Backup-Strategie für Mittelstand richtig aufsetzen

Wer im Mittelstand erst nach einem Verschlüsselungstrojaner über Backups spricht, hat meist schon Geld, Zeit und Vertrauen verloren. Eine wirksame Backup-Strategie für Mittelstand muss deshalb vor dem Notfall stehen – als fester Teil der Betriebssicherheit, nicht als technische Nebenaufgabe der IT.

Das ist keine theoretische Vorsicht. Laut BSI gehören Ransomware, Fehlkonfigurationen und Ausfälle von IT-Dienstleistern weiter zu den größten Risiken für Unternehmen in Deutschland. ENISA beschreibt Ransomware seit Jahren als eines der folgenreichsten Cyberrisiken in Europa. Und die DSGVO verlangt nicht nur Datenschutz auf dem Papier, sondern in Art. 32 ausdrücklich Maßnahmen zur Sicherstellung der Verfügbarkeit und Belastbarkeit von Systemen. Wer Daten nicht verlässlich wiederherstellen kann, hat nicht nur ein IT-Problem, sondern ein Geschäftsrisiko.

Warum eine Backup-Strategie für Mittelstand anders gedacht werden muss

Im Mittelstand sind IT-Landschaften selten sauber aus einem Guss aufgebaut. Häufig gibt es gewachsene Serverstrukturen, mehrere Standorte, Microsoft-365-Daten, lokale Dateiserver, Fachanwendungen, virtuelle Maschinen und einzelne Alt-Systeme, die niemand gern anfasst. Genau darin liegt das Problem: Gesichert wird oft vieles irgendwie, aber nicht alles nachvollziehbar.

Eine gute Backup-Strategie für Mittelstand beginnt deshalb nicht mit Software, sondern mit Klarheit. Welche Daten sind geschäftskritisch? Welche Systeme müssen nach einem Ausfall in zwei Stunden wieder laufen und welche dürfen erst am nächsten Tag zurückkommen? Wo liegen personenbezogene Daten? Und wer prüft regelmäßig, ob die Sicherung im Ernstfall tatsächlich lesbar und vollständig ist?

Viele Unternehmen sichern technisch gesehen Daten, aber nicht den Geschäftsbetrieb. Das ist ein wichtiger Unterschied. Wenn zwar Dateien vorhanden sind, aber die Produktionsdatenbank, das ERP-System oder die virtuelle Serverumgebung nicht konsistent wiederhergestellt werden können, hilft das Backup nur begrenzt.

Die drei Fragen, die jede Sicherungsstrategie beantworten muss

Im Kern geht es immer um drei Werte: Wie viel Datenverlust ist akzeptabel, wie lange darf der Betrieb ausfallen und wie hoch ist das Risiko eines gleichzeitigen System- und Backup-Schadens? In der Praxis werden daraus Recovery Point Objective und Recovery Time Objective – also der maximal tolerierbare Datenverlust und die maximal tolerierbare Wiederanlaufzeit.

Für einen Handwerksbetrieb mit einfacher Büro-IT kann ein halber Arbeitstag unter Umständen tragbar sein. Für ein produzierendes Unternehmen mit digitaler Fertigungsplanung, Lageranbindung und E-Mail-Kommunikation ist das oft schon zu viel. Wer Rechnungswesen, Warenwirtschaft oder Projektsteuerung digital abbildet, braucht meist engere Sicherungsintervalle und klar definierte Wiederanlaufpläne.

Hinzu kommt die Frage der Trennung. Ein Backup, das im selben Netzwerk hängt und mit denselben Rechten erreichbar ist wie die Produktivsysteme, kann bei Ransomware mitverschlüsselt werden. Genau deshalb empfehlen BSI und viele Sicherheitsstandards eine logische oder physische Trennung der Sicherungen.

Was in einer belastbaren Backup-Strategie enthalten sein sollte

Das bekannte 3-2-1-Prinzip ist weiterhin sinnvoll: mindestens drei Kopien der Daten, auf zwei unterschiedlichen Medien, davon eine Kopie extern oder ausgelagert. Für viele mittelständische Unternehmen reicht dieses Grundprinzip heute allerdings allein nicht mehr aus. Gegen moderne Angriffe braucht es meist eine erweiterte Variante mit unveränderbaren Sicherungen, getrennten Zugriffsrechten und regelmäßigen Restore-Tests.

Praktisch bedeutet das: Produktivdaten werden lokal oder im Rechenzentrum gesichert, zusätzlich an einen getrennten zweiten Speicherort repliziert und mindestens eine Sicherung wird so abgelegt, dass sie nachträglich nicht einfach verändert oder gelöscht werden kann. Immutable Backups oder Air-Gap-Konzepte sind hier keine Luxuslösung, sondern eine Antwort auf reale Angriffswege.

Ebenso wichtig ist die Abdeckung aller Datenquellen. In vielen Unternehmen werden Server ordentlich gesichert, während Microsoft 365, Endgeräte, NAS-Systeme oder Cloud-Anwendungen durchrutschen. Gerade bei SaaS-Diensten entsteht schnell ein falsches Sicherheitsgefühl. Der Dienst ist verfügbar, also werden die Daten schon sicher sein – diese Annahme ist gefährlich. Verfügbarkeit eines Dienstes ist nicht automatisch gleichbedeutend mit einer vollständigen, unternehmenseigen kontrollierten Datensicherung.

DSGVO, Datenhoheit und der Standort der Backups

Für deutsche mittelständische Unternehmen ist nicht nur die Wiederherstellbarkeit relevant, sondern auch die Frage, wo Daten verarbeitet und gespeichert werden. Das betrifft besonders personenbezogene Daten aus Kundenverwaltung, HR, E-Mail-Postfächern oder Dokumentenmanagement.

Die DSGVO verlangt geeignete technische und organisatorische Maßnahmen. Dazu gehört auch, Auftragsverarbeitung sauber zu regeln und Datenflüsse nachvollziehbar zu dokumentieren. Wenn Backup-Daten in intransparenten internationalen Cloud-Strukturen landen, entstehen schnell rechtliche und organisatorische Risiken. Das muss nicht automatisch unzulässig sein, ist aber erklärungsbedürftig und oft schwer sauber zu kontrollieren.

Viele mittelständische Entscheider bevorzugen daher bewusst Backup-Lösungen mit Datenverarbeitung nach deutschen Standards und klarer Auskunft darüber, wer Zugriff hat, wo gespeichert wird und wie Löschung, Verschlüsselung und Wiederherstellung geregelt sind. Das ist kein Formalismus, sondern Teil von Risikosteuerung.

Typische Schwachstellen aus der Praxis

In Sicherheitsanalysen zeigt sich immer wieder ein ähnliches Bild. Backups laufen laut Protokoll erfolgreich, aber niemand testet die Rücksicherung. Administrator-Konten sind zu weitreichend vergeben. Alte Sicherungsjobs sichern längst nicht mehr alle relevanten Systeme. Oder es existieren mehrere Insellösungen ohne zentrale Kontrolle.

Ein Beispiel aus einem mittelständischen Produktionsunternehmen aus dem Bergischen Land: Die Datensicherung der Server war eingerichtet, die virtuellen Maschinen wurden regelmäßig gesichert, und dennoch bestand ein erhebliches Risiko. Die Konstruktionsdaten auf einzelnen Arbeitsplatzsystemen, die E-Mail-Archivierung und ein zentrales NAS waren nicht vollständig im Sicherungskonzept enthalten. Bei einer Prüfung der Wiederherstellbarkeit zeigte sich außerdem, dass ein kritischer Anwendungsserver nicht in der vorgesehenen Zielzeit zurückgespielt werden konnte. Erst durch die Zusammenführung der Sicherung, klare Priorisierung und einen dokumentierten Restore-Test entstand daraus eine belastbare Lösung.

Ein zweiter Fall betraf ein Handelsunternehmen, das von einem Verschlüsselungsversuch betroffen war. Die Angreifer kamen nicht bis in alle Systeme, konnten aber über kompromittierte Rechte auf Teile der Backup-Verwaltung zugreifen. Der Schaden blieb begrenzt, weil zusätzlich getrennte Sicherungen vorhanden waren. Entscheidend war nicht die Menge der Backups, sondern deren Isolation.

So wird aus Sicherung echte Ausfallsicherheit

Der entscheidende Schritt ist die Übersetzung technischer Maßnahmen in betriebliche Prioritäten. Geschäftsführung, IT-Verantwortliche und Fachbereiche müssen dieselbe Sicht auf kritische Prozesse haben. Wer nur Speicherplatz einkauft, ohne Wiederanlaufzeiten festzulegen, löst das eigentliche Problem nicht.

Sinnvoll ist ein Vorgehen in vier Stufen. Zuerst werden Systeme, Datenklassen und Abhängigkeiten erfasst. Danach werden Schutzbedarf, Sicherungsintervalle und Aufbewahrungsfristen definiert. Im dritten Schritt folgen technische Umsetzung, Rechtekonzept, Verschlüsselung und Trennung der Speicherorte. Erst die vierte Stufe macht die Strategie belastbar: dokumentierte Tests, Monitoring und laufende Pflege.

Gerade dieser letzte Punkt wird oft unterschätzt. Eine Backup-Strategie ist kein Projekt mit Enddatum. Neue Anwendungen, neue Mitarbeiter, Standortwechsel oder M365-Erweiterungen verändern die Risikolage. Was vor zwei Jahren passend war, kann heute Lücken haben.

Welche Kennzahlen Entscheider kennen sollten

Wer Budget freigibt, braucht keine Produktdemo, sondern verlässliche Steuerungsgrößen. Dazu gehören die Erfolgsquote der Backups, die Zeit bis zur Wiederherstellung, die Anzahl nicht erfasster Systeme, die Prüfroutine für Restore-Tests und die Frage, ob Backups gegen Manipulation geschützt sind.

Wenn ein Unternehmen nicht sagen kann, wann zuletzt ein vollständiger Test einer kritischen Rücksicherung durchgeführt wurde, ist das ein Warnsignal. Gleiches gilt, wenn unklar ist, welche Daten aus Microsoft 365, Fileshares, Datenbanken oder virtuellen Maschinen tatsächlich in welcher Version gesichert werden. Transparenz ist hier wichtiger als Funktionsumfang auf dem Datenblatt.

Managed Backup kann sinnvoll sein – aber nur ohne Blackbox

Viele mittelständische Unternehmen haben weder die Zeit noch die personellen Reserven, ein komplexes Backup- und Restore-Konzept dauerhaft selbst zu betreiben. Das ist nachvollziehbar. Externe Betreuung kann entlasten und die Qualität deutlich erhöhen, wenn Zuständigkeiten, Prüfprozesse und Datenstandorte klar geregelt sind.

Worauf es ankommt: kein undurchsichtiger Dienst, bei dem nur monatliche Erfolgsmeldungen verschickt werden. Entscheider sollten nachvollziehen können, welche Systeme gesichert werden, wo die Daten liegen, wie die Verschlüsselung umgesetzt ist, welche Wiederherstellungszeiten vereinbart sind und wie regelmäßig echte Tests stattfinden. Genau an dieser Stelle trennt sich verlässliche Betreuung von bloßer Auslagerung.

Woran Sie eine tragfähige Backup-Strategie erkennen

Eine gute Lösung erzeugt Ruhe im Betrieb, weil sie nicht auf Hoffnung basiert. Sie ist dokumentiert, getestet, gegen Manipulation abgesichert und auf den tatsächlichen Geschäftsbetrieb abgestimmt. Sie berücksichtigt DSGVO, Zugriffsrechte, Datenstandorte und die Realität gewachsener IT-Strukturen.

Für den Mittelstand zählt dabei nicht die spektakulärste Technik, sondern die kontrollierbare Lösung. Wer weiß, welche Daten kritisch sind, wo sie gesichert werden und wie sie im Ernstfall zurückkommen, reduziert nicht nur Cyberrisiken. Er schützt Lieferfähigkeit, Kundenvertrauen und die eigene Handlungsfähigkeit im Tagesgeschäft.

Der beste Zeitpunkt, eine Backup-Strategie sauber zu prüfen, ist nicht nach dem Ausfall, sondern solange alles noch läuft.