Ein Backup zählt erst, wenn der Restore funktioniert
„Wir haben Backup" klingt beruhigend. Im Ernstfall zählt aber nicht, ob irgendwo eine Sicherung existiert. Es zählt, ob die richtigen Daten rechtzeitig wiederhergestellt werden können.
Ein Backup ohne Restore-Test ist keine belastbare Sicherheitsmassnahme. Es ist eine Hoffnung.
Für ein Schweizer KMU ist das kein Detail. Wenn die Buchhaltung, der Online-Shop, die Praxissoftware oder der Fileserver nicht wiederhergestellt werden kann, steht der Betrieb. Der Schaden entsteht nicht nur durch verlorene Daten, er entsteht durch Ausfallzeit, Stress, Kundenkommunikation und improvisierte Entscheidungen.
Drei Begriffe, die die Geschäftsleitung verstehen muss
RPO, Recovery Point Objective: Wie viele Daten dürfen verloren gehen? Wenn das RPO 24 Stunden beträgt, kann im schlimmsten Fall ein Arbeitstag fehlen. Wenn das nicht akzeptabel ist, muss häufiger gesichert werden.
RTO, Recovery Time Objective: Wie lange darf die Wiederherstellung dauern? Wenn das RTO 4 Stunden beträgt, müssen Technik, Zugriff, Ersatzsystem und Personal dafür bereitstehen.
Restore-Test: Der praktische Nachweis, dass Wiederherstellung funktioniert. Nicht als Theorie, sondern mit echter Datei, echter VM oder echter Datenbank.
Eine vertiefte technische Einordnung, 3-2-1, Offsite-Kopie, Verschlüsselung, Monitoring, finden Sie im Artikel Backup-Strategie für KMU. Hier geht es um die Entscheiderebene: Backup ist eine Business-Entscheidung, nicht nur eine Technik-Aufgabe.
Was oft falsch läuft
Backup im gleichen Netzwerk. Sicherung auf ein NAS im gleichen LAN hilft bei versehentlichem Löschen, aber nicht zwingend bei Ransomware. Wenn Angreifer auch das Backup-Ziel erreichen, wird die Sicherung mitverschlüsselt oder gelöscht.
Nie getesteter Rückweg. Sicherungen laufen offsite, aber niemand testet den Restore. Im Notfall fehlt dann ein Passwort, ein Schlüssel ist nicht dokumentiert oder eine Datenbank wurde zwar kopiert, aber nie konsistent gesichert.
M365 wird als „automatisch gesichert" verstanden. Microsoft stellt Plattformfunktionen, Retention und Recovery-Mechanismen bereit. Für die eigene Datenstrategie bleibt der Kunde aber mitverantwortlich. Microsoft beschreibt Cloud-Sicherheit und Compliance ausdrücklich als geteilte Verantwortung.
Entscheidungsmatrix für KMU
| System | Typisches Risiko | Empfehlung |
|---|---|---|
| Buchhaltung, ERP | Betriebsstillstand | Kurzes RPO, dokumentierter Restore |
| Fileserver, SharePoint | Datenverlust, Fehlablage | Versionierung plus Restore-Test |
| Website, Shop | Umsatzverlust, Reputationsschaden | Backup vor Updates, Offsite-Kopie |
| M365 Mailboxen | Fehlende Mails, Compliance-Fragen | Retention prüfen, Backup je nach Risiko |
| Laptops | Lokale Dateien | OneDrive Known Folder Move oder Gerätebackup |
| Datenbanken | Inkonsistente Dumps | Geplanter DB-Backup-Prozess |
Beispiel aus dem KMU-Alltag
Ein Online-Shop hat „täglich Backups beim Hoster". Nach einem Angriff stellt sich heraus: Die Backups liegen im gleichen Kundenpanel, der Angreifer hatte Zugriff darauf, und die letzte saubere Sicherung ist sechs Wochen alt. Der Shop kommt zwar wieder online, aber Bestellungen, Kundennachrichten und Produktänderungen aus diesen sechs Wochen fehlen.
Das Problem war nicht „kein Backup". Das Problem war: kein getrenntes Backup, kein getesteter Restore, keine klare Retention.
Konkrete Empfehlung
Für die meisten KMU ist ein pragmatisches Ziel sinnvoll:
- Drei Kopien der wichtigen Daten
- Eine Kopie getrennt vom Produktivsystem
- Eine Offsite-Kopie
- Eine immutable oder offline geschützte Ebene für kritische Daten
- Monitoring der Backup-Jobs
- Mindestens halbjährlicher Restore-Test
- Restore-Protokoll als Nachweis
Für kritische Systeme reicht halbjährlich nicht immer. Ein ERP, Shop oder produktiver Fileserver kann monatliche oder quartalsweise Tests rechtfertigen.
Wann wir helfen
Wir prüfen bestehende Backups, definieren ein Restore-Ziel und führen einen echten Restore-Test durch. Das Ergebnis ist kein Bauchgefühl, sondern ein kurzer Bericht: Welche Systeme wurden getestet? Wie lange dauerte der Restore? Welche Daten fehlten? Welche Abhängigkeiten wurden sichtbar? Welche Massnahmen sind nötig?
Das ist besonders relevant für Cyberversicherungen, Audits, Geschäftsleitung und Dienstleisterwechsel, und Teil unserer Leistung Hosting & Infrastruktur. Wie das real aussehen kann, zeigt das Szenario Online-Shop nach Ransomware-Hit.
Häufige Fragen
Wie oft sollte ein KMU Backups testen? Mindestens halbjährlich. Kritische Systeme häufiger.
Was ist wichtiger: RPO oder RTO? Beides. RPO betrifft Datenverlust, RTO betrifft Ausfallzeit.
Ist Cloud automatisch Backup? Nein. Cloud kann Verfügbarkeit und Wiederherstellungsfunktionen bieten, ersetzt aber nicht automatisch ein eigenes Backup-Konzept.
Braucht jedes KMU immutable Backups? Nicht jedes System, aber kritische Daten sollten gegen Löschung und Verschlüsselung geschützt sein.
Was kostet ein Restore-Test? Das hängt vom System ab. Wichtig ist, dass Aufwand und Ziel vorab klar definiert sind.