Datensicherung & Backup — die 3-2-1-Regel für KMU
Ein verschlüsselnder Erpressungstrojaner, eine defekte Festplatte, ein versehentlich gelöschter Ordner, ein Wasserschaden im Serverraum — die Wege, wie ein Betrieb seine Daten verliert, sind vielfältig. Der Unterschied zwischen „ärgerlich" und „existenzbedrohend" ist ein funktionierendes Backup. Die schlechte Nachricht: Die meisten KMU-Backups sind unvollständig, ungetestet — oder existieren nur in der Vorstellung des Inhabers. Dieser Ratgeber zeigt, wie es richtig geht.
Warum Backup über das Überleben des Betriebs entscheidet
Datenverlust ist keine theoretische Gefahr. Cyber-Erpressung hat stark zugenommen, und kleine Betriebe sind ein beliebtes Ziel, weil sie oft schlecht geschützt sind. Wer nach einem Ransomware-Angriff kein sauberes Backup hat, steht vor der Wahl: zahlen (ohne Garantie) oder den Betrieb monatelang lahmlegen.
- Ransomware verschlüsselt alle erreichbaren Daten — auch verbundene Netzlaufwerke und oft die Backups gleich mit.
- Hardware fällt aus: Festplatten haben eine begrenzte Lebensdauer, und der Ausfall kommt ohne Vorwarnung.
- Der häufigste Datenverlust ist banal: versehentliches Löschen oder Überschreiben durch Mitarbeiter.
- Auch höhere Gewalt zählt: Brand, Wasser, Diebstahl des Geräts — ein Backup im selben Raum hilft dann nicht.
Faustregel: Stellen Sie sich vor, alle Geräte im Betrieb wären morgen weg. Wie viele Tage Arbeit könnten Sie wiederherstellen — und wie lange würde es dauern? Wenn Sie das nicht sicher beantworten können, ist Ihr Backup nicht ausreichend.
Die 3-2-1-Regel — einfach erklärt
Die 3-2-1-Regel ist seit Jahren der bewährte Standard für sichere Datensicherung. Sie ist bewusst einfach gehalten, damit auch kleine Betriebe sie umsetzen können:
| Regel | Bedeutung | Beispiel |
|---|---|---|
| 3 Kopien | Das Original plus zwei Sicherungen | Daten auf dem Rechner + Backup auf NAS + Backup in der Cloud |
| 2 Medien | Auf zwei unterschiedlichen Speichertypen | z. B. eine Festplatte/NAS und ein Cloud-Speicher |
| 1 außer Haus | Mindestens eine Kopie an einem anderen Ort | Cloud-Backup oder Festplatte im Bankschließfach / zu Hause |
Moderne Erweiterung „3-2-1-1-0": zusätzlich 1 Kopie offline oder unveränderbar (gegen Ransomware) und 0 Fehler beim Restore-Test. Für die meisten KMU ist 3-2-1 mit einer unveränderbaren Cloud-Kopie der richtige Anspruch.
Cloud-Backup oder lokale Sicherung — was wann?
Beides hat seine Berechtigung — die stärkste Lösung kombiniert sie. So ordnen Sie ein:
- Lokales Backup (NAS, externe Festplatte): schnell beim Zurückspielen großer Datenmengen, günstig, unabhängig vom Internet. Aber: am selben Ort wie das Original = bei Brand/Diebstahl mit weg.
- Cloud-Backup: automatisch außer Haus, geografisch getrennt, oft mit Versionierung und unveränderbarem Speicher. Wichtig: Anbieter mit Server-Standort EU und Verschlüsselung wählen.
- Die Kombination: lokales Backup für die schnelle Wiederherstellung + Cloud-Backup als „außer Haus"-Kopie erfüllt die 3-2-1-Regel ideal.
- Wichtig gegen Ransomware: Die Auslagerung muss so erfolgen, dass ein Angreifer mit Zugriff auf Ihren Rechner das Backup NICHT verschlüsseln kann — also offline-Medien oder unveränderbarer Cloud-Speicher (Immutable Backup / Object Lock).
Der wichtigste Schritt: das Zurückspielen testen
Das größte und häufigste Versäumnis: Backups laufen jahrelang, aber niemand prüft, ob sich die Daten auch wiederherstellen lassen. Im Ernstfall stellt sich dann heraus, dass die Sicherung unvollständig, beschädigt oder gar nicht erst gelaufen ist.
- Mindestens zweimal im Jahr einen Probe-Restore durchführen: eine Datei UND einen ganzen Ordner zurückspielen.
- Prüfen, ob wirklich ALLE wichtigen Daten gesichert werden — auch E-Mail-Postfächer, Buchhaltung, Branchensoftware-Datenbanken, nicht nur „Dokumente".
- Backup-Protokolle kontrollieren: Läuft die Sicherung tatsächlich erfolgreich durch, oder bricht sie still ab?
- Den Wiederherstellungsweg dokumentieren, damit es im Notfall schnell geht und nicht nur eine Person Bescheid weiß.
Merksatz: „Niemand will ein Backup. Jeder will ein Restore." Erst der erfolgreiche Restore beweist, dass Ihre Sicherung funktioniert.
Backup und Datenschutz — was Sie beachten müssen
Backups enthalten meist personenbezogene Daten (Kunden, Mitarbeiter) und steuerlich relevante Belege. Damit greifen zusätzliche Pflichten:
- DSGVO: Backups mit personenbezogenen Daten müssen verschlüsselt und vor unbefugtem Zugriff geschützt sein. Beim Cloud-Anbieter brauchen Sie einen Auftragsverarbeitungsvertrag (AVV).
- GoBD: Steuerlich relevante Belege (z. B. E-Rechnungen) müssen revisionssicher und unveränderbar aufbewahrt werden — Buchungsbelege seit 2025 acht Jahre, Bücher und Bilanzen zehn Jahre.
- Löschkonzept beachten: Wenn Sie Daten nach DSGVO löschen müssen, sind sie oft noch in alten Backups — das ist zulässig, sollte aber dokumentiert und beim nächsten Backup-Zyklus berücksichtigt werden.
- Zugriff begrenzen: Nur wenige Personen sollten Zugriff auf die Backups haben — sie sind ein attraktives Ziel.
Häufige Fragen
Wie oft sollte ich meine Daten sichern?+
Das hängt davon ab, wie viel Arbeit Sie im schlimmsten Fall verlieren dürfen. Für die meisten Betriebe ist eine tägliche automatische Sicherung der richtige Rhythmus — bei sehr aktiven Daten (laufende Buchhaltung, Aufträge) auch mehrmals täglich. Wichtig: Die Sicherung sollte automatisch laufen, nicht von Hand, denn Handarbeit wird im Alltag vergessen.
Reicht eine externe Festplatte als Backup?+
Als alleinige Lösung nein. Eine externe Festplatte ist ein guter Baustein, erfüllt aber nicht die 3-2-1-Regel: Liegt sie neben dem Rechner, ist sie bei Brand, Diebstahl oder Ransomware mit verloren. Kombinieren Sie sie mit einer Kopie außer Haus (Cloud oder zweite Platte an anderem Ort) und wechseln Sie idealerweise zwischen zwei Platten.
Sind meine Daten in Microsoft 365 oder Google Workspace nicht automatisch gesichert?+
Nein — das ist ein gefährliches Missverständnis. Diese Dienste sorgen für die Verfügbarkeit ihrer Infrastruktur, aber bei versehentlichem Löschen, einem kompromittierten Konto oder Ransomware sind Ihre Daten nach Ablauf kurzer Papierkorb-Fristen weg. Für ein echtes Backup von Microsoft 365 / Google Workspace brauchen Sie eine separate Backup-Lösung (Shared-Responsibility-Modell).
Was kostet eine ordentliche Backup-Lösung?+
Für einen kleinen Betrieb ist sicheres Backup erschwinglich: Ein NAS-Gerät kostet einmalig einige Hundert Euro, Cloud-Backup gibt es ab wenigen Euro pro Monat und Gerät bzw. nach Datenmenge. Spezialisierte Backup-Dienste für Microsoft 365 starten bei etwa 3–5 € pro Nutzer und Monat. Gemessen am möglichen Schaden (Betriebsausfall, Datenverlust) ist das eine der günstigsten Versicherungen überhaupt.