IT-Sicherheit für kleine Unternehmen: Backup & Disaster Recovery

Inhalt in Kürze

• Backup ohne getesteten Disaster-Recovery-Plan ist Selbstbetrug. Wir sehen jede Woche Sicherungen, die seit Monaten niemand geprüft hat.
• Die Bitkom-Wirtschaftsschutzstudie 2025 beziffert den jährlichen Schaden durch Cyberangriffe auf rund 289 Milliarden Euro — Ransomware ist die größte Einzelbedrohung.
• Seit dem NIS2-Umsetzungsgesetz (5. Dezember 2025) sind unveränderbare Backups, klare Wiederanlaufzeiten und dokumentierte Meldeketten für rund 30.000 deutsche Unternehmen Pflicht.
• Mit der 3-2-1-Regel, definierten RTO/RPO-Werten und einem jährlichen Restore-Test deckt ein KMU 80 Prozent des Risikos ab.
• hagel IT betreut über 200 Unternehmen in Hamburg und Norddeutschland und richtet einen pragmatischen Disaster-Recovery-Plan in vier Wochen ein — als Festpreis im Managed-IT-Vertrag.

Drei Monate kein E-Mail-Versand. Keine Rechnungen, keine Aufträge, keine Lohnabrechnung. Genau das hat ein Hamburger Sanitärbetrieb mit 20 bis 25 Mitarbeitern erlebt — Ransomware, alles verschlüsselt, das vermeintliche Backup ebenfalls. Solche Fälle sehen wir bei kleinen Unternehmen regelmäßig. IT-Sicherheit für kleine Unternehmen entscheidet sich nicht an der Firewall, sondern an Backup und Disaster Recovery.

Dieser Artikel zeigt Ihnen, was 2026 wirklich zählt: nüchterne Werte, die 3-2-1-Regel, die NIS2-Vorgaben und ein 4-Wochen-Plan, mit dem Sie aus dem Risiko-Nebel rauskommen.

Warum kleine Unternehmen besonders gefährdet sind

Cyberkriminelle wählen ihre Opfer längst nicht mehr handverlesen. Sie scannen das Internet automatisiert nach Schwachstellen — egal, ob dahinter ein Logistiker mit acht Mitarbeitern oder ein Konzern mit 8.000 steht. Die Bitkom-Wirtschaftsschutzstudie 2025 nennt 289 Milliarden Euro Schaden pro Jahr, davon entfällt der größte Teil auf Ransomware. 34 Prozent der befragten Unternehmen waren betroffen.

Kleine Unternehmen trifft es härter. Eine fehlende Datensicherung ruiniert keinen Konzern — den Sanitärbetrieb mit 22 Mitarbeitern aber schon. Genau deshalb ist Backup für KMU keine Versicherungs-Police, sondern Überlebensfrage.

Backup vs. Disaster Recovery: Der entscheidende Unterschied

Viele Geschäftsführer benutzen die Begriffe synonym. Das ist gefährlich.

• Backup ist die Datenkopie. Sie sichert Dateien, Datenbanken, E-Mails. Punkt.
• Disaster Recovery ist der dokumentierte Prozess, mit dem Sie nach einem Ausfall wieder arbeitsfähig werden — inklusive Hardware, Cloud-Diensten, Telefonie, Lieferantenkontakten und klaren Zuständigkeiten.

Ohne Disaster-Recovery-Plan nützt das beste Backup wenig. Wir hatten Neukunden, bei denen die Sicherung lief — aber nach dem Ausfall niemand wusste, wo die Lizenzschlüssel liegen, welcher Dienstleister den Server tauscht oder wie die Telefonie wieder ans Laufen kommt. Tagelange Verzögerung, obwohl die Daten an sich da waren.

Die 3-2-1-Regel: Der Mindeststandard 2026

Die 3-2-1-Regel ist über 20 Jahre alt — und immer noch die solideste Daumenregel für Backup-Strategien:

• 3 Kopien Ihrer Daten — ein Original plus zwei Sicherungen.
• 2 verschiedene Medientypen — etwa lokales NAS und Cloud-Storage, damit ein Defekt nicht beide trifft.
• 1 Kopie offsite oder offline — räumlich getrennt oder netzgetrennt, damit Ransomware sie nicht erreicht.

Seit Ransomware gezielt Backup-Systeme angreift, hat sich die Branche auf 3-2-1-1-0 weiterentwickelt: zusätzlich eine unveränderbare („immutable”) Kopie und null Fehler bei Restore-Tests. Genau das verlangt die NIS2-Richtlinie jetzt auch von wichtigen und besonders wichtigen Einrichtungen.

RTO und RPO: Was die zwei Kennzahlen wirklich bedeuten

Ein Disaster-Recovery-Plan steht und fällt mit zwei Kennzahlen, die Sie als Geschäftsführung definieren — nicht die IT.

• RTO (Recovery Time Objective): Wie lange darf der Betrieb maximal stehen? Vier Stunden? Ein Tag? Eine Woche?
• RPO (Recovery Point Objective): Wie viel Datenverlust ist tolerierbar? 15 Minuten? Vier Stunden? Ein Tag?

Beide Werte hängen am Geschäftsmodell. Eine Steuerkanzlei zur Abgabefrist verträgt 4 Stunden Stillstand, ein Online-Shop am Black Friday verträgt 4 Minuten. Ein Architekturbüro verliert mit einem Tag Datenstand vielleicht eine halbe Tagesarbeit — ein Logistiker verliert ganze Tourenpläne.

Wir sehen es jede Woche: Backups, die seit Monaten nicht geprüft wurden. Alle denken, es läuft — bis der Ernstfall kommt und nichts wiederherstellbar ist. Deshalb testen wir Backups regelmäßig.

Jens HagelGeschäftsführer, hagel IT-Services GmbH

NIS2 verschärft die Regeln seit Dezember 2025

Seit dem 5. Dezember 2025 gilt das NIS2-Umsetzungsgesetz ohne Übergangsfrist. Rund 30.000 Unternehmen in Deutschland sind direkt betroffen, viele Zulieferer indirekt. Das BSI verlangt unter anderem:

1. Unveränderbare Backups — Ransomware darf die Sicherung nicht überschreiben können.
2. Dokumentierte Wiederanlaufzeiten — RTO und RPO pro Geschäftsprozess.
3. Getestete Restore-Prozesse — mindestens jährlich, dokumentiert.
4. 24-Stunden-Meldepflicht nach erkanntem Sicherheitsvorfall.
5. Persönliche Haftung der Geschäftsleitung bei grober Fahrlässigkeit.

Bußgelder: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Wer prüfen will, ob er betroffen ist, nutzt unseren NIS2-Check:

Aus der Praxis: Was wir bei Neukunden vorfinden

In den letzten zwölf Monaten haben wir bei rund einem Dutzend Hamburger KMU die Backup-Lage als Erstanalyse geprüft. Was wir typischerweise sehen:

• Manuelle Sicherungen auf Blu-ray ohne Verschlüsselung — Stand: Freitagabend.
• Backup-Festplatte permanent angeschlossen — Ransomware hätte sie mitverschlüsselt.
• NAS im selben Brandabschnitt wie der Server — Brand vernichtet beides.
• Microsoft 365 ohne Drittanbieter-Backup — Postfach gelöscht, alles weg.
• Restore-Test nie gemacht — niemand weiß, ob der Wiederanlauf funktioniert.

Glück ist keine Strategie. Genau deshalb gehört Backup ins Managed-IT-Konzept — nicht in die Hände einer einzelnen Person, die im Urlaub ist, wenn es brennt.

Der pragmatische 4-Wochen-Plan

So gehen wir bei hagel IT mit kleinen Unternehmen vor — kein Folienschlacht-Projekt, sondern handfeste Umsetzung.

Woche 1 — Bestandsaufnahme

Wir prüfen gemeinsam mit Geschäftsführung und IT-Verantwortlichem: Welche Daten sind wirklich kritisch? Wo liegen sie? Welche RTO/RPO-Werte braucht das Geschäftsmodell? Ergebnis: priorisierte Risikoliste.

Woche 2 — Backup-Architektur umsetzen

3-2-1-1-0-Strategie aufsetzen: lokales NAS für schnellen Restore, Cloud-Kopie für Offsite, unveränderbare Kopie gegen Ransomware. Microsoft-365-Backup separat einrichten. Verschlüsselung und Zugriffstrennung dokumentieren.

Woche 3 — Disaster-Recovery-Plan schreiben

Wir nutzen pragmatische Templates statt 200-Seiten-Konzepten. Drin steht: Wer ruft wen an? Welche Hardware wird getauscht? Welche Cloud-Dienste laufen weiter? Wie kommunizieren wir mit Kunden ohne E-Mail? Maximal 15 Seiten — nutzbar im Stress.

Woche 4 — Restore-Test und laufender Betrieb

Echter Wiederherstellungs-Test mit der Geschäftsführung als Beobachter. Was klappt, was hakt? Plan anpassen. Quartalsweise Reviews einplanen. Ab hier läuft Backup und DR als Teil des regulären Managed-IT-Service.

Was zur Backup-Pflicht dazugehört

Backup ist die Basis. Damit IT-Sicherheit für kleine Unternehmen wirklich trägt, gehört noch dazu:

• Multi-Faktor-Authentifizierung für alle Admin-Konten und Cloud-Dienste — laut BSI macht MFA 99 Prozent der Ransomware-Angriffe wirkungslos.
• Patch-Management für Server, Clients und Firewalls — ungepatchte Geräte sind das Einfallstor Nummer eins.
• Endpoint Detection and Response (EDR) statt klassischem Antivirus — siehe Cybersecurity-Strategie.
• Mitarbeiter-Schulungen — Phishing-Simulationen plus jährliche Awareness-Trainings.
• Klare Verantwortlichkeiten — wer meldet einen Vorfall? Wer entscheidet über Lösegeld? Beides gehört in den Plan.

Warum lokal in Hamburg ein Vorteil ist

Wenn um 3 Uhr nachts die Ransomware zuschlägt, brauchen Sie einen Partner, der nicht erst Flüge bucht. Wir sind 32 Spezialisten am Standort Hamburg, kennen die Hamburger KMU-Landschaft seit über 20 Jahren und sind im Ernstfall in unter einer Stunde vor Ort. Telefon: 040 284 10 26-0. Für Unternehmen in und um Bremen haben wir den Ablauf der ersten 72 Stunden als eigenen Praxis-Fahrplan dokumentiert: IT-Notfall Bremen — inkl. Meldekette, Lösegeld-Falle und Wiederanlauf-Sequenz.