Deutsche Managed-Backup-Anbieter im Vergleich

Wenn ein Montagmorgen mit einer Erpressungsnachricht statt mit der Auftragsplanung beginnt, entscheidet nicht die Größe des Datenspeichers über den Schaden. Entscheidend ist, ob sich Systeme, Dateien und Geschäftsdaten sauber, schnell und nachweisbar wiederherstellen lassen. Ein Vergleich deutscher Managed-Backup-Anbieter hilft mittelständischen Unternehmen deshalb nicht dabei, den günstigsten Speicherplatz zu finden. Er schafft Klarheit darüber, wer im Ernstfall tatsächlich Verantwortung übernimmt.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bewertet Ransomware weiterhin als eine der größten Bedrohungen für Unternehmen. Im BSI-Lagebericht 2024 wurden täglich durchschnittlich rund 309.000 neue Schadprogramm-Varianten registriert. Gleichzeitig beziffert Bitkom den jährlichen Schaden durch Cyberangriffe auf deutsche Unternehmen für 2024 auf 266,6 Milliarden Euro. Ein Backup ist in dieser Lage keine IT-Nebenaufgabe, sondern ein Baustein für Lieferfähigkeit, Zahlungsfähigkeit und Vertrauen bei Kunden.

Deutsche Managed-Backup-Anbieter im Vergleich: Was zählt wirklich?

Ein Managed-Backup-Anbieter sichert Daten nicht nur automatisiert. Er plant Sicherungsregeln, überwacht die Abläufe, reagiert auf Fehler und begleitet die Wiederherstellung. Genau hier unterscheiden sich Angebote deutlich. Manche Leistungen bestehen hauptsächlich aus Cloud-Speicher und einer Verwaltungsoberfläche. Andere verbinden Backup, Monitoring, Sicherheitskontrollen und feste Ansprechpartner zu einem betreuten Betriebsmodell.

Für deutsche Mittelständler sollte der Vergleich daher mit drei Fragen beginnen: Wo werden die Daten verarbeitet? Wie belastbar ist die Wiederherstellung? Und wer ist erreichbar, wenn ein Angriff oder Ausfall den Betrieb stoppt?

Deutscher Unternehmenssitz ist nicht automatisch deutsche Datenverarbeitung

Ein Anbieter mit deutschem Firmensitz kann Infrastruktur und Unterauftragnehmer im Ausland einsetzen. Das ist nicht per se unzulässig. Für Unternehmen mit personenbezogenen Daten, Konstruktionsunterlagen, Finanzdaten oder sensiblen Kundeninformationen ist es jedoch eine relevante Kontrollfrage.

Die DSGVO verlangt nach Artikel 28 einen klaren Vertrag zur Auftragsverarbeitung. Unternehmen sollten zusätzlich nachvollziehen können, welche Rechenzentren genutzt werden, welche Subunternehmer Zugriff erhalten und ob Daten in Drittländer übermittelt werden. Besonders bei US-bezogenen Cloud-Strukturen bleibt das Risiko rechtlicher und organisatorischer Zugriffe ein Thema, das nicht mit einem Werbeversprechen zur „EU-Cloud“ erledigt ist.

Ein überzeugender Anbieter benennt Datenstandort, Vertragsrolle, Verschlüsselungsverfahren und Zugriffsmodell verständlich. Er erklärt auch, wer im Supportfall administrative Berechtigungen erhält und wie diese protokolliert werden. Transparenz ist hier kein Zusatznutzen, sondern Voraussetzung für eine belastbare Datenschutzentscheidung.

Die Wiederherstellung ist wichtiger als die Sicherung

Viele Unternehmen prüfen, ob nachts ein Backup läuft. Seltener wird geprüft, ob ein kompletter Server, ein Microsoft-365-Postfach oder eine Warenwirtschaft innerhalb des benötigten Zeitfensters wieder verfügbar wäre. Diese Lücke ist gefährlich: Ein grünes Statussymbol bestätigt zunächst nur, dass Daten geschrieben wurden. Es beweist nicht, dass sie verwendbar sind.

Fragen Sie im Vergleich konkret nach dem Recovery Point Objective (RPO) und dem Recovery Time Objective (RTO). Das RPO beschreibt, wie viel Datenverlust maximal akzeptabel ist. Bei einer Produktion mit laufenden Aufträgen können 24 Stunden zu viel sein. Das RTO legt fest, wie lange die Wiederherstellung dauern darf. Für einen Dateiserver mögen acht Stunden vertretbar sein, für eine zentrale ERP-Umgebung oft nicht.

Ein guter Managed-Backup-Partner definiert diese Werte nicht pauschal, sondern pro System. Die Personalakte, die CAD-Daten, das ERP und das E-Mail-System haben unterschiedliche Kritikalität. Daraus folgen unterschiedliche Sicherungsintervalle, Aufbewahrungsfristen und Wiederanlaufpläne.

Vier Kriterien für eine belastbare Anbieterentscheidung

Im Alltag ist eine lange Funktionsliste wenig hilfreich. Für eine belastbare Vorauswahl sollten Entscheider vier Bereiche prüfen:

• Unveränderbarkeit der Sicherungen: Moderne Angriffe versuchen gezielt, Backups zu löschen oder zu verschlüsseln. Immutable Backups oder technisch geschützte Aufbewahrungsbereiche verhindern nachträgliche Manipulationen innerhalb eines festgelegten Zeitraums.
• Getrennte Zugangsdaten und Mehrfaktor-Authentisierung: Wer das Produktivnetz kompromittiert, darf nicht automatisch die Backup-Verwaltung übernehmen können. Separate Admin-Konten, MFA und klar begrenzte Berechtigungen sind unverzichtbar.
• Regelmäßige Wiederherstellungstests: Das BSI empfiehlt die 3-2-1-Regel: mindestens drei Kopien auf zwei unterschiedlichen Medientypen, davon eine Kopie außerhalb des Hauptstandorts. Entscheidend ist die Ergänzung durch dokumentierte Tests.
• Verbindliche Betreuung und Eskalation: Prüfen Sie Reaktionszeiten, Erreichbarkeit, Fehlerberichte und Zuständigkeiten. Ein Ticket ohne klare Eskalation hilft wenig, wenn der Betrieb bereits steht.

Diese Kriterien machen sichtbar, ob ein Angebot eine reine Speicherleistung oder eine echte Betriebsverantwortung enthält. Beides kann sinnvoll sein. Unternehmen mit einer erfahrenen internen IT und klaren Notfallprozessen können mehr Aufgaben selbst übernehmen. Fehlen diese Ressourcen, ist ein betreutes Modell meist wirtschaftlicher als die vermeintlich günstige Eigenverwaltung.

Verschlüsselung allein genügt nicht

Verschlüsselung während der Übertragung und im Speicher gehört zum Mindeststandard. Sie ersetzt aber keine Zugriffskontrolle. Wenn ein Angreifer über ein kompromittiertes Administratorkonto auf die Backup-Konsole zugreifen kann, helfen verschlüsselte Daten allein nicht weiter.

Achten Sie deshalb auf eine nachvollziehbare Schlüsselverwaltung, rollenbasierte Berechtigungen und Protokolle über administrative Änderungen. Artikel 32 DSGVO verlangt technische und organisatorische Maßnahmen, die dem Risiko angemessen sind. Dazu gehören Vertraulichkeit und Integrität ebenso wie die Fähigkeit, Verfügbarkeit und Belastbarkeit der Systeme dauerhaft sicherzustellen.

Praxisfall: Das Backup war vorhanden, aber nicht verfügbar

In einer anonymisierten Sicherheitsanalyse eines mittelständischen Dienstleistungsunternehmens zeigte sich ein typisches Problem: Die täglichen Sicherungen liefen nach Plan, der externe Speicher war ausreichend dimensioniert und es gab keine sichtbaren Fehlermeldungen. Nach einer Prüfung fiel jedoch auf, dass die Sicherungen mit denselben administrativen Zugangsdaten verwaltet wurden wie Teile der Serverlandschaft.

Ein Angreifer mit diesen Berechtigungen hätte nicht nur Produktivdaten verschlüsseln, sondern auch Sicherungen löschen können. Zusätzlich war seit über einem Jahr keine vollständige Wiederherstellung der zentralen Anwendung getestet worden. Das Risiko lag also nicht in einem fehlenden Backup, sondern in fehlender Trennung, fehlender Kontrolle und einer unbewiesenen Wiederanlauffähigkeit.

Die Lösung bestand aus getrennten Backup-Identitäten, Mehrfaktor-Authentisierung, einem geschützten unveränderbaren Sicherungsbestand und verbindlichen Restore-Tests. Für die Geschäftsführung war vor allem ein Ergebnis relevant: Der Wiederanlauf der Kernanwendung wurde nun quartalsweise dokumentiert, einschließlich Zeitbedarf und Verantwortlichkeiten. Damit wurde aus einer Annahme ein überprüfbarer Notfallnachweis.

Welche Fragen gehören in jedes Angebotsgespräch?

Lassen Sie sich nicht mit allgemeinen Aussagen wie „mehrfach redundant“ oder „DSGVO-konform“ abspeisen. Diese Begriffe sagen ohne konkrete Ausgestaltung wenig aus. Ein passender Anbieter kann verständlich beantworten, ob Daten ausschließlich in Deutschland gespeichert und verarbeitet werden, wie lange Wiederherstellungen realistisch dauern und ob auch komplette virtuelle Maschinen, Datenbanken und Microsoft-365-Daten abgedeckt sind.

Klären Sie außerdem, ob Sicherungsfehler aktiv überwacht werden oder ob Ihr Unternehmen selbst Berichte prüfen muss. Fragen Sie nach dem Ablauf bei einem Ransomware-Verdacht: Werden Sicherungen auf auffällige Verschlüsselungsmuster geprüft? Gibt es eine isolierte Umgebung für die Wiederherstellung? Wer entscheidet, welche Datenkopie sauber ist?

Auch die Aufbewahrung verdient Aufmerksamkeit. Lange Fristen können für steuerliche, rechtliche oder operative Anforderungen notwendig sein. Sie erhöhen aber Speicherbedarf, Kosten und Anforderungen an eine klare Löschstrategie. Der richtige Zeitraum hängt von Ihren Datenarten ab – nicht von einer Standardvorgabe im Tarif.

Managed Backup muss zum Notfallplan passen

Ein Backup-System funktioniert nicht isoliert. Es muss zu Firewall, Endpoint Protection, Identitätsverwaltung und Notfallorganisation passen. ENISA weist in ihren Bedrohungsanalysen regelmäßig darauf hin, dass Ransomware-Angriffe häufig mehrere Schwachstellen verbinden: gestohlene Zugangsdaten, fehlende Segmentierung und unzureichend geschützte Sicherungen.

Deshalb sollte ein Managed-Backup-Anbieter nicht nur Speicher bereitstellen, sondern Abhängigkeiten offenlegen. Wenn Backup-Server im selben Netzwerksegment liegen, wenn dieselben Konten überall gelten oder wenn Alarmmeldungen ungelesen bleiben, entsteht eine gefährliche Scheinsicherheit. Eine Sicherheitsanalyse kann diese stillen Risiken sichtbar machen, bevor sie im Ernstfall zum Betriebsstillstand führen.

Für mittelständische Unternehmen im Bergischen Land, im Ruhrgebiet und darüber hinaus zählt am Ende nicht die Zahl der versprochenen Funktionen. Entscheidend ist die Gewissheit, dass Daten unter klaren Regeln verarbeitet werden, eine Wiederherstellung erprobt ist und im Krisenfall ein verantwortlicher Ansprechpartner handelt. Wer diese Punkte vor der Vertragsunterschrift prüft, gewinnt etwas Wertvolleres als Cloud-Speicher: planbare Handlungsfähigkeit.