Backups, die im Ernstfall funktionieren: die 3-2-1-Regel für den Mittelstand

Ein Backup hat man nicht, weil jede Nacht ein Sicherungsjob durchläuft. Man hat es erst, wenn sich daraus in vertretbarer Zeit ein arbeitsfähiger Stand wiederherstellen lässt. Diesen Unterschied bemerken viele Unternehmen genau dann, wenn es zu spät ist: nach einem Verschlüsselungstrojaner, einem defekten Speichersystem oder einem versehentlich gelöschten Kundenordner. Mit ein paar klaren Regeln lässt sich das vermeiden.

Warum Backups heute anders gedacht werden müssen

Früher war ein Festplattendefekt die größte Gefahr, und eine zweite Kopie auf einem anderen Laufwerk half dagegen. Heute sind Angriffe mit Ransomware das realistischere Szenario, und die Angreifer haben es gezielt auch auf Sicherungen abgesehen. Wer seine Backups mit denselben Zugangsdaten erreicht wie seine Produktivsysteme, verliert im schlimmsten Fall beides gleichzeitig.

Dazu kommen banale Ursachen, die mindestens genauso oft vorkommen. Ein Update beschädigt eine Datenbank. Im Serverraum gibt es einen Brand oder Wasserschaden. Oder jemand löscht schlicht den falschen Ordner.

Die 3-2-1-Regel

Die bewährte Faustformel für eine belastbare Datensicherung ist kurz:

• 3 Kopien Ihrer Daten: das Original und zwei Sicherungen.
• 2 unterschiedliche Speichermedien oder Systeme, damit ein einzelner Fehler nicht alle Kopien trifft.
• 1 Kopie an einem anderen Standort, räumlich getrennt vom Original.

Der Gedanke dahinter: Kein einzelnes Ereignis darf alle Kopien zugleich vernichten. Ein NAS im selben Raum wie der Server erfüllt die ersten beiden Punkte vielleicht. Vor einem Brand schützt es nicht, und auch nicht vor einem Angreifer, der sich bereits im Netzwerk bewegt.

Die Erweiterung: 3-2-1-1-0

Viele Fachleute ergänzen die Regel inzwischen um zwei Ziffern. Eine Kopie sollte offline oder unveränderbar gespeichert sein, sodass sie selbst mit gültigen Zugangsdaten nicht gelöscht oder verschlüsselt werden kann. Die Null steht für null Fehler bei der Überprüfung: Jede Sicherung wird darauf getestet, ob sie sich tatsächlich wiederherstellen lässt.

Zwei Kennzahlen, die Sie festlegen sollten

Bevor über Technik gesprochen wird, sollte die Geschäftsführung zwei Fragen beantworten.

• RPO (Recovery Point Objective): Wie viele Daten dürfen im Ernstfall verloren gehen? Bei einer nächtlichen Sicherung sind das bis zu 24 Stunden Arbeit. Für einen Tag Buchhaltung mag das verkraftbar sein, für einen Onlineshop eher nicht.
• RTO (Recovery Time Objective): Wie lange darf ein System ausfallen, bis es wieder läuft? Hier geht es nicht darum, ob ein Backup existiert, sondern wie lange die Wiederherstellung dauert.

Beide Werte unterscheiden sich je System. Das ERP braucht meist strengere Vorgaben als das Archiv alter Projektdaten. Wer das einmal pro System festhält, hat die Grundlage für jedes weitere Gespräch mit der eigenen IT oder einem Dienstleister.

Was Datenschutz und Buchführung verlangen

Eine konkrete Backup-Methode schreibt kein Gesetz vor. Die Anforderungen ergeben sich aber aus mehreren Richtungen.

• DSGVO: Art. 32 verlangt geeignete technische und organisatorische Maßnahmen. Dazu zählt ausdrücklich die Fähigkeit, Verfügbarkeit und Zugang zu personenbezogenen Daten nach einem Zwischenfall rasch wiederherzustellen, ebenso ein Verfahren, das die Wirksamkeit dieser Maßnahmen regelmäßig überprüft. Ein nie getestetes Backup wird dem kaum gerecht.
• GoBD: Aufbewahrungspflichtige Daten müssen gegen Verlust gesichert sein. Können sie mangels ausreichender Sicherung nicht mehr vorgelegt werden, sieht die Finanzverwaltung die Buchführung als formell nicht mehr ordnungsmäßig an. Die Datensicherung gehört deshalb auch in die Verfahrensdokumentation, über die wir im Beitrag zur GoBD-konformen Belegablage geschrieben haben.
• Auftragsverarbeitung: Liegen Sicherungen bei einem externen Anbieter, brauchen Sie einen Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO. Außerdem sollten Sie wissen, in welchem Land die Kopien liegen.
• NIS2: Für Unternehmen, die unter die NIS2-Richtlinie der EU fallen, gehören Backup-Management und Notfallwiederherstellung ausdrücklich zu den geforderten Risikomanagementmaßnahmen.

Typische Schwachstellen in der Praxis

• Das Backup liegt im selben Netz und ist mit denselben Administratorrechten erreichbar.
• Es wird gesichert, aber nie zurückgespielt. Ob die Sicherung vollständig ist, zeigt sich dann erst im Ernstfall.
• Fehlermeldungen des Sicherungsjobs landen in einem Postfach, das niemand liest.
• Cloud-Dienste gelten als „sowieso gesichert“. Ob und wie lange sich einzelne gelöschte Daten zurückholen lassen, regelt der jeweilige Vertrag. Es lohnt sich, dort nachzulesen.
• Das Wissen hängt an einer einzigen Person. Ist sie im Urlaub, weiß niemand, wie die Wiederherstellung funktioniert.

Warum der Standort Deutschland zählt

Die externe Kopie aus der 3-2-1-Regel muss irgendwo liegen. Bei einem Anbieter aus Deutschland mit Rechenzentren in Deutschland bleiben die Daten im Geltungsbereich der DSGVO, der Vertrag unterliegt deutschem Recht, und im Ernstfall sprechen Sie mit Menschen, die Ihre Umgebung kennen. Gerade bei Personal-, Kunden- und Buchhaltungsdaten erspart das viele Fragen rund um Übermittlungen in Drittländer.

So setzen wir das bei dream-soft um

Im Managed Hosting von dream-soft gehört die Datensicherung zum Standardbetrieb und ist kein Zusatzpaket.

• Tägliche Backups Ihrer Systeme.
• Regelmäßige Wiederherstellungstests, damit feststeht, dass sich eine Sicherung im Ernstfall auch zurückspielen lässt.
• Georedundanz: Die Server stehen im ISO-zertifizierten NTT-Rechenzentrum Frankfurt am Main, die Backups liegen an einem zweiten Standort in Deutschland.
• Monitoring rund um die Uhr, damit fehlgeschlagene Jobs und Auffälligkeiten nicht unbemerkt bleiben.
• DSGVO-konformer Betrieb mit AVV und einer durchschnittlichen Support-Reaktionszeit unter 30 Minuten.

Auch unsere Unternehmenssoftware dCM läuft auf dieser Infrastruktur, Hosting, Updates und Backups sind im monatlichen Modell enthalten. Zusätzlich kann dCM Ein- und Ausgangsrechnungen automatisch an ein eigenes WebDAV-Ziel wie Nextcloud spiegeln. Das ersetzt kein Backup, gibt Ihnen aber eine weitere Kopie Ihrer Belege unter eigener Kontrolle.

Fazit

Eine gute Backup-Strategie ist weniger eine Frage teurer Technik als klarer Entscheidungen. Wie viel Datenverlust ist tragbar? Wie schnell muss es weitergehen? Wo liegt die externe Kopie? Und wann wurde zuletzt eine Wiederherstellung getestet? Wenn Sie die letzte Frage nicht spontan beantworten können, ist genau das ein guter Anfang.

Hinweis: Dieser Beitrag informiert allgemein über Datensicherung, DSGVO und GoBD und ersetzt keine Rechtsberatung im Einzelfall.

Alle Beiträge