Montagmorgen, kurz nach acht. Die erste Mitarbeiterin will eine Rechnung öffnen, der Vereinsobmann sucht die Mitgliederliste für den Newsletter, und plötzlich fehlt ein ganzer Ordner. Oder schlimmer: Der PC startet, aber die Dateien tragen fremde Endungen und eine Lösegeldforderung liegt am Bildschirm. In solchen Momenten zeigt sich, ob Sie nur irgendwo Kopien abgelegt haben oder ob Sie eine belastbare Backup-Strategie besitzen.
Gerade bei kleinen Unternehmen, Vereinen und Einzelunternehmer:innen in Österreich ist das Thema oft pragmatisch gelöst. Eine USB-Festplatte im Kasten, ein Dropbox-Ordner, vielleicht noch ein NAS im Büro. Das ist besser als nichts. Es ist aber noch keine Strategie, wenn niemand weiß, welche Daten zuerst zurückmüssen, wie lange die Wiederherstellung dauern darf und ob das Backup überhaupt funktioniert.
Eine gute Backup-Strategie ist keine Luxus-IT für Konzerne. Sie ist ein Teil Ihrer Betriebsfähigkeit. Sie schützt Buchhaltung, Kundendaten, E-Mails, Projektdokumente, Vereinsunterlagen und private Erinnerungen. Vor allem gibt sie Ruhe, weil Sie im Ernstfall nicht improvisieren müssen.
Inhaltsverzeichnis
- Warum eine einzelne Kopie keine Backup-Strategie ist
- Das Fundament Ihrer Strategie RPO und RTO definieren
- Die 3-2-1-Regel in der Praxis einfach umsetzen
- Die richtigen Werkzeuge und Speicherorte auswählen
- Backups testen und DSGVO-konform bleiben
- Schutz vor Ransomware und Checkliste für den Ernstfall
Warum eine einzelne Kopie keine Backup-Strategie ist
Viele Ausfälle beginnen unspektakulär. Jemand löscht den falschen Ordner. Eine Festplatte gibt Geräusche von sich und ist dann weg. Ein Notebook wird gestohlen. Oder ein Verschlüsselungstrojaner läuft durch das Netzwerk und erwischt nicht nur den Arbeitsrechner, sondern gleich das angeschlossene Laufwerk mit.
Der Denkfehler ist fast immer derselbe: Eine Kopie wird mit einer Strategie verwechselt. Eine Kopie ist nur ein Objekt. Eine Strategie beantwortet Geschäftsfragen. Welche Daten sind unersetzlich? Wie rasch müssen Sie wieder arbeiten können? Wer darf Backups verwalten? Wo liegt eine zweite Rettungsleine, wenn das Büro selbst betroffen ist?
Was in kleinen Organisationen oft schiefläuft
Bei KMU und Vereinen sehe ich immer wieder dieselben Muster:
- Die externe Festplatte bleibt ständig angesteckt. Dann kann Schadsoftware sie genauso verschlüsseln wie das eigentliche System.
- Backups liegen im selben Raum wie das Original. Bei Brand, Wasser, Diebstahl oder Stromschaden verlieren Sie beides.
- Niemand prüft die Wiederherstellung. Das Backup-Programm meldet Erfolg, aber im Ernstfall fehlen Berechtigungen, Datenbanken oder ganze Versionen.
- Wichtige Daten sind verstreut. Buchhaltung liegt lokal, Fotos auf Handys, Verträge in E-Mails, Mitgliederlisten in mehreren Excel-Dateien.
Eine funktionierende Backup-Strategie erkennt man nicht daran, dass irgendwo Daten liegen. Man erkennt sie daran, dass Sie eine Wiederherstellung geordnet durchführen können.
Was eine echte Backup-Strategie leisten muss
Für kleinere Organisationen reicht meist kein „alles irgendwo sichern“. Sinnvoll ist eine Lösung, die mehrere Risiken gleichzeitig abdeckt:
- Hardware-Ausfall bei PC, Server, NAS oder externer Platte
- Menschliches Versehen wie Überschreiben, Löschen oder falsche Synchronisation
- Lokale Schäden im Büro oder Vereinslokal
- Cyberangriffe auf Dateien, Benutzerkonten und Backup-Ziele
Die Folge daraus ist einfach: Backups müssen so aufgebaut sein, dass Sie nicht nur Daten speichern, sondern den Betrieb wieder aufnehmen können. Genau dort beginnt der Unterschied zwischen Datensicherung und Business Continuity.
Das Fundament Ihrer Strategie RPO und RTO definieren
Bevor Sie ein NAS kaufen oder einen Cloud-Dienst abonnieren, brauchen Sie zwei klare Zielgrößen: RPO und RTO. Fachquellen empfehlen dafür, Daten zuerst nach Geschäftswert zu klassifizieren und danach festzulegen, wie viel Datenverlust akzeptabel ist und wie lange ein Ausfall dauern darf. Daraus leiten sich Backup-Frequenz und Aufbewahrung ab. Damit wird eine Backup-Strategie zu einem messbaren Werkzeug für Business Continuity, nicht nur zu einer technischen Routine, wie diese Einordnung zu RPO und RTO in der Backup-Planung beschreibt.
Welche Daten wirklich kritisch sind
RPO steht für die Frage: Wie viel Datenverlust ist akzeptabel?
RTO steht für die Frage: Wie schnell muss das System wieder laufen?
Das klingt technisch. In der Praxis ist es sehr geschäftsnah.
Nehmen wir ein kleines Wiener Handelsunternehmen. Wenn die Buchhaltung bis morgen warten kann, aber das Warenwirtschaftssystem heute wieder verfügbar sein muss, dann haben beide Bereiche unterschiedliche Anforderungen. Ein Verein bewertet das oft anders. Die Mitgliederdaten und die laufende Kommunikation sind wichtig, während alte Archivfotos zwar wertvoll, aber nicht sofort betriebsentscheidend sind.
Ein pragmatischer Start ist diese Einteilung:
- Existenzkritisch sind Daten, ohne die Sie nicht verrechnen, liefern, kommunizieren oder gesetzliche Pflichten erfüllen können.
- Betriebswichtig sind Unterlagen, deren Verlust lästig und teuer wäre, die aber nicht sofort alles stoppen.
- Archiv und Komfortdaten sind Informationen, die Sie behalten möchten, aber nicht mit derselben Priorität wiederherstellen müssen.
So legen Sie sinnvolle Zielwerte fest
Arbeiten Sie nicht von der Technik aus, sondern vom Schaden. Fragen Sie sich:
Wenn diese Daten weg sind, was passiert heute konkret?
Können Sie keine Rechnung schreiben, keinen Termin wahrnehmen, keine Mitglieder erreichen?Wie alt dürfte die letzte brauchbare Sicherung sein?
Bei laufender Auftragsarbeit ist das oft deutlich strenger als bei einer Fotobibliothek.Wie lange dürfen Sie warten, bis wieder gearbeitet werden kann?
Manche Daten müssen rasch auf einem Ersatzgerät verfügbar sein. Andere können später zurückgespielt werden.
Ein paar praktische Beispiele helfen:
| Bereich | RPO-Frage | RTO-Frage |
|---|---|---|
| Buchhaltung im KMU | Wie viele neue Buchungen dürften im Notfall fehlen? | Bis wann muss weiter fakturiert werden können? |
| Mitgliederdaten im Verein | Dürfen seit der letzten Aussendung Änderungen fehlen? | Wie schnell müssen Listen und Kontakte wieder verfügbar sein? |
| Familienfotos privat | Ist ein Verlust der letzten Aufnahmen verkraftbar? | Muss alles sofort da sein oder reicht eine spätere Wiederherstellung? |
Praktische Regel: Je näher Daten am täglichen Betrieb, an Geldflüssen oder an rechtlichen Pflichten liegen, desto strenger sollten Sie RPO und RTO ansetzen.
Was nicht funktioniert, ist eine Einheitslösung für alles. Wenn Sie dieselbe Sicherungsfrequenz und dieselbe Wiederherstellungszeit für Buchhaltung, Marketingmaterial und Archivbilder ansetzen, zahlen Sie oft zu viel an der falschen Stelle. Oder Sie sparen am falschen Ende.
Für kleine Organisationen reicht oft schon eine einfache Schutzklassen-Matrix in einer Tabelle oder im Notfallhandbuch. Darin stehen Datenkategorie, Speicherort, Verantwortliche, gewünschte Wiederherstellungszeit und das passende Backup-Verfahren. Diese Klarheit spart im Ernstfall mehr Zeit als jede schöne Software-Oberfläche.
Die 3-2-1-Regel in der Praxis einfach umsetzen
Wenn die Ziele definiert sind, kommt die Architektur. Das NIST empfiehlt für wichtige Daten die 3-2-1-Regel: 3 Kopien, auf 2 unterschiedlichen Medientypen, mit 1 Kopie außer Haus. Moderne Erweiterungen zielen zusätzlich auf eine offline oder unveränderliche Kopie sowie auf 0 Backup-Fehler durch Tests und Integritätsprüfungen, wie die NIST-Empfehlung zur 3-2-1-Regel zusammenfasst.
Was die Regel im Alltag bedeutet
Die Formel klingt komplizierter, als sie ist.
- 3 Kopien Ihrer Daten bedeutet: produktive Daten plus zwei Sicherungen.
- 2 unterschiedliche Medientypen bedeutet: nicht alles auf derselben Art Speicher ablegen.
- 1 Kopie außer Haus bedeutet: mindestens eine Sicherung liegt an einem anderen Ort.
Für ein kleines Büro kann das so aussehen: Die Originaldaten liegen auf PCs oder einem Server. Eine lokale Sicherung läuft auf ein NAS im Büro. Eine zweite Sicherung geht verschlüsselt in einen Cloud-Backup-Dienst oder an einen anderen Standort.
Der große Vorteil liegt nicht in „mehr Dateien“, sondern im Ausschluss des einen großen Fehlers. Wenn alles im selben Raum und auf derselben Technik hängt, haben Sie einen Single Point of Failure. Dann genügt ein lokaler Schaden, und alle Sicherungen sind wertlos.
Zur Veranschaulichung eignet sich auch dieses Video:
Typische Umsetzungen für KMU und Vereine
Nicht jede Organisation braucht dieselbe Kombination. Diese Varianten sind im Alltag realistisch:
Variante für Einzelunternehmer:innen
Ein Arbeitsgerät, eine automatische lokale Sicherung auf externe Festplatte oder kleines NAS und zusätzlich Cloud-Backup für Dokumente, E-Mails und Projektdateien. Wichtig ist, dass die lokale Platte nicht dauernd frei beschreibbar im System hängt.
Variante für den Verein
Zentrale Dateiablage für Vorstandsunterlagen, Mitgliederlisten und Protokolle auf einem NAS. Dazu eine Offsite-Kopie in die Cloud und klar geregelte Berechtigungen, damit nicht jedes Vorstandsmitglied Vollzugriff auf das Backup hat.
Variante für das kleine Unternehmen
Server oder zentrale Freigaben lokal sichern, zusätzlich eine zweite Plattform für Offsite-Backups nutzen. So vermeiden Sie, dass ein Defekt, ein Diebstahl oder eine Verschlüsselung alles zugleich trifft.
Wenn Sie nur eine Sicherung haben, besitzen Sie keinen Puffer. Wenn Sie zwei Sicherungen am selben Ort haben, besitzen Sie nur eine bessere Illusion.
Worauf Sie achten sollten:
- Lokale Sicherung für schnelle Wiederherstellung bei versehentlich gelöschten Dateien oder kleineren Ausfällen
- Externe oder Cloud-Kopie für Brand, Einbruch, Stromprobleme oder größere Vorfälle
- Getrennte Zugriffe für Backup-Verwaltung statt gemeinsamer Standardkonten
- Dokumentation, damit auch bei Urlaub, Krankheit oder Vorstandswechsel klar ist, wie restauriert wird
Die 3-2-1-Regel ist kein starres Produkt, sondern ein Denkmodell. Für kleine Organisationen ist das ideal, weil Sie damit klein anfangen und sauber ausbauen können.
Die richtigen Werkzeuge und Speicherorte auswählen
Die Auswahl scheitert selten an zu wenig Angebot. Eher am falschen Mix. Viele starten mit dem, was schon da ist: Time Machine, Windows-Bordmittel, eine USB-Platte oder ein NAS. Das kann funktionieren. Es reicht aber nur dann, wenn es zu Ihren RPO- und RTO-Zielen passt und sauber überwacht wird. Best Practices nennen dafür fünf Schritte: kritische Daten inventarisieren, RPO/RTO festlegen, zwei unterschiedliche Speichermedien kombinieren, Backups automatisieren und Wiederherstellungen regelmäßig testen. Der technische Kern bleibt die 3-2-1-Regel, um einen Single Point of Failure zu vermeiden, wie diese Übersicht zu Best Practices bei Backup-Strategien festhält.
Bordmittel, Backup-Software oder Cloud
Bordmittel im Betriebssystem sind ein guter Einstieg. Time Machine auf dem Mac oder integrierte Windows-Funktionen helfen, einzelne Dateien oder Systemstände zu sichern. Für Einzelplätze und Privatnutzer:innen ist das oft vernünftig. Die Grenzen kommen bei zentralem Monitoring, Berichten, mehreren Geräten und sauberer Offsite-Strategie.
Spezialisierte Backup-Software bringt mehr Kontrolle. Sie automatisiert Jobs, meldet Fehler, verwaltet Versionen und erlaubt oft gezielte Wiederherstellungen. Für KMU mit mehreren Arbeitsplätzen oder einem kleinen Server ist das meistens die bessere Wahl.
Cloud-Backup-Dienste lösen vor allem das Offsite-Problem elegant. Sie nehmen Ihnen aber nicht jede Verantwortung ab. Sie müssen trotzdem prüfen, was genau gesichert wird, wie lange Versionen verfügbar sind und wer Zugriff hat.
Bei den Speicherorten gilt dasselbe Prinzip:
- Externe Festplatten sind günstig und einfach, aber organisatorisch fehleranfällig.
- NAS-Systeme sind praktisch für lokale, schnelle Restores und zentrale Ablage.
- Cloud-Speicher stärkt die räumliche Trennung, braucht aber saubere Rechteverwaltung und klare Datenschutzprüfung.
Für Websites, Dateien und private Arbeitsbereiche kann auch ein Mix aus Hosting und geschütztem Speicher sinnvoll sein. Wer Infrastruktur bündeln will, findet etwa bei Webhosting und Speicherlösungen für kleinere Organisationen einen Ansatz, der Webserver, privaten Cloudspeicher und organisatorische Betreuung verbinden kann. Das ist eine Option unter mehreren, nicht automatisch die richtige für jeden Fall.
Vergleich von Backup-Lösungen
| Lösungstyp | Vorteile | Nachteile | Ideal für |
|---|---|---|---|
| Externe Festplatte | Einfach, lokal schnell, überschaubare Kosten | Manuell, leicht vergessen, oft am selben Ort wie Original | Privatpersonen, Einzelplätze, Zusatzkopie |
| NAS im Büro | Zentrale Sicherung, schnelle Wiederherstellung, mehrere Geräte | Braucht Wartung, bleibt lokales Risiko | KMU, Vereine, Teams mit gemeinsam genutzten Daten |
| Cloud-Backup | Offsite, automatisierbar, gut für Standorttrennung | Abhängig von Internet, Rechte und Datenschutz müssen sauber geregelt sein | Offsite-Sicherung, Homeoffice, verteilte Teams |
| Spezialisierte Backup-Software | Monitoring, Versionierung, Berichte, gezielte Restores | Mehr Einrichtung und laufende Pflege | KMU mit mehreren Systemen oder Servern |
| Bordmittel von Windows oder macOS | Schnell verfügbar, einfach für den Start | Eingeschränkte Verwaltung, oft zu wenig für mehrere Systeme | Privatnutzer:innen und sehr kleine Umgebungen |
Was in der Praxis gut funktioniert, ist ein hybrider Aufbau. Lokal für Geschwindigkeit. Extern oder in der Cloud für Resilienz. Was oft nicht funktioniert, ist reines Vertrauen auf Synchronisation. Ein synchronisierter Ordner ist kein vollwertiges Backup, wenn gelöschte oder verschlüsselte Dateien sofort auf alle Ziele übernommen werden.
Backups testen und DSGVO-konform bleiben
Die heikelste Fehlannahme im Alltag lautet: „Das Backup läuft eh jeden Tag.“ Das sagt noch nichts darüber aus, ob Sie die Daten sauber zurückbekommen. Als Mindeststandard nennen Fachquellen monatliche File-Level-Restores und jährliche Full-Failovers. Sie weisen auch darauf hin, dass der häufigste Fehler die Annahme ist, ein Backup sei automatisch wiederherstellbar. Überwachung auf Fehlerraten und unautorisierte Zugriffe ist daher wesentlich, wie diese Empfehlungen zu Restore-Tests und Monitoring ausführen.
Warum Tests wichtiger sind als grüne Häkchen
Ein grünes Häkchen im Dashboard beruhigt. Es rettet Ihnen aber keinen Betrieb. Erst ein Test zeigt, ob Dateiversionen lesbar sind, Datenbanken konsistent zurückkommen und Berechtigungen stimmen.
Für kleine Organisationen genügt oft ein klarer Testplan:
- Monatlich eine Stichprobe einzelner Dateien wiederherstellen
- Regelmäßig prüfen, ob die richtigen Ordner und Systeme überhaupt im Backup enthalten sind
- Mindestens einmal im Jahr eine vollständige Wiederherstellung oder einen realistischen Failover-Ablauf durchspielen
- Jeden Test dokumentieren mit Datum, verantwortlicher Person und Ergebnis
Wichtiger Hinweis: Ein Backup ohne Restore-Test ist keine Sicherheitsmaßnahme, sondern eine Annahme.
Was ich in der Praxis rate: Testen Sie nicht nur „ob etwas kommt“, sondern ob es am richtigen Ort, in der richtigen Version und im richtigen Zeitrahmen zurückkommt. Für ein KMU kann das heißen, eine Testdatei aus der Buchhaltung wiederherzustellen. Für einen Verein vielleicht die Mitgliederliste und ein Archivordner mit Protokollen. Für Privatpersonen sind es oft Fotos, E-Mail-Archive oder wichtige Dokumente.
DSGVO im Backup-Alltag
Backups betreffen fast immer personenbezogene Daten. Kund:innen, Mitglieder, Mitarbeiter:innen, Spender:innen oder Kontaktlisten. Damit ist das Thema automatisch auch ein Datenschutzthema.
Praktisch sollten Sie diese Punkte klären:
Speicherort
Wissen Sie, in welchem Rechtsraum die Daten liegen und wer als Auftragsverarbeiter agiert?Zugriffsrechte
Nicht jede Person mit Admin-Rechten im Alltag sollte auch alle Backups sehen oder löschen dürfen.Löschkonzept und Aufbewahrung
Backups dürfen nicht zu einem rechtsfreien Archiv werden. Es braucht nachvollziehbare Fristen und Regeln, wie mit Löschbegehren und Altdaten umgegangen wird.Dokumentation
Halten Sie fest, welche Systeme gesichert werden, wohin gesichert wird und wie Wiederherstellungen freigegeben werden.
Für viele kleinere Organisationen ist es sinnvoll, Backup-Prozesse gemeinsam mit den allgemeinen Datenschutzunterlagen zu prüfen. Einen guten organisatorischen Einstieg bietet eine strukturierte Sicht auf Datenschutz und DSGVO-Anforderungen für Web- und IT-Prozesse.
DSGVO-Konformität heißt im Backup-Bereich nicht, möglichst wenig zu sichern. Es heißt, gezielt, nachvollziehbar und kontrolliert zu sichern.
Schutz vor Ransomware und Checkliste für den Ernstfall
Ransomware verändert die Spielregeln. Angreifer wollen nicht nur produktive Daten treffen. Sie wollen auch die Rettungswege zerstören. Deshalb reicht eine zusätzliche Kopie allein nicht mehr. Neuere Leitlinien betonen immutable Storage, Air-Gap und regelmäßige Wiederherstellungstests. Im österreichischen Kontext ist das besonders relevant, weil das BKA für 2024 weiterhin hohe Cyberkriminalitätszahlen meldet und der Schutz der Backups selbst, etwa durch getrennte Berechtigungen, entscheidend ist, wie diese Einordnung zu geo-redundanten und ransomware-resistenten Backups hervorhebt.
Warum Angreifer auf Backups zielen
Wenn ein Angreifer Ihre Produktivdaten verschlüsselt, aber das Backup unberührt bleibt, können Sie wiederherstellen. Genau deshalb versuchen moderne Angriffe oft zuerst, Sicherungen, Backup-Software oder Admin-Zugänge zu kompromittieren.
Sinnvolle Gegenmaßnahmen sind:
Immutable Backups
Sicherungen, die nach dem Schreiben nicht einfach verändert oder gelöscht werden können.Air-Gap oder klare Trennung
Eine Kopie ist physisch oder logisch von der normalen Umgebung getrennt.Getrennte Berechtigungen
Backup-Admins sollten nicht mit denselben Konten arbeiten wie normale Systemverwaltung.Offline verfügbare Runbooks
Wenn Ihr Netzwerk betroffen ist, brauchen Sie den Wiederherstellungsplan trotzdem.
Checkliste für den Ernstfall
Wenn wirklich etwas passiert, hilft keine Improvisation. Dann hilft eine kurze, geübte Reihenfolge.
Betroffene Systeme isolieren
Trennen Sie Geräte oder Freigaben, die verdächtig wirken.Nicht vorschnell überschreiben
Starten Sie keine hektischen Neuinstallationen, bevor klar ist, welche Daten betroffen sind.Backup-Zustand prüfen
Welche Sicherung ist sauber, vollständig und unberührt?Wiederherstellung priorisieren
Zuerst die Systeme und Daten zurückholen, die Ihren Betrieb tragen.Zugänge und Rechte absichern
Konten, Passwörter und Berechtigungen für Backup und produktive Systeme sofort prüfen.
Für viele KMU und Vereine ist es sinnvoll, diese Abläufe nicht nur technisch, sondern organisatorisch vorzubereiten. Unterstützung bei Betrieb, Absicherung und laufender Betreuung finden Organisationen je nach Bedarf auch über IT-Services und technische Unterstützung für kleinere Strukturen.
Wenn Sie Ihre Backup-Strategie nicht nur theoretisch, sondern praxistauglich aufsetzen möchten, unterstützt Sie IRQ Internet Service e.U. bei der Einordnung Ihrer Daten, bei der Auswahl passender Speicherorte und bei einer Lösung, die zu KMU, Vereinen und Privatkund:innen in Österreich passt. Wichtig ist nicht die komplizierteste Technik, sondern ein Setup, das Sie im Ernstfall tatsächlich wieder arbeitsfähig macht.
