Montagmorgen, 7:45 Uhr: Die Buchhaltung kann nicht auf Rechnungen zugreifen, die Warenwirtschaft startet nicht und wichtige Projektordner sind verschlüsselt. Ob ein Cyberangriff, ein defekter Server oder ein versehentlich gelöschter Ordner die Ursache ist, ändert zunächst wenig: Der Betrieb steht unter Druck. Wer fragt: „Wie sichere ich Geschäftsdaten?“, braucht deshalb mehr als eine externe Festplatte im Schrank. Entscheidend ist ein Konzept, das Daten wiederherstellbar macht und im Ernstfall ohne Rätselraten funktioniert.
Der wirtschaftliche Schaden kann erheblich sein. Der Branchenverband Bitkom beziffert die Schäden durch Diebstahl, Spionage und Sabotage in der deutschen Wirtschaft in seiner Studie von 2024 auf 266,6 Milliarden Euro pro Jahr. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt die Bedrohungslage weiterhin als angespannt und sieht besonders bei Ransomware eine hohe Gefahr für Unternehmen. Für mittelständische Betriebe bedeutet das: Datensicherung ist keine technische Nebenaufgabe. Sie sichert Lieferfähigkeit, Abrechnung, Kundenservice und Handlungsfähigkeit.
Wie sichere ich Geschäftsdaten richtig?
Eine verlässliche Datensicherung besteht aus drei Bausteinen: Sie verhindert unnötige Zugriffe, erstellt mehrere getrennte Kopien und stellt die Wiederherstellung regelmäßig unter Beweis. Fehlt einer dieser Bausteine, entsteht ein trügerisches Sicherheitsgefühl. Ein Backup, das durch dieselben Zugangsdaten erreichbar ist wie das produktive System, kann bei einem Angriff mitverschlüsselt werden. Eine Kopie ohne Wiederherstellungstest ist nur eine Annahme, keine Absicherung.
Dabei geht es nicht darum, jede Datei mit derselben Priorität zu behandeln. Die aktuelle Kalkulation, die Buchhaltung, Kundendaten, Verträge, E-Mails und branchenspezifische Fachanwendungen sind meist geschäftskritisch. Private Downloads, doppelte Dateien oder alte Entwürfe haben dagegen einen anderen Stellenwert. Eine gute Sicherungsstrategie beginnt mit der Frage: Welche Daten brauchen wir spätestens wann wieder, damit der Betrieb weiterarbeiten kann?
Diese zwei Zeitwerte schaffen Klarheit. Die Wiederanlaufzeit beschreibt, wie lange ein Ausfall maximal dauern darf. Der zulässige Datenverlust beschreibt, wie aktuell die wiederhergestellten Daten sein müssen. Muss die Auftragsbearbeitung nach vier Stunden wieder laufen und dürfen höchstens die Daten der letzten Stunde fehlen, braucht es andere Prozesse als bei einem Archiv, das erst am nächsten Tag benötigt wird.
Die 3-2-1-Regel als belastbare Grundlage
Die bewährte 3-2-1-Regel ist einfach: Halten Sie mindestens drei Kopien Ihrer Daten vor, speichern Sie diese auf zwei unterschiedlichen Speichermedien und bewahren Sie mindestens eine Kopie getrennt vom Unternehmensnetz auf. Die Regel schützt nicht nur vor einem einzelnen technischen Defekt. Sie reduziert auch das Risiko, dass Feuer, Diebstahl, Bedienfehler oder Schadsoftware alle Kopien gleichzeitig treffen.
Für viele Unternehmen ist eine zusätzliche unveränderbare Sicherung sinnvoll. Dabei können gesicherte Daten für einen festgelegten Zeitraum weder geändert noch gelöscht werden. Das ist besonders relevant bei Ransomware, weil Angreifer häufig zuerst nach Backups suchen. Ob diese Sicherung in einem externen Rechenzentrum, auf einem getrennten System oder in einer anderen technisch geschützten Umgebung liegt, hängt von Anforderungen, Datenmenge und Wiederanlaufzeit ab.
Cloud-Speicher allein ist nicht automatisch ein Backup. Die Synchronisation verteilt auch Fehler: Wird eine Datei versehentlich gelöscht oder verschlüsselt, kann diese Änderung in die synchronisierte Ablage übernommen werden. Entscheidend sind Versionierung, getrennte Sicherungen und klar definierte Aufbewahrungsfristen. Für Geschäftsdaten mit personenbezogenen Informationen sollte außerdem eindeutig geregelt sein, wo die Daten verarbeitet werden und wer darauf zugreifen darf.
Datenschutz und Datensicherheit gehören zusammen
Die DSGVO verlangt in Artikel 32 angemessene technische und organisatorische Maßnahmen. Dazu zählen ausdrücklich die Fähigkeit, die Verfügbarkeit und den Zugang zu personenbezogenen Daten nach einem technischen oder physischen Zwischenfall zeitnah wiederherzustellen, sowie regelmäßige Verfahren zur Überprüfung dieser Maßnahmen.
Das bedeutet nicht, dass jedes kleine Unternehmen dieselben Mittel wie ein Konzern einsetzen muss. Die DSGVO fordert einen risikoorientierten Ansatz. Eine Arztpraxis verarbeitet andere und besonders schützenswerte Daten als ein Handwerksbetrieb. Beide benötigen aber nachvollziehbare Zugriffsrechte, sichere Backups und Prozesse, die auch dann funktionieren, wenn die verantwortliche Person im Urlaub oder krank ist.
Die europäische Cybersecurity-Agentur ENISA weist in ihren Threat-Landscape-Berichten regelmäßig auf Ransomware als eine der folgenschwersten Bedrohungen hin. Gute Backups begrenzen zwar nicht jedes Risiko, sie nehmen Erpressern aber einen wesentlichen Hebel: die alleinige Kontrolle über die eigenen Daten.
Zugriffsrechte: Weniger Berechtigungen, weniger Risiko
Ein Großteil vermeidbarer Schäden beginnt nicht mit hochkomplexer Technik, sondern mit zu weit gefassten Berechtigungen. Wenn alle Mitarbeitenden auf alle Ordner, Konten und Systeme zugreifen können, genügt ein kompromittiertes Benutzerkonto für großen Schaden. Das Prinzip lautet: Jede Person erhält nur die Rechte, die sie für ihre Aufgabe benötigt.
Besonders schützenswerte Zugänge – etwa für Administration, Buchhaltung oder Personal – sollten durch Mehrfaktor-Authentifizierung geschützt sein. Ein Passwort allein ist heute kein ausreichender Schutz. Ebenso wichtig ist ein geordneter Prozess bei Ein- und Austritten: Neue Mitarbeitende erhalten definierte Zugänge, ausscheidende Mitarbeitende verlieren diese zeitnah. Gemeinsame Konten ohne nachvollziehbare Zuständigkeit sollten die Ausnahme bleiben.
Auch Updates gehören zur Datensicherung im weiteren Sinn. Ungepatchte Systeme sind ein häufiger Einstiegspunkt für Angriffe. Wer Server, Arbeitsplätze und eingesetzte Anwendungen zentral überwacht und aktualisiert, senkt die Wahrscheinlichkeit, dass eine Sicherheitslücke zur Betriebsunterbrechung wird.
Der Wiederherstellungstest entscheidet im Ernstfall
Viele Unternehmen sichern regelmäßig – und merken erst im Notfall, dass eine Sicherung unvollständig, zu langsam oder gar nicht lesbar ist. Deshalb braucht jedes Backup einen Test. Nicht zwingend jede Nacht für jeden Ordner, aber nach einem festen Plan und nach Veränderungen an Servern, Anwendungen oder Berechtigungen.
Ein sinnvoller Test beantwortet konkrete Fragen: Lässt sich eine einzelne gelöschte Datei wiederherstellen? Startet eine zentrale Anwendung mit den zurückgespielten Daten? Wie lange dauert es, bis die zuständigen Mitarbeitenden arbeiten können? Und wer darf den Prozess auslösen, wenn der reguläre Ansprechpartner nicht verfügbar ist?
Ein anonymisierter Praxisfall aus der Managed-IT-Betreuung zeigt, warum das zählt: Bei einem mittelständischen Dienstleister wurden Daten durch einen Bedienfehler in einer zentralen Projektablage überschrieben. Weil Versionierung und getrennte Sicherungen eingerichtet waren, konnte der Zustand vom Vorabend wiederhergestellt werden. Entscheidend war jedoch nicht allein die Technik. Der Ablauf war dokumentiert, Verantwortlichkeiten waren geklärt und der Testprozess hatte gezeigt, welche Daten zuerst benötigt wurden. Statt eines tagelangen Stillstands entstand eine begrenzte Unterbrechung.
Ein Notfallplan schafft Ruhe statt hektischer Entscheidungen
Während eines Vorfalls werden Entscheidungen unter Zeitdruck getroffen. Ein kurzer, verständlicher Notfallplan verhindert, dass Mitarbeitende unkoordiniert Systeme ausschalten, Dateien weiterverteilen oder mit Angreifern kommunizieren. Er sollte festhalten, wer informiert wird, wer Entscheidungen trifft, welche Systeme priorisiert wiederhergestellt werden und wie Vorfälle dokumentiert werden.
Für die Umsetzung im Mittelstand haben sich diese fünf Punkte bewährt:
- Kritische Daten, Anwendungen und Verantwortliche verbindlich erfassen.
- Sicherungen nach der 3-2-1-Regel mit einer getrennten oder unveränderbaren Kopie einrichten.
- Zugriffsrechte regelmäßig prüfen und Mehrfaktor-Authentifizierung für wichtige Konten aktivieren.
- Wiederherstellungen in festen Abständen testen und Ergebnisse dokumentieren.
- Einen Notfallablauf festlegen, der auch ohne einzelne Schlüsselpersonen funktioniert.
Wer externe IT-Betreuung einbindet, sollte nicht nur nach der Backup-Software fragen. Wichtiger sind Zuständigkeiten, Überwachung, Reaktionszeiten und der Nachweis von Tests. Ein Dienstleister kann technische Aufgaben übernehmen, aber die geschäftliche Priorität muss gemeinsam festgelegt werden: Welche Abteilung braucht zuerst wieder Zugriff? Welche Daten dürfen keinesfalls verloren gehen? Welche gesetzlich relevanten Aufbewahrungsfristen gelten?
Geschäftsdaten zu sichern heißt letztlich, die eigene Arbeitsfähigkeit planbar zu machen. Wenn Backups überwacht, Zugriffe sauber geregelt und Wiederherstellungen geprobt sind, bleibt ein Zwischenfall ein beherrschbares Problem – statt zur Krise zu werden. Das schafft die Ruhe, die Sie für Kunden, Mitarbeitende und Ihr Tagesgeschäft brauchen.