Ein verschlüsselter Server, ein versehentlich gelöschter Ordner oder ein defektes NAS treffen ein mittelständisches Unternehmen selten zu einem günstigen Zeitpunkt. Ein Beispiel Backup-Konzept für den Mittelstand zeigt deshalb nicht nur, wo Daten gespeichert werden. Es legt verbindlich fest, welche Daten geschützt sind, wie schnell sie wieder verfügbar sein müssen und wer im Ernstfall handelt.
Viele Unternehmen sichern zwar Daten, verlassen sich dabei aber auf einzelne USB-Festplatten, ein lokales NAS oder die Annahme, dass Microsoft 365 schon alles abdeckt. Das kann im Tagesgeschäft lange unauffällig bleiben. Problematisch wird es erst, wenn eine Wiederherstellung nötig ist und niemand sicher sagen kann, welche Sicherung vollständig, aktuell und erreichbar ist.
Was ein Backup-Konzept leisten muss
Ein Backup ist eine Kopie von Daten. Ein Backup-Konzept ist die organisatorische und technische Vereinbarung dahinter. Es beantwortet Fragen, die Geschäftsführung und operative Verantwortliche vor einem Ausfall klären sollten: Welche Systeme sind geschäftskritisch? Wie viel Datenverlust ist akzeptabel? Wie lange darf ein Ausfall dauern? Und wer darf eine Wiederherstellung freigeben?
Dabei geht es nicht darum, jedes Dokument sekundengenau und unbegrenzt aufzubewahren. Für eine kleine Agentur können die Projektablagen, Finanzunterlagen und Microsoft-365-Daten Priorität haben. In einem Handwerksbetrieb können zusätzlich Warenwirtschaft, CAD-Dateien, Auftragsdaten und die Telefonanlage relevant sein. Ein Konzept muss zum Betrieb passen – nicht zu einem allgemeinen Standardpapier.
Zwei Kennzahlen helfen bei der Einordnung. Das Recovery Point Objective, kurz RPO, beschreibt den maximal akzeptierten Datenverlust in der Zeit. Liegt das RPO bei vier Stunden, dürfen bei einem Ausfall höchstens vier Stunden Arbeit verloren gehen. Das Recovery Time Objective, kurz RTO, beschreibt dagegen die akzeptierte Wiederanlaufzeit. Wenn die Buchhaltung einen Arbeitstag ausfallen darf, der zentrale Fileserver aber spätestens nach vier Stunden wieder laufen muss, entstehen unterschiedliche Anforderungen an Sicherung und Wiederherstellung.
Beispiel: Backup-Konzept für ein Unternehmen mit 45 Mitarbeitenden
Nehmen wir ein Beratungsunternehmen mit 45 Mitarbeitenden in München. Die Mitarbeitenden arbeiten überwiegend mit Microsoft 365, Teams und SharePoint. Zusätzlich gibt es einen lokalen Server für eine Fachanwendung und zentrale Dateien, ein NAS für Archivdaten sowie Notebooks, die teilweise im Homeoffice eingesetzt werden. Die interne IT wird durch einen externen Dienstleister betreut.
Die Geschäftsführung definiert: Ein Verlust von maximal vier Arbeitsstunden bei Produktivdaten ist vertretbar. Die Fachanwendung und zentrale Projektdateien müssen innerhalb von acht Stunden wieder verfügbar sein. E-Mails, Teams-Dateien, SharePoint und OneDrive sollen bei Fehlbedienung oder einem Sicherheitsvorfall gezielt wiederherstellbar sein. Archivdaten dürfen länger für die Wiederherstellung benötigen, müssen aber mehrere Jahre nachvollziehbar verfügbar bleiben.
Daraus folgt keine einzelne Sicherungslösung, sondern ein abgestimmtes Vorgehen.
1. Schutzwürdige Daten und Systeme erfassen
Zuerst wird dokumentiert, welche Daten überhaupt gesichert werden. Das klingt banal, verhindert aber typische Lücken. Häufig fehlen beispielsweise Datenbanken der Fachsoftware, Konfigurationen von Firewalls, virtuelle Server, Netzlaufwerke oder Daten aus Cloud-Anwendungen.
Im Beispiel werden vier Bereiche unterschieden:
- Produktivdaten auf dem Server, einschließlich Datenbank und Dateien der Fachanwendung
- Microsoft-365-Daten wie Exchange Online, OneDrive, SharePoint und Teams
- Konfigurationen von Firewall, Netzwerkkomponenten und zentralen Servern
- Archivdaten, Finanzunterlagen und abgeschlossene Projektakten
Auch Endgeräte gehören in die Bewertung. Nicht jedes Notebook muss vollständig gesichert werden, wenn Dateien verbindlich in OneDrive oder SharePoint gespeichert werden und Geräte standardisiert neu eingerichtet werden können. Speichern Mitarbeitende jedoch lokale Projektdateien oder arbeiten mit spezialisierten Anwendungen, braucht es entweder eine Gerätesicherung oder klare technische Regeln, die lokale Ablagen verhindern.
2. Die 3-2-1-Regel sinnvoll umsetzen
Für mittelständische Unternehmen ist die 3-2-1-Regel ein praxistauglicher Ausgangspunkt: drei Kopien der Daten, auf zwei unterschiedlichen Speichermedien, davon eine Kopie außerhalb des Standorts. Entscheidend ist jedoch die Umsetzung. Drei Kopien auf Geräten im selben Serverraum helfen nicht, wenn ein Brand, Wasserschaden oder Einbruch den gesamten Standort betrifft.
Im Beispiel läuft jede Nacht eine vollständige Sicherung der virtuellen Server auf ein separates Backup-System im Unternehmen. Während des Tages sichern inkrementelle Jobs die Änderungen alle vier Stunden. Zusätzlich werden die Sicherungen verschlüsselt in ein externes Rechenzentrum übertragen. Für besonders kritische Daten wird eine unveränderbare Kopie verwendet. Diese kann innerhalb einer definierten Frist weder verändert noch gelöscht werden – auch nicht durch ein kompromittiertes Administratorkonto.
Ein lokales Backup ermöglicht schnelle Wiederherstellungen, etwa nach dem versehentlichen Löschen eines Ordners oder einem Serverdefekt. Die externe Kopie schützt bei einem Totalausfall des Standorts. Die unveränderbare Kopie erhöht den Schutz gegen Ransomware. Diese Kombination verursacht mehr Aufwand als eine einzelne Festplatte, reduziert aber genau die Risiken, die ein Unternehmen nicht erst im Schadenfall beurteilen sollte.
3. Microsoft 365 nicht mit einer vollständigen Datensicherung verwechseln
Microsoft 365 bietet hohe Verfügbarkeit der Plattform. Das bedeutet jedoch nicht automatisch, dass Unternehmen jede frühere Version, jede gelöschte Datei und jedes Postfach unbegrenzt und nach eigenen Anforderungen wiederherstellen können. Aufbewahrungsfristen, Löschvorgänge, Lizenzwechsel und Fehlkonfigurationen spielen dabei eine Rolle.
Im Beispiel wird deshalb eine separate Sicherung für Exchange Online, OneDrive, SharePoint und Teams eingerichtet. Sie läuft täglich und erlaubt die gezielte Wiederherstellung einzelner E-Mails, Dateien, Ordner oder vollständiger Benutzerkonten. Das ist besonders hilfreich, wenn Mitarbeitende Inhalte löschen, ein Synchronisationsfehler Daten überschreibt oder ein Konto nach einem Sicherheitsvorfall bereinigt werden muss.
Wie lange Microsoft-365-Daten aufbewahrt werden, hängt von Verträgen, gesetzlichen Pflichten und dem tatsächlichen Nutzen ab. Für viele operative Daten sind ein bis drei Jahre sinnvoll. Finanz- und steuerrelevante Unterlagen benötigen unter Umständen andere Aufbewahrungsprozesse. Ein Backup ersetzt dabei keine rechtssichere Archivierung. Beide Themen müssen zusammen betrachtet, aber technisch und organisatorisch sauber getrennt werden.
Wiederherstellung ist der entscheidende Test
Eine erfolgreiche Backup-Meldung beweist nur, dass ein Sicherungsjob ohne offensichtlichen Fehler beendet wurde. Sie beweist nicht, dass die Daten vollständig, lesbar und innerhalb der benötigten Zeit wiederherstellbar sind. Ein belastbares Konzept enthält daher feste Wiederherstellungstests.
Im Beispiel prüft der IT-Dienstleister monatlich stichprobenartig einzelne Dateien, ein Postfach und eine Datenbankwiederherstellung. Vierteljährlich wird ein vollständiger Wiederanlauf eines Testsystems geprobt. Einmal jährlich simuliert das Unternehmen den Ausfall eines zentralen Servers: Wer informiert die Geschäftsführung? Welche Systeme werden zuerst wiederhergestellt? Welche Mitarbeitenden erhalten eine Arbeitsanweisung? Wo liegen Zugänge, Dokumentation und Notfallkontakte?
Diese Tests müssen nicht jedes Mal einen ganzen Arbeitstag beanspruchen. Entscheidend ist, dass sie dokumentiert sind und Ergebnisse Folgen haben. Wenn eine Wiederherstellung statt acht Stunden zwölf Stunden dauert, muss entweder das RTO angepasst oder die technische Lösung verbessert werden.
Verantwortlichkeiten und Zugriffsschutz festlegen
Backup-Verantwortung darf nicht zwischen Geschäftsführung, interner Administration und Dienstleister verschwimmen. Im Konzept wird konkret benannt, wer Sicherungsberichte prüft, wer Fehler bearbeitet, wer Wiederherstellungen beauftragt und wer im Notfall Entscheidungen trifft.
Für das Beispiel bietet sich eine klare Aufteilung an: Der externe IT-Partner überwacht Sicherungsjobs, behebt technische Fehler und führt Tests durch. Eine benannte Person im Unternehmen prüft monatlich einen kompakten Statusbericht und entscheidet bei fachlichen Fragen zur Datenaufbewahrung. Die Geschäftsführung gibt Wiederherstellungen frei, wenn sie größere Systeme oder sensible Bereiche betreffen.
Zugänge zum Backup-System brauchen besondere Aufmerksamkeit. Sie sollten nicht mit denselben Konten verwaltet werden, die täglich für Serveradministration genutzt werden. Mehrstufige Anmeldung, getrennte Administrationskonten und streng vergebene Berechtigungen begrenzen den Schaden, falls ein Benutzerkonto kompromittiert wird. Auch die Zugangsdaten für externe Speicherziele und Notfallkonten müssen dokumentiert, geschützt und regelmäßig überprüft werden.
Dokumentation, Kosten und realistische Prioritäten
Ein gutes Konzept bleibt verständlich. Es sollte auf wenigen Seiten erklären, welche Systeme gesichert werden, wie oft Sicherungen laufen, wo Kopien liegen, wie lange Daten aufbewahrt werden und welche Wiederanlaufreihenfolge gilt. Ergänzt wird es durch technische Dokumentation mit Systemnamen, Speicherorten, Zugängen und Kontakten.
Kosten entstehen durch Speicher, Lizenzen, Überwachung und Tests. Sparen am Backup ist dennoch selten wirtschaftlich, wenn ein eintägiger Ausfall mehrere Teams lahmlegt oder wichtige Auftragsdaten fehlen. Umgekehrt braucht nicht jedes Archiv denselben teuren Schutz wie eine laufende Datenbank. Die richtige Lösung orientiert sich an geschäftlichen Folgen, nicht nur an der Datenmenge.
PERFUSIONS plant Backup- und Wiederherstellungskonzepte so, dass Unternehmen klare Zuständigkeiten und nachvollziehbare Abläufe erhalten. Gerade ohne eigene IT-Abteilung ist das wertvoll: Die Geschäftsführung muss im Ernstfall nicht erst herausfinden, wer welche Sicherung eingerichtet hat.
Der sinnvollste nächste Schritt ist eine kurze Bestandsaufnahme. Prüfen Sie nicht nur, ob Sicherungen existieren, sondern lassen Sie sich zeigen, wann eine Datei, ein Microsoft-365-Postfach und ein zentraler Server zuletzt erfolgreich wiederhergestellt wurden. Erst diese Antwort macht aus einer Datensicherung einen verlässlichen Teil Ihrer Unternehmenssicherheit.
