Ein Backup, das sich nicht zurückspielen lässt, ist keine Absicherung, sondern eine Hoffnung. Die Frage wie oft Backups testen sollten, entscheidet deshalb nicht die Größe des Speichers, sondern die Folgen eines Ausfalls: Können Mitarbeitende weiterarbeiten? Bleiben Kunden erreichbar? Sind Aufträge, Buchhaltung und Dokumentation verfügbar? Für mittelständische Unternehmen muss die Antwort planbar sein – nicht erst dann, wenn ein Verschlüsselungstrojaner, ein defekter Server oder ein Bedienfehler den Betrieb bremst.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bewertet Ransomware weiterhin als eine der größten Bedrohungen für Unternehmen. ENISA nennt Ransomware ebenfalls als zentrale Cyberbedrohung in Europa. Und die wirtschaftliche Dimension ist erheblich: Laut IBM Cost of a Data Breach Report 2024 lagen die durchschnittlichen weltweiten Kosten einer Datenpanne bei 4,88 Millionen US-Dollar. Diese Zahl lässt sich nicht eins zu eins auf einen Handwerksbetrieb oder eine Kanzlei übertragen. Sie zeigt aber deutlich, dass Stillstand, Wiederherstellung und Vertrauensverlust teuer werden können.
Wie oft Backups testen? Die kurze Antwort
Für die meisten kleinen und mittleren Unternehmen gilt: Automatisierte Sicherungen sollten täglich überwacht, einzelne Wiederherstellungen monatlich geprüft und ein vollständiger Notfalltest mindestens quartalsweise durchgeführt werden. Bei sehr kritischen Daten, etwa in Arztpraxen, Kanzleien, im Großhandel oder bei Unternehmen mit laufender Disposition, kann ein engerer Rhythmus sinnvoll sein.
Entscheidend ist dabei eine Unterscheidung: Ein Backup zu erstellen, ein Backup technisch zu prüfen und Daten wirklich wiederherzustellen sind drei verschiedene Dinge. Viele Systeme melden erfolgreich abgeschlossene Sicherungen. Das sagt zunächst nur, dass Daten in ein Zielsystem geschrieben wurden. Ob die Sicherung vollständig ist, ob sie sich öffnen lässt und ob eine Anwendung danach korrekt arbeitet, zeigt erst der Wiederherstellungstest.
Der Testrhythmus muss zum Geschäftsbetrieb passen
Eine pauschale Vorgabe wäre bequem, aber nicht verantwortungsvoll. Wer nur einmal pro Woche mit wenigen Dateien arbeitet, hat andere Anforderungen als ein Betrieb, dessen Aufträge, Lagerbewegungen und E-Mails im Minutentakt eingehen. Zwei Kennzahlen bringen Klarheit.
Der Recovery Point Objective, kurz RPO, beschreibt, wie viel Datenverlust akzeptabel ist. Wenn maximal vier Arbeitsstunden verloren gehen dürfen, muss es mindestens alle vier Stunden eine verwertbare Sicherung geben. Der Recovery Time Objective, kurz RTO, beschreibt dagegen, wie schnell Systeme wieder laufen müssen. Ein Unternehmen kann Daten von gestern besitzen und trotzdem handlungsunfähig sein, wenn die Rücksicherung zwei Tage dauert.
Daraus entsteht ein praxistauglicher Rhythmus:
- Täglich: Backup-Jobs und Fehlermeldungen automatisiert kontrollieren. Auffälligkeiten müssen bei einer verantwortlichen Person oder beim Managed-Service-Partner landen.
- Monatlich: Stichprobenweise Dateien, E-Mails oder einzelne Ordner in eine getrennte Umgebung wiederherstellen und öffnen.
- Quartalsweise: Eine geschäftskritische Anwendung testen, etwa Warenwirtschaft, Finanzbuchhaltung, Praxissoftware oder ein zentrales Projektlaufwerk.
- Halbjährlich: Einen größeren Ausfall simulieren: Server, virtuelle Maschine oder Cloud-Umgebung aus dem Backup wiederherstellen und die benötigte Dauer dokumentieren.
- Jährlich sowie nach Veränderungen: Notfallplan, Zuständigkeiten, Backup-Umfang und Aufbewahrungsfristen prüfen. Das gilt besonders nach Softwarewechseln, neuen Standorten, Fusionen oder einer Umstellung auf Cloud-Telefonie.
Wer keine eigenen IT-Ressourcen hat, muss diese Tests nicht selbst durchführen. Wichtig ist nur, dass sie verbindlich geplant, dokumentiert und nachvollziehbar besprochen werden. Ein grünes Häkchen in einer Backup-Konsole ersetzt diesen Nachweis nicht.
Was bei einem Backup-Test konkret geprüft wird
Ein brauchbarer Test beantwortet mehr als die Frage, ob sich eine Datei kopieren lässt. Zuerst wird geprüft, ob die Sicherung vollständig und unverändert verfügbar ist. Danach wird sie in einer möglichst getrennten Testumgebung wiederhergestellt. So verhindert man, dass ein fehlerhaftes Backup das produktive System beeinflusst.
Anschließend zählt die Geschäftsfähigkeit: Startet die Anwendung? Sind Benutzerrechte vorhanden? Lassen sich Belege, Kundenakten oder Projektunterlagen öffnen? Funktionieren Datenbanken konsistent? Bei Kommunikationssystemen kann zusätzlich relevant sein, ob Konfigurationen der Telefonanlage, Ansagen, Rufgruppen oder Cloud-Telefonie-Zugänge dokumentiert und wiederherstellbar sind.
Ebenso wichtig ist die Zeitmessung. Wenn die Rücksicherung einer zentralen Datenbank sechs Stunden dauert, die Abteilung aber nach zwei Stunden wieder arbeiten muss, liegt kein technisches Detailproblem vor. Dann passt die Backup-Strategie nicht zum Betrieb. Mögliche Lösungen sind häufigere Sicherungen, schnellere lokale Kopien, eine priorisierte Wiederherstellungsreihenfolge oder eine andere Systemarchitektur.
Die 3-2-1-Regel reicht nur mit Schutz vor Manipulation
Die bekannte 3-2-1-Regel bleibt ein guter Ausgangspunkt: drei Kopien der Daten, auf zwei unterschiedlichen Speichermedien, davon eine Kopie außer Haus. Für die heutige Bedrohungslage sollte sie jedoch ergänzt werden. Mindestens eine Sicherung sollte gegen nachträgliches Löschen und Verschlüsseln geschützt sein, etwa durch unveränderbare Speicherung oder ein logisch getrenntes Backup-System.
Das ist besonders relevant bei Ransomware. Angreifer versuchen häufig nicht nur Produktivdaten zu verschlüsseln, sondern auch Sicherungen zu löschen oder unbrauchbar zu machen. Eine Backup-Freigabe, die mit denselben Zugangsdaten und ohne zusätzliche Schutzmechanismen erreichbar ist, kann deshalb zum Risiko werden.
Auch die DSGVO verlangt mehr als das bloße Vorhandensein einer Datensicherung. Artikel 32 Absatz 1 Buchstabe c und d fordert geeignete technische und organisatorische Maßnahmen, darunter die Fähigkeit zur raschen Wiederherstellung sowie ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit dieser Maßnahmen. Für Unternehmen, die personenbezogene Daten verarbeiten, ist ein dokumentierter Restore-Test daher auch ein Baustein der Datenschutzorganisation.
Praxisfall: Das Backup war vorhanden, die Rückkehr dauerte trotzdem
Ein typischer Fall aus dem Mittelstand: Ein Unternehmen mit rund 35 Mitarbeitenden sicherte seine Server täglich in die Cloud. Nach einem Defekt des zentralen Speichers waren die Daten grundsätzlich vorhanden. Im Test zeigte sich jedoch, dass die Wiederherstellung von Dateiablagen, Berechtigungen und der Auftragssoftware in der bestehenden Reihenfolge fast zwei Arbeitstage beansprucht hätte.
Das Problem war nicht die Menge der Daten, sondern die fehlende Priorisierung. Zuerst wurden weniger kritische Archivdaten zurückgespielt, während Disposition und Auftragsbearbeitung warten mussten. Außerdem war nicht festgelegt, wer Entscheidungen trifft, wer die Mitarbeitenden informiert und welche Übergangslösungen gelten.
Nach dem Test wurde die Reihenfolge geändert: Zunächst kamen die Systeme für Aufträge, Kommunikation und aktuelle Projekte an die Reihe. Archivdaten folgten später. Ergänzend wurde eine lokale, geschützte Kopie für die besonders zeitkritischen Daten eingerichtet und der Ablauf mit klaren Verantwortlichkeiten dokumentiert. Das Ergebnis war keine kompliziertere IT, sondern ein realistischer Plan für den Ernstfall.
Häufige Fehler, die Tests entwerten
Der häufigste Fehler ist, nur den Sicherungsbericht zu lesen. Danach folgen zu seltene Tests, fehlende Prüfnachweise und Tests mit Dateien, die für den Betrieb keine Rolle spielen. Wer jedes Mal nur ein PDF aus einem Archivordner wiederherstellt, weiß noch nicht, ob die Buchhaltung oder die Warenwirtschaft funktioniert.
Problematisch ist auch, wenn Passwörter, Verschlüsselungsschlüssel oder Zugänge zur Backup-Plattform nur bei einer Person liegen. Fällt diese Person aus, kann selbst ein technisch einwandfreies Backup unnötig Zeit kosten. Zuständigkeiten müssen daher vertreten sein, ohne dass Sicherheitsdaten unkontrolliert verteilt werden.
Schließlich werden Änderungen oft unterschätzt. Neue Software, zusätzliche Cloud-Dienste, ein Wechsel des E-Mail-Systems oder neue Standorte verändern den Schutzbedarf. Was vor einem Jahr vollständig gesichert war, kann heute blinde Flecken haben. Deshalb gehört der Backup-Test in den festen IT-Betriebsplan – nicht auf eine Liste für ruhigere Zeiten.
Aus Tests wird Verlässlichkeit
Ein guter Backup-Test endet mit einem kurzen Protokoll: Was wurde wiederhergestellt? Wie lange hat es gedauert? Gab es Fehler? Welche Systeme haben Vorrang? Wer entscheidet im Ausfall? Diese Informationen geben Geschäftsführung und Mitarbeitenden Sicherheit, weil sie aus einer abstrakten Sicherheitsmaßnahme einen belastbaren Ablauf machen.
InnovaCOM begleitet Unternehmen dabei, Sicherungen nicht nur einzurichten, sondern ihre Wiederherstellbarkeit regelmäßig zu prüfen und sichtbar zu machen. Damit Sie im Ernstfall nicht darüber diskutieren müssen, ob Daten vorhanden sind, sondern wissen, wie der Betrieb wieder ans Laufen kommt.
Der sinnvollste Termin für den nächsten Restore-Test ist nicht nach dem nächsten IT-Vorfall. Es ist ein normaler Arbeitstag, an dem Sie noch Zeit haben, aus dem Ergebnis die richtigen Konsequenzen zu ziehen.