Ein Backup, das nie getestet wurde, ist keine Absicherung, sondern eine Vermutung. Die meisten kleinen Unternehmen merken das erst im Ernstfall, wenn die Wiederherstellung nicht funktioniert oder Daten fehlen. Eine saubere Backup- Strategie ist dabei kein technisches Großprojekt, sondern eine klare Struktur.
Die 3-2-1-Regel als Standard
- 3 Kopien der Daten: das Original plus mindestens zwei Backups.
- 2 verschiedene Speichermedien: etwa lokale Festplatte und Cloud-Speicher, nicht zweimal dasselbe System.
- 1 Kopie extern oder getrennt: räumlich getrennt oder nicht dauerhaft mit dem System verbunden, damit ein Ransomware-Angriff nicht alle Kopien gleichzeitig trifft.
Die häufigsten Backup-Fehler
- Backup dauerhaft verbunden. Ein Backup, das ständig am selben Netzwerk hängt, kann bei einem Verschlüsselungsangriff mitbetroffen sein.
- Nie getestete Wiederherstellung. Ein Backup, das läuft, ist nicht dasselbe wie ein Backup, aus dem sich Daten tatsächlich zurückspielen lassen.
- Fehlende Versionierung. Wird eine Datei beschädigt oder verschlüsselt und das Backup überschreibt die letzte gute Version, ist auch das Backup wertlos.
- Unklare Zuständigkeit. Niemand prüft, ob das Backup wirklich jede Nacht durchläuft, bis es zu spät ist.
- Nur der Server wird gesichert. Laptops, mobile Geräte und Cloud-Postfächer werden vergessen, obwohl dort oft geschäftskritische Daten liegen.
Zwei Zahlen, die Ihre Strategie definieren: RTO und RPO
Hinter jeder Backup-Entscheidung stehen zwei einfache Fragen. Erstens: Wie lange darf der Betrieb maximal stillstehen, bis alles wiederhergestellt ist? Das ist die RTO (Recovery Time Objective). Zweitens: Wie viele Stunden Arbeit dürfen im schlimmsten Fall verloren gehen? Das ist die RPO (Recovery Point Objective) — sie bestimmt, wie oft gesichert werden muss. Ein Handwerksbetrieb, der einen Tag Ausfall und die Arbeit seit gestern Abend verkraftet, braucht eine ganz andere (und günstigere) Lösung als ein Online-Shop, bei dem jede Stunde zählt. Wer diese beiden Zahlen einmal ehrlich festlegt, kann jedes Angebot daran messen.
Der blinde Fleck: Microsoft 365 und Google Workspace
„Unsere Daten liegen doch in der Cloud" ist der gefährlichste Satz im Backup-Gespräch. Microsoft und Google sichern den Betrieb ihrer Plattformen — aber nicht Ihre Inhalte gegen versehentliches oder böswilliges Löschen. Papierkörbe und Aufbewahrungsfristen sind begrenzt; ein kompromittiertes Admin-Konto kann Postfächer und Ablagen unwiederbringlich leeren. Für geschäftskritische Cloud-Daten gehört deshalb ein eigenständiges SaaS-Backup bei einem Drittanbieter zur Strategie, typischerweise für wenige Euro pro Nutzer und Monat.
Was eine solide Lösung kostet
| Baustein | Typische Größenordnung (Stand Juli 2026) |
|---|---|
| SaaS-Backup für Microsoft 365 / Google Workspace | ca. 2–5 € pro Nutzer und Monat |
| Lokales NAS als erste Backup-Stufe | einmalig ca. 300–800 € plus Festplatten |
| Verschlüsseltes Cloud-Backup (extern gelagerte Kopie) | ca. 5–15 € pro Terabyte und Monat |
| Eingerichtete Komplettlösung mit Überwachung | für kleine Teams meist zweistelliger Betrag pro Monat |
Zum Vergleich: Schon ein einziger Tag Betriebsstillstand kostet ein Fünf-Personen-Team bei durchschnittlichen Stundensätzen vierstellig — von Datenverlust, der sich nicht wiederherstellen lässt, ganz zu schweigen.
Wie Sie eine Wiederherstellung wirklich testen
- Einen einzelnen, unwichtigen Ordner aus dem Backup zurückspielen.
- Prüfen, ob Dateien vollständig und unbeschädigt sind.
- Zeit stoppen, wie lange die Wiederherstellung dauert, das zeigt den realistischen Ausfallzeitrahmen.
- Mindestens einmal im Quartal wiederholen, nicht nur beim ersten Einrichten.
Was eine gute Backup-Strategie zusätzlich abdeckt
- Klare Aufbewahrungsfristen, abgestimmt auf rechtliche Anforderungen.
- Verschlüsselung der Backups, besonders bei externer oder Cloud-Speicherung.
- Automatische Benachrichtigung bei fehlgeschlagenen Sicherungen.
- Ein dokumentierter Notfallplan, wer im Ernstfall was wiederherstellt.
Backups sind dabei ein Baustein der Gesamtabsicherung — die übrigen neun Punkte fasst die Cybersecurity-Checkliste für KMU zusammen. Für die Einrichtung und laufende Überwachung Ihrer Backup-Strategie siehe Managed Workspace. Für eine strukturierte Prüfung des Ist-Zustands siehe IT-Sicherheitsaudit.
