Wie finden Sie den richtigen Backup-Plan für Ihr Unternehmen?

Was gehört in einen Backup-Plan für Unternehmen?

Ein Backup-Plan für Unternehmen ist eine kurze, schriftliche Antwort auf sechs Fragen: was Sie sichern, wie oft, wie lange Sie es aufbewahren, wo die Kopien liegen, wer sie wiederherstellt und wie Sie das testen. Können Sie alle sechs für jedes System beantworten, haben Sie einen Plan.

Die meisten kleinen und mittleren Unternehmen haben Backups, aber keinen Plan. Ein Server bekommt einen nächtlichen Job, bei Microsoft 365 wird angenommen, dass es sich selbst darum kümmert, und niemand hat je eine vollständige Wiederherstellung versucht. Die Lücken zeigen sich erst an dem Tag, an dem Sie die Daten zurückbrauchen.

Eine Seite pro System genügt, und die Wahl des Werkzeugs ergibt sich daraus. Auf unserer Seite Backup as a Service zeigen wir, wie ein Managed Service jeden Teil abdeckt.

Welche Daten und Systeme sollte Ihr Unternehmen sichern?

Alles, was Ihr Unternehmen für den Betrieb braucht, einschließlich der Daten in Cloud-Anwendungen. Der Leitfaden zum Sichern Ihrer Daten des britischen NCSC rät, eine Kopie von „allen Daten, die Ihr Unternehmen für den Betrieb braucht“ anzulegen, von E-Mails und Rechnungen bis zu Kundeninformationen.

Gehen Sie eine normale Arbeitswoche durch und listen Sie jedes System auf, das Ihre Mitarbeitenden nutzen. Prüfen Sie dann, wo seine Daten tatsächlich liegen:

• E-Mails und Dateien in der Cloud: Microsoft 365 (Exchange, OneDrive, SharePoint, Teams) und Google Workspace (Gmail, Drive, Kalender, Kontakte). Diese Anbieter führen für Sie kein unabhängiges Backup, wie wir in unserem Artikel Sichert Microsoft 365 meine Daten? erklären.
• Server und virtuelle Maschinen: VMware-, Hyper-V- oder Proxmox-Hosts sowie Linux-Server.
• Datenbanken: SQL-Server-Datenbanken hinter Buchhaltungs-, ERP- oder Branchensoftware.
• Dateispeicher: NAS-Geräte, die oft die gemeinsamen Dateien vieler Jahre enthalten.
• Public Cloud: Workloads in AWS, Azure oder Google Cloud.
• Laptops und Desktops: Arbeit, die nur auf einem Gerät liegt.

Wir sichern all das, mit unbegrenzten Backup-Jobs und unbegrenztem Speicher.

Wie oft sollten Sie sichern, und wie lange sollten Sie Backups aufbewahren?

Sichern Sie jedes System so oft, wie die Kosten verlorener Arbeit es rechtfertigen, und bewahren Sie Kopien so lange auf, wie Gesetz und Ihr eigener Wiederherstellungsbedarf es verlangen. Das sind zwei getrennte Entscheidungen.

Häufigkeit: Wie viel Arbeit können Sie verlieren?

Das NIST definiert das Recovery Point Objective als „den Zeitpunkt, bis zu dem Daten nach einem Ausfall wiederhergestellt werden müssen“. Einfach gesagt: Das RPO gibt an, wie viel Arbeit Sie sich leisten können, noch einmal zu machen. Ein stark genutztes Bestellsystem braucht womöglich mehrere Backups am Tag, ein Referenzarchiv kommt vielleicht mit einem pro Woche aus. Unsere Erklärung zu RTO und RPO hilft Ihnen, Ziele zu wählen.

Aufbewahrung: Wie weit zurück müssen Sie gehen?

• Gesetzliche Aufbewahrung: In Deutschland gelten nach § 147 AO und § 257 HGB je nach Unterlage 10 Jahre (etwa Bücher, Inventare und Jahresabschlüsse), 8 Jahre (Buchungsbelege) und 6 Jahre (Handels- und Geschäftsbriefe). Zum Vergleich verlangt die Belastingdienst in den Niederlanden 7 Jahre für die Buchführung und 10 Jahre für Immobiliendaten. Klären Sie Ihre Fristen mit Ihrem Steuerberater.
• Nicht länger als nötig: Art. 5 Abs. 1 lit. e DSGVO begrenzt, wie lange Sie personenbezogene Daten in einer Form aufbewahren, die eine Identifizierung zulässt. Lange Aufbewahrung braucht deshalb einen Grund.
• Wiederherstellung nach einem Angriff: Angreifer bleiben oft eine Weile unentdeckt. Mandiants M-Trends 2026 nennt für die globale mittlere Verweildauer 14 Tage. Bewahren Sie deshalb Wiederherstellungspunkte auf, die weiter zurückreichen.

Wo sollten Unternehmens-Backups liegen?

An mehr als einem Ort, mit mindestens einer Kopie, die sich nicht ändern lässt und nicht mit Ihrem Netzwerk verbunden ist. Angreifer suchen zuerst nach Backups, eine Kopie im selben Netzwerk wie Ihre Server genügt deshalb nicht.

Die Hinweise des britischen NCSC für kleine Unternehmen warnen, ein Backup-Gerät „sollte nicht angeschlossen bleiben“, wenn es nicht benutzt wird, weil Malware angeschlossenen Speicher erreichen kann. Das Risiko ist auch für kleinere Firmen real: Der Data Breach Investigations Report 2025 von Verizon fand Ransomware bei 88 % der Datenpannen in kleineren Organisationen. Und in Sophos' Umfrage 2024 gaben 94 % der Ransomware-Opfer an, dass Angreifer versucht hatten, ihre Backups zu kompromittieren.

Die 3-2-1-1-0-Regel fasst die Antwort zusammen: drei Kopien auf zwei Medientypen, eine außer Haus, eine unveränderlich oder als Air-Gap-Kopie, und null Fehler nach einer geprüften Wiederherstellung. Prüfen Sie außerdem, welches Recht für den Speicheranbieter gilt. Unser Artikel zur Datensouveränität erklärt, warum das für Unternehmen in der EU wichtig ist.

Selbst verwaltetes Backup, Cloud-Sync oder Backup as a Service: Was passt?

Für die meisten kleinen und mittleren Unternehmen ohne eigene IT-Abteilung bietet Backup as a Service den meisten Schutz bei dem geringsten Aufwand. Sync-Werkzeuge sind kein Backup, und selbst verwaltete Lösungen hängen davon ab, dass jemand sie jeden Tag prüft.

Unser Ratgeber Cloud-Speicher oder Cloud-Backup erklärt, warum Sync kein Backup ist.

Unsere Antworten: Die Daten bleiben in unseren eigenen Tier-III-Rechenzentren in Deutschland und den Niederlanden, nach EU-Recht. Backups sind mit Object Lock unveränderlich, dazu gibt es eine Air-Gap-Kopie, jeder Job wird automatisch geprüft, und kritische Workloads stellen wir mit einem 4-Stunden-SLA wieder her. Die Wiederherstellung ist granular, Sie können also eine einzelne Datei oder einen ganzen Server zurückholen. Wir sind ISO-27001- und NEN-7510-zertifiziert (NEN 7510 ist die niederländische Norm für Informationssicherheit im Gesundheitswesen), schließen mit jedem Vertrag einen Auftragsverarbeitungsvertrag (AVV) nach DSGVO ab und bieten persönlichen Support auf Deutsch, Niederländisch und Englisch.

Wie testen und dokumentieren Sie Ihren Backup-Plan?

Stellen Sie echte Daten nach Zeitplan wieder her, messen Sie die Zeit an Ihren Zielen und schreiben Sie das Ergebnis auf. Ein Plan, den Sie nicht getestet haben, ist eine Hoffnung, kein Plan.

1. Einen Verantwortlichen benennen für den Plan und eine Vertretung, dazu die Kontaktdaten Ihres IT-Partners.
2. Die Schritte der Wiederherstellung aufschreiben für jedes System, auch wo Zugangsdaten liegen, falls Ihre normalen Systeme ausgefallen sind.
3. Regelmäßig testen. Stellen Sie mindestens einmal im Quartal eine Datei, ein Postfach und einen ganzen Server wieder her und vergleichen Sie die Dauer mit Ihrem RTO.
4. Belege aufbewahren: Datum, was wiederhergestellt wurde, wie lange es dauerte und was schiefging.
5. Jährlich überprüfen oder wenn Sie ein System hinzufügen, umziehen oder den Anbieter wechseln.

Das erwarten auch Aufsichtsbehörden. Art. 32 Abs. 1 lit. c DSGVO verlangt „die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen“, und lit. d eine regelmäßige Überprüfung Ihrer Maßnahmen. Unser Ratgeber Woran erkennen Sie, ob Ihr Backup wirklich funktioniert? listet auf, was Sie prüfen sollten.

Ihre nächsten Schritte

Wählen Sie Ihren Backup-Plan, indem Sie zuerst die sechs Fragen beantworten: was, wie oft, wie schnell, wie lange, wo und wer testet. Wählen Sie dann die Option, die jedes System abdeckt, auf das Sie sich verlassen, eine unveränderliche Kopie außerhalb Ihres Netzwerks hält und Ihnen erlaubt, die Wiederherstellung zu belegen.

Fällt Ihre Organisation unter NIS2, ist Backup zusätzlich eine gesetzliche Pflicht: Art. 21 Abs. 2 lit. c der NIS2-Richtlinie (EU) 2022/2555 nennt „Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement“. Wie die Teile zusammenpassen, sehen Sie auf unserer Seite Backup as a Service.

Möchten Sie eine zweite Meinung zu Ihrer aktuellen Lösung? Fordern Sie eine kostenlose Analyse an oder vereinbaren Sie eine 15-minütige Demo, um eine Wiederherstellung aus einem EU-Rechenzentrum zu sehen.

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung.