Backup für Unternehmen: Warum ein Backup erst zählt, wenn die Wiederherstellung funktioniert

Kurzantwort für Geschäftsführer

Ein Backup ist nicht automatisch eine Lösung.

Ein Backup ist erst dann wertvoll, wenn die Wiederherstellung funktioniert.

Viele Unternehmen glauben, sie seien abgesichert, weil irgendwo eine Sicherung läuft. Doch im Ernstfall stellen sich ganz andere Fragen:

• Welche Daten sind tatsächlich gesichert?
• Wie alt ist die letzte verwertbare Sicherung?
• Wie lange dauert die Wiederherstellung?
• Wer startet den Restore?
• Wer prüft, ob die Daten vollständig sind?
• Was passiert, wenn der Server ausfällt?
• Was passiert bei Ransomware?
• Was passiert, wenn Microsoft 365 betroffen ist?
• Wurde die Wiederherstellung jemals getestet?

Ein Backup schützt nicht vor jedem Schaden. Es schafft die Grundlage, um nach einem Vorfall wieder arbeitsfähig zu werden.

Für Unternehmen sind deshalb nicht nur Sicherungen wichtig, sondern vor allem:

• klare Backup-Strategie
• definierte Wiederherstellungsziele
• regelmäßige Restore-Tests
• getrennte und geschützte Sicherungen
• nachvollziehbare Protokolle
• Verantwortlichkeiten
• Notfallabläufe
• Dokumentation
• regelmäßige Prüfung

Die wichtigste Botschaft lautet:

Nicht die Sicherung zählt. Die Wiederherstellung zählt.

Warum Backup in KMU oft falsch verstanden wird

Viele kleine und mittelständische Unternehmen haben ein Backup.

Zumindest glauben sie das.

In der Praxis sieht es oft so aus:

• ein NAS sichert Daten
• eine externe Festplatte wird angeschlossen
• ein Server-Backup läuft nachts
• ein Cloud-Dienst synchronisiert Dateien
• Microsoft 365 speichert E-Mails und Dateien
• ein alter Backup-Job existiert noch
• ein Dienstleister hat irgendwann etwas eingerichtet

Das klingt beruhigend.

Aber es beantwortet nicht die wichtigste Frage:

Kann das Unternehmen nach einem Ausfall wirklich weiterarbeiten?

Ein Backup ist kein Selbstzweck. Es soll im Ernstfall helfen, Systeme, Daten und Abläufe wiederherzustellen.

Wenn die Sicherung zwar existiert, aber niemand weiß, wie sie zurückgespielt wird, ist sie im Ernstfall wenig wert.

Wenn die Sicherung fehlerhaft ist, aber niemand die Protokolle prüft, bleibt der Fehler unbemerkt.

Wenn die Sicherung durch Ransomware mitverschlüsselt wird, kann sie selbst Teil des Problems werden.

Wenn nur Dateien, aber nicht Anwendungen oder Systeme gesichert werden, dauert die Wiederherstellung möglicherweise viel länger als erwartet.

Backup ist deshalb keine Checkbox. Backup ist ein Prozess.

Backup ist nicht dasselbe wie Synchronisation

Ein häufiger Irrtum lautet:

„Unsere Daten liegen doch in der Cloud.“

Oder:

„Wir nutzen OneDrive, also haben wir ein Backup.“

Das ist gefährlich.

Synchronisation bedeutet, dass Daten zwischen Geräten oder Diensten abgeglichen werden.

Wenn eine Datei geändert wird, wird die Änderung synchronisiert.

Wenn eine Datei gelöscht wird, kann auch die Löschung synchronisiert werden.

Wenn verschlüsselte Dateien synchronisiert werden, können verschlüsselte Dateien in der Cloud landen.

Synchronisation ist praktisch für Zusammenarbeit.

Aber Synchronisation ist kein vollständiges Backup.

Ein Backup sollte einen früheren, definierten Zustand wiederherstellen können. Es sollte unabhängig genug sein, um versehentliche Löschung, Manipulation, technische Fehler oder Angriffe abzufangen.

Cloud-Dienste bieten Papierkorb, Versionierung und Aufbewahrungsfunktionen. Das ist hilfreich.

Aber für viele Unternehmen ersetzt das keine eigenständige Backup-Strategie.

Die entscheidenden Fragen: RPO und RTO

Bei Backup geht es nicht nur darum, ob Daten gesichert werden.

Es geht darum, wie viel Datenverlust und Ausfallzeit ein Unternehmen verkraften kann.

Dafür gibt es zwei wichtige Begriffe.

RPO: Wie viel Datenverlust ist akzeptabel?

RPO steht für Recovery Point Objective.

Vereinfacht:

Wie alt darf die letzte verwertbare Sicherung maximal sein?

Beispiele:

Wenn die letzte Sicherung 24 Stunden alt ist, können im Ernstfall Daten eines ganzen Arbeitstags fehlen.

Wenn alle vier Stunden gesichert wird, ist der mögliche Datenverlust kleiner.

Wenn ein System nahezu ohne Datenverlust wiederhergestellt werden muss, braucht es andere Konzepte.

Die Geschäftsführung muss wissen:

Wie viele Stunden Datenverlust wären kritisch?

RTO: Wie lange darf die Wiederherstellung dauern?

RTO steht für Recovery Time Objective.

Vereinfacht:

Wie lange darf ein System ausfallen, bis es wieder funktionieren muss?

Beispiele:

Ein Archivsystem darf vielleicht einen Tag ausfallen.

Ein Warenwirtschaftssystem vielleicht nur wenige Stunden.

Ein Terminalserver, E-Mail-System oder Produktionssystem darf möglicherweise kaum stillstehen.

Die entscheidende Frage lautet:

Wie lange kann das Unternehmen ohne dieses System arbeiten?

Backup-Strategie ohne RPO und RTO ist unvollständig.

Was wirklich gesichert werden muss

Viele Unternehmen denken bei Backup zuerst an Dateien.

Dateien sind wichtig. Aber oft reicht das nicht.

Zu prüfen sind unter anderem:

• Server
• virtuelle Maschinen
• Datenbanken
• Fachanwendungen
• Warenwirtschaft
• Buchhaltung
• Dokumentenmanagement
• Dateifreigaben
• Benutzerprofile
• Microsoft 365
• Exchange Online
• OneDrive
• SharePoint
• Teams-relevante Daten
• lokale PCs mit Spezialsoftware
• Konfigurationen von Firewalls
• Konfigurationen von Switches
• Telefonanlagen
• Zugangsdokumentation
• Lizenzinformationen
• Installationsmedien
• Wiederherstellungsschlüssel

Ein Backup muss zum Unternehmen passen.

Ein Steuerberater hat andere Prioritäten als ein Handwerksbetrieb, eine Arztpraxis, ein Ingenieurbüro oder ein Onlineshop.

Deshalb sollte zuerst geklärt werden:

Welche Systeme sind geschäftskritisch?

Warum Restore-Tests unverzichtbar sind

Ein Backup ohne Wiederherstellungstest ist nur eine Annahme.

Ein Restore-Test zeigt, ob eine Sicherung tatsächlich nutzbar ist.

Dabei geht es nicht nur um die Frage:

Kann ich eine Datei zurückholen?

Sondern auch:

• Kann ich ein ganzes System wiederherstellen?
• Kann ich eine Datenbank zurückholen?
• Kann ich ein Postfach wiederherstellen?
• Kann ich eine SharePoint-Bibliothek wiederherstellen?
• Kann ich eine virtuelle Maschine starten?
• Sind die Daten vollständig?
• Sind Benutzerrechte noch korrekt?
• Funktioniert die Anwendung danach?
• Wie lange hat es gedauert?
• Wer musste beteiligt werden?

Ohne Test bleiben diese Fragen offen.

Ein Backup kann technisch erfolgreich aussehen, aber im Ernstfall trotzdem nicht reichen.

Typische Probleme bei fehlenden Restore-Tests:

• Sicherung ist unvollständig
• Datenbank lässt sich nicht konsistent wiederherstellen
• Anwendung startet nach Restore nicht
• Zugangsdaten fehlen
• Wiederherstellung dauert viel länger als erwartet
• Sicherungsmedium ist defekt
• Speicherort ist nicht erreichbar
• Verschlüsselungsschlüssel fehlt
• niemand kennt den Ablauf
• Berechtigungen sind falsch

Restore-Tests sind deshalb keine Kür. Sie sind Pflicht.

Backup gegen Ransomware

Ransomware hat Backup-Strategien verändert.

Früher ging es oft um Hardwaredefekte, versehentliches Löschen oder Serverausfall.

Heute muss ein Unternehmen auch davon ausgehen, dass Angreifer gezielt versuchen, Backups zu löschen, zu verschlüsseln oder unbrauchbar zu machen.

Deshalb reicht ein einfach verbundenes Backup-Ziel oft nicht mehr aus.

Wichtige Schutzprinzipien:

• getrennte Backup-Konten
• keine normalen Domänenadminrechte für Backup-Systeme
• Offline- oder immutable Sicherungen prüfen
• externe Kopien vorhalten
• Backup-Systeme besonders schützen
• Backup-Protokolle überwachen
• Wiederherstellung aus sauberem Zustand testen
• Zugriff auf Backup-Verwaltung beschränken
• Notfallzugänge dokumentieren
• Backup-Ziele nicht dauerhaft ungeschützt erreichbar lassen

Ransomware-Schutz bedeutet nicht nur:

Haben wir ein Backup?

Sondern:

Kann der Angreifer unser Backup zerstören?

3-2-1 ist ein guter Anfang, aber nicht das Ende

Die bekannte 3-2-1-Regel wird oft als Backup-Grundlage genannt:

Drei Kopien.

Zwei unterschiedliche Medien.

Eine Kopie außer Haus.

Das ist ein sinnvoller Grundgedanke.

Aber moderne Anforderungen gehen weiter.

Heute sollten Unternehmen zusätzlich prüfen:

• Ist eine Kopie offline oder unveränderbar?
• Wurde die Sicherung verifiziert?
• Wurde die Wiederherstellung getestet?
• Sind Backup-Konten geschützt?
• Gibt es getrennte Rechte?
• Sind Cloud-Backups gegen Löschung geschützt?
• Sind Wiederherstellungsschlüssel verfügbar?
• Gibt es dokumentierte Abläufe?
• Sind RPO und RTO bekannt?
• Wird regelmäßig geübt?

Eine Backup-Regel ersetzt kein Notfallkonzept.

Dokumentation: Wer macht was im Ernstfall?

Im Notfall ist keine Zeit für Sucherei.

Deshalb braucht jedes Unternehmen eine einfache Backup- und Wiederherstellungsdokumentation.

Darin sollte stehen:

• Welche Systeme werden gesichert?
• Wo liegen die Backups?
• Wie oft wird gesichert?
• Wie lange werden Sicherungen aufbewahrt?
• Wer prüft die Sicherungen?
• Wer darf Wiederherstellungen starten?
• Wer kennt die Zugangsdaten?
• Wo liegen Wiederherstellungsschlüssel?
• Welche Systeme haben Priorität?
• Welche Dienstleister müssen informiert werden?
• Wie wird die Geschäftsführung informiert?
• Wie werden Mitarbeiter informiert?
• Wie wird dokumentiert, was passiert ist?

Diese Dokumentation muss verfügbar sein, wenn Systeme ausfallen.

Sie darf also nicht nur auf dem Server liegen, der gerade nicht erreichbar ist.

Backup ist Teil der Notfallvorsorge

Backup ist ein technischer Baustein.

Notfallvorsorge ist größer.

Ein Unternehmen muss im Ernstfall wissen:

• Was ist passiert?
• Welche Systeme sind betroffen?
• Wer entscheidet?
• Wer kommuniziert?
• Was wird zuerst wiederhergestellt?
• Welche Daten dürfen wieder genutzt werden?
• Wie wird geprüft, ob der Angriff vorbei ist?
• Wie wird der Betrieb überbrückt?
• Welche Kunden müssen informiert werden?
• Welche rechtlichen Pflichten können entstehen?
• Wie wird der Vorfall dokumentiert?

Ein Backup hilft nur, wenn es in einen Ablauf eingebettet ist.

Sonst besteht die Gefahr, dass zwar Daten vorhanden sind, aber niemand weiß, wie der Betrieb geordnet wieder aufgenommen wird.

30-60-90-Tage-Fahrplan

Erste 30 Tage: Überblick schaffen

• alle geschäftskritischen Systeme erfassen
• vorhandene Backups identifizieren
• Backup-Protokolle prüfen
• RPO und RTO grob festlegen
• Verantwortliche benennen
• Backup-Ziele und Speicherorte dokumentieren
• Microsoft-365-Daten einbeziehen
• Notfallkontakte erfassen

Bis 60 Tage: Schwachstellen schließen

• fehlende Systeme in Backup aufnehmen
• externe oder getrennte Kopien prüfen
• Ransomware-Schutz für Backups bewerten
• Backup-Konten und Rechte prüfen
• Wiederherstellungsschlüssel dokumentieren
• erste Restore-Tests durchführen
• Wiederherstellungsprioritäten festlegen
• einfache Notfalldokumentation erstellen

Bis 90 Tage: Betrieb etablieren

• regelmäßige Restore-Tests planen
• Backup-Berichte regelmäßig prüfen
• Verantwortlichkeiten verbindlich festlegen
• Notfallablauf dokumentieren
• Wiederherstellungszeiten messen
• Ergebnisse verbessern
• jährliche Überprüfung einführen
• Geschäftsführung regelmäßig informieren

Geschäftsführer-Checkliste

Diese Fragen sollte jedes Unternehmen beantworten können:

• Welche Systeme sind geschäftskritisch?
• Welche Daten werden gesichert?
• Wie alt darf eine Sicherung maximal sein?
• Wie lange darf ein System ausfallen?
• Wurde eine Wiederherstellung getestet?
• Wer startet im Ernstfall den Restore?
• Wo liegen die Backup-Zugänge?
• Sind Backups vor Ransomware geschützt?
• Gibt es eine externe oder getrennte Kopie?
• Werden Microsoft-365-Daten gesichert?
• Sind Backup-Protokolle regelmäßig geprüft?
• Gibt es eine Notfalldokumentation?

Wenn mehrere Antworten unklar sind, sollte die Backup-Strategie geprüft werden.

Unsere Empfehlung

EDV Systeme Donner empfiehlt, Backup nicht als Produkt zu betrachten.

Backup ist ein Sicherheits- und Betriebsprozess.

Ein gutes Backup-Konzept besteht aus:

• klarer Systemübersicht
• passenden Sicherungsintervallen
• geschützten Backup-Zielen
• externen oder getrennten Kopien
• regelmäßiger Kontrolle
• dokumentierten Wiederherstellungsabläufen
• Restore-Tests
• klarer Verantwortung
• Notfallplanung

Für kleine und mittelständische Unternehmen ist besonders wichtig:

Die Lösung muss nicht maximal kompliziert sein.

Sie muss funktionieren.

Sie muss geprüft werden.

Und sie muss im Ernstfall schnell genug wiederherstellen können.

Fazit

Ein Backup beruhigt.

Eine getestete Wiederherstellung rettet den Betrieb.

Der Unterschied ist entscheidend.

Viele Unternehmen merken erst im Ernstfall, dass ihre Sicherung unvollständig, veraltet, zu langsam oder gar nicht wiederherstellbar ist.

Das lässt sich vermeiden.

Wer regelmäßig prüft, dokumentiert und Wiederherstellungen testet, schafft echte Sicherheit.

EDV Systeme Donner unterstützt Unternehmen dabei, Backup-Strategien zu prüfen, Wiederherstellungen zu testen, Ransomware-Risiken zu bewerten und eine praxistaugliche Notfallvorsorge aufzubauen.