Ein Backup, das lediglich als „erfolgreich“ angezeigt wird, ist noch kein belastbarer Schutz. Erst wenn sich eine benötigte Datei, eine Datenbank oder ein kompletter Server innerhalb der vorgesehenen Zeit wiederherstellen lässt, erfüllt die Sicherung ihren Zweck. Die Frage wie oft Backups testen sollten, betrifft deshalb nicht nur die IT. Sie entscheidet mit darüber, ob Ihr Betrieb nach einem Cyberangriff, einem Hardwaredefekt oder einer Fehlbedienung handlungsfähig bleibt.
Für kleine und mittlere Unternehmen gibt es keine pauschale Zahl, die für jede Umgebung passt. Ein Handwerksbetrieb mit zentraler Auftragssoftware hat andere Anforderungen als eine Kanzlei mit sensiblen Mandantendaten oder eine Agentur, die vollständig in Microsoft 365 arbeitet. Trotzdem lassen sich klare Prüfintervalle und ein praktikabler Prozess festlegen.
Wie oft Backups testen? Der praxistaugliche Richtwert
Im laufenden Betrieb sollte die IT täglich automatisiert prüfen, ob Sicherungsjobs erfolgreich durchgelaufen sind. Das ist keine vollständige Wiederherstellungsprüfung, aber die erste wichtige Kontrollstufe: Wurden die erwarteten Daten gesichert? Gab es Warnungen, abgebrochene Jobs oder ungewöhnlich kleine Sicherungen?
Eine stichprobenartige Wiederherstellung einzelner Dateien oder Ordner ist monatlich sinnvoll. Dabei wird nicht nur kontrolliert, ob ein Backup vorhanden ist. Es wird getestet, ob sich die Daten lesbar an einen definierten Ort zurückspielen lassen und ob berechtigte Mitarbeitende darauf zugreifen können.
Mindestens vierteljährlich empfehlen wir einen umfassenderen Test kritischer Systeme. Dazu gehören zum Beispiel der Fileserver, die Warenwirtschaft, branchenspezifische Anwendungen, virtuelle Server oder wichtige Datenbanken. Hier sollte ein realistisches Szenario geprüft werden: Kann die Anwendung mit den wiederhergestellten Daten tatsächlich starten? Sind die Daten vollständig und konsistent?
Ein jährlicher Disaster-Recovery-Test betrachtet schließlich den größeren Ausfall. Was passiert, wenn ein Serverraum nicht verfügbar ist, ein Verschlüsselungstrojaner mehrere Systeme trifft oder ein Cloud-Konto kompromittiert wurde? Dieser Test muss nicht zwingend einen kompletten Geschäftstag simulieren. Er sollte aber zeigen, ob Verantwortlichkeiten, Zugänge, Wiederanlaufreihenfolge und Kommunikationswege funktionieren.
Diese Intervalle sind ein belastbarer Ausgangspunkt. Bei besonders kritischen Daten, sehr kurzen Ausfalltoleranzen oder häufigen Änderungen an Systemen kann ein engerer Rhythmus notwendig sein.
Warum ein erfolgreiches Backup-Protokoll nicht genügt
Backup-Software meldet in der Regel, ob ein Auftrag technisch abgeschlossen wurde. Das bedeutet nicht automatisch, dass alle Daten gesichert wurden oder dass sie wiederherstellbar sind. Häufige Ursachen für ein falsches Sicherheitsgefühl sind fehlende Berechtigungen, fehlerhafte Sicherungsketten, beschädigte Archive, abgelaufene Zugangsdaten oder ein zu knapp bemessener Speicher.
Auch der Sicherungsumfang wird oft überschätzt. Ein Server-Backup schützt nicht automatisch Microsoft-365-Daten. Ein lokales Dateibackup sichert keine Daten aus einer Fachanwendung, wenn diese auf einem anderen System oder in einer Datenbank liegen. Und eine synchronisierte Cloud-Ablage ist kein Backup: Wird eine Datei versehentlich gelöscht oder durch Schadsoftware verschlüsselt, kann sich die Änderung mit synchronisieren.
Ein Test beantwortet daher konkrete Fragen: Liegt die richtige Version vor? Ist sie lesbar? Reichen die Zugriffsrechte aus? Wie lange dauert die Wiederherstellung? Und lässt sich mit dem System anschließend produktiv arbeiten?
Das Prüfintervall richtet sich nach Ausfallrisiko und Datenwert
Entscheidend sind zwei Werte, die auch ohne tiefes IT-Wissen verständlich sind. Der erste ist der maximal vertretbare Datenverlust. Wenn ein Betrieb im schlimmsten Fall die Arbeit eines Tages nacherfassen kann, genügt möglicherweise eine tägliche Sicherung. Wenn bereits zwei Stunden verlorene Buchungen, Aufträge oder Produktionsdaten problematisch sind, müssen Sicherungen häufiger erfolgen.
Der zweite Wert ist die maximale Ausfallzeit. Kann ein System zwei Tage nicht verfügbar sein, weil es Ausweichprozesse gibt? Oder stehen Kundenservice, Produktion, Abrechnung oder Termine nach wenigen Stunden still? Je kürzer die akzeptierte Wiederanlaufzeit ist, desto regelmäßiger und realistischer müssen Wiederherstellungen getestet werden.
Besondere Aufmerksamkeit verdienen Systeme, die viele Geschäftsprozesse bündeln. Dazu zählen häufig:
- zentrale Dateiablagen und Projektordner
- ERP-, Warenwirtschafts- und Branchensoftware
- Buchhaltungs- und Zeiterfassungssysteme
- virtuelle Server und Domänencontroller
- Microsoft-365-Daten wie Exchange Online, OneDrive, SharePoint und Teams
Nicht jedes dieser Systeme braucht denselben Testaufwand. Eine einzelne Datei lässt sich schnell kontrollieren. Die Wiederherstellung eines Servers mit mehreren Abhängigkeiten erfordert dagegen Planung, eine getrennte Testumgebung und klare Verantwortlichkeiten.
So läuft ein sinnvoller Backup-Test ab
Ein guter Test beginnt nicht mit einem Notfall, sondern mit einem definierten Ziel. Legen Sie fest, welches Szenario geprüft wird. Beispiele sind die Wiederherstellung eines versehentlich gelöschten Angebots, einer Datenbank vom Vortag oder eines ausgefallenen virtuellen Servers.
Danach wird eine Wiederherstellung in eine geeignete Umgebung durchgeführt. Kritische Systeme sollten nicht unkontrolliert über die produktive Umgebung zurückgespielt werden. Für viele Prüfungen genügt ein separater Speicherort oder eine isolierte Testumgebung. Bei Datenbanken und Servern ist es wichtig, die Anwendung zu starten und die Daten fachlich zu prüfen. Eine IT-Meldung allein reicht nicht aus.
Dokumentieren Sie das Ergebnis knapp, aber nachvollziehbar: Zeitpunkt, getestetes System, Sicherungsstand, Dauer, Ergebnis und aufgetretene Probleme. Wenn die Wiederherstellung länger dauert als erwartet, ist das keine Nebensache. Es ist eine wichtige Information für die Geschäftsführung und für die weitere Planung.
Ein häufiger Fehler besteht darin, nur die Technik zu testen. Im Ernstfall fehlen dann Zugangsdaten zum Backup-Portal, ein Ansprechpartner ist im Urlaub oder niemand weiß, in welcher Reihenfolge Systeme gestartet werden müssen. Ein vollständiger Test berücksichtigt deshalb auch den organisatorischen Ablauf.
Wiederherstellungszeit realistisch messen
Viele Unternehmen wissen, dass sie Sicherungen haben, kennen aber ihre tatsächliche Wiederherstellungszeit nicht. Dabei hängt diese von Datenmenge, Internetanbindung, Speicherort, Hardware und Priorisierung ab. Ein Terabyte aus einem externen Cloud-Archiv zurückzuspielen dauert unter Umständen deutlich länger als erwartet.
Messen Sie deshalb nicht nur, ob die Wiederherstellung gelingt, sondern auch die benötigte Zeit. Daraus ergibt sich, ob die vereinbarte Ausfalltoleranz realistisch ist. Falls nicht, kommen zum Beispiel häufigere Sicherungen, lokale Kopien, schnellere Wiederanlaufumgebungen oder eine andere Priorisierung infrage.
Die 3-2-1-Regel hilft, ersetzt aber keinen Test
Die bekannte 3-2-1-Regel bleibt eine sinnvolle Grundlage: drei Kopien der Daten, auf zwei unterschiedlichen Speichermedien, davon eine Kopie außerhalb des Standorts. Ergänzend ist eine unveränderbare oder logisch getrennte Sicherung sinnvoll, damit Angreifer nicht gleichzeitig Produktivdaten und Backups löschen oder verschlüsseln können.
Doch auch ein Konzept mit mehreren Kopien kann scheitern, wenn niemand die Rücksicherung prüft. Ein Offsite-Backup ist nur dann wertvoll, wenn die Zugangsdaten vorhanden sind, der Speicher erreichbar ist und die Daten innerhalb der benötigten Zeit zurückkommen. Sicherheit entsteht aus Technik, Überwachung und getesteten Abläufen – nicht aus einer einzelnen Regel.
Klare Zuständigkeiten verhindern Lücken
In vielen kleineren Unternehmen liegt die Verantwortung für Backups irgendwo zwischen Geschäftsführung, internem Ansprechpartner und externem Dienstleister. Das funktioniert, bis etwas schiefgeht. Dann stellt sich die Frage, wer Warnmeldungen gesehen, Tests geplant und Ergebnisse bewertet hat.
Sinnvoll ist eine eindeutige Regelung: Die Geschäftsführung definiert, welche Daten und Ausfallzeiten geschäftskritisch sind. Die IT verantwortet Sicherung, Überwachung und technische Wiederherstellung. Fachbereiche prüfen bei kritischen Anwendungen, ob die zurückgespielten Daten inhaltlich verwendbar sind. Werden diese Aufgaben durch einen IT-Partner übernommen, sollten Rhythmus, Berichtswesen und Eskalationswege schriftlich festgelegt sein.
Für Unternehmen ohne eigene IT-Abteilung ist das besonders relevant. Ihre IT-Abteilung sind dann externe Spezialisten, aber die geschäftlichen Prioritäten müssen dennoch gemeinsam abgestimmt werden. Ein guter Dienstleister meldet nicht nur grüne Statusanzeigen, sondern spricht Abweichungen an und entwickelt den Prozess weiter.
Wann Sie Ihr Backup-Konzept sofort überprüfen sollten
Es gibt Ereignisse, nach denen ein außerplanmäßiger Test sinnvoll ist: nach der Einführung einer neuen Fachanwendung, einer Servermigration, größeren Änderungen an Microsoft 365, einem Wechsel der Backup-Lösung oder neuen Standorten. Auch nach einem Sicherheitsvorfall sollte geprüft werden, ob Sicherungen tatsächlich von der Ursache getrennt und in einem sauberen Zustand verfügbar sind.
Ebenso kritisch sind auffällige Warnungen, ungewöhnlich kleine Sicherungsvolumen oder lange nicht getestete Altsysteme. Gerade Server, die „einfach laufen“, geraten leicht aus dem Blick. Dabei enthalten sie oft genau die Daten, die im Ernstfall dringend benötigt werden.
Ein getestetes Backup ist keine lästige Formalität, sondern eine planbare Vorsorge für den Geschäftsbetrieb. Beginnen Sie mit einem klaren monatlichen Wiederherstellungstest und einem vierteljährlichen Test Ihrer wichtigsten Systeme. Der beste Zeitpunkt, die Rücksicherung kennenzulernen, ist nicht der Tag, an dem Ihr Unternehmen sie dringend braucht.
