Sieben Backup-Fehler im Mittelstand

Montagmorgen, 7:42 Uhr: Die Buchhaltung kommt nicht ins ERP, im Vertrieb fehlen Kundenakten, und auf dem Fileserver tragen Ordner plötzlich kryptische Endungen. Spätestens dann zeigt sich, ob das Thema sieben Backup-Fehler im Mittelstand nur ein Artikel ist oder ein sehr teures Realproblem. Denn Backups entscheiden nicht erst im Notfall über Technik, sondern über Lieferfähigkeit, Zahlungsfluss und Vertrauen.

Gerade im Mittelstand wird Datensicherung oft als erledigt betrachtet, sobald „irgendwo“ Kopien laufen. Aus Sicht der Praxis ist das zu kurz gedacht. Das BSI weist seit Jahren darauf hin, dass Ransomware, Fehlkonfigurationen und menschliche Fehler zu den häufigsten Auslösern für schwerwiegende IT-Ausfälle gehören. ENISA beschreibt in ihren Bedrohungslageberichten ebenfalls, dass Angriffe auf Verfügbarkeit und Datenintegrität weiter zunehmen. Und die DSGVO macht das Thema nicht kleiner: Artikel 32 verlangt geeignete technische und organisatorische Maßnahmen, ausdrücklich auch in Bezug auf Verfügbarkeit und rasche Wiederherstellung.

Die sieben Backup-Fehler im Mittelstand

1. Es gibt Backups – aber keine Wiederherstellungstests

Der häufigste Irrtum ist nicht das fehlende Backup, sondern das ungeprüfte Backup. Viele Unternehmen sichern täglich, wöchentlich oder laufend, testen aber nie, ob sich Systeme, Datenbanken oder einzelne Dateien tatsächlich wiederherstellen lassen. Im Ernstfall fällt dann auf, dass Dateiversionen fehlen, Datenbanken inkonsistent sind oder Abhängigkeiten zwischen Anwendungen nicht berücksichtigt wurden.

Das ist kein Randproblem. In einer internen Fallaufnahme bei einem mittelständischen Fertigungsbetrieb mit rund 85 Mitarbeitenden zeigte sich: Die Sicherungen liefen laut Protokoll fehlerfrei, trotzdem war die Wiederherstellung eines zentralen Warenwirtschaftsservers nicht vollständig möglich. Ursache war eine fehlerhafte Snapshot-Kette nach mehreren Storage-Anpassungen. Ohne Test blieb das monatelang unbemerkt.

Ein Backup ist erst dann belastbar, wenn die Wiederherstellung regelmäßig geprüft wird – idealerweise nicht nur auf Dateiebene, sondern als vollständiger Test eines geschäftskritischen Systems.

2. Alle Sicherungen liegen im selben technischen oder physischen Umfeld

Wer Produktionssystem und Backup im gleichen Netzwerk, im selben Serverraum oder unter derselben Verwaltungsoberfläche betreibt, reduziert das Risiko nicht ausreichend. Gerade bei Ransomware ist das ein Kernproblem. Angreifer verschlüsseln nicht nur Server und Clients, sondern gezielt auch erreichbare Sicherungsziele.

Das BSI empfiehlt deshalb eine Trennung von Sicherung und Produktivumgebung. Praktisch heißt das: unterschiedliche Sicherheitszonen, getrennte Administrationsrechte und mindestens eine unveränderbare oder isolierte Kopie. Die bekannte 3-2-1-Logik bleibt sinnvoll, reicht allein aber oft nicht mehr aus. Heute ist eher 3-2-1-1-0 der Maßstab: drei Kopien, zwei Medientypen, eine Kopie extern, eine unveränderbar oder offline, null ungeprüfte Fehler.

Für mittelständische Unternehmen ist das kein akademisches Modell. Wer nur auf ein NAS im gleichen Netz sichert, spart zunächst Kosten, erhöht aber das Ausfallrisiko massiv.

3. Backup-Ziele orientieren sich nicht am Geschäftsbetrieb

Viele Datensicherungen sind technisch organisiert, aber nicht nach geschäftlichen Auswirkungen. Dann wird zwar alles gesichert, aber nicht nach Kritikalität priorisiert. Im Ergebnis sind Server gesichert, doch niemand hat definiert, wie lange Ausfälle von ERP, E-Mail, CAD, DMS oder Produktionssteuerung tatsächlich tragbar sind.

Hier helfen zwei einfache Fragen: Wie viel Datenverlust ist maximal akzeptabel? Und wie lange darf ein System ausfallen? Dahinter stehen RPO und RTO. Diese Werte müssen nicht kompliziert sein, aber sie müssen zur Realität passen. Ein Betrieb, der stündlich Aufträge verarbeitet, kann mit einem täglichen Backup schnell in einen Bereich kommen, in dem reale Verluste entstehen.

ENISA und das BSI betonen regelmäßig, dass Resilienz nicht bei der Technik beginnt, sondern bei der Bewertung geschäftskritischer Prozesse. Wer seine Backup-Strategie nicht daran ausrichtet, sichert oft fleißig am tatsächlichen Bedarf vorbei.

4. Cloud-Backup wird mit Kontrolle verwechselt

Cloud-Backup kann sinnvoll sein. Das Problem beginnt dort, wo Unternehmen nicht mehr genau wissen, wo Daten liegen, wer administrativen Zugriff hat und welche rechtlichen Rahmenbedingungen tatsächlich gelten. Für viele mittelständische Unternehmen ist nicht allein die Frage entscheidend, ob eine Lösung funktioniert, sondern ob sie nachvollziehbar und DSGVO-konform betrieben wird.

Gerade bei internationalen Cloud-Strukturen bleibt oft unklar, welche Unterauftragsverarbeiter beteiligt sind, in welchen Rechtsräumen Metadaten verarbeitet werden und wie weit administrative Eingriffe reichen. Das ist nicht automatisch unzulässig, aber es erhöht Prüfaufwand und Unsicherheit. Für sensible Unternehmensdaten, Personalinformationen oder kundenbezogene Dokumente ist diese Intransparenz ein echtes Geschäftsrisiko.

In einer Fallstudie aus dem Dienstleistungssektor stellte sich bei einer Sicherheitsanalyse heraus, dass Backups eines deutschen Unternehmens technisch über einen Anbieterverbund mit Komponenten außerhalb der EU liefen. Die Fachabteilung ging von einer reinen „deutschen Cloud“ aus. Erst die Prüfung der Vertrags- und Betriebsstruktur brachte die Abweichung ans Licht. Genau an solchen Punkten trennt sich Marketing von belastbarer Sicherheitsarchitektur.

5. Administratorrechte und Backup-Rechte sind nicht sauber getrennt

Wenn dieselben Konten Produktivsysteme verwalten und Backups löschen oder verändern können, entsteht ein unnötig hoher Schadenhebel. Das gilt für interne IT, externe Dienstleister und kompromittierte Konten gleichermaßen. Ein einzelner erfolgreicher Angriff auf ein Admin-Konto darf nicht ausreichen, um auch die letzte Wiederherstellungsoption zu zerstören.

Deshalb sollten Backup-Systeme eigene Rollen, eigene Konten und möglichst eigene Authentifizierungswege haben. Multi-Faktor-Authentifizierung ist dabei kein Luxus, sondern Mindestvernunft. Ebenso wichtig ist die Protokollierung: Wer hat wann welche Sicherung geändert, gestartet oder gelöscht?

Aus der Praxis wissen wir, dass gerade gewachsene mittelständische Strukturen hier Schwächen zeigen. Nicht aus Nachlässigkeit, sondern weil Systeme über Jahre erweitert wurden. Genau deshalb lohnt sich ein nüchterner Blick auf Berechtigungen – nicht erst nach einem Sicherheitsvorfall.

Warum sieben Backup-Fehler im Mittelstand oft lange unbemerkt bleiben

6. Monitoring beschränkt sich auf „Backup erfolgreich“

Eine grüne Statusmeldung ist beruhigend, aber selten ausreichend. Viele Backup-Systeme melden erfolgreich, obwohl Teilbereiche fehlerhaft sind, Aufbewahrungsregeln auslaufen, Speicherziele knapp werden oder einzelne Workloads gar nicht mehr im Sicherungslauf enthalten sind. Ohne laufendes Monitoring entsteht eine Scheinsicherheit.

Ein belastbares Konzept prüft deshalb mehr als den Job-Status. Es betrachtet Aufbewahrungsfristen, Datenwachstum, Veränderungen in der Infrastruktur, Ausnahmen im Sicherungsumfang und die Integrität der Backup-Ketten. Gerade bei virtuellen Umgebungen oder Microsoft-365-nahen Arbeitsweisen verändert sich die Datenlandschaft schnell. Was heute geschützt ist, kann nach einer Umstrukturierung still aus dem Raster fallen.

Die Erfahrung zeigt: Nicht der laute Fehler ist das größte Risiko, sondern der stille. Ein Monitoring, das nur Erfolgsmeldungen sammelt, schützt nicht vor bösen Überraschungen.

7. Verantwortung ist nicht klar geregelt

Das letzte Problem ist organisatorisch – und deshalb besonders hartnäckig. In vielen Unternehmen ist nicht eindeutig festgelegt, wer für Backup-Strategie, Prüfung, Dokumentation und Eskalation verantwortlich ist. Die IT „macht das irgendwie“, der Dienstleister fühlt sich für den Betrieb zuständig, die Geschäftsleitung geht von vollständiger Absicherung aus. Im Ernstfall führt genau diese Unklarheit zu Zeitverlust.

Artikel 32 DSGVO verlangt keine bestimmte Software, aber sehr wohl nachweisbare, angemessene Maßnahmen. Dazu gehört auch, Verantwortlichkeiten sauber zu regeln. Wer entscheidet bei einem Ausfall über die Reihenfolge der Wiederherstellung? Wer prüft Reports? Wer bewertet, ob Aufbewahrungsfristen zu rechtlichen und kaufmännischen Anforderungen passen? Ohne klare Zuständigkeiten bleibt Datensicherung Stückwerk.

Was mittelständische Unternehmen jetzt konkret prüfen sollten

Sie müssen kein Großkonzern sein, um Ihre Backup-Strategie professionell aufzustellen. Aber Sie sollten einige Grundfragen ehrlich beantworten: Sind Wiederherstellungstests dokumentiert? Gibt es eine vom Produktivnetz getrennte Sicherung? Sind RPO und RTO für kritische Systeme definiert? Ist die Datenverarbeitung transparent und DSGVO-konform? Sind Berechtigungen getrennt? Wird nicht nur gesichert, sondern auch überwacht? Und ist klar, wer im Ernstfall entscheidet?

Wenn Sie bei zwei oder drei Punkten unsicher sind, ist das kein Anlass zur Panik. Es ist ein Hinweis darauf, dass Kontrolle fehlt. Genau dort entstehen im Mittelstand die meisten Ausfälle: nicht durch fehlenden Willen, sondern durch gewachsene Komplexität, unklare Zuständigkeiten und ein zu großes Vertrauen in Standardmeldungen.

Sinnvoll ist deshalb eine Sicherheitsanalyse, die nicht nur auf vorhandene Software schaut, sondern auf Wiederherstellbarkeit, Betriebsrisiken, Datenschutz und tatsächliche Verantwortungswege. Gerade für Unternehmen im Bergischen Land und im Ruhrgebiet, die mit schlanken Teams und hoher operativer Taktung arbeiten, ist das oft der Unterschied zwischen kurzer Störung und tagelangem Stillstand.

Backups sind keine Formalität für die Checkliste. Sie sind die letzte belastbare Linie, wenn Technik versagt, Menschen Fehler machen oder Angreifer durchkommen. Wer diese Linie sauber plant, testet und kontrolliert, kauft nicht nur Sicherheit ein, sondern Handlungsfähigkeit.