine Debian-DVD oder CD, deren Inhalt sich nachträglich
nicht mehr ändern kann, vermittelt zumindest mir das subjektive
Gefühl, dass ich da einen Gegenstand in der Hand halte,
dem ich Vertrauen entgegen bringen kann. Bei einem USB-Stick:
Not so much. ☺
Viele Grüße, Peter.
--
Peter Funk, home: ✉Oldenburger Str.86, D-27777 Ganderkesee
mobile:+49-179-640-8878 phone:+49-421-20419-0 <http://www.artcom-gmbh.de/>
office: ArtCom GmbH, ✉Haferwende 2, D-28357 Bremen, Germany
Reply to: