Eine tragfähige Backup-Strategie legt schriftlich fest, welche Daten wie oft gesichert werden, wo die Kopien liegen und wie schnell welches System nach einem Ausfall wieder laufen muss. Ihr Kern ist die 3-2-1-Regel, ergänzt um mindestens eine Kopie, die sich während einer Sperrfrist nicht verändern lässt, und um regelmäßige Wiederherstellungstests. Ob ein Betrieb nach einem Serverausfall Stunden oder Tage verliert, entscheidet sich also lange vor dem Ernstfall.
Warum Backups im Ernstfall scheitern
Dass gesichert wird, heißt noch nicht, dass sich im Ernstfall alles zurückholen lässt. Die Gründe für Lücken sind selten exotisch:
- Die Sicherung ist unvollständig: Ein neuer Ordner, eine zusätzliche Datenbank oder die Notebooks im Außendienst wurden nie in den Sicherungsplan aufgenommen.
- Fehlermeldungen liest niemand: Die Software meldet seit Wochen Probleme, aber die Hinweise landen in einem Postfach ohne zuständige Person.
- Alle Kopien hängen am selben Netz: Server und externe Festplatte sind dauerhaft verbunden, ein Schadprogramm erreicht beide.
- Die Rücksicherung wurde nie geübt: Zugangsdaten fehlen, die Reihenfolge ist unklar, und das Zurückspielen dauert viel länger als erwartet.
- Cloud-Daten gelten als „sowieso gesichert“: Postfächer und Dateien in Microsoft 365 tauchen im Konzept gar nicht auf.
Fehlende Wiederherstellungstests und unzureichende Dokumentation führt das BSI als zuständige Bundesbehörde für Informationssicherheit ausdrücklich als Gefährdungen auf. Zu den Basis-Anforderungen seines IT-Grundschutzes gehört, regelmäßig zu testen, ob sich gesicherte Daten einwandfrei und in angemessener Zeit zurückspielen lassen. So steht es im BSI-Baustein CON.3 Datensicherungskonzept (externe Website) der Edition 2023, laut BSI weiterhin die aktuelle Fassung des Kompendiums (Stand: Oktober 2026).
Die 3-2-1-Regel und ihre Erweiterungen
Die 3-2-1-Regel ist ein leicht zu merkender Maßstab:
- 3 Kopien Ihrer Daten: das Original und zwei Sicherungen
- 2 unterschiedliche Speicherarten, etwa ein Sicherungsspeicher im Haus und ein Cloud-Speicher
- 1 Kopie außer Haus, damit Brand, Wasserschaden oder Einbruch nicht alles gleichzeitig treffen
Für ein kleines Unternehmen kann das so aussehen: Der Server sichert nachts auf ein lokales Sicherungsziel, von dort geht eine verschlüsselte Kopie in ein Rechenzentrum. Die lokale Kopie erlaubt schnelle Rücksicherungen einzelner Dateien, die externe schützt vor dem Totalverlust. Auch der genannte BSI-Baustein sieht vor, die Sicherungen an einem anderen Ort als die gesicherten Systeme zu lagern, nach Möglichkeit in einem eigenen Brandabschnitt. Welche Mischung passt, hängt von Datenmenge, Internetbandbreite und Wiederanlaufzielen ab. Die Kriterien stellt der Vergleich Cloud-Backup vs. lokales Backup gegenüber.
Manche erweitern die Regel, zum Beispiel zu 3-2-1-1-0: Eine Kopie liegt zusätzlich offline oder unveränderlich vor, und die Prüfung der Sicherungen ergibt null Fehler. Wichtiger als die Zahlenfolge ist der Gedanke dahinter. Keine einzelne Störung, kein einzelnes Konto und kein einzelner Standort darf alle Kopien zugleich unbrauchbar machen.
Schutz vor Ransomware: Offline- und unveränderliche Kopien
Ransomware verschlüsselt nicht nur Arbeitsdaten. Das BSI weist im selben Baustein darauf hin, dass viele Varianten nach Netzlaufwerken mit Schreibzugriff suchen. Außerdem nutzen Angreifer erbeutete Administratorkonten, um auch Sicherungen zu löschen. Ein Backup, das sich mit denselben Zugangsdaten entfernen lässt wie der Server, schützt deshalb kaum.
Zwei Wege machen Sicherungen widerstandsfähiger:
- Offline-Kopie: Ein Sicherungsmedium wird nach dem Lauf getrennt, etwa wechselnde Festplatten oder Bänder. Was nicht verbunden ist, lässt sich nicht verschlüsseln. Der Nachteil: Der Wechsel muss zuverlässig von Hand erfolgen.
- Unveränderliche Kopie: Ein Immutable Backup kann während einer festgelegten Sperrfrist weder geändert noch gelöscht werden – bei konsequent eingerichteter Sperre auch nicht mit Administratorrechten. Das läuft automatisch und eignet sich gut für die Kopie außer Haus.
Ergänzend erhält das Sicherungssystem eigene Zugänge, die nicht an der Benutzerverwaltung des Unternehmens wie dem Active Directory hängen und per Mehr-Faktor-Anmeldung geschützt sind. Wählen Sie die Sperrfrist so lang, dass auch ein erst nach Tagen bemerkter Angriff noch eine saubere Version übrig lässt.
Wiederherstellung regelmäßig testen
Erst die Probe zeigt, ob eine Sicherung im Ernstfall hilft. Legen Sie vorher für jedes wichtige System zwei Zielwerte fest, bekannt als RTO und RPO:
- RTO (Recovery Time Objective): Wie lange darf das System höchstens ausfallen?
- RPO (Recovery Point Objective): Wie viel Arbeit, gemessen in Zeit, darf höchstens verloren gehen?
Angenommen, eine Steuerkanzlei kann ihre Fachanwendung in der Abgabephase kaum einen Tag entbehren. Den Verlust weniger Stunden Arbeit verkraftet sie dagegen eher als ein Betrieb, der laufend Aufträge und Lieferungen erfasst. Aus solchen Werten ergibt sich, wie oft gesichert wird und welche Systeme nach einem Ausfall zuerst zurückkommen.
Praktikabel ist ein gestuftes Vorgehen:
- Einzelne Dateien und Postfächer nach festem Plan zurückholen, zum Beispiel monatlich.
- Mindestens einmal im Jahr ein komplettes System in einer Testumgebung wiederherstellen und die Dauer messen.
- Die Wiederanlauf-Reihenfolge festhalten: Welche Systeme müssen zuerst laufen, wo liegen Zugangsdaten und Anleitungen – auch ausgedruckt.
Die Planung für den großen Ausfall heißt Disaster Recovery. Sie beschreibt, wie Sie nach Brand, Hardwaredefekt oder Angriff wieder arbeitsfähig werden, und funktioniert nur mit getesteten Sicherungen.
Microsoft-365-Daten nicht vergessen
Papierkörbe und Aufbewahrungsfunktionen in Microsoft 365 ersetzen keine eigenständige Sicherung. Gelöschte Elemente lassen sich dort nur eine begrenzte Zeit zurückholen. In Exchange Online bleiben Mails, die auch aus dem Ordner „Gelöschte Elemente“ entfernt wurden, standardmäßig 14 Tage wiederherstellbar; einstellbar sind höchstens 30 Tage. In SharePoint liegen gelöschte Dateien 93 Tage ab dem Löschen in den Papierkörben. So steht es in der Microsoft-Dokumentation zum Ordner „Wiederherstellbare Elemente“ in Exchange Online (externe Website) und zum Papierkorb in SharePoint (externe Website) (Stand: Oktober 2026).
Was erst später auffällt oder von einem Angreifer endgültig entfernt wurde, ist ohne zusätzliche Kopie verloren. Ein Microsoft 365 Backup kopiert Postfächer, OneDrive und SharePoint – und damit auch die in Teams geteilten Dateien – in einen getrennten Speicher. In der Backup-Strategie gehört es gleichberechtigt neben den Server im Haus: mit eigener Aufbewahrungsdauer, eigenen Zugängen und eigenen Tests.
Checkliste für Ihr Backup-Konzept
- Alle Datenquellen erfasst: Server, Fachanwendungen, Notebooks, Microsoft 365 sowie die Konfiguration von Firewall und Telefonanlage
- RTO und RPO je System mit der Geschäftsführung abgestimmt
- Drei Kopien auf zwei Speicherarten, eine davon außer Haus
- Mindestens eine Kopie offline oder unveränderlich
- Eigene, per Mehr-Faktor-Anmeldung geschützte Zugänge zum Sicherungssystem
- Tägliche Kontrolle der Statusmeldungen mit klarer Zuständigkeit
- Wiederherstellungstests nach Plan, Ergebnisse dokumentiert
- Wiederanlaufplan auch ohne funktionierende IT verfügbar, etwa ausgedruckt
- Überprüfung des Konzepts einmal im Jahr und bei jedem neuen System
So gehen wir bei ProNet Systems vor: Unser Ziel ist eine tägliche automatische Sicherung, und ein Statusbericht zeigt am Morgen, ob alles gelaufen ist. Auf Wunsch lagern wir eine verschlüsselte Kopie in ein Rechenzentrum in Deutschland aus. Details finden Sie auf unseren Seiten zur Datensicherung für Unternehmen und zum verschlüsselten Cloud-Backup außer Haus.
Fazit: Eine Backup-Strategie ist erst mit dem Test vollständig
Die 3-2-1-Regel liefert den Rahmen: mehrere Kopien, verschiedene Speicherarten, eine davon außer Haus. Gegen Ransomware kommt eine Kopie hinzu, die offline oder unveränderlich ist. Den Unterschied zwischen Hoffnung und Gewissheit machen aber erst geplante Wiederherstellungstests mit klaren Zielen für Ausfallzeit und Datenverlust. Beziehen Sie Microsoft 365 von Anfang an ein und prüfen Sie das Konzept einmal im Jahr, damit Ihre Backup-Strategie mit Ihrer IT Schritt hält.
Häufige Fragen
Wie oft sollte ein kleines Unternehmen seine Daten sichern?
Als Untergrenze empfiehlt sich für viele Betriebe eine tägliche Sicherung. Wer laufend Aufträge, Buchungen oder Konstruktionsdaten erfasst, sichert wichtige Systeme zusätzlich mehrmals am Tag. Maßgeblich ist der RPO, also die Datenmenge, deren Verlust Sie noch verkraften können.
Reicht eine externe Festplatte als Backup-Strategie aus?
Nein, eine einzelne Festplatte deckt die 3-2-1-Regel nicht ab. Bleibt sie dauerhaft angeschlossen, kann Ransomware sie mitverschlüsseln, und bei Brand oder Diebstahl ist sie zusammen mit dem Server verloren. Als ein Baustein neben einer Kopie außer Haus kann sie sinnvoll sein.
Wie lange sollten Backups aufbewahrt werden?
Das richtet sich danach, wie spät Fehler oder Angriffe typischerweise bemerkt werden. Empfehlenswert ist eine Mischung aus täglichen Ständen für einige Wochen und älteren Wochen- oder Monatsständen, weil manche Schäden erst nach Wochen auffallen. Gesetzliche Aufbewahrungspflichten erfüllt ein Backup nicht automatisch, sie brauchen eine eigene Lösung.
Ist ein Cloud-Backup automatisch vor Ransomware geschützt?
Nein, nicht automatisch. Ein Cloud-Backup schützt erst dann, wenn es mit getrennten Zugängen, Mehr-Faktor-Anmeldung und einer Sperrfrist gegen Löschen abgesichert ist. Sonst kann ein Angreifer mit erbeuteten Zugangsdaten auch die Kopie in der Cloud entfernen.
Kostenlose Beratung
Hält Ihre Backup-Strategie einem Ernstfall stand?
In einer kostenlosen Beratung gehen wir Ihr bisheriges Konzept durch und zeigen, wo Lücken bestehen.
Transparenzhinweis: Dieser Beitrag ist mit Unterstützung von KI-Werkzeugen entstanden. Die redaktionelle Verantwortung für Inhalt und Aussagen liegt bei der ProNet Systems GmbH.
