Montagmorgen, 7:40 Uhr: Die Auftragssoftware startet nicht, das gemeinsame Laufwerk ist verschlüsselt und die Telefonanlage läuft zwar noch, aber niemand kann auf Kundenakten, Pläne oder Termine zugreifen. In diesem Moment entscheidet nicht die Größe des Servers über den Schaden, sondern ob Sie eine Backup-Strategie für Ihre Firma erstellen und diese Wiederherstellung auch wirklich funktioniert.
Ein Backup ist keine Datei, die irgendwo mitläuft. Es ist die verbindliche Antwort auf eine unternehmerische Frage: Wie lange darf Ihr Betrieb ohne bestimmte Daten oder Systeme arbeiten – und was muss am selben Tag wieder verfügbar sein? Wer das klar regelt, schützt Umsatz, Kundenbeziehungen und die Handlungsfähigkeit des Teams. Damit Sie bei einem Ausfall den Kopf frei haben.
Was eine Backup-Strategie für Firmen leisten muss
Backups schützen nicht nur vor einem defekten Server. Sie helfen bei versehentlich gelöschten Dateien, Fehlbedienungen, Hardwareausfällen, Brand- oder Wasserschäden, Diebstahl und besonders bei Ransomware. Das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, bewertet die IT-Sicherheitslage weiterhin als angespannt. Ransomware bleibt für Unternehmen eines der schwerwiegendsten Risiken, weil Angreifer Daten nicht nur verschlüsseln, sondern häufig zuvor kopieren und mit Veröffentlichung drohen.
Die wirtschaftliche Dimension ist erheblich: Bitkom bezifferte den Schaden durch Datendiebstahl, Spionage und Sabotage für die deutsche Wirtschaft im Jahr 2024 auf 266,6 Milliarden Euro. Nicht jeder Vorfall lässt sich durch Backups verhindern. Ein gut geplantes, geschütztes und getestetes Backup begrenzt aber die Dauer des Stillstands deutlich.
Dabei geht es nicht darum, jede Datei mit derselben Priorität zu sichern. Die Lohnbuchhaltung, das ERP-System, die Praxissoftware, Konstruktionsdaten oder E-Mails können innerhalb weniger Stunden benötigt werden. Alte Archivdaten dürfen dagegen unter Umständen erst am nächsten Arbeitstag wieder bereitstehen. Eine gute Strategie richtet sich nach Ihrem Betrieb – nicht nach einer pauschalen Speichergröße.
Backup-Strategie für Ihre Firma erstellen: Die sechs Entscheidungen
1. Kritische Daten und Systeme sauber erfassen
Beginnen Sie mit dem, was den Arbeitstag tatsächlich trägt. Dazu gehören meist Server und virtuelle Maschinen, Microsoft-365- oder andere Cloud-Daten, Branchenanwendungen, Datenbanken, Dateiablagen, E-Mails sowie Konfigurationen von Firewall und Telefonie. Gerade die letzten Punkte werden oft vergessen. Fehlt nach einem Austausch die Firewall-Konfiguration oder die Einrichtung einer Cloud-Telefonie, entsteht unnötiger Zeitdruck.
Fragen Sie die Verantwortlichen aus Buchhaltung, Vertrieb und operativem Bereich konkret: Welche Anwendung brauchen Sie morgens zuerst? Welche Daten dürfen maximal einen Arbeitstag alt sein? Wo liegen diese Daten wirklich? Häufig befinden sie sich parallel auf lokalen PCs, Netzlaufwerken, NAS-Systemen und Cloud-Plattformen. Erst diese Übersicht verhindert blinde Flecken.
2. Wiederherstellungszeiten festlegen
Zwei Werte geben Ihrer Planung Richtung. Das Recovery Time Objective, RTO, beschreibt die maximal vertretbare Ausfallzeit. Das Recovery Point Objective, RPO, legt fest, wie viel Datenverlust akzeptabel ist. Ein RPO von vier Stunden bedeutet beispielsweise: Im Ernstfall dürfen höchstens vier Stunden Arbeit fehlen.
Für ein Bauunternehmen kann es ausreichen, wenn historische Projektakten am Folgetag wiederhergestellt sind. Für die aktuelle Kalkulation, mobile Aufmaße und das E-Mail-Postfach des Vertriebs gelten meist andere Maßstäbe. Eine Kanzlei oder Arztpraxis muss zusätzlich prüfen, welche Fristen, Behandlungsabläufe und Datenschutzpflichten betroffen wären. Je kürzer RTO und RPO, desto höher sind in der Regel Aufwand und Kosten. Diese Abwägung sollte bewusst getroffen werden, statt später im Notfall zu überraschen.
3. Die 3-2-1-1-0-Regel sinnvoll umsetzen
Die bekannte 3-2-1-Regel ist ein guter Ausgangspunkt: drei Kopien der Daten, auf zwei unterschiedlichen Speichermedien, davon eine Kopie außerhalb des Standorts. Für heutige Bedrohungen reicht sie allein oft nicht mehr. Ergänzen Sie eine unveränderbare oder physisch getrennte Kopie sowie regelmäßige Prüfungen ohne Fehler – daher 3-2-1-1-0.
Praktisch kann das so aussehen: Die produktiven Daten liegen auf dem Server, eine Sicherung wird lokal für schnelle Wiederherstellungen gespeichert, eine weitere verschlüsselt in ein getrenntes Rechenzentrum übertragen. Zusätzlich bleibt mindestens ein Sicherungsstand gegen nachträgliche Änderungen geschützt. Das ist bei Ransomware entscheidend. Kann Schadsoftware die Sicherung löschen oder verschlüsseln, existiert zwar formal ein Backup, aber keine verlässliche Rückfallebene.
Cloud-Daten benötigen ebenfalls eine eigene Sicherung. Dass eine Plattform hochverfügbar ist, bedeutet nicht automatisch, dass versehentlich gelöschte, durch Berechtigungsfehler verlorene oder verschlüsselte Inhalte in der gewünschten Version wiederhergestellt werden können. Verfügbarkeit des Dienstes und Sicherung Ihrer Daten sind zwei verschiedene Verantwortlichkeiten.
4. DSGVO und Zugriffsschutz mitplanen
Artikel 32 DSGVO verlangt unter anderem die Fähigkeit, Verfügbarkeit und Zugang zu personenbezogenen Daten nach einem technischen oder physischen Zwischenfall zeitnah wiederherzustellen. Außerdem müssen Maßnahmen regelmäßig überprüft und bewertet werden. Ein Backup-Konzept ist damit nicht nur Vorsorge, sondern Teil Ihrer Datenschutzorganisation.
Sichern Sie Daten verschlüsselt, regeln Sie Zugriffsrechte nach dem Prinzip der geringsten Berechtigung und schützen Sie Administrationskonten mit Mehrfaktor-Authentifizierung. Besonders wichtig ist die Trennung: Wer das Tagesgeschäft administriert, sollte nicht automatisch jede Backup-Kopie löschen können. Dokumentieren Sie auch Aufbewahrungsfristen und Löschkonzepte. Ein Backup darf keine Ausrede sein, personenbezogene Daten unbegrenzt vorzuhalten.
5. Die Wiederherstellung testen
Ein grünes Häkchen im Backup-Programm beweist nur, dass ein Sicherungsjob beendet wurde. Es beweist nicht, dass die Daten lesbar sind, die Datenbank konsistent startet oder die Anwendung mit der wiederhergestellten Version arbeitet. ENISA weist in ihren Bedrohungsanalysen regelmäßig darauf hin, dass Ransomware vor allem dann zur Krise wird, wenn Wiederherstellung und Notfallabläufe nicht vorbereitet sind.
Planen Sie mindestens quartalsweise einen Test für wichtige Systeme und jährlich einen vollständigen Notfalltest. Halten Sie fest, wie lange die Wiederherstellung gedauert hat, welche Abhängigkeiten fehlten und wer Entscheidungen treffen musste. Der Test darf kein IT-Projekt im stillen Kämmerlein sein. Geschäftsführung und Fachbereiche sollten wissen, was im Ausfallfall realistisch funktioniert.
6. Verantwortung eindeutig vergeben
Eine Strategie scheitert oft nicht an Technik, sondern an ungeklärten Zuständigkeiten. Wer kontrolliert täglich die Sicherungsprotokolle? Wer darf eine Wiederherstellung freigeben? Wen informiert das Team bei einem Sicherheitsvorfall? Und wer prüft, ob neue Anwendungen oder Mitarbeiterlaufwerke überhaupt in die Sicherung aufgenommen wurden?
Für kleinere und mittlere Unternehmen ist ein fester Prozess mit persönlichem Ansprechpartner meist hilfreicher als ein kompliziertes Handbuch. Bei betreuten Umgebungen übernimmt ein Managed-Service-Partner Monitoring, Fehleranalyse und regelmäßige Kontrolle. Die Geschäftsführung behält die Entscheidungen, muss aber nicht jeden Morgen Backup-Meldungen auswerten.
Typische Lücken, die im Ernstfall teuer werden
Besonders riskant sind Sicherungen, die dauerhaft am selben Standort wie der Server liegen. Ein Brand, Wasserschaden oder Einbruch kann dann Produktion und Backup zugleich treffen. Ebenso problematisch sind NAS-Systeme, die mit denselben Zugangsdaten erreichbar sind wie das restliche Netzwerk. Angreifer suchen gezielt nach solchen Sicherungszielen.
Auch fehlende E-Mail- und Cloud-Backups werden unterschätzt. Wenn ein Mitarbeiter einen Ordner löscht, ein Konto kompromittiert wird oder eine Synchronisation falsche Datenstände verteilt, hilft ein lokales Serverbackup nicht weiter. Schließlich sind lange Aufbewahrungszeiten kein Qualitätsmerkmal, wenn niemand weiß, welche Version im Bedarfsfall zurückgespielt werden soll.
Praxisfall: Nicht die Sicherung, sondern der Test entschied
In einem anonymisierten Praxisfall aus einem mittelständischen Handelsbetrieb waren die täglichen Backups seit Jahren eingerichtet. Nach einem Speicherfehler zeigte sich beim Wiederherstellungsversuch jedoch, dass die Datenbank der Warenwirtschaft nicht konsistent gesichert worden war. Die Dateien waren vorhanden, die Anwendung ließ sich dennoch nicht starten.
Nach der Analyse wurde die Sicherung auf Anwendungsebene angepasst, die Datenbankprüfung automatisiert und ein monatlicher Wiederherstellungstest vereinbart. Beim späteren Ausfall eines Servers konnte der Betrieb auf eine geprüfte Kopie zurückgreifen. Der entscheidende Unterschied war nicht mehr Speicherplatz, sondern ein klarer Ablauf mit festgelegter Priorität: Warenwirtschaft zuerst, danach Dateiablagen und Archivdaten.
Eine Strategie, die mit Ihrem Unternehmen mitwächst
Neue Cloud-Anwendungen, zusätzliche Standorte, mobiles Arbeiten und digitale Telefonie verändern Ihre IT-Landschaft laufend. Prüfen Sie Ihre Backup-Strategie daher mindestens einmal im Jahr und zusätzlich nach größeren Änderungen. Eine neue Branchensoftware, ein Serverwechsel oder die Einführung von Microsoft 365 sind gute Anlässe, Sicherungsumfang, Wiederherstellungsziele und Rechtekonzept anzupassen.
Die beste Frage für Ihre nächste Geschäftsleitungsrunde lautet nicht: Läuft das Backup? Sondern: Können wir unsere wichtigsten Arbeiten bis morgen wieder aufnehmen – und haben wir das nachweislich getestet? Wer diese Frage klar beantworten kann, hat aus einer technischen Pflicht eine verlässliche Grundlage für den Geschäftsbetrieb gemacht.