Backup für Unternehmen: Warum es Pflicht ist und wie eine gute Strategie aussieht

Ein Backup ist die Lebensversicherung Ihrer Daten – und trotzdem wird es oft stiefmütterlich behandelt, bis es zu spät ist. Festplatten fallen aus, Mitarbeitende löschen versehentlich Dateien, und Ransomware verschlüsselt im schlimmsten Fall den gesamten Datenbestand. Wer dann keine funktionierende, unabhängige Sicherung hat, steht still – manchmal existenzbedrohend. Eine gute Backup-Strategie ist kein Hexenwerk. Sie folgt einigen bewährten Grundsätzen: mehrere Kopien an verschiedenen Orten (die 3-2-1-Regel), mindestens eine Kopie, die ein Angreifer nicht verändern kann, klar definierte Ziele dafür, wie aktuell und wie schnell wiederhergestellt werden muss – und, am allerwichtigsten, regelmäßig getestete Wiederherstellungen. Dieser Beitrag erklärt die Grundlagen verständlich.

Datenverlust hat viele Ursachen, und die wenigsten davon sind exotisch. Am häufigsten ist schlicht menschliches Versehen: Eine wichtige Datei wird überschrieben oder gelöscht und fällt erst Wochen später auf. Fast ebenso alltäglich ist der Hardware-Ausfall – Festplatten und SSDs haben eine begrenzte Lebensdauer und geben irgendwann ohne Vorwarnung den Geist auf. Hinzu kommen Diebstahl oder Verlust von Geräten, Wasser- und Brandschäden sowie fehlerhafte Updates oder Softwarefehler, die Daten beschädigen. Die gefährlichste Bedrohung ist heute jedoch Ransomware: Angreifer verschlüsseln Ihre Daten und fordern Lösegeld. Ohne sauberes Backup bleiben oft nur die Zahlung – ohne Garantie auf Entschlüsselung – oder der Totalverlust. Und schließlich hält sich hartnäckig der Irrglaube, Daten in der Cloud seien automatisch gesichert. Das sind sie nicht: Microsoft, Google und Co. sorgen für die Verfügbarkeit ihrer Plattform, aber ein versehentlich gelöschtes Postfach oder ein von Ransomware verschlüsseltes OneDrive stellen sie Ihnen nicht ohne Weiteres wieder her.

Die wichtigste Faustregel im Backup lautet 3-2-1. Sie besagt, dass Sie mindestens drei Kopien Ihrer Daten vorhalten sollten – die Originaldaten plus zwei Sicherungen –, dass diese auf mindestens zwei unterschiedlichen Speichermedien liegen sollten und dass mindestens eine Kopie außer Haus, also an einem anderen Ort aufbewahrt wird. Der Sinn dahinter ist einfach: Fällt ein Medium aus, gibt es weitere; und trifft ein Brand, Diebstahl oder Wasserschaden Ihren Standort, überlebt die Kopie außer Haus. Modern erweitert man die Regel gern zu 3-2-1-1-0: Die zusätzliche Eins steht für eine Kopie, die unveränderlich oder physisch getrennt ist (dazu gleich mehr), und die Null dafür, dass Ihre Backups nachweislich fehlerfrei wiederherstellbar sind – also getestet werden.

Ein Backup ist nur so gut wie sein Umfang. Zu sichern sind zunächst die offensichtlichen Dinge: Dateiserver und Netzlaufwerke, die Arbeitsplatzrechner Ihrer Mitarbeitenden sowie ein etwaiges NAS. Ebenso wichtig, aber leicht übersehen, sind Datenbanken und Fachanwendungen wie Warenwirtschaft, Buchhaltung oder CRM, virtuelle Maschinen und Server-Images sowie die Konfigurationen Ihrer Systeme, denn eine Wiederherstellung nützt wenig, wenn anschließend jede Einstellung neu gemacht werden muss. Ein eigener Punkt sind Cloud-Dienste, allen voran Microsoft 365. Auch E-Mails, OneDrive, SharePoint und Teams gehören gesichert – idealerweise mit einer unabhängigen Drittanbieter-Lösung, weil die nativen Bordmittel dafür nicht ausgelegt sind. Warum das so ist, lesen Sie ausführlich in unserem Beitrag Warum Aufbewahrungsrichtlinien kein Backup sind.

Technisch unterscheidet man vor allem drei Sicherungsarten. Das Vollbackup kopiert jedes Mal den kompletten Datenbestand – am einfachsten wiederherzustellen, aber speicher- und zeitintensiv. Das inkrementelle Backup sichert nur die Änderungen seit der letzten Sicherung und ist dadurch schnell und sparsam, benötigt zur Wiederherstellung aber die gesamte Kette. Das differentielle Backup sichert die Änderungen seit dem letzten Vollbackup und liegt bei Aufwand und Wiederherstellungsgeschwindigkeit dazwischen. In der Praxis kombiniert man diese Arten, etwa ein wöchentliches Vollbackup mit täglichen inkrementellen Sicherungen. Mindestens ebenso wichtig ist die Aufbewahrung, also wie lange und in welchen Abständen Sicherungen vorgehalten werden. Ein bewährtes Schema ist „Großvater–Vater–Sohn“: tägliche Sicherungen für die letzten Wochen, wöchentliche für einige Monate und monatliche für mehrere Jahre. So können Sie nicht nur den Stand von gestern wiederherstellen, sondern auch einen Bearbeitungsfehler entdecken, der schon länger zurückliegt – und Sie erfüllen gesetzliche Aufbewahrungsfristen, die je nach Datenart mehrere Jahre betragen können.

Wo die Sicherungen liegen, entscheidet über ihre Widerstandsfähigkeit. Ein lokales Backup auf einem NAS oder Backup-Server im eigenen Haus ist schnell – sowohl beim Sichern als auch beim Wiederherstellen – und deshalb die erste Verteidigungslinie im Alltag. Es teilt jedoch das Schicksal Ihres Standorts bei Brand, Diebstahl oder Wasserschaden und ist bei einem Ransomware-Befall im selben Netzwerk gefährdet. Deshalb braucht es zusätzlich eine Kopie außer Haus. Das kann ein zweiter Standort sein, ein rotierendes Medium, das regelmäßig ausgelagert wird, oder – heute am gängigsten – ein Cloud-Backup in einem sicheren Rechenzentrum. Für Unternehmen in Deutschland empfehlen wir dabei Anbieter mit EU-Rechenzentren und einem sauberen Auftragsverarbeitungsvertrag, damit auch der Datenschutz stimmt. Die Kombination aus schnellem lokalem Backup und sicherer Kopie in der Cloud verbindet das Beste aus beiden Welten.

Moderne Ransomware sucht gezielt nach Backups und versucht, sie mitzuverschlüsseln oder zu löschen – denn ein funktionierendes Backup macht die Erpressung wirkungslos. Genau deshalb reicht es nicht, überhaupt zu sichern; mindestens eine Kopie muss so beschaffen sein, dass ein Angreifer sie nicht verändern kann. Dafür gibt es zwei bewährte Ansätze. Unveränderliche Backups (Immutability) lassen sich innerhalb einer festgelegten Frist technisch nicht mehr überschreiben oder löschen, auch nicht mit Administratorrechten. Ein Air-Gap wiederum trennt die Sicherung physisch oder logisch vom Netzwerk, sodass sie für Angreifer schlicht nicht erreichbar ist. Wer eine solche geschützte Kopie vorhält, kann nach einem Angriff sauber wiederherstellen, statt über eine Lösegeldzahlung nachzudenken.

Zwei Kennzahlen helfen, die passende Strategie festzulegen. Der Recovery Point Objective, kurz RPO, beschreibt, wie viel Datenverlust im Ernstfall verkraftbar ist – also wie aktuell das Backup sein muss. Sichern Sie einmal täglich, kann im schlimmsten Fall ein Tag Arbeit verloren gehen; brauchen Sie weniger, muss häufiger gesichert werden. Der Recovery Time Objective, kurz RTO, beschreibt dagegen, wie schnell nach einem Ausfall wieder gearbeitet werden können muss. Beide Werte leiten sich aus der Frage ab, was ein Stillstand Ihr Unternehmen kostet. Für ein System, ohne das niemand arbeiten kann, lohnt sich ein knapper RPO und ein schneller RTO – und damit häufigeres Sichern und eine Lösung, die zügige Wiederherstellung erlaubt. Für selten geänderte Archivdaten dürfen beide Werte großzügiger ausfallen. Diese bewusste Einordnung verhindert, dass Sie zu viel oder – gefährlicher – zu wenig absichern.

Ein Backup, das noch nie zurückgespielt wurde, ist kein Backup – es ist eine Hoffnung. Immer wieder erleben Unternehmen im Ernstfall, dass die Sicherung unvollständig war, seit Monaten unbemerkt fehlschlug oder sich schlicht nicht wiederherstellen lässt. Deshalb gehört zu jeder ernstzunehmenden Strategie, die Wiederherstellung regelmäßig zu proben. Das bedeutet, nicht nur zu prüfen, ob der Backup-Job „grün“ meldet, sondern echte Testwiederherstellungen durchzuführen: einzelne Dateien, aber auch komplette Systeme. Nur so wissen Sie sicher, dass Ihre Daten im Notfall tatsächlich zurückkommen – und wie lange das dauert. Ein dokumentierter, geübter Wiederherstellungsprozess ist im Krisenfall genauso wertvoll wie die Sicherung selbst.

Die typischen Schwachstellen ähneln sich von Betrieb zu Betrieb. Oft liegt das einzige Backup im selben Raum oder Netzwerk wie die Originaldaten und fällt damit gemeinsam aus. Häufig wird nie eine Wiederherstellung getestet, sodass Fehler erst im Ernstfall auffallen. Manchmal fehlen wichtige Systeme im Sicherungsumfang, etwa eine Fachanwendung oder die Microsoft-365-Daten. Regelmäßig laufen Backups still über Wochen ins Leere, weil niemand die Protokolle überwacht. Und nicht selten sind die Sicherungen weder unveränderlich noch ausgelagert, sodass Ransomware sie gleich mitverschlüsselt. Wer diese Punkte bewusst adressiert, hat den Großteil des Risikos bereits im Griff.

<p>Als IT-Dienstleister entwickeln wir für kleine und mittlere Unternehmen Backup-Konzepte, die zum jeweiligen Betrieb passen – von der schnellen lokalen Sicherung über das ausgelagerte, unveränderliche Cloud-Backup bis zur eigenständigen Sicherung Ihrer Microsoft-365-Umgebung. Wir richten die Sicherungen ein, überwachen sie laufend und prüfen die Wiederherstellung regelmäßig, damit im Ernstfall wirklich alles zurückkommt. Wenn Sie wissen möchten, wie belastbar Ihre aktuelle Sicherung ist, sprechen Sie uns an oder informieren Sie sich zu unseren Leistungen rund um Backup &amp; Recovery.</p>

Ein gutes Backup entscheidet darüber, ob ein IT-Zwischenfall eine Randnotiz bleibt oder zur Katastrophe wird. Die Zutaten sind bekannt und bezahlbar: mehrere Kopien nach der 3-2-1-Regel, mindestens eine unveränderliche oder ausgelagerte Sicherung als Schutz vor Ransomware, eine durchdachte Aufbewahrung, klar definierte Ziele für Aktualität und Wiederherstellungsdauer – und regelmäßig getestete Restores. Der Aufwand dafür ist überschaubar; der Schaden eines verlorenen Datenbestands ist es nicht.