Ein verschlüsseltes System, ein defekter Server oder ein versehentlich gelöschter Projektordner – der Ernstfall beginnt meist ohne Vorwarnung. Wer Backups richtig aufbewahren will, braucht deshalb mehr als eine externe Festplatte im Schrank. Entscheidend ist ein Konzept, das Daten schützt, Wiederherstellungen ermöglicht und im Arbeitsalltag zuverlässig funktioniert.

Für mittelständische Unternehmen, Schulen, Praxen, Kommunen oder Handwerksbetriebe steht dabei nicht nur die Technik auf dem Spiel. Fehlen Auftragsdaten, Patientendokumente, Buchhaltungsunterlagen oder Unterrichtsmaterialien, entstehen Ausfallzeiten, rechtliche Risiken und Vertrauensverlust. Eine Sicherung ist erst dann wertvoll, wenn sie im Notfall schnell, vollständig und sicher zurückgespielt werden kann.

Backups richtig aufbewahren: Die 3-2-1-1-0-Regel

Die bewährte 3-2-1-Regel ist ein guter Ausgangspunkt: Drei Kopien Ihrer Daten, auf zwei unterschiedlichen Speichermedien, davon eine Kopie außerhalb des eigenen Standorts. Für die heutige Bedrohungslage reicht sie allein häufig nicht mehr aus. Ransomware greift gezielt Backup-Systeme an, sobald sie Zugang zum Netzwerk erhalten hat.

Deshalb empfehlen sich zwei Ergänzungen. Mindestens eine Sicherung sollte unveränderbar sein. Das bedeutet: Nach dem Speichern kann sie für einen festgelegten Zeitraum weder gelöscht noch überschrieben werden. Eine weitere Kopie sollte offline oder logisch vom Produktivnetz getrennt liegen. Das kann ein getrenntes Backup-System, ein gesicherter Cloud-Speicher oder ein rotierendes Speichermedium sein – sofern der Prozess kontrolliert abläuft.

Die letzte Null in der erweiterten 3-2-1-1-0-Regel steht für null ungeprüfte Fehler. Ein Backup-Job mit grünem Status beweist nur, dass Daten geschrieben wurden. Er beweist nicht, dass sich diese Daten tatsächlich wiederherstellen lassen. Regelmäßige Restore-Tests gehören daher fest zum Betrieb.

Der Speicherort entscheidet über die Sicherheit

Ein Backup am selben Standort schützt gegen versehentliches Löschen oder einzelne Hardwaredefekte. Gegen Feuer, Wasser, Einbruch oder einen größeren Stromschaden hilft es kaum. Auch ein Netzlaufwerk im gleichen Serverraum ist kein unabhängiger Sicherungsort. Wird die Infrastruktur kompromittiert, kann diese Kopie mit betroffen sein.

Lokal sichern für schnelle Wiederherstellung

Lokale Backups sind sinnvoll, wenn große Datenmengen schnell verfügbar sein müssen. Ein eigener Backup-Server oder ein professionelles NAS-System kann virtuelle Server, Dateiablagen und zentrale Anwendungen in kurzer Zeit wiederherstellen. Das ist besonders wertvoll, wenn der Betrieb bei einem längeren Cloud-Download stillstehen würde.

Die Kehrseite: Lokale Systeme benötigen Schutz vor Diebstahl, Brand, Überspannung und unbefugtem Zugriff. Sie müssen überwacht, aktualisiert und räumlich sinnvoll platziert werden. Ein Backup-Speicher direkt neben dem produktiven Server spart zwar Kabel, aber keine Risiken.

Extern speichern für den Katastrophenfall

Eine externe Kopie schafft räumliche Distanz. Je nach System kann sie in einem zweiten Unternehmensstandort, einem Rechenzentrum oder einer Cloud-Umgebung liegen. Für viele kleinere Organisationen ist eine gemanagte Cloud-Sicherung praktikabel, weil kein zweiter Technikraum betrieben werden muss.

Dabei kommt es auf die Details an: Wo liegen die Daten geografisch? Wie werden sie verschlüsselt? Wer verwaltet die Schlüssel und Zugriffsrechte? Welche Bandbreite steht im Wiederherstellungsfall zur Verfügung? Gerade bei mehreren Terabyte kann ein Restore über das Internet Tage dauern. Für geschäftskritische Systeme kann deshalb eine Kombination aus lokaler Sicherung und externer Kopie die bessere Lösung sein.

Offline und unveränderbar gegen Ransomware

Offline-Medien bieten einen starken Schutz, wenn sie nach der Sicherung wirklich vom Netz getrennt werden. Das kann bei kleineren Datenbeständen eine verschlüsselte, rotierende Festplatte sein. Im professionellen Umfeld sind unveränderbare Speicherbereiche oder Backup-Repositories meist besser steuerbar als manuelle Wechselmedien.

Manuelle Prozesse haben einen klaren Nachteil: Sie hängen von einzelnen Personen ab. Wenn das Medium nicht gewechselt, falsch gelagert oder nicht verschlüsselt wird, entsteht schnell eine gefährliche Lücke. Technik und Zuständigkeiten müssen daher zusammenpassen. Die beste Methode ist nicht die theoretisch sicherste, sondern die, die im Unternehmen konsequent umgesetzt und kontrolliert wird.

Aufbewahrungsfristen nach Datenwert planen

Nicht jede Datei braucht dieselbe Sicherungsdauer. Ein versehentlich überschriebenes Angebot soll vielleicht noch nach 30 Tagen verfügbar sein. Finanzunterlagen, Vertragsakten oder personenbezogene Dokumente können deutlich längere gesetzliche, steuerliche oder organisatorische Aufbewahrungsfristen haben. Ein Backup ersetzt allerdings kein rechtssicheres Archiv.

Diese Trennung ist wesentlich: Backups dienen der Wiederherstellung nach Störung, Fehler oder Angriff. Archive bewahren Informationen nachvollziehbar und über definierte Fristen auf. Werden beide Aufgaben vermischt, wird die Sicherung unnötig groß, teuer und unübersichtlich. Gleichzeitig besteht das Risiko, dass archivierungspflichtige Daten zu früh verschwinden oder nicht revisionssicher vorliegen.

Eine praxistaugliche Planung orientiert sich an drei Fragen: Wie viel Datenverlust ist akzeptabel? Wie schnell muss ein System wieder laufen? Und wie lange muss eine ältere Datenversion erreichbar bleiben? Daraus ergeben sich Sicherungsintervalle, Speicherbedarf und Aufbewahrungszeiten.

Für ein Warenwirtschaftssystem kann beispielsweise eine Sicherung im 15-Minuten-Takt sinnvoll sein, wenn laufend Bestellungen eingehen. Für ein kleines Dokumentenarchiv genügt unter Umständen eine tägliche Sicherung. Monatliche oder jährliche Sicherungsstände helfen zusätzlich, lange zurückliegende Fehler oder unbemerkte Manipulationen aufzufangen.

Microsoft 365 und Cloud-Dienste sind kein fertiges Backup

Viele Unternehmen gehen davon aus, dass Daten in Microsoft 365, Teams, SharePoint oder OneDrive automatisch vollständig gesichert sind. Die Plattformen bieten hohe Verfügbarkeit und Schutz vor Infrastrukturfehlern. Das ist jedoch nicht dasselbe wie ein eigenes, versioniertes Unternehmensbackup.

Gelöschte Inhalte, falsche Berechtigungen, fehlerhafte Synchronisationen oder kompromittierte Benutzerkonten können sich schnell auswirken. Auch begrenzte Papierkörbe und Wiederherstellungszeiträume lösen nicht jedes Szenario. Wer geschäftskritische Cloud-Daten nutzt, sollte daher klären, welche Inhalte gesichert werden, wie lange Versionen vorgehalten werden und wie granular eine Wiederherstellung möglich ist.

Das gilt ebenso für branchenspezifische Anwendungen, Kassensysteme, E-Mail-Postfächer, digitale Zeiterfassung und Server in externen Rechenzentren. Entscheidend ist nicht, ob eine Anwendung lokal oder in der Cloud läuft, sondern ob Verantwortlichkeiten, Sicherungsumfang und Restore-Prozess eindeutig definiert sind.

Zugriffsschutz und Verschlüsselung mitdenken

Backup-Daten enthalten oft den vollständigen Bestand eines Unternehmens. Deshalb brauchen sie mindestens den gleichen Schutz wie produktive Systeme. Verschlüsselung während der Übertragung und im Speicher ist Standard. Ebenso wichtig sind starke, getrennte Zugangsdaten, Multifaktor-Authentifizierung und restriktive Rollen.

Besonders kritisch sind Administrationskonten. Wenn ein Angreifer mit den Zugangsdaten eines Administrators sowohl Produktivsystem als auch Backup löschen kann, ist die Sicherheitskopie keine echte Rückfallebene. Separate Konten, getrennte Berechtigungen und eine nachvollziehbare Protokollierung reduzieren dieses Risiko deutlich.

Für Organisationen in den USA können zusätzlich branchenspezifische Vorgaben gelten, etwa bei Gesundheitsdaten oder Zahlungsinformationen. Auch Unternehmen mit internationalen Kunden müssen klären, welche Datenschutz- und Speicheranforderungen für sie gelten. Hier lohnt sich eine gemeinsame Abstimmung von IT, Fachabteilung und gegebenenfalls Rechtsberatung.

Ein Wiederherstellungstest schafft Gewissheit

Der entscheidende Moment ist nicht die Nacht, in der das Backup läuft. Es ist der Morgen, an dem ein Server nicht mehr startet und Mitarbeitende auf ihre Daten warten. Dann muss klar sein, wer entscheidet, welche Systeme zuerst wiederhergestellt werden und wo die notwendigen Zugangsdaten liegen.

Testen Sie daher nicht nur einzelne Dateien, sondern auch realistische Szenarien: Kann eine E-Mail-Box zurückgespielt werden? Startet eine gesicherte virtuelle Maschine? Sind Datenbanken konsistent? Wie lange dauert die Wiederherstellung eines zentralen Systems tatsächlich? Dokumentieren Sie die Ergebnisse und passen Sie das Konzept an, wenn Zielzeiten nicht erreicht werden.

Ein guter Backup-Plan ist kein einmaliges Projekt. Neue Anwendungen, mehr Daten, zusätzliche Standorte und veränderte Compliance-Vorgaben machen regelmäßige Anpassungen notwendig. IT4YOU begleitet Unternehmen dabei als zentraler IT-Partner – von der Analyse über sichere Speicherarchitekturen bis zum Monitoring und getesteten Notfallprozess.

Wer seine Backups heute strukturiert aufbewahrt, schafft morgen Handlungsspielraum. Nicht, weil Ausfälle dann ausgeschlossen sind, sondern weil das Unternehmen auch unter Druck kontrolliert weiterarbeiten kann.