Montagmorgen, der Server startet nicht, die Buchhaltung kommt nicht an Belege und das Vertriebsteam sieht keine Kundendaten. In diesem Moment entscheidet sich, ob ein Backup nur vorhanden ist oder ob es den Betrieb tatsächlich rettet. Die besten Backup-Strategien für KMU sichern deshalb nicht einfach möglichst viele Dateien. Sie definieren, welche Systeme wie schnell und zuverlässig wieder arbeitsfähig sein müssen.

Für kleine und mittlere Unternehmen ist das besonders relevant: Ein Ausfall trifft meist direkt die operative Arbeit. Rechnungen bleiben liegen, Maschinen können stillstehen, Termine fehlen, Mitarbeitende improvisieren. Gleichzeitig sind die IT-Ressourcen begrenzt. Eine passende Sicherungsstrategie muss deshalb Sicherheit, Aufwand und Kosten realistisch zusammenbringen – keine 08/15-Lösung, sondern ein Plan für die tatsächlichen Abläufe im Unternehmen.

Warum Backups in KMU häufig nicht reichen

Viele Unternehmen sichern Daten bereits automatisch. Das ist ein guter Anfang, aber noch keine belastbare Strategie. Häufig landet die Sicherung auf einem Netzlaufwerk im selben Gebäude oder in einem Cloud-Speicher, der direkt mit den produktiven Benutzerkonten verbunden ist. Bei einem Brand, Hardwaredefekt, Diebstahl oder Ransomware-Angriff kann dann sowohl das Original als auch die Sicherung betroffen sein.

Ein weiterer blinder Fleck sind Cloud-Anwendungen. Microsoft 365, Dokumentenmanagement, Kassensysteme oder Branchenlösungen sind zwar hoch verfügbar. Das ersetzt aber nicht automatisch eine eigene Datensicherung. Gelöschte Dateien, falsch überschriebene Datensätze oder kompromittierte Benutzerkonten können sich über Synchronisierung und Aufbewahrungsregeln auch auf verknüpfte Datenbestände auswirken.

Entscheidend ist daher nicht die Frage: „Haben wir ein Backup?“ Sondern: „Können wir nach welchem Schaden in welcher Zeit mit welchen Daten weiterarbeiten?“

Beste Backup-Strategien für KMU folgen der 3-2-1-1-0-Regel

Die 3-2-1-Regel ist ein praxiserprobter Ausgangspunkt. Sie bedeutet: mindestens drei Kopien der Daten, auf zwei unterschiedlichen Speichermedien, davon eine Kopie außerhalb des eigenen Standorts. Für moderne Bedrohungen ist die Erweiterung zur 3-2-1-1-0-Regel sinnvoll. Zusätzlich sollte eine Kopie unveränderbar oder vom Netzwerk getrennt sein. Die Null steht für null Fehler nach einer regelmäßig geprüften Wiederherstellung.

In der Praxis kann das so aussehen: Die produktiven Daten liegen auf dem Server oder in der Fachanwendung. Eine Sicherung wird lokal auf ein separates Backup-System geschrieben, damit einzelne Dateien oder Systeme schnell zurückgeholt werden können. Eine weitere, verschlüsselte Kopie geht automatisiert in ein externes Rechenzentrum oder einen zweiten Standort. Zusätzlich schützt eine unveränderbare Sicherung davor, dass Angreifer Backup-Dateien nachträglich löschen oder verschlüsseln.

Welche Technik dafür sinnvoll ist, hängt von der Umgebung ab. Ein Handwerksbetrieb mit zentralem Server und wenigen Arbeitsplätzen hat andere Anforderungen als eine Praxis, ein Hotel oder ein Unternehmen mit mehreren Standorten. Maßgeblich sind nicht nur die Datenmenge, sondern auch Abhängigkeiten: Welche Anwendung benötigt welche Datenbank? Welche Zugänge, Konfigurationen und virtuellen Maschinen müssen mitgesichert werden? Ein Dateibackup allein genügt nicht, wenn die Anwendung erst mit einer bestimmten Datenbankversion und Serverkonfiguration wieder funktioniert.

Wiederherstellungsziele vor der Technik festlegen

Backup-Strategien werden oft aus der IT-Perspektive geplant. Sinnvoller ist es, bei den Geschäftsprozessen zu beginnen. Die Geschäftsführung, Fachabteilungen und IT sollten gemeinsam festlegen, was nach einem Ausfall Vorrang hat. Daraus ergeben sich zwei Kennzahlen: die maximale Ausfallzeit und der maximal akzeptable Datenverlust.

Die maximale Ausfallzeit wird als Recovery Time Objective, kurz RTO, beschrieben. Sie beantwortet die Frage, wie lange ein System ausfallen darf. Der maximal akzeptable Datenverlust ist das Recovery Point Objective, kurz RPO. Es legt fest, wie alt der wiederhergestellte Datenstand höchstens sein darf.

Für die Planung helfen vier konkrete Fragen:

• Welche Systeme sind für Umsatz, Versorgung oder Kundenservice unverzichtbar?
• Wie lange kann jedes dieser Systeme realistisch ausfallen?
• Welche Daten dürfen höchstens wenige Stunden, einen Tag oder mehrere Tage alt sein?
• Welche Abteilungen und externen Partner müssen im Notfall informiert werden?

Ein E-Mail-Archiv darf möglicherweise erst am nächsten Arbeitstag wieder bereitstehen. Das Kassensystem im Einzelhandel, die Patientenverwaltung oder die Produktionssteuerung dagegen oft nicht. Daraus folgt die Sicherungsfrequenz: Manche Systeme brauchen stündliche Sicherungen oder Replikation, andere eine tägliche Sicherung. Mehr ist dabei nicht automatisch besser. Sehr kurze Sicherungsintervalle erhöhen Speicherbedarf, Komplexität und Kosten. Sie sind dort gerechtfertigt, wo der wirtschaftliche Schaden eines Datenverlusts höher ist als dieser Aufwand.

Ransomware-Schutz beginnt vor dem Backup

Ein Backup ist die letzte Verteidigungslinie, nicht der einzige Schutz gegen Cyberangriffe. Wenn Schadsoftware privilegierte Konten übernimmt, versucht sie häufig gezielt, Sicherungen zu löschen oder zu verschlüsseln. Deshalb müssen Backup-Systeme anders geschützt werden als normale Arbeitsdaten.

Dazu gehören getrennte Administrationskonten, Mehrfaktor-Authentifizierung und restriktive Berechtigungen. Mitarbeitende und Standard-Administratoren sollten nicht ohne Weiteres Sicherungen löschen oder Aufbewahrungszeiten verändern können. Backup-Speicher braucht außerdem Verschlüsselung bei Übertragung und Ablage. Schlüssel und Zugangsdaten müssen nachvollziehbar verwaltet werden, damit das Unternehmen auch bei einem Personalwechsel handlungsfähig bleibt.

Unveränderbare Speicherbereiche, häufig als Immutable Backups bezeichnet, sind besonders wertvoll. Innerhalb einer definierten Frist lassen sich Daten dort weder ändern noch löschen – auch nicht mit einem kompromittierten Konto. Das schützt nicht vor jedem Szenario, verschafft im Ernstfall aber eine saubere Wiederherstellungsbasis. Wichtig ist, diese Aufbewahrungsfristen mit gesetzlichen, vertraglichen und betrieblichen Anforderungen abzustimmen. Je nach Branche können Datenschutz, Aufbewahrungspflichten oder Regelwerke wie HIPAA in den USA zusätzliche Anforderungen setzen.

Microsoft 365 und SaaS-Daten gezielt absichern

Viele KMU verlagern E-Mails, Teams-Dateien und Dokumente in die Cloud. Das reduziert Aufwand für lokale Infrastruktur, löst aber das Thema Datensicherung nicht vollständig. Verfügbarkeit des Dienstes und Wiederherstellbarkeit einzelner Geschäftsdaten sind zwei verschiedene Dinge.

Ein eigenes Backup für Microsoft 365 kann beispielsweise Exchange-Postfächer, OneDrive, SharePoint und Teams-Inhalte nach klaren Fristen sichern. Das ist relevant, wenn ein Ordner versehentlich gelöscht wird, ein Konto kompromittiert ist oder ein ehemaliger Mitarbeitender noch geschäftskritische Informationen in seinem Bereich gespeichert hat. Auch branchenspezifische Cloud-Lösungen sollten geprüft werden: Gibt es Exportmöglichkeiten? Wie lange werden Daten aufbewahrt? Können sie vollständig und lesbar wiederhergestellt werden?

Ein Backup ohne Test ist nur eine Annahme

Die wichtigste Kontrolle findet nicht beim erfolgreichen Sicherungsbericht statt, sondern bei der Wiederherstellung. Eine grüne Statusmeldung beweist lediglich, dass ein Sicherungsjob gelaufen ist. Sie beweist nicht, dass alle Daten vollständig, konsistent und im benötigten Zeitfenster zurückgespielt werden können.

Mindestens in festen Intervallen sollten Unternehmen deshalb Testwiederherstellungen durchführen. Dabei reicht es nicht, irgendeine Datei zu öffnen. Testen Sie ein repräsentatives Szenario: eine gelöschte Datei, ein Postfach, eine Datenbank und im Idealfall die Wiederherstellung eines vollständigen Servers oder einer virtuellen Maschine. Dokumentieren Sie Dauer, Verantwortlichkeiten, Probleme und die tatsächliche Datenaktualität.

Besonders aufschlussreich sind Notfallübungen ohne Vorankündigung an das IT-Team. Wer entscheidet über die Wiederherstellung? Wo liegen Zugänge und Notfallkontakte? Können Mitarbeitende vorübergehend arbeiten, wenn zentrale Systeme fehlen? Solche Fragen sind unangenehm, bevor etwas passiert – danach sind sie existenziell.

Verantwortung, Monitoring und Notfallplan zusammenführen

Eine funktionierende Backup-Strategie braucht einen klaren Eigentümer. Das kann eine interne IT-Verantwortung sein oder ein externer IT-Partner. Entscheidend ist, dass jemand Sicherungsfehler täglich prüft, Kapazitäten überwacht, Updates bewertet und Wiederherstellungstests koordiniert. Automatisierung entlastet, ersetzt aber keine Verantwortung.

Ebenso wichtig ist ein verständlicher Notfallplan. Er sollte nicht als technisches Handbuch in einem nicht erreichbaren Netzlaufwerk liegen. Eine kompakte, geschützte und auch offline verfügbare Version muss festhalten, welche Systeme Priorität haben, wer Entscheidungen trifft und wie Mitarbeitende, Kunden oder Dienstleister informiert werden. Für viele KMU ist ein zentraler Ansprechpartner hier der größte Vorteil: Infrastruktur, Sicherheitsmaßnahmen, Cloud-Dienste und Support greifen zusammen, statt dass im Ernstfall mehrere Anbieter aufeinander verweisen.

IT4YOU unterstützt Unternehmen dabei, Backup, IT-Sicherheit, Monitoring und Wiederanlaufplanung als abgestimmtes Gesamtkonzept aufzusetzen. Das schafft planbare Abläufe und entlastet Teams, die sich auf ihr Kerngeschäft konzentrieren müssen.

Die beste Sicherung fällt im Alltag kaum auf. Ihre Qualität zeigt sich erst dann, wenn ein Fehler, ein Angriff oder ein Ausfall den Betrieb unterbricht – und das Unternehmen trotzdem kontrolliert weiterarbeiten kann.