Ein Verschlüsselungstrojaner sperrt den Datei-Server am Montagmorgen. Ein Mitarbeiter löscht versehentlich einen wichtigen Projektordner. Oder ein Microsoft-365-Konto wird kompromittiert. In diesen Situationen zeigt sich, ob die besten Backup-Lösungen für Unternehmen wirklich funktionieren – nicht daran, ob irgendwo Daten gespeichert sind, sondern daran, ob sie schnell, vollständig und sicher wiederhergestellt werden können.

Für kleine und mittelständische Unternehmen ist Datensicherung kein reines Technikthema. Sie schützt Aufträge, Buchhaltung, Patienten- oder Mandantendaten, Projektwissen und die Arbeitsfähigkeit des gesamten Betriebs. Ein Backup-Konzept muss deshalb zur tatsächlichen IT-Landschaft, zu den Geschäftsprozessen und zu den erwarteten Wiederanlaufzeiten passen.

Was beste Backup-Lösungen für Unternehmen auszeichnet

Die eine Backup-Software, die für jedes Unternehmen gleichermaßen richtig ist, gibt es nicht. Eine Kanzlei mit sensiblen Dokumenten, ein Handwerksbetrieb mit mobilen Geräten und ein Planungsbüro mit großen CAD-Dateien haben unterschiedliche Datenmengen, Schutzanforderungen und Arbeitsabläufe. Gute Lösungen folgen jedoch denselben Grundprinzipien.

Erstens sichern sie alle geschäftskritischen Datenquellen. Dazu zählen nicht nur der lokale Server oder ein Netzlaufwerk, sondern auch virtuelle Maschinen, Datenbanken, Notebooks und Cloud-Dienste wie Microsoft 365. Gerade bei Microsoft 365 entsteht häufig ein Missverständnis: Microsoft stellt die Plattform bereit und schützt die Infrastruktur. Die Wiederherstellung versehentlich gelöschter, überschriebenen oder durch einen Angriff veränderten Inhalte liegt jedoch in der Verantwortung des Unternehmens.

Zweitens sind die Sicherungen von den produktiven Systemen getrennt. Wer ein Backup ausschließlich auf derselben Festplatte, im selben Serverraum oder im gleichen Benutzerkonto ablegt, schützt sich kaum gegen Brand, Diebstahl, Hardwaredefekte oder einen Angriff mit gestohlenen Zugangsdaten.

Drittens lassen sich Daten nicht nur sichern, sondern nachweisbar wiederherstellen. Ein grünes Häkchen im Backup-Bericht bedeutet lediglich, dass ein Sicherungslauf abgeschlossen wurde. Ob die Buchhaltungsdatenbank startet, ob Dateiberechtigungen erhalten bleiben und ob die Wiederherstellung innerhalb des benötigten Zeitfensters gelingt, zeigt erst ein geplanter Test.

Die 3-2-1-1-0-Regel als brauchbarer Maßstab

Für viele mittelständische Umgebungen ist die 3-2-1-1-0-Regel ein sinnvoller Ausgangspunkt. Sie beschreibt kein bestimmtes Produkt, sondern eine Struktur: Es sollten mindestens drei Kopien der Daten vorhanden sein, auf zwei unterschiedlichen Speichermedien. Eine Kopie wird außerhalb des Standorts aufbewahrt. Zusätzlich sollte eine Kopie unveränderbar oder physisch getrennt sein. Die letzte Null steht für null ungeprüfte Fehler – also für überwachte Sicherungsjobs und regelmäßige Wiederherstellungstests.

In der Praxis kann das beispielsweise so aussehen: Die produktiven Daten liegen auf einem Server oder in Microsoft 365. Eine Sicherung landet lokal auf einem getrennten Backup-Speicher, damit einzelne Dateien schnell verfügbar sind. Eine weitere, verschlüsselte Kopie wird in ein geeignetes Rechenzentrum übertragen. Für den Schutz gegen Ransomware wird mindestens ein Sicherungsstand unveränderbar gespeichert. Dieser kann innerhalb einer definierten Aufbewahrungszeit weder durch Administratoren noch durch Schadsoftware gelöscht werden.

Nicht jedes Unternehmen braucht dieselbe technische Ausprägung. Sehr große Datenmengen können lange Übertragungszeiten verursachen, wenn alles ausschließlich in die Cloud gesichert wird. Dann ist ein lokales Backup für die schnelle Wiederherstellung besonders sinnvoll. Umgekehrt reicht ein lokales NAS allein nicht aus, wenn ein Wasserschaden oder Einbruch den gesamten Standort betrifft.

RPO und RTO: Zwei Fragen vor jeder Produktauswahl

Bevor über Speicherplatz, Lizenzen oder Hersteller gesprochen wird, sollten Verantwortliche zwei Fragen beantworten. Wie viel Datenverlust ist im Ernstfall akzeptabel? Und wie lange darf ein System ausfallen, bevor der Betrieb spürbar beeinträchtigt wird?

Der akzeptable Datenverlust wird als RPO bezeichnet. Muss ein Unternehmen maximal eine Arbeitsstunde verlieren können, benötigt es häufigere Sicherungen als bei einer nächtlichen Datensicherung. Die maximal tolerierbare Ausfallzeit wird als RTO bezeichnet. Wenn ein Fileserver erst nach zwei Tagen wieder verfügbar sein darf, ist der Aufwand geringer als bei einer Praxis- oder Warenwirtschaft, die am selben Vormittag wieder laufen muss.

Diese Werte haben direkte Auswirkungen auf Kosten und Architektur. Kurze Wiederanlaufzeiten erfordern meist schnell verfügbare lokale Kopien, ausreichend Netzwerkleistung, vorbereitete Ersatzsysteme oder eine Wiederherstellung in einer Cloud-Umgebung. Es ist sinnvoller, für kritische Systeme klare Ziele zu definieren, als pauschal zu verlangen, dass alles sofort wiederhergestellt wird.

Diese Bereiche werden häufig übersehen

Viele Backup-Konzepte entstehen historisch: Der Server wird gesichert, weil er schon immer gesichert wurde. Die Arbeitswelt hat sich aber verändert. Daten liegen heute verteilt über Endgeräte, Cloud-Dienste und Fachanwendungen.

Besondere Aufmerksamkeit verdienen Microsoft 365 mit Exchange Online, OneDrive, SharePoint und Teams. E-Mails, Dateien und Teams-Inhalte sind oft geschäftskritisch. Aufbewahrungsfristen und Papierkorb-Funktionen ersetzen keine unabhängige Datensicherung mit klar definierten Wiederherstellungsoptionen.

Auch Notebooks werden leicht vergessen. Außendienst, Homeoffice und Geschäftsreisen führen dazu, dass wichtige Dateien außerhalb des Firmennetzwerks entstehen. Eine zentrale Geräteverwaltung und eine geregelte Datenspeicherung helfen, aber für lokale Daten und Benutzerprofile kann zusätzlich eine Endgerätesicherung erforderlich sein.

Bei Fachanwendungen zählt nicht nur die Datenbank. Dokumentenablagen, Konfigurationsdateien, Lizenzinformationen und Schnittstellen können für eine vollständige Wiederherstellung notwendig sein. Der Anbieter der Fachsoftware sollte daher früh eingebunden werden. Ein technisch erfolgreich zurückgespieltes Backup kann fachlich trotzdem unvollständig sein, wenn relevante Abhängigkeiten fehlen.

So bewerten Sie Backup-Lösungen realistisch

Entscheidend ist nicht, wie viele Funktionen eine Lösung in einer Produktbeschreibung aufführt. Entscheidend ist, ob sie die eigene Umgebung abdeckt und im Alltag zuverlässig betrieben wird. Bei der Bewertung sollten Unternehmen mindestens diese fünf Punkte prüfen:

• Welche Systeme, Dienste und Daten werden konkret gesichert – einschließlich Microsoft 365, Endgeräten und Fachanwendungen?
• Wie lange dauern die Wiederherstellung einzelner Dateien, eines Servers oder einer kompletten Umgebung?
• Gibt es eine getrennte und unveränderbare Kopie gegen Ransomware und versehentliches Löschen?
• Wer prüft täglich Sicherungsfehler, reagiert auf Warnungen und dokumentiert Tests?
• Wo liegen die Daten, wie sind sie verschlüsselt und welche Anforderungen an Datenschutz sowie Aufbewahrung werden erfüllt?

Die Frage nach dem Speicherort ist gerade bei personenbezogenen Daten relevant. Ein geeigneter Anbieter, Verschlüsselung während Übertragung und Speicherung sowie klar geregelte Zugriffsrechte gehören zur Grundlage. Ebenso wichtig ist ein dokumentiertes Berechtigungskonzept: Wer darf Backups löschen, Wiederherstellungen starten oder die Aufbewahrung verändern? Diese Rechte sollten nicht unnötig breit vergeben sein.

Backup ist ein Betriebsprozess, kein einmaliges Projekt

Ein Backup-Konzept scheitert selten daran, dass es am ersten Tag nicht funktioniert. Probleme entstehen später: Ein neuer Server wird nicht aufgenommen, eine Anwendung wechselt den Speicherort, ein Backup-Speicher läuft voll oder Warnmeldungen erreichen ein nicht mehr genutztes Postfach. Deshalb braucht Datensicherung feste Verantwortlichkeiten und eine regelmäßige Überprüfung.

Sinnvoll sind automatisierte Kontrollberichte, ein definierter Ansprechpartner für Störungen und dokumentierte Wiederherstellungsabläufe. Bei kritischen Systemen sollte mindestens in festen Intervallen ein vollständiger Restore getestet werden. Dabei geht es nicht nur um Technik. Auch Geschäftsführung und Fachabteilung sollten wissen, welche Systeme Priorität haben und welche Arbeiten während einer Wiederherstellung möglich bleiben.

Ein Disaster-Recovery-Plan ergänzt das Backup. Er hält fest, wer im Störungsfall entscheidet, wie Mitarbeitende informiert werden, welche Zugänge benötigt werden und in welcher Reihenfolge Systeme wieder anlaufen. Ein Server-Backup ohne diese Informationen kann wertvoll sein, kostet im Notfall aber unnötig Zeit.

Wann externe Betreuung sinnvoll ist

Kleine interne Teams können eine Backup-Lösung betreiben, wenn Zuständigkeiten, Fachwissen und Zeit dauerhaft vorhanden sind. In vielen Unternehmen konkurriert diese Aufgabe jedoch mit Tagesgeschäft, Supportanfragen und Projekten. Dann bleiben Kontrollberichte liegen und Wiederherstellungstests werden verschoben.

Ein externer IT-Partner kann die Datensicherung in die laufende Betreuung integrieren: Systeme erfassen, Sicherungen überwachen, Fehler bearbeiten, Tests durchführen und Änderungen dokumentieren. Bei PERFUSIONS steht dabei nicht ein einzelnes Backup-Produkt im Mittelpunkt, sondern ein Konzept, das zu Ihren Anwendungen, Schutzbedarf und Reaktionszeiten passt.

Die richtige Backup-Lösung gibt nicht das Gefühl, für jeden denkbaren Notfall vorsorgen zu müssen. Sie schafft die Gewissheit, dass Zuständigkeiten, Kopien und Wiederherstellungswege geklärt sind – damit Sie sich darauf konzentrieren können, Ihr Unternehmen zu führen.