Backups und Wiederherstellung

Überblick

Datensicherung und Wiederherstellung gehören zur Administration jedes Unternehmens in Ottili ONE. Dieser Artikel erklärt, was gesichert wird, welche Backup-Arten es gibt, wie Verschlüsselung at rest funktioniert, wie Sie einen Restore durchführen und welche Sicherheits- und Mandanten-Regeln gelten. Alle Angaben auf dieser Seite sind aus dem Backup Service von Ottili ONE und den Product-Truth-Registern abgeleitet – sie werden aus einer einzigen, kanonischen Quelle gerendert und nicht hartkodiert oder frei ergänzt.

Die übergeordnete Sicherheitsarchitektur (Mandanten-Isolation, Authentifizierung, Berechtigungen, Verschlüsselung, Secrets-Management, Audit) beschreibt die [Sicherheitsübersicht](/docs/security-overview). Dieser Artikel konzentriert sich auf Backups und Restore.

Wichtiger Hinweis zum Status:* On-Demand-Backups und Wiederherstellung über den Backup Service sind Live (v1)*. Geplante/automatisierte Backups und Point-in-Time-Recovery (PITR) sind In Development / qualifiziert* – sie sind operative Absicht, aber noch keine verifizierte, automatische Garantie. Verschlüsselung at rest ist opt-in (qualifiziert/Beta)*. Was diese Begriffe bedeuten, beschreibt [Feature-Status-Labels verstehen](/docs/understand-feature-status-labels).

Was wird gesichert (Scope)

Ottili ONE sichert die plattformweiten Unternehmensdaten Ihres Workspaces:

• PostgreSQL-Plattformdatenbank (company-scoped):* Kund:innen, Deals, Angebote, Bestellungen, Lager, Finanzen und Audit-Events.
• Redis-Cache (optional):* RDB-Snapshot der Cache-Daten, sofern ausgewählt.
• Datei-/Objektspeicher und Konfiguration*, soweit für Ihren Workspace anwendbar.

Alle Backups und Restores werden im verifizierten Unternehmenskontext (company-scoped) durchgeführt und sind berechtigungspflichtig. Ottili ONE ist mandantenbezogen: Eine gemeinsame Prüfung lehnt jede Anfrage ohne oder mit falschem Unternehmenskontext ab, und die Datenbank filtert jede Plattformzeile nach der verifizierten company_id. Mehr dazu in [Mandanten-Isolation](/docs/tenant-isolation).

Backup-Arten

• On-Demand-Backup (manuell):* Erstellen Sie ein Backup über den Bereich *Backup & Restore* in der Unternehmensverwaltung bzw. über den Backup Service. Dies ist Live (v1)* verfügbar.
• Geplante/automatisierte Backups:* Status In Development / qualifiziert*. Der Betrieb ist operative Absicht, aber wir beanspruchen aktuell keine verifizierte, automatische Point-in-Time-Recovery und behaupten nicht, dass Backups „regelmäßig getestet" würden. Planen Sie eigene Restore-Drills ein (siehe unten).
• Schema-spezifische Backups:* Gezielte Sicherung einzelner Schemata (z. B. live, log, public) für fokussierte Wiederherstellung.
• Backup-Rotation/Aufbewahrung (Retention):* Veraltete Backups werden anhand einer konfigurierbaren Aufbewahrungsrichtlinie automatisch rotiert.

Verschlüsselung at rest

Backups können at rest mit AES-256-GCM* verschlüsselt werden, sofern die Backup-Verschlüsselung aktiviert und eine Passphrase konfiguriert ist:

• Die Verschlüsselung ist opt-in* und konfigurationsabhängig (Flag BACKUP_ENCRYPTION_ENABLED plus konfigurierte Passphrase).
• Ist die Verschlüsselung nicht konfiguriert, werden Backups unverschlüsselt* geschrieben – ein bewusstes, konfigurationsabhängiges Verhalten, kein universeller Schutz.
• Verschlüsselte Backups erhalten das Kennzeichen .enc; die Entschlüsselung beim Restore erfolgt automatisch, wenn die Verschlüsselung konfiguriert ist.

Details zur Plattform-Verschlüsselung finden Sie in [Datenschutz-Kontrollen](/docs/privacy-controls).

Wiederherstellen (Restore)

Ein Restore ist eine schreibende, weitreichende Operation und daher abgesichert:

• Der Restore erfolgt über den Bereich *Backup & Restore* und erfordert eine explizite Bestätigung* (confirm) sowie einen Berechtigungs-Guard* (standardmäßig aktiv).
• Verschlüsselte Backups* werden am .enc-Kennzeichen erkannt und bei konfigurierter Verschlüsselung vor dem Restore automatisch entschlüsselt.
• Achtung:* Ein Restore überschreibt vorhandene Daten. Für Produktionsumgebungen empfehlen wir einen trockenen Durchlauf (Dry Run) bzw. eine Wiederherstellung zuerst in einer Staging-Umgebung.
• Restore-Drills* (gezielte Test-Wiederherstellungen) sind eine empfohlene Best Practice, um die Wiederherstellbarkeit regelmäßig nachzuweisen.

Verifizierung & Integrität

• Jedes Backup erhält eine SHA256-Checksumme*; die Integrität lässt sich über die Validierung prüfen (Datei vorhanden, dekomprimierbar, Checksumme stimmt überein).
• Die Backup-Rotation* löscht veraltete Backups anhand einer Aufbewahrungsrichtlinie (z. B. retention_days, max_count, Mindestfreispeicher).
• Empfehlung:* Prüfen Sie Backups nach der Erstellung und vor einem echten Restore, statt der bloßen Existenz eines Backup-Files zu vertrauen.

Mandantenisolation & Sicherheit

• Der Backup Service erfordert einen verifizierten Unternehmenskontext (X-Company-ID); Anfragen ohne Kontext werden abgewiesen (HTTP 403).
• Restore ist berechtigungs- und bestätigungspflichtig; nur autorisierte Administrator:innen können ihn auslösen.
• Secrets werden nicht im Klartext gesichert.* Sensible Werte werden über Umgebungsvariablen injiziert und beim Start validiert; siehe [Datenschutz-Kontrollen](/docs/privacy-controls) für das Secrets-Management.

Statusbegriffe / Verfügbarkeit

Ottili ONE unterscheidet klar zwischen Live, Beta, Private Beta, In Development, Planned und Concept. Was diese Begriffe bedeuten, beschreibt [Feature-Status-Labels verstehen](/docs/understand-feature-status-labels).

Verwandte Artikel

• [Feature-Status-Labels verstehen](/docs/understand-feature-status-labels) — was die Statusbegriffe bedeuten.
• [Sicherheitsübersicht](/docs/security-overview) — die gesamte Sicherheitsarchitektur im Überblick.
• [Secrets-Management](/docs/secrets-management) — wie Konfigurations- und Integrations-Secrets geschützt werden.
• [Mandanten-Isolation](/docs/tenant-isolation) — warum Ihre Daten isoliert bleiben.
• [Unternehmen verwalten](/docs/company-administration) — Rollen und Zugriff verwalten.
• [Datenaufbewahrung](/docs/data-retention) — Speicherung, Export, DSGVO-Löschung.
• [Audit-Protokolle](/docs/audit-logs) — nachvollziehbare, unternehmensbezogene Protokolle.
• [Rollen und Berechtigungen](/docs/roles-and-permissions) — wer was darf.
• [Incident Response](/docs/incident-response) — Schwachstellen melden und Vorfälle behandeln.
• [Schwachstellen melden](/docs/vulnerability-reporting) — Disclosure-Kanal und Prozess.
• [Datenschutz-Kontrollen](/docs/privacy-controls) — Verschlüsselung, Isolation, Secrets, DPA.