BACKUP & DATENSICHERUNG · Praxisratgeber für Unternehmen
Der grüne Haken ist nur der Anfang
Die Backup-Software meldet jeden Morgen: „Sicherung erfolgreich“. Niemand hat eine Fehlermeldung gesehen und damit scheint das Thema erledigt. Doch genau hier entsteht in vielen Unternehmen eine trügerische Sicherheit. Denn ein erfolgreich abgeschlossener Sicherungslauf sagt zunächst nur, dass ein Prozess ohne erkannten Fehler durchgelaufen ist. Er beantwortet noch nicht die entscheidende Frage: Lassen sich die benötigten Daten im Ernstfall vollständig und rechtzeitig wiederherstellen?
Wenn du das Backup im Unternehmen regelmäßig prüfst, solltest du deshalb nicht nur auf den Status der letzten Sicherung schauen. Ebenso wichtig sind der tatsächliche Umfang, geeignete Wiederherstellungspunkte, der Schutz vor Ransomware und ein erprobter Ablauf für den Notfall. Die folgenden sieben Punkte helfen dir dabei, aus einem laufenden Backup eine belastbare Datensicherung zu machen.
Die kurze Antwort: Ein Backup ist erst dann verlässlich, wenn die richtigen Daten gesichert werden, Fehler auffallen und eine Wiederherstellung praktisch getestet wurde.
Warum ein grüner Haken beim Backup nicht ausreicht
Im laufenden Betrieb verändert sich die IT ständig. Neue Mitarbeiter kommen hinzu, ein zusätzlicher Speicherort entsteht, eine Anwendung zieht in die Cloud um oder ein Server erhält eine neue Datenbank. Die eingerichtete Datensicherung verändert sich jedoch nicht immer automatisch mit. So kann ein Backup technisch fehlerfrei laufen und trotzdem wichtige Daten auslassen.
Hinzu kommt, eine Sicherung kann vorhanden und dennoch für die konkrete Situation ungeeignet sein. Vielleicht wurde eine beschädigte Datei bereits mehrfach mitgesichert. Möglicherweise reichen die gespeicherten Versionen nur sieben Tage zurück, obwohl der Fehler erst nach drei Wochen auffällt. Oder das Backup liegt dauerhaft erreichbar im selben Netzwerk und wird bei einem Ransomware-Angriff ebenfalls verschlüsselt.
Eine gute Backup-Strategie betrachtet deshalb nicht nur die Sicherung selbst, sondern den gesamten Weg bis zur Wiederaufnahme des Betriebs. Das Bundesamt für Sicherheit in der Informationstechnik greift diesen Gedanken im IT-Grundschutz-Baustein CON.3 zum Datensicherungskonzept auf. Auch die US-Sicherheitsbehörde CISA empfiehlt, kritische Daten verschlüsselt und offline zu sichern, sowie Verfügbarkeit und Integrität der Backups regelmäßig in einem Wiederherstellungsszenario zu testen.
✓
Sichern
Die richtigen Daten und Systeme erfassen.
⌕
Prüfen
Fehler, Umfang und Schutz kontrollieren.
↺
Wiederherstellen
Daten und Systeme praktisch testen.
PRÜFPUNKT 01 / 07
1. Werden wirklich alle wichtigen Daten gesichert?
„Unsere Dateien liegen auf dem Server, also sind alle Daten gesichert.“ In der Praxis stimmt das oft nur teilweise. Geschäftliche Informationen verteilen sich heute auf viele Systeme. Klassische Dateiablagen, Notebooks, E-Mail-Postfächer, Datenbanken, Cloud-Dienste, virtuelle Server oder Fachanwendungen. Auch Konfigurationen, Benutzerrechte und Systemeinstellungen können für eine schnelle Wiederherstellung wichtig sein.
Prüfe deshalb regelmäßig, ob der Sicherungsumfang noch zu deiner tatsächlichen IT passt. Wurde in den vergangenen Monaten eine neue Software eingeführt? Speichert ein Mitarbeiter wichtige Unterlagen ausschließlich lokal auf seinem Notebook? Sind Cloud-Daten wirklich Bestandteil eines separaten Backups oder werden sie lediglich synchronisiert?
Gerade die letzte Frage sorgt häufig für Missverständnisse. Eine Synchronisation hält Daten auf mehreren Geräten auf demselben Stand. Wird eine Datei gelöscht oder verschlüsselt, kann diese Änderung ebenfalls synchronisiert werden. Versionierung und Papierkorb können zwar helfen, ersetzen aber nicht automatisch ein eigenständiges Backup mit einem passenden Aufbewahrungskonzept.
Dein Praxis-Check: Gibt es Daten, die ausschließlich auf einem Notebook, in einem Postfach oder in einer Cloud-Anwendung liegen?
PRÜFPUNKT 02 / 07
2. Werden Fehler und Warnmeldungen tatsächlich bemerkt?
Backup-Aufträge scheitern aus ganz alltäglichen Gründen. Ein Gerät war ausgeschaltet, ein Kennwort wurde geändert, der Speicherplatz ist knapp oder die Verbindung zum Sicherungsziel wurde unterbrochen. Kritisch wird es, wenn niemand die Meldung sieht. Dann bleibt eine Sicherungslücke mitunter über Tage oder Wochen unbemerkt.
Kontrolliere daher nicht nur, ob grundsätzlich ein Backup eingerichtet wurde. Lege auch fest, wer Statusmeldungen prüft und bei einem Fehler reagiert. Eine zentrale Überwachung erleichtert diese Aufgabe, weil sie fehlgeschlagene oder überfällige Sicherungen sichtbar macht. Wichtig ist außerdem, die Benachrichtigungen selbst zu testen. Eine Warnung hilft wenig, wenn sie in einem unkontrollierten Postfach oder im Spam-Ordner landet.
Dein Praxis-Check: Wer erhält eine Meldung, wenn ein Sicherungslauf fehlschlägt und wer kümmert sich anschließend darum?
PRÜFPUNKT 03 / 07
3. Lässt sich das Backup wirklich wiederherstellen?
Der Wiederherstellungstest ist der Moment, in dem sich zeigt, was dein Backup tatsächlich wert ist. Dabei wird eine gesicherte Datei, ein Ordner oder ein komplettes System testweise zurückgespielt. Das Ziel besteht nicht nur darin, den Vorgang ohne Fehlermeldung zu beenden. Die wiederhergestellten Daten müssen sich öffnen und sinnvoll verwenden lassen.
Bei einfachen Dateiablagen genügt für eine regelmäßige Stichprobe häufig eine Auswahl verschiedener Dateitypen. Bei Datenbanken, Warenwirtschaft, virtuellen Servern oder anderen Fachanwendungen reicht das nicht aus. Hier solltest du prüfen, ob die Anwendung nach der Wiederherstellung startet, ob die Daten konsistent sind und ob benötigte Zugriffsrechte weiterhin funktionieren.
Ein solcher Test muss das Produktivsystem nicht überschreiben. Gute Wiederherstellungsverfahren ermöglichen einen Test in einer getrennten Umgebung oder an einem alternativen Speicherort. Dokumentiere dabei auch, wie lange der Vorgang dauert und welche manuellen Schritte nötig sind. So wird aus einer technischen Probe gleichzeitig eine realistische Vorbereitung auf den Notfall.
Der wichtigste Test: Stelle eine echte Datei aus dem Backup wieder her und öffne sie. Nur so prüfst du mehr als den Statusbericht der Software.
PRÜFPUNKT 04 / 07
4. Passt das Sicherungsintervall zu deinem Arbeitsalltag?
Eine tägliche Sicherung klingt zunächst vernünftig. Für ein Unternehmen, in dem mehrere Personen laufend Aufträge, Patientendaten, Buchungen oder Projektdokumentationen bearbeiten, können 24 Stunden Datenverlust jedoch viel zu viel sein. In anderen Bereichen reicht eine tägliche oder sogar seltenere Sicherung durchaus aus.
Entscheidend ist deshalb nicht eine pauschale Zahl, sondern der betriebliche Bedarf. Zwei Begriffe helfen bei der Einordnung:
- RPO (Recovery Point Objective): Wie alt darf der letzte nutzbare Datenstand höchstens sein? Vereinfacht gesagt: Wie viele Arbeitsstunden oder Änderungen kannst du im Notfall verkraften?
- RTO (Recovery Time Objective): Wie lange darf es dauern, bis Daten oder Systeme wieder verfügbar sind?
Sprich darüber nicht nur aus technischer Sicht. Die verantwortlichen Personen im Unternehmen wissen meist am besten, welche Folgen ein Ausfall von zwei Stunden, einem Tag oder einer Woche hätte. Daraus lassen sich passende Sicherungsintervalle und eine sinnvolle Reihenfolge für die Wiederherstellung ableiten.
Dein Praxis-Check: Wie viele Arbeitsstunden müsstet ihr nach einem Ausfall erneut erfassen und wäre das im Alltag noch vertretbar?
PRÜFPUNKT 05 / 07
5. Reichen Aufbewahrungszeit, Versionen und Speicherplatz aus?
Nicht jeder Datenfehler fällt sofort auf. Eine versehentlich überschriebene Kalkulation kann erst beim nächsten Monatsabschluss fehlen. Eine unbemerkte Schadsoftware verändert vielleicht über längere Zeit Dateien. Wenn alle älteren Sicherungsstände bereits automatisch gelöscht wurden, enthält das Backup nur noch die fehlerhaften Versionen.
Prüfe daher, wie viele Wiederherstellungspunkte vorhanden sind und wie weit sie zurückreichen. Die passende Aufbewahrungsdauer hängt von deinen Abläufen, Datenmengen und gegebenenfalls geltenden Anforderungen ab. Gleichzeitig solltest du die Speicherauslastung im Blick behalten. Ein volles Sicherungsziel kann dazu führen, dass neue Sicherungen fehlschlagen oder ältere Stände früher verschwinden als geplant.
Aufbewahrung und gesetzliche Aufbewahrungspflichten sind dabei nicht dasselbe. Ein Backup dient in erster Linie der Wiederherstellung nach einem Verlust oder Ausfall. Eine revisionssichere Archivierung verfolgt einen anderen Zweck und kann zusätzliche Anforderungen stellen.
Dein Praxis-Check: Könntest du heute noch auf einen sauberen Datenstand von vor vier Wochen zurückgreifen?
PRÜFPUNKT 06 / 07
6. Ist das Backup vor Ransomware und unbefugtem Zugriff geschützt?
Angreifer versuchen bei Ransomware-Vorfällen häufig nicht nur produktive Daten zu verschlüsseln, sondern auch vorhandene Sicherungen zu löschen oder unbrauchbar zu machen. Deshalb sollte mindestens eine Sicherung so getrennt sein, dass ein kompromittiertes Benutzer- oder Administratorkonto nicht ohne Weiteres darauf zugreifen kann.
In der Praxis bedeutet dies folgendes. Verwende für die Backup-Verwaltung getrennte Zugangsdaten, beschränke Berechtigungen auf das notwendige Maß und schütze administrative Konten mit Mehrfaktor-Authentifizierung, sofern die eingesetzte Lösung dies unterstützt. Halte außerdem die Backup-Software und die zugehörige Infrastruktur aktuell. Eine offline gelagerte oder technisch unveränderbare Kopie schafft eine zusätzliche Schutzschicht.
Auch die Verschlüsselung spielt eine Rolle. Sie schützt gesicherte Daten, falls ein Datenträger verloren geht oder Unbefugte Zugriff auf den Speicher erhalten. Allerdings müssen die zugehörigen Schlüssel und Wiederherstellungsinformationen ebenfalls sicher und verfügbar bleiben. Ein perfekt verschlüsseltes Backup hilft im Notfall nicht, wenn niemand mehr an den Schlüssel kommt.
Wie sich mehrere Sicherungskopien sinnvoll verteilen lassen, erklären wir ausführlicher im Beitrag „Die 3-2-1-Backup-Regel einfach erklärt“.
Dein Praxis-Check: Könnte ein kompromittiertes Administratorkonto gleichzeitig auf Produktivdaten und sämtliche Sicherungen zugreifen?
PRÜFPUNKT 07 / 07
7. Weiß im Notfall jeder, was zu tun ist und welche Aufgaben zu erledigen sind?
Ein Datenverlust tritt selten zu einem passenden Zeitpunkt auf. Vielleicht ist die zuständige Person im Urlaub, der bisherige IT-Betreuer nicht erreichbar oder ein wichtiger Zugang nur auf dem ausgefallenen Server dokumentiert. Ohne klare Zuständigkeiten verstreicht wertvolle Zeit, bevor die eigentliche Wiederherstellung beginnt.
Halte deshalb mindestens fest, wer einen Vorfall meldet, wer über die Wiederherstellung entscheidet und wer Zugriff auf die Sicherung hat. Ergänze Ansprechpartner, benötigte Zugänge und die Reihenfolge der wichtigsten Systeme. Diese Informationen sollten auch dann verfügbar sein, wenn das Firmennetzwerk gerade nicht funktioniert.
Für kleine Unternehmen muss daraus kein umfangreiches Handbuch entstehen. Eine kurze und verständliche Wiederanlaufübersicht ist bereits deutlich besser als ein Ablauf, der nur im Kopf einer einzelnen Person existiert. Aktualisiere die Dokumentation nach technischen Änderungen und notiere Erkenntnisse aus jedem Wiederherstellungstest.
Dein Praxis-Check: Könnte eine zweite Person die Wiederherstellung einleiten, wenn der zuständige Ansprechpartner nicht erreichbar ist?
ZUM ABHAKEN
Backup im Unternehmen prüfen: Die kompakte Checkliste
Die passende Prüfhäufigkeit hängt davon ab, wie kritisch deine Daten und Systeme sind. Die folgenden Intervalle dienen deshalb als praktische Orientierung und nicht als starre Vorgabe.
| Prüffrage | Empfohlener Rhythmus | Erledigt |
|---|---|---|
| Wurden die letzten Sicherungsläufe erfolgreich abgeschlossen? | Täglich oder automatisiert überwachen | ☐ |
| Erreichen Warnmeldungen die zuständige Person und wird darauf reagiert? | Wöchentlich testen | ☐ |
| Sind alle Server, Endgeräte, Anwendungen, Postfächer und Cloud-Daten erfasst, die für den Betrieb wichtig sind? | Quartalsweise und nach jeder Änderung | ☐ |
| Entsprechen Sicherungsintervall und Wiederherstellungszeit dem tatsächlichen Geschäftsbedarf? | Mindestens jährlich und bei Prozessänderungen | ☐ |
| Reichen Aufbewahrungsdauer, Anzahl der Versionen und freier Speicherplatz aus? | Monatlich | ☐ |
| Lässt sich eine Auswahl unterschiedlicher Dateien fehlerfrei wiederherstellen und öffnen? | Mindestens quartalsweise | ☐ |
| Wurde die Wiederherstellung eines geschäftskritischen Systems realistisch getestet und zeitlich dokumentiert? | Mindestens jährlich | ☐ |
| Existiert eine getrennte, externe, offline verfügbare oder technisch unveränderbare Sicherungskopie? | Quartalsweise prüfen | ☐ |
| Sind Backup-Konten, Verschlüsselungsschlüssel und administrative Zugänge angemessen geschützt? | Quartalsweise und nach Personaländerungen | ☐ |
| Sind Ansprechpartner, Zuständigkeiten und die Reihenfolge der Wiederherstellung dokumentiert? | Mindestens jährlich und nach Änderungen | ☐ |
Wichtig: Wenn du eine Frage nicht eindeutig mit Ja beantworten kannst, bedeutet das nicht automatisch, dass dein Backup nutzlos ist. Der Punkt zeigt dir aber, wo du genauer hinschauen und die Datensicherung verbessern solltest.
Ein zuverlässiges Backup braucht Kontrolle, nicht nur Speicherplatz
Ein gutes Backup fällt im Alltag kaum auf. Es läuft automatisiert, meldet Abweichungen und hält geeignete Wiederherstellungspunkte bereit. Trotzdem darf es nicht zu einer Blackbox werden. Erst regelmäßige Kontrollen und praktische Wiederherstellungstests zeigen, ob die Sicherung mit dem Unternehmen mitgewachsen ist und im Ernstfall ihren Zweck erfüllt.
Wenn du dein Backup im Unternehmen prüfen möchtest, beginne mit drei einfachen Fragen: Welche Daten sind geschäftskritisch? Wie viel Datenverlust kannst du verkraften? Und wann wurde zuletzt etwas testweise wiederhergestellt? Die Antworten zeigen meist schnell, ob nur die Sicherung läuft oder ob auch die Wiederherstellung vorbereitet ist.
Weißt du, ob dein Backup wirklich einsatzbereit ist?
Arminius IT unterstützt Selbstständige und kleine Unternehmen dabei, bestehende Datensicherungen strukturiert zu überprüfen und ein nachvollziehbares Backup-Konzept aufzubauen. Dazu gehören je nach Bedarf die Überwachung der Sicherungsläufe, passende Aufbewahrungsregeln und geplante Wiederherstellungstests.
Häufige Fragen zum Backup im Unternehmen
Fehlgeschlagene oder überfällige Sicherungen sollten möglichst täglich, beziehungsweise automatisiert überwacht werden. Umfang, Speicherplatz, Zugriffsrechte und Aufbewahrungsregeln solltest du regelmäßig, sowie nach technischen Änderungen prüfen. Für Wiederherstellungstests eignet sich bei vielen kleinen Unternehmen eine Kombination aus häufigeren Datei-Stichproben und einem mindestens jährlichen Test geschäftskritischer Systeme. Das konkrete Intervall richtet sich nach dem Risiko und der Bedeutung der Daten.
Ein erfolgreicher Status ist ein erster Hinweis, aber kein vollständiger Nachweis. Sicherheit erhältst du erst durch eine Testwiederherstellung. Dabei müssen sich die gesicherten Dateien öffnen, beziehungsweise die betroffenen Anwendungen mit konsistenten Daten starten lassen.
Nicht automatisch. Eine Synchronisation überträgt Änderungen häufig auf alle verbundenen Geräte. Dadurch können auch Löschungen oder beschädigte Dateien verteilt werden. Funktionen wie Versionierung und Papierkorb bieten zusätzlichen Schutz, ersetzen aber nicht in jedem Fall ein getrenntes Backup. mit festgelegter Aufbewahrung.
Wenn alle Backups dauerhaft mit denselben Konten oder über das gleiche Netzwerk erreichbar sind, können Angreifer oder Schadsoftware möglicherweise auch die Sicherungen löschen oder verschlüsseln. Eine getrennte, offline verfügbare oder technisch unveränderbare Kopie reduziert dieses Risiko.
Ein Backup dient vor allem dazu, Daten und Systeme nach einem Verlust oder Ausfall wiederherzustellen. Eine Archivierung bewahrt Informationen langfristig und gegebenenfalls nach gesetzlichen oder organisatorischen Vorgaben auf. Beide Verfahren können sich ergänzen, erfüllen aber unterschiedliche Aufgaben.
