Backup-Lösungen für Unternehmen: Auswahl, Strategie und die Wahrheit über Restore-Tests

Inhalt in Kürze

• Ein Backup, das aus dem laufenden Netz erreichbar ist, ist kein Backup. Ransomware sucht heute gezielt die Sicherungen, bevor sie die Produktivdaten verschlüsselt.
• Die 3-2-1-Regel ist die Basis, die das BSI im Standard 200-4 empfiehlt. Sie braucht 2026 eine Ergänzung: eine Kopie, die sich technisch nicht löschen lässt.
• RTO und RPO gehören je System festgelegt, nicht pauschal fürs ganze Unternehmen. Erst daraus ergibt sich die passende Backup-Lösung — nicht umgekehrt.
• Der teuerste Fehler ist nicht die falsche Software, sondern der nie geübte Restore. Wer nie gemessen hat, wie lange eine vollständige Wiederherstellung dauert, kennt seine echte Ausfallzeit nicht.

Fast jedes Unternehmen, das wir übernehmen, hat ein Backup. Fast keines hat je eine vollständige Wiederherstellung geübt. Diese Lücke zwischen „wir sichern” und „wir kommen wieder hoch” ist der Punkt, an dem Betriebe nach einem Angriff wochenlang stillstehen — und sie hat nichts mit dem Preis der Software zu tun.

Dieser Artikel richtet sich an Geschäftsführer und IT-Verantwortliche, die gerade eine Lösung auswählen. Er sortiert die Lösungstypen nach Kriterien statt nach Herstellernamen, zeigt die Reihenfolge, in der Sie entscheiden sollten, und benennt die Stellen, an denen es in der Praxis kippt.

Ransomware ändert alles: Warum Backup für Unternehmen mehr ist als eine Kopie auf dem NAS

Die Bedrohungslage hat den Charakter der Datensicherung verändert. Früher sicherte man gegen Hardware-Defekte, Feuer und den versehentlich gelöschten Ordner. Diese Fälle gibt es weiter — aber sie bestimmen nicht mehr die Anforderungen. Das tut heute Ransomware.

Der Grund ist simpel: Wer Lösegeld erpressen will, muss verhindern, dass Sie einfach zurücksichern. Angreifer bewegen sich deshalb nach dem Einbruch oft wochenlang unauffällig im Netz, suchen die Sicherungsziele, entfernen Schattenkopien und verschlüsseln die Backups zuerst. Ein NAS, das mit denselben Domänen-Anmeldedaten erreichbar ist wie der Dateiserver, ist in diesem Szenario keine Sicherung, sondern ein weiteres Angriffsziel.

Wie groß der wirtschaftliche Schaden inzwischen ist, zeigt die Bitkom-Studie Wirtschaftsschutz 2025: Digitale Angriffe verursachten in Deutschland einen Schaden von 202,4 Milliarden Euro, 87 Prozent der befragten Unternehmen waren in den vergangenen zwölf Monaten von Datendiebstahl, Spionage oder Sabotage betroffen.

Das heißt nicht, dass die alten Risiken verschwunden wären. Datenverluste entstehen weiter durch menschliche Fehler, durch die Beschädigung einzelner Datenträger, durch Feuer, Wasser oder eine Naturkatastrophe, die den Serverraum trifft. Viele Unternehmen sichern genau dagegen sauber ab — und stehen bei Cyberangriffen trotzdem ohne brauchbare Kopie da, weil dieselbe IT-Infrastruktur beide Aufgaben erfüllen soll. Bei geschäftskritischen Systemen gehören beide Fälle getrennt durchdacht.

Für Ihre Auswahl heißt das: Die Frage lautet nicht mehr „Läuft das Backup?”, sondern „Kann ein Angreifer mit Administratorrechten unsere Sicherungen erreichen?”. Wenn die Antwort ja ist, ist die Lösung ungeeignet — egal wie zuverlässig die nächtlichen Jobs grün melden.

Die 3-2-1-Regel richtig umsetzen — und die Zahl, die fehlt

Die 3-2-1-Regel ist der bewährte Ausgangspunkt: drei Kopien Ihrer Daten, auf zwei unterschiedlichen Medientypen, davon eine außer Haus. Das BSI empfiehlt sie ausdrücklich in den Vorschlägen zu Business-Continuity-Strategien im Standard 200-4. Die inhaltlichen Anforderungen an ein vollständiges Datensicherungskonzept beschreibt der Baustein CON.3 Datensicherungskonzept aus dem IT-Grundschutz-Kompendium.

In der Praxis scheitert die Regel meist an der Auslegung. Zwei NAS-Systeme im selben Serverraum sind nicht zwei Medientypen. Eine Cloud-Synchronisation, die eine verschlüsselte Datei brav nach oben repliziert, ist keine Sicherung außer Haus, sondern eine schnelle Verbreitung des Schadens.

Deshalb braucht die Regel heute eine Ergänzung: eine Kopie, die sich nicht verändern lässt. Technisch entweder als Immutability — der Speicher verweigert für einen festgelegten Zeitraum jedes Überschreiben und Löschen, auch mit Administratorrechten — oder als echte Offline-Kopie, die physisch getrennt liegt. Welche Variante wann sinnvoll ist, ordnet unser Vergleich Offline vs. Online Backup ein.

Der schönste Notfallplan hilft mir nicht weiter, wenn er bei einem Katastrophenfall mit zerstört wird.

Philip KraatzGeschäftsführer, hagel IT-Services GmbH

Wie viel Speicherplatz Sie am Ende brauchen, hängt weniger am Datenvolumen als am Sicherungsverfahren. Nach einer ersten Vollsicherung werden meist nur noch Änderungen übertragen — bei einer inkrementellen Sicherung genau die Blöcke, die sich seit dem letzten Backup geändert haben. Das hält Cloud-Backups bezahlbar und die nächtlichen Läufe kurz. Wichtig ist nur, dass jederzeit nachvollziehbar bleibt, welche Daten gesichert sind und wie effizient sie sich zurückholen lassen. Sonst minimieren Sie die Übertragungszeit und verlängern dafür die Wiederherstellung.

Derselbe Gedanke gilt für die Zugangsdaten Ihrer Backup-Lösung. Liegen sie im selben Passwortmanager, der beim Angriff mitverschlüsselt wird, nützt die beste unveränderbare Kopie nichts. Ein ausgedruckter Notfall-Zugang im Safe wirkt altmodisch und hat schon Betriebe gerettet.

Welche Unternehmensdaten die Datensicherung tatsächlich umfassen muss

Viele Backup-Konzepte sichern den Dateiserver — und hören dort auf. Das reicht nicht, weil ein Wiederanlauf mehr braucht als Dateien.

• Server und virtuelle Maschinen. Nicht nur Daten, sondern komplette Systemabbilder. Wer nach einem Totalausfall erst Betriebssysteme und Anwendungen neu installieren muss, verliert Tage.
• Datenbanken und Fachanwendungen. ERP, Warenwirtschaft, DATEV, Branchensoftware. Datenbanken brauchen einen konsistenten Sicherungspunkt — eine Dateikopie im laufenden Betrieb ist im Zweifel unbrauchbar.
• Endgeräte. Notebooks im Außendienst und im Homeoffice speichern regelmäßig Daten lokal, die nirgends sonst existieren.
• Microsoft 365. Postfächer, SharePoint, OneDrive, Teams-Inhalte. Hier gilt geteilte Verantwortung: Microsoft betreibt und schützt die Plattform, für Ihre Inhalte sind Sie zuständig. Die Standardfristen für gelöschte Elemente sind kurz — warum ein eigenes Backup nötig ist, erklärt unser Beitrag zum Microsoft 365 Backup.
• Konfigurationen und Dokumentation. Firewall-Regeln, Switch-Konfigurationen, Zertifikate, VPN-Profile. Ohne sie steht die wiederhergestellte Umgebung im Nichts.

Backup-Strategien im Unternehmen: fünf Schritte in der richtigen Reihenfolge

Die häufigste Reihenfolge in der Praxis ist verkehrt herum: erst ein Produkt kaufen, dann schauen, was es kann. Sinnvoll ist der umgekehrte Weg.

1. Systeme nach Kritikalität sortieren. Welche drei Systeme legen den Betrieb still, wenn sie einen Tag ausfallen? Diese Liste erstellen Sie mit der Geschäftsführung, nicht mit der IT allein.
2. RTO und RPO je System festlegen. Recovery Time Objective und Recovery Point Objective, auf Deutsch: Wie lange darf ein System stillstehen, wie viele Stunden Datenverlust sind verkraftbar? Die Warenwirtschaft verträgt vielleicht vier Stunden, das Archiv einen ganzen Tag. Wer die Unterschiede kennt, spart Geld — die Definitionen erklärt unser Beitrag zu RTO vs. RPO.
3. Aufbewahrung und Rechtsrahmen klären. Steuerrelevante Unterlagen und Branchenvorgaben bestimmen, wie lange Sicherungen vorgehalten werden müssen. Das ist eine kaufmännische Entscheidung, keine technische.
4. Erst jetzt die Technik auswählen. Aus Kritikalität, RTO/RPO und Aufbewahrung ergibt sich, ob lokale Kapazität, Cloud-Speicher oder beides nötig ist.
5. Restore-Verfahren schriftlich festhalten. Wer stellt was in welcher Reihenfolge wieder her, mit welchen Zugängen? Ohne diesen Teil ist die Strategie nur eine Einkaufsliste. Wie ein solcher Plan aufgebaut wird, zeigt unsere Anleitung zum Disaster Recovery Plan.

Wer die Grundlagen der Datensicherung noch einmal von vorn durchgehen will, findet sie in unserem Guide zu Backup und Datensicherung. Dieser Artikel hier setzt eine Stufe später an: bei der Auswahl.

Backup-Lösungen für Unternehmen im Vergleich: lokal, Cloud, hybrid

Statt Produktnamen gegeneinander zu stellen, lohnt der Blick auf drei Bauformen. Die Entscheidung fällt fast immer über die Wiederherstellungsgeschwindigkeit und den Schutz vor manipulierten Sicherungen.

Für die meisten Unternehmen dieser Größe fällt die Entscheidung auf den hybriden Aufbau — nicht aus Bequemlichkeit, sondern weil er zwei unterschiedliche Anforderungen bedient: die lokale Kopie für das häufige Alltagsproblem (versehentlich gelöschte Datei, defekter Server), die unveränderbare Kopie außer Haus für den seltenen, existenziellen Fall.

Was Backup-Software für Unternehmen können muss

Beim Vergleich konkreter Produkte lohnt es, an sechs Punkten hartnäckig zu bleiben. Lassen Sie sich diese Funktionen im Testsystem zeigen, nicht im Datenblatt versprechen:

• Unveränderbare Sicherungspunkte. Löschschutz, der auch für Administratoren gilt, mit definierter Sperrfrist.
• Getrennte Anmeldung. Die Backup-Lösung darf sich nicht mit denselben Konten verwalten lassen wie die Produktivumgebung.
• Anwendungskonsistente Sicherung. Datenbanken und Exchange brauchen saubere Sicherungspunkte, keine Dateikopie im laufenden Betrieb.
• Wiederherstellung einzelner Objekte. Eine einzelne Datei oder ein einzelnes Postfach zurückholen, ohne das ganze System auszurollen.
• Automatisierte Restore-Prüfung. Die Software startet Sicherungen isoliert und meldet, ob sie tatsächlich hochfahren.
• Verständliche Alarmierung. Ein fehlgeschlagener Lauf muss jemanden erreichen, der reagiert — nicht ein Postfach, in das keiner schaut.

Wie sich das im laufenden Betrieb absichern lässt, zeigt unsere Übersicht zu Cybersecurity aus Hamburg. Für die Serverseite beschreibt unser Server-Management, wie Wartung, Überwachung und Sicherung zusammengehören.

Best Practices für die Datensicherung: was kleine Unternehmen zuerst tun sollten

Wer noch keine umfassende Backup-Strategie hat, muss nicht mit dem Maximalausbau anfangen. Vier Schritte bringen kleine und mittlere Betriebe schon sehr weit — und sie sind in ein bis zwei Tagen erledigt:

• Aufschreiben, welche wichtigen Daten überhaupt existieren. Ohne diese Liste ist jede Aussage über die Sicherung Ihrer Daten geraten. Die Erstellung von Backups ist der einfache Teil; die Sicherung von Daten ist erst abgeschlossen, wenn sie geprüft zurückkommen.
• Eine vollständige Backup-Kopie außer Haus. Große Unternehmen halten dafür ein zweites Rechenzentrum vor. Für alle anderen tut es eine unveränderbare Kopie bei einem deutschen Anbieter.
• Einmal messen, wie lange die Wiederherstellung von Daten wirklich dauert. Erst diese Zahl sagt Ihnen, ob Ihre Ausfallzeiten zum Geschäft passen — und wie groß das Ausmaß eines Datenverlusts im schlechtesten Fall wäre.
• Verantwortung benennen. Wer prüft die Protokolle, wer reagiert auf einen roten Lauf? Ohne Namen läuft das Backup zuverlässig — bis es das nicht mehr tut und es niemandem auffällt.

Der Punkt, an dem alles scheitert: die Wiederherstellung im Restore-Test

Hier ist die unangenehme Beobachtung aus unserer Praxis, und sie ist der eigentliche Grund für diesen Artikel: Die meisten Betriebe, die wir übernehmen, haben ein Backup. Kaum einer hat je eine vollständige Wiederherstellung durchgespielt. Getestet wird, ob der Job grün gemeldet hat — nicht, ob am Ende ein arbeitsfähiges Unternehmen dasteht.

Im Ernstfall kippt es dann an zwei Stellen.

Erstens an der Dauer. Ein Betrieb mit vier Terabyte Nutzdaten hat sein Backup ordentlich in der Cloud. Nach dem Angriff soll alles zurück — über den Firmenanschluss. Rechnen Sie das einmal durch: Bei den Upload- und Downloadraten, die in vielen Gewerbegebieten außerhalb der Innenstädte real anliegen, wird aus „wir spielen das zurück” schnell ein Zeitraum von mehreren Tagen. Niemand hatte das vorher gemessen, weil niemand je die vollständige Menge zurückgeholt hat.

Zweitens an mitverschlüsselten Sicherungen. Verschlüsselungstrojaner werden nach dem Einbruch nicht sofort aktiv. Sie warten, oft wochenlang. Wer dann den Sicherungsstand der Vorwoche zurückholt, holt den Schädling gleich mit zurück. Ohne mehrere, weit zurückreichende und unveränderbare Wiederherstellungspunkte gibt es keinen sauberen Zustand, auf den man zurückfallen kann.

Wir sehen es jede Woche: Backups, die seit Monaten nicht geprüft wurden. Alle denken, es läuft — bis der Ernstfall kommt und nichts wiederherstellbar ist. Deshalb testen wir Backups regelmäßig.

Jens HagelGeschäftsführer, hagel IT-Services GmbH

Ein brauchbarer Test hat deshalb drei Merkmale: Er stellt tatsächlich wieder her, er wird mit der Uhr gemessen, und das Ergebnis wird notiert. Quartalsweise für die kritischen Systeme, einmal jährlich als vollständige Übung. Das konkrete Vorgehen beschreibt unser Leitfaden dazu, wie Sie Ihre Datensicherung testen.

Aus der Praxis: Was uns Neukunden erzählen

Der folgende Fall ist kein Extremszenario, sondern ein häufiger Verlauf. Der entscheidende Rettungsanker war nicht die Backup-Software, sondern eine physisch getrennte Kopie — angelegt aus Bauchgefühl, nicht aus Konzept.

Was in diesem Betrieb funktioniert hat, war das Prinzip der Offline-Kopie — nur eben ohne System, ohne Protokoll und ohne Test. Genau das lässt sich sauber nachbauen: automatisiert, überwacht, mit dokumentierten Wiederherstellungspunkten. Und falls es doch einmal ernst wird, hilft unser Leitfaden, was bei einem Ransomware-Angriff zu tun ist, statt Lösegeld zu zahlen.

Was Datensicherung für Unternehmen kostet — ehrlich eingeordnet

Belastbare Pauschalpreise für Backup-Lösungen gibt es nicht, weil vier Größen den Preis bestimmen — und die sind in jedem Betrieb anders:

• Datenvolumen. Die zu sichernde Menge treibt Speicher- und Übertragungskosten linear mit.
• Aufbewahrungsdauer. Zwölf Monate vorhalten kostet ein Vielfaches von vier Wochen — und ist bei Ransomware oft der Unterschied zwischen sauberem und verseuchtem Wiederherstellungspunkt.
• Geforderte Wiederanlaufzeit. Wiederherstellung in Stunden statt Tagen bedeutet vorgehaltene Kapazität. Das ist der teuerste Hebel — und der einzige, der sich lohnt, wenn er auf die wirklich kritischen Systeme begrenzt bleibt.
• Zahl und Art der Systeme. Ein virtualisierter Server ist anders zu sichern als fünfzig Notebooks im Außendienst.

Ehrlicher als jede Preisliste ist die Gegenrechnung: Was kostet ein Tag Stillstand? Personalkosten, ausbleibende Aufträge, Nacharbeit, verlorenes Vertrauen bei Kunden. Wer diese Zahl kennt, entscheidet über die Wiederanlaufzeit anders — meist ruhiger und gezielter. Für den Vergleich der laufenden IT-Kosten hilft der IT-Kosten-Kalkulator.

Bei uns ist die Datensicherung kein Einzelposten, sondern Teil des Betriebs: Managed IT Services starten bei rund 50 Euro pro Arbeitsplatz und Monat, inklusive Überwachung, Patchmanagement und Backup. Wie die Sicherung technisch aufgebaut ist, beschreibt unsere Seite zu hagel one backup.

Fazit: Ihr nächster Schritt

Die Auswahl einer Backup-Lösung für Ihr Unternehmen entscheidet sich nicht am Funktionsumfang, sondern an drei Fragen: Kommt ein Angreifer mit Administratorrechten an unsere Sicherungen? Wie lange dauert eine vollständige Wiederherstellung wirklich? Und wann haben wir das zuletzt gemessen?

Wenn Sie eine dieser Fragen nicht beantworten können, ist das der Startpunkt — nicht ein Produktvergleich. Nehmen Sie sich die Liste Ihrer drei kritischsten Systeme vor, legen Sie RTO und RPO dafür fest und planen Sie einen echten Restore-Test mit Zeitmessung. Alles Weitere ergibt sich daraus.

Als IT-Systemhaus in Hamburg betreuen wir Betriebe von 5 bis 150 Mitarbeitern in Hamburg und Norddeutschland — mit über 5.000 gelösten Support-Tickets im Jahr. Wenn Sie vorab selbst prüfen wollen, wo Ihre Grundsicherung steht, hilft unsere Cybersicherheits-Checkliste für KMU mit 20 Punkten zum Abhaken.