Backup-Strategie für KMU: So gehen Sie vor

Warum Sie eine Strategie brauchen und nicht nur ein Backup

Viele kleine und mittlere Unternehmen besitzen Backups, aber kein Konzept. Es existiert ein Job auf dem Server, eine externe Festplatte oder ein Cloud-Dienst, der irgendwann eingerichtet wurde. Ob das Ergebnis den Anforderungen des Betriebs genügt, wurde nie festgelegt. Eine Backup-Strategie schließt diese Lücke. Sie verknüpft drei Ebenen: die Anforderungen des Unternehmens (welcher Verlust und welche Ausfalldauer sind tragbar), die technische Umsetzung (was, wie oft, wohin) und die Organisation (wer überwacht, wer testet, wer stellt wieder her).

Der Wert dieser Verknüpfung zeigt sich im Ernstfall. Eine Strategie, die nur technische Details enthält, scheitert an ungeklärter Verantwortung. Eine, die nur Zuständigkeiten beschreibt, scheitert an fehlender Technik. Das Vorgehen in diesem Artikel folgt deshalb einem einfachen Prinzip: erst verstehen, was geschützt werden soll und wie wichtig es ist, dann die Technik wählen, dann Betrieb und Verantwortung regeln.

Schritt 1: Bestandsaufnahme und Klassifizierung

Beginnen Sie mit einer Liste aller Systeme und Datenbestände, die für den Betrieb relevant sind. Dazu gehören Server und virtuelle Maschinen, Datenbanken, Dateiablagen, Arbeitsplätze und Laptops, Cloud-Dienste wie Microsoft 365, Webseiten und Shops sowie Spezialsysteme etwa in der Produktion. Notieren Sie je Eintrag, wo die Daten liegen, wer fachlich verantwortlich ist, wie groß der Bestand ist und welche Abhängigkeiten bestehen.

Gerade die Abhängigkeiten werden oft übersehen. Eine Anwendung benötigt vielleicht eine Datenbank, einen Verzeichnisdienst, Zertifikate, Lizenzserver oder eine Schnittstelle zu einem anderen System. Wird nur ein Teil gesichert, lässt sich das Ganze im Ernstfall nicht wieder in Betrieb nehmen. Achten Sie außerdem auf Daten außerhalb der offiziellen IT: lokale Dateien auf Laptops, Tabellen in privaten Cloud-Konten oder Daten auf Geräten im Außendienst. Solche „Schatten-IT“ fehlt in vielen Inventaren und damit auch in den Sicherungen.

Cloud-Dienste verdienen eigene Aufmerksamkeit. Dass Daten in einem Cloud-Dienst liegen, heißt nicht, dass sie gesichert sind, siehe Braucht Microsoft 365 ein Backup?.

Schutzbedarf ermitteln: Welche Systeme sind wie wichtig?

Nicht alle Systeme sind gleich wichtig, und nicht alle verdienen denselben Aufwand. Die Bewertung folgt einer einfachen Frage: Was passiert, wenn dieses System ausfällt oder seine Daten verloren gehen? Fachlich spricht man von einer Business-Impact-Analyse. Sie muss für ein mittelständisches Unternehmen nicht aufwendig sein. Eine Tabelle, die je System festhält, wer betroffen ist, welche Abläufe stehen und welche Kosten oder Verpflichtungen entstehen, genügt als Grundlage.

Aus der Bewertung ergibt sich eine Einteilung in Klassen, zum Beispiel kritisch, wichtig und unkritisch. Zu den kritischen Systemen gehören meist jene, ohne die der Verkauf, die Produktion, die Abrechnung oder die Kommunikation mit Kunden zum Erliegen kommt. Wichtige Systeme beeinträchtigen die Arbeit, lassen aber Ausweichlösungen zu. Unkritische Systeme sind etwa Testumgebungen oder Archive selten benötigter Daten. Die Klassifizierung gibt die Richtung für alle weiteren Entscheidungen vor, auch für das Budget.

Ein konstruiertes Gesamtbeispiel

Das folgende Beispiel ist erfunden und dient allein der Veranschaulichung. Es ist keine Empfehlung für konkrete Werte. Ein Unternehmen mit rund vierzig Beschäftigten betreibt zwei virtualisierte Server, eine Dateiablage, ein Warenwirtschaftssystem mit Datenbank, Microsoft 365 und vierzig Arbeitsplätze, darunter mehrere Laptops im Außendienst.

Die Bestandsaufnahme ergibt, dass das Warenwirtschaftssystem samt Datenbank kritisch ist, ebenso das Postfach der Auftragsannahme. Dateiablage und übrige Postfächer gelten als wichtig, die Arbeitsplätze als weniger kritisch, weil die Daten überwiegend auf Servern und in der Cloud liegen. Daraus entsteht eine abgestufte Strategie: Für das kritische System gelten kurze Intervalle und eine geübte, getestete Wiederherstellung, für die Dateiablage tägliche Sicherungen mit mehreren Wochen Aufbewahrung, für die Cloud-Dienste ein Backup außerhalb des Mandanten, für die Laptops ein Standardplan.

Für alle Systeme liegt eine Kopie lokal und eine im Cloud-Speicher, die wichtigsten Stände sind gesperrt. Die Backup-Verwaltung ist durch Mehr-Faktor-Authentifizierung geschützt, zwei Personen können Pläne ändern. Einmal im Quartal testet die IT eine Wiederherstellung, im Wechsel eine Anwendung und ein Server. Die Ergebnisse gehen in ein Protokoll. Das Beispiel zeigt, dass eine tragfähige Strategie weniger von aufwendiger Technik als von klaren Entscheidungen lebt.

Schritt 2: Ziele für Datenverlust und Ausfalldauer festlegen

Für jede Klasse bestimmen Sie zwei Zielgrößen: das Recovery Point Objective (RPO), also den tragbaren Datenverlust, und das Recovery Time Objective (RTO), also die angestrebte Ausfalldauer. Wie diese Werte zu verstehen sind und wie Sie sie ableiten, erklärt RPO und RTO einfach erklärt.

Zur Veranschaulichung ein konstruiertes Beispiel ohne Empfehlungscharakter: Ein Handelsunternehmen stuft sein Warenwirtschaftssystem als kritisch ein, weil ohne dieses weder Aufträge erfasst noch Ware versendet werden kann. Es formuliert als Ziel, höchstens wenige Stunden an Bestelldaten zu verlieren, und schließt daraus auf ein kurzes Sicherungsintervall. Die Dateiablage der Verwaltung gilt als wichtig, und ein Tag Datenverlust ist verschmerzbar, also genügt eine tägliche Sicherung. Das Testsystem der Entwickler wird nur gelegentlich gesichert.

Beachten Sie, dass ein RTO ein Ziel und kein Versprechen ist. Ob es erreichbar ist, hängt von Datenmenge, Bandbreite, Zielumgebung, Komplexität und den handelnden Personen ab. Die Wiederherstellungsdauer sollten Sie deshalb messen, statt sie zu schätzen, siehe Restore-Test.

Schritt 3: Sicherungsintervall und Aufbewahrung

Das Sicherungsintervall folgt aus dem RPO. Eine tägliche Sicherung bedeutet im ungünstigen Fall bis zu 24 Stunden Datenverlust. Für Systeme mit ständig neuen Daten kommen mehrere Sicherungen am Tag in Betracht, für ausgewählte Dateien und Anwendungen auch die laufende Erfassung von Änderungen, siehe Kontinuierliche Datensicherung (CDP) erklärt.

Die Aufbewahrung regelt, wie lange frühere Sicherungsstände erhalten bleiben. Sie ist wichtiger, als es zunächst scheint. Wird ein Fehler oder Angriff erst nach Wochen bemerkt, nützen nur Sicherungen, die so weit zurückreichen. Eine verbreitete Methode ist das Generationenprinzip, bei dem tägliche Stände kurz, wöchentliche länger und monatliche noch länger aufbewahrt werden. So bleibt der Speicherbedarf begrenzt, und dennoch reicht der Rückblick weit.

Aufbewahrung und Archivierung sind verschiedene Dinge. Ein Backup dient der Wiederherstellung nach einem Ereignis, ein Archiv der langfristigen Aufbewahrung von Informationen, häufig aus rechtlichen Gründen. Welche Anforderungen für Ihre Unterlagen gelten, klären Sie im Einzelfall, siehe Backup oder Archivierung?.

Schritt 4: Speicherorte, Trennung und Schutz der Kopien

Bei der Architektur geht es darum, dass kein einzelnes Ereignis alle Kopien zugleich trifft. Die Faustregel dafür ist die 3-2-1-Regel: drei Kopien, zwei verschiedene Speicherarten, eine Kopie an einem anderen Ort. Kombinieren Sie lokale Kopien, die eine schnelle Wiederherstellung ermöglichen, mit einer Kopie im Cloud-Speicher, die auch bei einem Schaden am Standort erhalten bleibt.

Darüber hinaus sind Schutzmaßnahmen für die Sicherungen selbst nötig. Dazu zählen:

• Sperrfristen, die Sicherungen für einen Zeitraum vor Änderung und Löschung schützen, siehe Immutable Backup und Sperrfristen
• Mehr-Faktor-Authentifizierung und getrennte Zugangsdaten für die Backup-Verwaltung
• Rechte nach dem Minimalprinzip, sodass nur wenige Personen Pläne und Ziele ändern dürfen
• Verschlüsselte Übertragung und Speicherung sowie eine geregelte Verwaltung der Schlüssel
• Überwachung und Alarmierung bei Änderungen an Plänen und bei fehlgeschlagenen Jobs

Die Bedrohungen mitdenken

Eine Strategie, die nur den Ausfall eines Datenträgers betrachtet, greift zu kurz. Berücksichtigen Sie auch versehentliche Löschungen, fehlerhafte Anwendungen und beschädigte Datenbanken, kompromittierte Benutzer- und Administratorkonten, Ransomware, den Ausfall eines Standorts sowie den Ausfall des Backup-Systems selbst. Jedes dieser Ereignisse stellt andere Anforderungen: Gegen versehentliche Löschung hilft ein früher Stand, gegen Standortverlust eine entfernte Kopie, gegen Ransomware eine geschützte und saubere Sicherung.

Für den letzten Fall reicht ein technischer Restore nicht aus. Es muss geklärt sein, welcher Stand als sauber gilt und in welcher Umgebung er zuerst wiederhergestellt wird. Mehr dazu in Nach Ransomware: Daten sauber wiederherstellen.

Schritt 5: Betrieb, Tests und klare Verantwortung

Eine Strategie wird erst durch den Betrieb wirksam. Legen Sie fest, wer die Backup-Meldungen täglich oder wöchentlich prüft, wer auf Fehler reagiert, wer Wiederherstellungstests plant und durchführt, wer die Wiederherstellung im Ernstfall verantwortet und wer die Zugangsdaten verwaltet. Eine Aufgabe, die niemandem ausdrücklich zugewiesen ist, wird im Alltag nicht erledigt.

Dokumentieren Sie das Konzept so, dass es auch jemand versteht, der es nicht geschrieben hat: Systemliste mit Klassen, Ziele, Pläne, Speicherorte, Zuständigkeiten, Ablauf der Wiederherstellung, Kontakte. Ergänzen Sie es um ein kurzes Notfallhandbuch, das außerhalb der betroffenen Systeme abgelegt ist, denn ein Handbuch, das auf dem ausgefallenen Server liegt, hilft im Ernstfall nicht. Prüfen und aktualisieren Sie das Konzept nach jeder größeren Änderung der IT, mindestens aber in festen Abständen.

Häufige Fehler in kleinen und mittleren Unternehmen

• Sicherung nur auf demselben Gerät oder im selben Raum wie das Original
• Zugangsdaten der Backup-Verwaltung identisch mit denen der Produktivumgebung
• Cloud-Dienste und Laptops nicht im Konzept erfasst
• Nie eine Wiederherstellung getestet, nur Job-Meldungen beobachtet
• Keine Dokumentation und keine klare Zuständigkeit, insbesondere bei Urlaub und Personalwechsel
• Aufbewahrung zu kurz gewählt, sodass ein spät bemerkter Fehler nicht mehr behebbar ist
• Kein Plan für die Reihenfolge der Wiederherstellung, wenn mehrere Systeme zugleich ausfallen

Orientierung an Normen und Rahmenwerken

Wer sein Konzept an etablierten Vorgaben spiegeln möchte, findet Anhaltspunkte in mehreren Quellen. Der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI) behandelt die Datensicherung in einem eigenen Baustein. Die Norm ISO/IEC 27001 enthält Maßnahmen zur Informationssicherung und zur Kontinuität, und die Norm ISO 22301 beschreibt Managementsysteme für Business Continuity. Der Leitfaden NIST SP 800-34 behandelt die Notfallplanung für Informationssysteme. Diese Quellen sind Orientierung, keine Pflichtlektüre für jedes KMU, und sie ersetzen keine Prüfung Ihrer konkreten Anforderungen. Ob eine Norm für Sie verbindlich ist, ergibt sich aus Ihrer Branche, Ihren Verträgen und den Anforderungen Ihrer Kunden.

Umsetzung mit der Plattform

Mit der Plattform legen Sie im Backup-Plan selbst fest, was gesichert wird, wie oft und wie lange Sicherungsstände aufbewahrt werden. Die Verwaltung erfolgt zentral für physische und virtuelle Systeme, Arbeitsplätze und Cloud-Dienste, siehe Backup aller Workloads. Der Cloud-Speicher liegt im Rechenzentrum in Frankfurt am Main, optional gespiegelt (in der Regel Berlin, Aufpreis). Auf unterstützten Zielen lassen sich Sicherungen sperren, und Sicherungen lassen sich validieren.

Wie viel Sie selbst übernehmen und was Sie an uns abgeben, bestimmen Sie. Unterstützung bieten wir auf Wunsch gegen Vergütung an. Wer ein Konzept für Server und Datenbanken sucht, findet eine aufgabenorientierte Darstellung unter Server und Datenbanken sichern. Die Kosten entnehmen Sie der Preisliste.