Montagmorgen, kurz nach Arbeitsbeginn. Der Inhaber eines Handwerksbetriebs will die Zuschnittlisten für einen großen Auftrag ausdrucken. Der Server zeigt nur noch kryptische Dateinamen und eine Textdatei mit einer Lösegeldforderung.
Kein Problem, denkt er, wir haben ja ein Backup. Dann stellt sich heraus: Die externe USB-Festplatte hing seit Monaten dauerhaft am Server. Sie ist genauso verschlüsselt wie alles andere.
Vermutlich hast Du auch irgendeine Form von Datensicherung im Unternehmen. Die meisten Betriebe haben das. Die entscheidende Frage ist aber nicht, ob gesichert wird, sondern ob Du im Ernstfall tatsächlich wiederherstellen kannst, und wie lange das dauert. Genau da trennt sich eine durchdachte Backup-Strategie von einem guten Gefühl.
In diesem Artikel erfährst Du, wie die 3-2-1-Regel funktioniert und warum sie heute um zwei Ziffern erweitert wird. Wir erklären RPO und RTO ohne Fachchinesisch, zeigen, warum Microsoft 365 kein Backup ersetzt, und geben Dir eine Checkliste an die Hand, mit der Du Deine eigene Backup-Strategie in einer Stunde überprüfen kannst.
Warum eine Backup-Strategie mehr ist als eine Festplatte
Viele KMU sichern ihre Daten nach dem Prinzip „Hauptsache, es läuft irgendwas“. Ein NAS im Serverschrank, ein nächtlicher Job, vielleicht noch eine Festplatte, die jemand ab und zu mit nach Hause nimmt. Das ist besser als nichts. Eine Strategie ist es nicht.
Eine echte Backup-Strategie beantwortet vier Fragen:
- Was wird gesichert? Server, Laptops, Microsoft 365, ERP-Datenbank, Maschinensteuerungen?
- Wie oft und wohin? Täglich, stündlich, lokal, in der Cloud, offline?
- Wie schnell musst Du wieder arbeiten können, und wie viele Daten darfst Du maximal verlieren?
- Wer ist verantwortlich, und wer prüft, ob die Wiederherstellung funktioniert?
Das BSI beschreibt im IT-Grundschutz-Baustein CON.3 Datensicherungskonzept genau diesen Gedanken: Ein vollständiges Konzept regelt nicht nur das Sichern, sondern auch das Wiederherstellen. Das klingt selbstverständlich. In der Praxis fehlt aber genau dieser zweite Teil am häufigsten.
Backups sind außerdem nur ein Baustein Deiner IT-Sicherheit. Welche weiteren Maßnahmen für den Mittelstand Pflicht sind, liest Du in unserem Überblick zur Cyber-Sicherheit für Unternehmen.
Du willst wissen, wie belastbar Deine aktuelle Datensicherung ist? Wir prüfen sie im Rahmen unserer Cyber-Security-Leistungen und sagen Dir ehrlich, wo die Lücken liegen.
Die 3-2-1-Backup-Regel einfach erklärt
Die 3-2-1-Regel ist seit Jahren der Standard für jede solide Datensicherung im Unternehmen. Sie ist leicht zu merken und lässt sich auch ohne eigene IT-Abteilung umsetzen.
3 Kopien Deiner Daten
Du hältst mindestens drei Kopien vor: die Originaldaten im laufenden Betrieb plus zwei Sicherungen. Fällt eine Kopie aus, gibt es immer noch eine zweite. Ein einzelnes Backup ist ein Single Point of Failure, also eine Stelle, deren Ausfall alles lahmlegt.
2 unterschiedliche Speichermedien
Die Sicherungen liegen auf mindestens zwei verschiedenen Medientypen. Zum Beispiel ein NAS (ein Netzwerkspeicher im Büro) und ein Cloud-Speicher, oder ein NAS und Bandlaufwerke. Der Grund: Verschiedene Medien fallen aus verschiedenen Gründen aus. Ein Firmware-Fehler im NAS betrifft nicht gleichzeitig Deinen Cloud-Speicher.
1 Kopie außer Haus
Mindestens eine Kopie liegt an einem anderen Ort. Brand, Wasserschaden oder Einbruch zerstören sonst Original und Backup auf einen Schlag. Das BSI empfiehlt, Sicherungsmedien räumlich getrennt und idealerweise in einem anderen Brandabschnitt aufzubewahren.
Die Erweiterung: 3-2-1-1-0
Ransomware hat die Spielregeln verändert. Angreifer suchen heute gezielt nach Backups und verschlüsseln oder löschen sie zuerst. Deshalb hat sich die erweiterte Regel 3-2-1-1-0 durchgesetzt:
- 1 Kopie offline oder unveränderlich: Mindestens eine Sicherung ist entweder physisch vom Netz getrennt (Air Gap) oder technisch gegen Änderung und Löschung geschützt.
- 0 Fehler bei der Wiederherstellung: Backups werden regelmäßig getestet und automatisch auf Fehler geprüft. Ein Backup, das sich nicht zurückspielen lässt, zählt nicht.
Genau an diesen beiden Ziffern scheitern die meisten Datensicherungen in KMU, die wir zu sehen bekommen. Die 3-2-1-Backup-Regel ist dort meist halbwegs umgesetzt. Die letzten beiden Punkte fehlen fast immer.
RPO und RTO: Die zwei Zahlen, die Deine Backup-Strategie bestimmen
Bevor Du über Hardware oder Software nachdenkst, brauchst Du zwei Zahlen. Sie klingen technisch, sind aber reine Geschäftsentscheidungen.
RPO: Wie viele Daten darfst Du verlieren?
Der Recovery Point Objective (RPO) beschreibt den maximal akzeptablen Datenverlust, gemessen in Zeit. Sicherst Du einmal pro Nacht um 22 Uhr und der Server fällt am nächsten Tag um 16 Uhr aus, sind 18 Stunden Arbeit weg. Dein RPO liegt dann faktisch bei bis zu 24 Stunden.
Die Frage an Dich lautet also: Wie schmerzhaft ist es, einen ganzen Arbeitstag nachzuarbeiten? Für die Buchhaltung eines kleinen Büros vielleicht verkraftbar. Für ein Auftragssystem mit 200 Bestellungen am Tag eher nicht.
RTO: Wie schnell musst Du wieder arbeiten?
Der Recovery Time Objective (RTO) ist die maximal tolerierbare Ausfallzeit. Also die Zeit vom Ausfall bis zu dem Moment, an dem Dein Team wieder arbeiten kann. Hier wird es oft unbequem. Eine Sicherung in der Cloud ist toll, aber mehrere Terabyte über eine normale Business-Leitung zurückzuholen, kann Tage dauern.
So legst Du RPO und RTO fest
Geh nicht vom ganzen Unternehmen aus, sondern von einzelnen Systemen. Eine einfache Tabelle reicht:
| System | Ausfall tut weh nach… | Datenverlust akzeptabel bis… |
|---|---|---|
| ERP / Warenwirtschaft | 4 Stunden | 1 Stunde |
| E-Mail (Exchange Online) | 1 Arbeitstag | 4 Stunden |
| Dateiablage / SharePoint | 1 Arbeitstag | 1 Arbeitstag |
| Archiv, Altprojekte | 1 Woche | 1 Woche |
Die Werte in dieser Tabelle sind Beispiele, keine Empfehlung. Wichtig ist, dass Geschäftsführung und IT sie gemeinsam festlegen. Erst daraus ergibt sich, ob tägliche Sicherungen reichen oder ob Du Snapshots im Stundentakt brauchst.
Das sieht man gut am Beispiel eines Lebensmittelherstellers. Die IT-Verantwortliche dort hatte ein tadelloses Nacht-Backup. Bei einem Hardwaredefekt des Datenbankservers am frühen Nachmittag waren trotzdem alle Chargendaten seit dem Vorabend weg.
Für einen Betrieb mit Rückverfolgbarkeitspflicht war das ein echtes Problem: Die Produktion musste die Daten aus Papierlisten und Waagenprotokollen rekonstruieren, mehrere Mitarbeitende waren damit tagelang beschäftigt. Seitdem läuft für die Produktionsdatenbank mehrmals pro Stunde eine inkrementelle Sicherung. Der Rest bleibt beim nächtlichen Rhythmus.
Unveränderliche Backups: Dein Schutz gegen Ransomware
Ein unveränderliches Backup (englisch: immutable) ist eine Sicherung, die für einen festgelegten Zeitraum weder geändert noch gelöscht werden kann. Auch nicht von einem Administrator, und damit auch nicht von einem Angreifer, der Admin-Rechte erbeutet hat.
Das ist wichtig, weil moderne Erpressergruppen nicht mehr blind verschlüsseln. Sie bewegen sich oft tagelang unbemerkt im Netzwerk, suchen die Backup-Konsole und löschen zuerst die Sicherungen. Erst dann starten sie die Verschlüsselung.
Drei Wege zu unveränderlichen Backups
- Object Lock im Cloud-Speicher: Viele S3-kompatible Speicher bieten eine Sperrfunktion, die Daten für X Tage unlöschbar macht. Achte darauf, dass das Rechenzentrum in der EU steht.
- Gehärtete Backup-Appliances: Spezielle Geräte mit eigenem, abgeschottetem Betriebssystem und Löschschutz.
- Offline-Medien: Bänder oder Festplatten, die nach der Sicherung physisch getrennt werden. Altmodisch, aber wirkungsvoll, solange jemand das Wechseln zuverlässig erledigt.
Backup-Zugänge separat absichern
Unveränderlichkeit bringt wenig, wenn der Zugang zur Backup-Software mit dem normalen Domänen-Admin geteilt wird. Die Backup-Umgebung sollte eigene Zugangsdaten mit Mehr-Faktor-Authentifizierung haben und nicht Teil der normalen Windows-Domäne sein.
Ransomware-Schutz ist natürlich mehr als ein gutes Backup. Phishing-Schulungen, Patch-Management und Netzwerksegmentierung gehören genauso dazu. Darauf gehen wir in einem eigenen Beitrag ausführlich ein. Einen ersten Eindruck, warum sich Investitionen in Sicherheit lohnen, bekommst Du in unserem Artikel über die 10 Vorteile von Cyber Security für Unternehmen.
Unsicher, ob Deine Backups einem gezielten Angriff standhalten? Lass uns kurz sprechen. Wir schauen uns Dein Setup an und sagen Dir, was fehlt.
Microsoft 365 Backup: Warum die Cloud Deine Daten nicht automatisch sichert
Das ist der häufigste Irrtum, den wir in Gesprächen hören: „Wir sind doch in der Cloud, Microsoft sichert das.“ Leider stimmt das nur halb.
Das Shared-Responsibility-Modell
Microsoft beschreibt in seinem Modell der gemeinsamen Verantwortung klar: Bei SaaS-Diensten wie Microsoft 365 kümmert sich Microsoft um Rechenzentren, Server und die Verfügbarkeit der Plattform. Für die Kundendaten, Konten und Zugriffe bleibst Du verantwortlich, und zwar bei jedem Bereitstellungsmodell.
Microsoft sorgt also dafür, dass Exchange, SharePoint und OneDrive laufen und bei einem Hardwaredefekt im Rechenzentrum nichts verloren geht. Löscht aber ein Mitarbeiter versehentlich eine komplette Projektbibliothek, verschlüsselt Ransomware die synchronisierten OneDrive-Dateien oder wird ein Postfach nach dem Ausscheiden eines Kollegen gelöscht, dann ist das Dein Problem.
Papierkorb und Versionierung sind kein Backup
Microsoft 365 bringt Papierkörbe, Versionsverläufe und Aufbewahrungsrichtlinien mit. Diese Funktionen helfen bei kleinen Pannen. Sie sind aber zeitlich begrenzt, liegen im selben System wie die Originaldaten und schützen nicht zuverlässig gegen einen Angreifer mit Admin-Rechten. Mit der 3-2-1-Regel hat das wenig zu tun.
Welche Lösungen es gibt
Du hast zwei Möglichkeiten für ein echtes Microsoft 365 Backup:
- Microsoft 365 Backup von Microsoft selbst: Laut Microsoft Learn sichert der Dienst SharePoint-Websites, OneDrive-Konten und Exchange-Postfächer in einem nur anfügbaren Speicher, abgerechnet nach Datenvolumen. Die Sicherungen bleiben allerdings innerhalb der Microsoft-Infrastruktur.
- Drittanbieter-Lösungen: Sie kopieren Deine Daten zu einem anderen Anbieter oder in Dein eigenes Rechenzentrum. Damit erfüllst Du die „1 Kopie außer Haus“ auch im Sinne von „außerhalb von Microsoft“.
Für die meisten KMU ist die zweite Variante die bessere Wahl, weil sie echte Unabhängigkeit schafft. Wenn Dein Team stark mit SharePoint arbeitet (wie wir es im Beitrag zur Zusammenarbeit mit SharePoint beschreiben), gehört die Sicherung von SharePoint und Teams unbedingt mit ins Konzept.
Zurück zum Lebensmittelhersteller: Einige Monate nach dem Serverausfall verließ ein leitender Mitarbeiter aus der Qualitätssicherung das Unternehmen. Sein Konto wurde wie üblich nach kurzer Zeit gelöscht.
Erst bei einem Lieferantenaudit einige Wochen später fiel auf, dass wichtige Freigabe-Mails und Prüfprotokolle nur in seinem Postfach und seinem OneDrive lagen. Da es kein separates Microsoft 365 Backup gab, waren die Dokumente nicht mehr vollständig zu retten. Heute sichert eine Drittanbieter-Lösung alle Postfächer, OneDrive-Konten und SharePoint-Seiten täglich außerhalb von Microsoft, mit langer Aufbewahrungsdauer.
Restore-Tests: Ein Backup ist erst etwas wert, wenn es zurückkommt
Das BSI bringt es in seinen ersten Schutzmaßnahmen für Unternehmen auf den Punkt: Sicherungskopien anlegen und diese regelmäßig testen. Der zweite Teil wird gern vergessen. Grüne Häkchen in der Backup-Software sagen nur, dass ein Job durchgelaufen ist. Ob die Daten vollständig und lesbar sind, sagen sie nicht.
So testest Du sinnvoll
- Monatlich: Einzelne Dateien und Ordner zufällig zurückspielen und öffnen.
- Quartalsweise: Ein komplettes System wiederherstellen, zum Beispiel den Dateiserver als virtuelle Maschine in einer isolierten Testumgebung.
- Jährlich: Den Ernstfall durchspielen. Wie lange dauert es wirklich, bis das ERP wieder läuft? Passt das zu Deinem RTO?
Dokumentiere jeden Test mit Datum, Ergebnis und Dauer. Das hilft Dir bei Audits, gegenüber Versicherern und vor allem beim nächsten echten Ausfall.
Erinnerst Du Dich an den Handwerksbetrieb vom Anfang? Nach dem Vorfall hat der Inhaber seine Backup-Strategie neu aufgesetzt: NAS im Betrieb, verschlüsselte Kopie in einem deutschen Rechenzentrum mit Object Lock und eine monatliche Testwiederherstellung.
Beim ersten Test kam heraus, dass die CAD-Daten der Konstruktion gar nicht im Sicherungsauftrag enthalten waren. Sie lagen lokal auf einem Arbeitsplatzrechner. Ohne den Test wäre das erst im nächsten Ernstfall aufgefallen.
Ein Backup-Test ist übrigens auch ein guter Anlass, Deinen IT-Notfallplan zu überprüfen. Wer wird bei einem Ausfall informiert? Wo liegen die Zugangsdaten für die Backup-Konsole, wenn der Server nicht erreichbar ist? Halte die Antworten schriftlich fest und lege sie so ab, dass sie auch ohne funktionierende IT erreichbar sind.
Verantwortlichkeiten und Aufbewahrung: Wer kümmert sich?
In vielen KMU ist Datensicherung niemandes Job und deshalb jedermanns Problem. Der Kollege, der „sich mit Computern auskennt“, hat das NAS vor fünf Jahren eingerichtet. Seitdem läuft es. Hoffentlich.
Klare Rollen festlegen
Für eine belastbare Datensicherung im Unternehmen brauchst Du mindestens drei Rollen:
- Verantwortung (Geschäftsführung): Legt RPO und RTO fest und stellt das Budget bereit. Die Haftung für Datenverlust bleibt immer bei der Unternehmensleitung.
- Umsetzung (interne IT oder Dienstleister): Richtet die Sicherung ein, überwacht die Jobs und reagiert auf Fehlermeldungen.
- Kontrolle (eine zweite Person): Prüft die Restore-Tests und die Dokumentation. Das Vier-Augen-Prinzip verhindert, dass sich Fehler einschleifen.
Hast Du keine eigene IT-Abteilung, lohnt es sich, die laufende Überwachung auszulagern. Bei snutig ist Backup Teil unserer Managed IT Services: Wir richten die Sicherung ein, überwachen sie und testen die Wiederherstellung regelmäßig. Wie das Auslagern einzelner IT-Aufgaben in der Praxis aussieht, zeigt unser Beitrag zum First-Level-Support.
GoBD und Aufbewahrungsfristen kurz erklärt
Die GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern in elektronischer Form) verlangen, dass steuerrelevante Unterlagen während der Aufbewahrungsfrist vollständig, unveränderbar und lesbar verfügbar sind. Die Fristen liegen je nach Unterlage meist zwischen sechs und zehn Jahren. Seit 2025 gilt für Buchungsbelege eine verkürzte Frist von acht Jahren.
Wichtig: Ein Backup ist kein Archiv. Backups rotieren und werden nach Wochen oder Monaten überschrieben. Für die revisionssichere Aufbewahrung brauchst Du ein eigenes Archivsystem, und dieses Archiv muss wiederum gesichert werden. Kläre die genauen Fristen für Deinen Betrieb mit Deiner Steuerberatung.
Auch der Datenschutz spielt mit hinein. Backups enthalten personenbezogene Daten und müssen deshalb verschlüsselt und zugriffsgeschützt sein. Mehr dazu findest Du in unserem Artikel zum Thema DSGVO-konform digitalisieren.
Checkliste: Deine Backup-Strategie in 10 Punkten
Nimm Dir eine Stunde Zeit und geh diese Punkte mit Deiner IT oder Deinem Dienstleister durch. Jedes „Nein“ ist eine Baustelle.
- Gibt es eine schriftliche Übersicht, welche Systeme und Daten gesichert werden?
- Sind RPO und RTO für jedes wichtige System festgelegt?
- Existieren mindestens drei Kopien auf zwei verschiedenen Medien?
- Liegt mindestens eine Kopie außer Haus, also an einem anderen Standort oder in einem anderen Rechenzentrum?
- Ist mindestens eine Kopie offline oder unveränderlich gespeichert?
- Werden Microsoft 365, SharePoint und Teams separat gesichert?
- Ist der Zugang zur Backup-Software mit eigenen Zugangsdaten und Mehr-Faktor-Authentifizierung geschützt?
- Werden Restore-Tests regelmäßig durchgeführt und dokumentiert?
- Ist klar geregelt, wer für Backups verantwortlich ist und wer kontrolliert?
- Sind Backups verschlüsselt, und sind GoBD-relevante Daten zusätzlich revisionssicher archiviert?
Kannst Du alle zehn Fragen mit Ja beantworten, bist Du besser aufgestellt als die meisten KMU. Bei drei oder mehr Neins solltest Du nicht bis zum nächsten Ausfall warten.
Häufige Fragen zur Backup-Strategie
Was ist die 3-2-1-Backup-Regel?
Die 3-2-1-Regel besagt: Halte drei Kopien Deiner Daten vor, auf zwei unterschiedlichen Speichermedien, davon eine Kopie außer Haus. Die erweiterte Variante 3-2-1-1-0 ergänzt eine offline oder unveränderlich gespeicherte Kopie und null Fehler bei geprüften Wiederherstellungen.
Wie oft sollte ein Unternehmen Daten sichern?
Das hängt von Deinem RPO ab, also davon, wie viele Daten Du maximal verlieren darfst. Für die meisten Dateiablagen reicht eine tägliche Sicherung. Für ERP- und Produktionsdatenbanken sind stündliche oder noch häufigere Sicherungen sinnvoll.
Sichert Microsoft 365 meine Daten automatisch?
Nein, nicht im Sinne eines echten Backups. Microsoft garantiert die Verfügbarkeit der Plattform, aber für Deine Daten bist Du selbst verantwortlich. Papierkorb und Versionsverlauf sind zeitlich begrenzt. Für ein echtes Microsoft 365 Backup brauchst Du den Microsoft-Dienst Microsoft 365 Backup oder eine Drittanbieter-Lösung.
Was ist der Unterschied zwischen Backup und Archivierung?
Ein Backup dient der Wiederherstellung nach einem Ausfall und wird regelmäßig überschrieben. Ein Archiv bewahrt Daten langfristig und unverändert auf, zum Beispiel für die GoBD-Aufbewahrungsfristen. Du brauchst beides.
Was kostet eine professionelle Datensicherung für KMU?
Das hängt von Datenmenge, Anzahl der Systeme und Deinen Anforderungen an RPO und RTO ab. Weitere Faktoren sind die gewünschte Aufbewahrungsdauer, die Frage, ob Microsoft 365 mitgesichert wird, sowie Einrichtung und laufende Überwachung. Welcher Umfang für Dich sinnvoll ist, klären wir gern in einem unverbindlichen Erstgespräch.
Fazit: Deine Backup-Strategie entscheidet, wie der Ernstfall ausgeht
Ein Ausfall kommt selten mit Vorankündigung. Ob Hardwaredefekt, Bedienfehler oder Ransomware: Am Ende zählt nur, ob und wie schnell Du wieder arbeiten kannst. Die wichtigsten Punkte noch einmal kompakt:
- 3-2-1-1-0 ist der aktuelle Standard: drei Kopien, zwei Medien, eine außer Haus, eine unveränderlich, null Fehler.
- RPO und RTO sind Geschäftsentscheidungen und bestimmen, wie Du sicherst.
- Microsoft 365 ist kein Backup. Deine Cloud-Daten brauchen eine eigene Sicherung.
- Restore-Tests sind Pflicht. Ein ungetestetes Backup ist ein Versprechen ohne Garantie.
- Klare Verantwortlichkeiten verhindern, dass Datensicherung im Alltag untergeht.
Starte mit der Checkliste oben. Schon die ehrliche Antwort auf zehn Fragen zeigt Dir, wo Du stehst.
Du willst Deine Backup-Strategie nicht allein aufsetzen? Wir übernehmen Planung, Einrichtung und Überwachung als Teil unserer Managed IT Services, inklusive regelmäßiger Restore-Tests. Mehr über unsere Cyber-Security-Leistungen erfahren oder direkt ein unverbindliches Erstgespräch anfragen.
