Blog

Du betrachtest gerade Managed Backup: Wie automatisiertes Backup-Management KMU vor Datenverlust schuetzt

Managed Backup: Wie automatisiertes Backup-Management KMU vor Datenverlust schuetzt

Stellen Sie sich vor, Ihre Produktionsdatenbank ist nach einem Ransomware-Angriff verschlüsselt. Das letzte manuelle Backup liegt drei Wochen zurück. Der Schaden ist nicht nur technisch – er ist existenziell.

Genau dieses Szenario trifft mittelständische Unternehmen in Deutschland regelmäßig. Laut BSI gehören Datenverlust und Ransomware zu den häufigsten und kostspieligsten IT-Vorfällen im Mittelstand. Und in den meisten Fällen war ein Backup vorhanden – nur keines, das im Ernstfall tatsächlich funktioniert hat.

Dieser Artikel erklärt, warum manuelles Backup-Management für Unternehmen mit 30 bis 150 Arbeitsplätzen strukturell versagt, was ein professionelles Managed Backup leistet und worauf es beim Aufbau einer belastbaren Datensicherungsstrategie wirklich ankommt.

Warum manuelles Backup im Mittelstand scheitert

Die meisten Unternehmen haben irgendeine Form von Datensicherung. Das Problem steckt im Wort „irgendeine".

Ein typisches Bild: Ein Mitarbeiter kopiert abends Daten auf eine externe Festplatte, die im selben Raum wie der Server steht. Oder ein Windows-Backup-Job läuft automatisch, aber niemand prüft, ob er erfolgreich abgeschlossen wurde. Oder die Sicherung läuft seit Wochen auf Fehler, weil das Zielmedium voll ist – still, unbemerkt, folgenlos bis zum Tag, an dem es nicht mehr folgenlos ist.

Diese Schwachstellen entstehen nicht aus Nachlässigkeit, sondern aus fehlender Kapazität. Wer kein dediziertes IT-Team hat, kann kein aktives Backup-Monitoring betreiben. Die Lücken werden erst sichtbar, wenn der Ernstfall eingetreten ist.

Die drei häufigsten Backup-Fehler im Mittelstand

1. Keine regelmäßige Wiederherstellungsprüfung
Ein Backup ist nur so gut wie seine letzte erfolgreiche Wiederherstellung. Wer nie testet, ob sich Daten tatsächlich zurückspielen lassen, erlebt die Überraschung genau dann, wenn er sie am wenigsten gebrauchen kann.

2. Backup und Produktivsystem im selben Netzwerksegment
Ransomware verschlüsselt alles, was sie erreichen kann. Liegt das Backup-Ziel im gleichen Netzwerk wie der Produktivserver, ist es bei einem Angriff genauso betroffen.

3. Keine klare Verantwortlichkeit
„Das macht der Kollege aus der IT" oder „das läuft automatisch" sind keine Backup-Strategien. Ohne namentlich benannte Verantwortung und dokumentierte Prozesse fehlt die Grundlage für jede Wiederherstellung unter Zeitdruck.

Was Managed Backup konkret bedeutet

Managed Backup ist kein Produkt, das man kauft und einrichtet. Es ist ein laufend betriebener Dienst, der Datensicherung als kontinuierlichen Prozess behandelt – nicht als einmalige Konfiguration, die danach sich selbst überlassen wird.

Ein Managed-Backup-Dienst umfasst typischerweise:

  • Automatisierte, geplante Sicherungen nach definierten Zeitfenstern, ohne manuelle Eingriffe
  • Zentrales Monitoring aller Backup-Jobs mit sofortiger Alarmierung bei Fehlern
  • Verschlüsselte Übertragung und Speicherung der Sicherungsdaten, lokal wie in der Cloud
  • Regelmäßige Wiederherstellungstests, die dokumentiert und nachweisbar sind
  • Versionierung und Aufbewahrungsfristen, die gesetzliche Anforderungen wie die GoBD abdecken
  • Offsite-Speicherung, damit ein Brandschaden oder Einbruch nicht gleichzeitig Produktivdaten und Sicherung vernichtet

Der entscheidende Unterschied zum selbst verwalteten Backup: Jemand schaut täglich hin. Nicht irgendwann, wenn Zeit ist.

Die 3-2-1-Regel als Grundprinzip

In der Praxis hat sich die 3-2-1-Regel als Mindeststandard etabliert:

  • 3 Kopien Ihrer Daten
  • 2 verschiedene Speichermedien oder -technologien
  • 1 Kopie außerhalb des Unternehmensstandorts – Offsite oder Cloud

Für Unternehmen mit 40 bis 80 Arbeitsplätzen bedeutet das in der Praxis häufig eine Kombination aus lokalem NAS oder Backup-Server, einem sekundären lokalen Medium und einer verschlüsselten Online-Sicherung in einem deutschen Rechenzentrum.

Die Offsite-Komponente ist dabei nicht optional. Sie ist der einzige Schutz gegen physische Schadensereignisse wie Feuer, Wasserschaden oder Diebstahl.

RTO und RPO: Was diese Kennzahlen für Ihr Unternehmen bedeuten

Zwei Werte bestimmen, wie teuer ein Datenverlust für Ihr Unternehmen tatsächlich wird:

RTO (Recovery Time Objective): Wie lange darf die Wiederherstellung dauern, bevor der Schaden kritisch wird? Für einen Logistikbetrieb mit Echtzeitaufträgen sind das vielleicht vier Stunden. Für einen Industriebetrieb mit Produktionsplanung möglicherweise ein Tag.

RPO (Recovery Point Objective): Wie viel Datenverlust ist akzeptabel? Ein RPO von 24 Stunden bedeutet, dass Sie im schlimmsten Fall einen Arbeitstag an Daten verlieren. Für viele Unternehmen ist das zu viel.

Wer diese Werte nicht kennt, kann keine sinnvolle Backup-Strategie aufbauen. Ein professioneller Managed-Backup-Dienst beginnt deshalb mit der Analyse dieser Anforderungen – bevor irgendeine Technologie ausgewählt wird.

Managed Backup und NIS2: Was Geschäftsführer jetzt wissen müssen

Seit Dezember 2025 ist das NIS2-Umsetzungsgesetz (NIS2UmsG) in Deutschland verbindlich. Es betrifft rund 29.500 Unternehmen, die bislang nicht unter die ursprüngliche NIS-Richtlinie fielen, und schafft persönliche Haftung für Geschäftsführer, die keine nachweisbaren Sicherheitsmaßnahmen umgesetzt haben.

Datensicherung ist eine der explizit genannten Mindestanforderungen. Ein dokumentiertes, regelmäßig getestetes Backup-Konzept ist damit keine Best Practice mehr, sondern eine Compliance-Anforderung mit direkter Haftungsrelevanz.

Wer im Ernstfall nachweisen muss, dass angemessene Schutzmaßnahmen getroffen wurden, braucht mehr als einen Backup-Job, der irgendwo läuft. Er braucht Dokumentation, Testergebnisse und einen benannten Verantwortlichen.

Business Continuity: Backup ist nicht gleich Wiederherstellung

Ein verbreiteter Denkfehler: Backup und Business Continuity werden gleichgesetzt. Sie sind es nicht.

Backup sichert Daten. Business Continuity stellt sicher, dass Ihr Unternehmen nach einem Ausfall handlungsfähig bleibt. Das schließt Fragen ein wie:

  • Auf welcher Hardware werden Systeme wiederhergestellt, wenn der Server physisch zerstört ist?
  • Wer hat im Notfall Zugriff auf Wiederherstellungsmedien und Zugangsdaten?
  • Wie lange dauert die vollständige Wiederherstellung aller kritischen Systeme?
  • Welche Systeme werden zuerst hochgefahren?

Ein durchdachtes Business-Continuity-Konzept beantwortet diese Fragen schriftlich – bevor der Ernstfall eintritt. Es wird regelmäßig getestet und aktualisiert, wenn sich die IT-Infrastruktur ändert.

Was ein externer Managed-Backup-Dienst leistet, den Sie intern nicht replizieren können

Wenn Ihr Unternehmen keinen dedizierten IT-Mitarbeiter hat, fehlt schlicht die Kapazität für aktives Backup-Management. Das ist kein Vorwurf – es ist eine strukturelle Realität.

Ein Managed-Service-Provider übernimmt:

  • Tägliches Monitoring aller Backup-Jobs
  • Sofortige Reaktion bei fehlgeschlagenen Sicherungen
  • Regelmäßige dokumentierte Wiederherstellungstests
  • Anpassung der Backup-Strategie bei Infrastrukturänderungen
  • Compliance-Dokumentation für NIS2, DSGVO und GoBD
  • Koordination im Schadensfall, damit Sie sich auf Ihr Kerngeschäft konzentrieren können

Der Unterschied zu einem passiven Ticket-System ist dabei nicht trivial: Wenn ein Backup-Job nachts fehlschlägt, sollte das jemand am nächsten Morgen bemerken und beheben – nicht erst dann, wenn Sie drei Wochen später einen Datenverlust feststellen.

BREiHOF iT GmbH betreibt seit 1998 Managed Backup und Disaster Recovery für mittelständische Unternehmen in Heidelberg und der Rhein-Neckar-Region. Jeder Kunde hat einen namentlich benannten Ansprechpartner, der bei Bedarf innerhalb von unter zwei Stunden vor Ort ist.

Checkliste: Ist Ihre Datensicherung wirklich belastbar?

Prüfen Sie Ihren aktuellen Stand anhand dieser Fragen:

  • Werden Backup-Jobs täglich auf Erfolg überwacht?
  • Gibt es eine Offsite- oder Cloud-Komponente?
  • Wurde die Wiederherstellung in den letzten 90 Tagen getestet?
  • Sind RTO und RPO für alle kritischen Systeme definiert?
  • Liegt das Backup außerhalb des Produktionsnetzwerks?
  • Gibt es eine schriftliche Dokumentation des Backup-Konzepts?
  • Ist klar, wer im Notfall was in welcher Reihenfolge tut?

Wenn Sie mehr als zwei Punkte nicht mit „Ja" beantworten können, ist Ihre aktuelle Datensicherung ein Risiko, das aktiv gemanagt werden sollte.

Fazit

Managed Backup ist kein technisches Luxusproblem. Es ist eine betriebliche Grundvoraussetzung für jedes Unternehmen, das nach einem Datenverlust weiterarbeiten will.

Für mittelständische Unternehmen ohne dediziertes IT-Team ist die Übergabe an einen erfahrenen Managed-Service-Provider die einzige realistische Möglichkeit, Backup-Management auf dem Niveau zu betreiben, das NIS2, DSGVO und der eigene Geschäftsbetrieb erfordern. Wer das intern abbilden möchte, unterschätzt den laufenden Aufwand erheblich.

Wenn Sie wissen möchten, wie eine belastbare Backup-Strategie für Ihr Unternehmen konkret aussieht, finden Sie weitere Informationen unter breihof-it.de.

Häufig gestellte Fragen

Was ist der Unterschied zwischen Managed Backup und einem normalen Backup?
Ein normales Backup ist eine Datensicherung, die eingerichtet wird und dann läuft – oft ohne aktive Überwachung. Managed Backup ist ein laufend betriebener Dienst: Backup-Jobs werden täglich überwacht, Fehler sofort behoben, Wiederherstellungen regelmäßig getestet und die gesamte Strategie dokumentiert und aktuell gehalten.

Wie oft sollte ein Backup für ein mittelständisches Unternehmen laufen?
Das hängt von Ihrem Recovery Point Objective ab. Für die meisten Unternehmen mit 30 bis 150 Arbeitsplätzen sind tägliche inkrementelle Sicherungen und wöchentliche Vollsicherungen ein realistischer Mindeststandard. Kritische Datenbanken oder ERP-Systeme können kürzere Sicherungsintervalle erfordern.

Muss ein Backup zwingend in der Cloud gespeichert werden?
Nein, aber eine Offsite-Komponente ist unverzichtbar. Das kann eine Cloud sein, aber auch ein gesicherter Sekundärstandort. Entscheidend ist, dass mindestens eine Kopie Ihrer Daten physisch vom Hauptstandort getrennt ist – damit ein lokaler Schadenfall nicht alle Sicherungen mit vernichtet.

Was fordert NIS2 konkret im Bereich Datensicherung?
Das NIS2-Umsetzungsgesetz, das seit Dezember 2025 in Deutschland verbindlich ist, verlangt von betroffenen Unternehmen unter anderem Maßnahmen zur Datensicherung und Wiederherstellung sowie deren Dokumentation. Ein nachweisbares, regelmäßig getestetes Backup-Konzept gehört zu den Mindestanforderungen – deren Nichteinhaltung kann zur persönlichen Haftung des Geschäftsführers führen.

Wie lange dauert eine vollständige Wiederherstellung nach einem Ransomware-Angriff?
Das hängt stark von der Datenmenge, der Backup-Technologie und der Zielinfrastruktur ab. Ohne vorbereitetes Business-Continuity-Konzept können Wiederherstellungen Tage dauern. Mit einem gut geplanten und regelmäßig getesteten Prozess lassen sich kritische Systeme oft innerhalb weniger Stunden wieder in Betrieb nehmen.

Was kostet Managed Backup für ein Unternehmen mit 40 bis 80 Arbeitsplätzen?
Die Kosten hängen von der Datenmenge, den Aufbewahrungsfristen, der gewählten Technologie und dem Umfang des Monitorings ab. Eine pauschale Zahl ist ohne Analyse der konkreten Infrastruktur nicht seriös. Einen Überblick über Preisstrukturen finden Sie auf der Preisseite von BREiHOF iT.

Kann ich Managed Backup auch ohne vollständiges Managed-IT-Paket beauftragen?
Grundsätzlich ja. Sinnvoller ist es jedoch, Backup im Kontext der gesamten IT-Infrastruktur zu betrachten, da Wiederherstellungsszenarien immer auch die Produktivsysteme betreffen. Ein erfahrener IT-Dienstleister wird deshalb zumindest eine Bestandsaufnahme Ihrer Infrastruktur empfehlen, bevor eine Backup-Strategie definiert wird.