Lokales Backup oder Cloudbackup richtig wählen

Ein verschlüsselter Dateiserver am Montagmorgen, eine versehentlich gelöschte Projektmappe oder ein defekter Storage: Für mittelständische Unternehmen entscheidet sich dann in wenigen Stunden, ob der Betrieb weiterläuft. Die Frage „Lokales Backup oder Cloudbackup“ ist deshalb keine reine Technikentscheidung. Sie betrifft Lieferfähigkeit, Liquidität, Datenschutz und das Vertrauen von Kunden.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bewertet Ransomware weiterhin als eine der größten Bedrohungen für Unternehmen. Der Lagebericht zur IT-Sicherheit zeigt regelmäßig: Angreifer verschlüsseln nicht nur Produktivdaten, sondern suchen gezielt nach Sicherungen, administrativen Zugängen und Wiederherstellungswegen. Ein Backup, das zwar existiert, im Ernstfall aber nicht schnell und vollständig wiederhergestellt werden kann, erfüllt seinen Zweck nur teilweise.

Für viele Unternehmen lautet die richtige Antwort daher nicht entweder lokal oder Cloud, sondern eine kontrollierte Kombination aus beidem.

Lokales Backup oder Cloudbackup: Die Unterschiede

Ein lokales Backup wird auf eigenen Systemen gespeichert, etwa auf einem separaten Backup-Server, einem NAS-System oder einem vom Produktivnetz logisch getrennten Speicher. Der größte Vorteil ist die Geschwindigkeit. Große Datenmengen lassen sich im eigenen Netzwerk meist deutlich schneller sichern und zurückspielen als über eine Internetleitung. Das ist gerade bei CAD-Daten, ERP-Systemen, Bildarchiven oder virtuellen Servern relevant.

Die Kehrseite: Ein lokales Backup befindet sich häufig im selben Gebäude wie die Originaldaten. Feuer, Wasserschaden, Diebstahl oder ein erfolgreicher Angriff auf das interne Netzwerk können dann Produktivsysteme und Sicherungen zugleich treffen. Besonders kritisch wird es, wenn Backup-Speicher dauerhaft erreichbar sind und dieselben Administratorkonten wie die übrige IT nutzen.

Ein Cloudbackup repliziert Daten in ein externes Rechenzentrum. Es schützt damit besser vor standortbezogenen Schäden und schafft räumliche Distanz zum Unternehmensnetz. Allerdings hängt die Wiederherstellungsdauer von Datenvolumen, Bandbreite und dem konkreten Wiederherstellungskonzept ab. Mehrere Terabyte über eine begrenzte Leitung zurückzuspielen, kann länger dauern als ein mittelständischer Betrieb verkraftet.

Cloudbackup bedeutet zudem nicht automatisch Datenschutz nach deutschem Verständnis. Entscheidend ist, wo Daten gespeichert und verarbeitet werden, welche Unterauftragnehmer beteiligt sind, wer administrativen Zugriff hat und wie der Vertrag zur Auftragsverarbeitung ausgestaltet ist. Die DSGVO verlangt in Artikel 28 klare Regelungen bei der Verarbeitung durch Dienstleister. Für sensible Kunden-, Personal- oder Konstruktionsdaten reicht ein unklarer Hinweis auf „europäische Server“ nicht aus.

Die 3-2-1-Regel bleibt sinnvoll – mit einer Ergänzung

Das BSI empfiehlt, Sicherungen nach dem bewährten 3-2-1-Prinzip aufzubauen: mindestens drei Kopien der Daten, auf zwei unterschiedlichen Speichermedien, davon eine Kopie außerhalb des Standorts. Für die heutige Bedrohungslage sollte diese Regel erweitert werden: Mindestens eine Sicherung muss unveränderbar oder vom Netzwerk getrennt sein.

Unveränderbare Sicherungen, oft als Immutable Backups bezeichnet, können innerhalb einer festgelegten Aufbewahrungszeit nicht gelöscht oder manipuliert werden. Das reduziert das Risiko, dass ein Angreifer mit kompromittierten Admin-Zugangsdaten auch die Backups verschlüsselt. Eine weitere Möglichkeit ist ein physisch oder logisch isoliertes Offline-Backup. Welche Variante passt, hängt von der vorhandenen Infrastruktur, dem Datenvolumen und den vereinbarten Wiederanlaufzeiten ab.

Wichtig ist dabei die Trennung von Produktiv- und Backup-Administration. Wer sich mit einem einzigen Administratorkonto gleichzeitig in Server, Speicher und Backup-Konsole anmelden kann, schafft einen gefährlichen zentralen Angriffspunkt. Mehrstufige Anmeldung, getrennte Konten und nachvollziehbare Protokolle sind keine unnötige Bürokratie, sondern wirksame Grundsicherung.

Warum eine Hybridstrategie oft die beste Wahl ist

Für die meisten gewachsenen IT-Umgebungen im Mittelstand ist eine hybride Backup-Architektur der pragmatische Weg. Eine lokale Kopie sorgt für kurze Wiederherstellungszeiten im Tagesgeschäft. Eine verschlüsselte, externe Kopie schützt vor dem Totalausfall eines Standorts. Ergänzt um unveränderbare Sicherungen entsteht ein Sicherheitsnetz, das unterschiedliche Schadensszenarien abdeckt.

Ein Maschinenbauunternehmen muss beispielsweise nach einem Ausfall vor allem sein ERP-System und die Konstruktionsdaten schnell wieder bereitstellen. Hier ist ein leistungsfähiges lokales Repository sinnvoll. Die externe Kopie sichert dagegen die Geschäftsfähigkeit, falls der Serverraum selbst betroffen ist. Ein Dienstleistungsunternehmen mit vielen Microsoft-365-Daten hat andere Prioritäten: Auch wenn die Plattform hochverfügbar ist, ersetzt sie kein eigenes Backup gegen versehentliches Löschen, fehlerhafte Berechtigungen oder kompromittierte Benutzerkonten.

ENISA, die Cybersecurity-Agentur der Europäischen Union, weist in ihren Bedrohungsanalysen ebenfalls darauf hin, dass Ransomware-Akteure zunehmend Datendiebstahl und Verschlüsselung kombinieren. Backups stellen die Verfügbarkeit wieder her. Sie verhindern aber nicht, dass abgeflossene Daten veröffentlicht werden. Deshalb gehören Endpoint Protection, sichere Identitäten, Firewall-Regeln und kontinuierliches Monitoring zum Backup-Konzept dazu.

Fallstudie: Backup vorhanden, Wiederherstellung zu langsam

In einer anonymisierten Fallstudie aus der betreuten Praxis verfügte ein Handelsunternehmen mit rund 70 Mitarbeitenden über tägliche Sicherungen auf einem NAS im Serverraum. Nach einem Hardwaredefekt waren die Daten vorhanden. Das eigentliche Problem zeigte sich erst bei der Wiederherstellung: Es gab keine Priorisierung der Systeme, keine dokumentierte Reihenfolge und keinen getesteten Zeitplan.

Zuerst wurden große, weniger kritische Dateiarchive zurückgespielt. Das ERP-System, das für Aufträge, Lager und Rechnungen benötigt wurde, wartete. Der Betrieb konnte mehrere Stunden nur eingeschränkt arbeiten. Nach der Analyse wurde das Konzept angepasst: Kritische Systeme erhielten definierte Wiederanlaufziele, lokale Sicherungen wurden ergänzt, eine externe Kopie eingerichtet und die Wiederherstellung quartalsweise getestet.

Die Lehre daraus ist klar: Die Frage lautet nicht nur, ob Daten gesichert sind. Sie lautet: Welche Systeme müssen bis wann wieder laufen, wer entscheidet im Notfall und wann wurde genau dieser Ablauf zuletzt geprobt?

Diese Kriterien entscheiden über die richtige Architektur

Bevor über Speicherorte entschieden wird, sollten Geschäftsführung und IT vier Werte festlegen: den maximal akzeptablen Datenverlust, die maximal akzeptable Ausfallzeit, die priorisierten Anwendungen und die rechtlichen Anforderungen an die Datenverarbeitung. Diese Werte werden häufig als Recovery Point Objective und Recovery Time Objective bezeichnet. Entscheidend ist nicht der Fachbegriff, sondern eine klare Vereinbarung.

Wenn maximal vier Stunden Arbeit verloren gehen dürfen, muss das Backup entsprechend häufig laufen. Wenn das Warenwirtschaftssystem nach zwei Stunden wieder verfügbar sein muss, reichen nächtliche Sicherungen auf einen langsamen externen Speicher nicht aus. Und wenn personenbezogene Daten verarbeitet werden, müssen Zugriffe, Verschlüsselung, Aufbewahrungsfristen und Löschkonzepte transparent dokumentiert sein.

Achten Sie bei einem Cloudbackup besonders auf den Speicherort in Deutschland oder zumindest auf einen nachvollziehbar geregelten europäischen Rechtsraum. Prüfen Sie den Auftragsverarbeitungsvertrag, die Verschlüsselung während Übertragung und Speicherung, die Schlüsselverwaltung sowie den Kreis möglicher Unterauftragnehmer. Eine verständliche Antwort auf diese Fragen ist ein Qualitätsmerkmal des Anbieters.

Backup testen, bevor der Ernstfall eintritt

Ein erfolgreicher Sicherungsjob beweist lediglich, dass Daten geschrieben wurden. Er beweist nicht, dass Anwendungen konsistent starten, Datenbanken fehlerfrei funktionieren oder Berechtigungen korrekt wiederhergestellt werden. Deshalb braucht jedes Unternehmen feste Wiederherstellungstests.

Ein sinnvoller Test beginnt nicht mit der größten Datenmenge, sondern mit den geschäftskritischen Anwendungen: ERP, Buchhaltung, E-Mail, Dateiablagen und gegebenenfalls Produktions- oder Zeiterfassungssysteme. Dokumentieren Sie Dauer, Fehler und Verantwortlichkeiten. Aus den Ergebnissen lassen sich konkrete Verbesserungen ableiten, etwa schnellere lokale Wiederanlaufwege oder eine Anpassung der Internetanbindung.

Für mittelständische Unternehmen im Bergischen Land, im Ruhrgebiet und darüber hinaus ist eine gute Backup-Strategie vor allem eines: planbar. Sie schafft Kontrolle über Daten, Verantwortlichkeiten und Wiederanlaufzeiten, statt sich auf Annahmen zu verlassen.

Wer seine Sicherungen noch nie unter realistischen Bedingungen zurückgespielt hat, sollte nicht auf den nächsten Angriff oder Hardwaredefekt warten. Eine strukturierte IT-Sicherheitsanalyse macht sichtbar, welche Daten geschützt werden, wo Risiken bestehen und welche Backup-Architektur zum tatsächlichen Geschäftsbetrieb passt.