# Vertrauen vor Datenpfad
Typ: Checkliste
Herkunft: backup-disaster-recovery / iam-key-recovery / backup-dr-trust-order
Version: backup-dr-trust-order-2026-09-04
Geprüft: 2026-09-04

ACHTUNG: Dieses Dokument ist ein Lernartefakt aus einer Schulungssequenz. Es ist kein produktives Runbook. Vor jeder Anwendung in einer realen Umgebung müssen die Schritte gegen lokale Dokumentation, Runbooks und Freigabestatus geprüft werden.

## Szenario
Nach einem Totalausfall soll der Wiederanlauf beginnen. Fünf Schritte stehen an, bevor der erste Datenbestand zurückgeholt wird. Ihre Reihenfolge entscheidet darüber, ob der Ablauf überhaupt startet.

## Schritte
1. Mit einem Notfallzugang anmelden, der ohne den ausgefallenen Verzeichnisdienst funktioniert
2. Den Zugriff auf Schlüssel und Geheimnisse aus der getrennten Verwahrung herstellen
3. Prüfen, ob die benötigten Schlüssel benutzbar sind und keiner zur Löschung vorgemerkt ist
4. Feststellen, welche Zertifikate und Dienstkontokennwörter nach dem Restore erneuert werden müssen
5. Mit der Wiederherstellung des ersten Datenbestands beginnen

## Begründung
Warum: Identitäten und Schlüssel sind die Voraussetzung, nicht der Inhalt der Wiederherstellung. Jeder Schritt, der ohne sie begonnen wird, endet an derselben Stelle — nur später und unter größerem Zeitdruck.
Folgen: **+** Die feste Reihenfolge fängt die drei häufigsten Blockaden ab, bevor Zeit in einen Restore geflossen ist, der ohnehin nicht durchläuft. **−** Sie verzögert den sichtbaren Beginn der Wiederherstellung um eine Prüfphase, die von außen wie Zögern aussieht — das ist im Ernstfall zu erklären, und deshalb gehört die Reihenfolge in den Plan und nicht in die Improvisation.

## Quellen
1. Microsoft Entra — Manage emergency access accounts — https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/security-emergency-access
2. AWS KMS — Delete an AWS KMS key — https://docs.aws.amazon.com/kms/latest/developerguide/deleting-keys.html