1. Einleitung
Ein Backup fällt im Arbeitsalltag meist erst dann auf, wenn es gebraucht wird. Ein Server funktioniert nicht mehr, Dateien wurden versehentlich gelöscht oder ein Cyberangriff hat produktive Daten verschlüsselt. Ob das Unternehmen anschließend schnell weiterarbeiten kann, hängt nicht allein davon ab, ob irgendwo eine Sicherung vorhanden ist. Entscheidend ist, ob diese Sicherung vollständig, geschützt und tatsächlich wiederherstellbar ist. Genau hier setzt ein Managed Backup an.
In vielen IT-Umgebungen laufen Sicherungsjobs jahrelang automatisiert. Ein grüner Status allein beantwortet jedoch nicht die entscheidende Frage: Lassen sich die richtigen Daten und Systeme innerhalb der benötigten Zeit zurückholen? Deshalb gehören Monitoring, Fehlerbearbeitung und regelmäßige Restore-Tests ebenso zu einer belastbaren Datensicherung wie die eigentliche Backup-Software.
Unternehmen sollten ihre Backup-Strategie außerdem auf den konkreten Geschäftsbetrieb abstimmen. Ein zentraler Datenbankserver benötigt möglicherweise deutlich engere Wiederherstellungsziele als ein selten genutztes Ablagesystem. Eine professionelle Datensicherung beginnt deshalb nicht mit einem Produkt, sondern mit der Frage, welche Daten und Systeme wie schnell wieder verfügbar sein müssen.
2. Kurzantwort
Managed Backup bedeutet, dass Datensicherung, Überwachung und Wiederherstellung nach einem definierten Konzept professionell betrieben werden. Dazu gehören geeignete Sicherungsintervalle, getrennte Backup-Kopien, Aufbewahrungsregeln, Verschlüsselung, Monitoring und regelmäßige Restore-Tests. Ziel ist nicht nur, Daten zu kopieren, sondern nach Ausfällen oder Sicherheitsvorfällen die benötigten Systeme und Informationen kontrolliert wiederherstellen zu können.
3. Was Sie dazu wissen sollten
Was ist ein Managed Backup?
Bei einem Managed Backup übernimmt ein IT-Dienstleister definierte Aufgaben rund um die Datensicherung. Dazu können Konzeption, Einrichtung, Überwachung der Sicherungsjobs, Fehlerbearbeitung, Pflege der Backup-Umgebung und Wiederherstellungstests gehören.
Der wesentliche Unterschied zu einem lediglich installierten Backup-Programm liegt im laufenden Betrieb. Eine technische Lösung kann einen Sicherungsjob ausführen. Ein Managed-Backup-Prozess kontrolliert zusätzlich, ob die vorgesehenen Systeme erfasst werden, Sicherungen erfolgreich sind, Auffälligkeiten bearbeitet werden und eine Wiederherstellung praktisch funktioniert.
optimIT beschreibt die eigene Datensicherung deshalb mit Backup-Konzept, Monitoring, täglichen Checks und regelmäßigen Restore-Tests.
Welche Daten und Systeme sollten gesichert werden?
Welche Daten gesichert werden müssen, lässt sich nicht sinnvoll pauschal festlegen. Ausgangspunkt sind die Geschäftsprozesse: Welche Informationen und Systeme werden benötigt, damit Kunden bedient, Aufträge bearbeitet, produziert, abgerechnet oder kommuniziert werden kann?
Je nach Unternehmen können dazu Server, virtuelle Maschinen, Fileshares, Datenbanken, Arbeitsplatzdaten, Konfigurationen und Cloud-Daten gehören. Auch Microsoft-365-Daten können abhängig vom eingesetzten Backup-Konzept berücksichtigt werden.
Wichtig ist außerdem die Abhängigkeit zwischen Systemen. Die Sicherung einer Datenbank allein hilft beispielsweise nur begrenzt, wenn die dazugehörige Anwendung, Konfiguration oder benötigte Infrastruktur nicht ebenfalls wiederhergestellt werden kann.
Wie oft sollte ein Backup durchgeführt werden?
Die richtige Frequenz hängt davon ab, wie viel Datenverlust ein Unternehmen im Ernstfall akzeptieren kann. Dafür wird häufig das Recovery Point Objective, kurz RPO, verwendet. Ein RPO von beispielsweise vier Stunden bedeutet, dass das Sicherungskonzept darauf ausgelegt wird, den möglichen Datenverlust zeitlich entsprechend zu begrenzen.
Ein pauschaler Satz wie „ein tägliches Backup reicht für jedes Unternehmen“ wäre deshalb falsch. Systeme mit vielen geschäftskritischen Änderungen können häufigere Sicherungen benötigen als Datenbestände, die sich nur selten verändern.
Was bedeutet RTO beim Backup?
Das Recovery Time Objective, kurz RTO, beschreibt das angestrebte Zeitfenster für die Wiederherstellung eines Systems oder Geschäftsprozesses nach einer Störung. RPO und RTO beantworten damit unterschiedliche Fragen: Wie viel Datenverlust ist vertretbar und wie schnell muss die IT wieder verfügbar sein?
Diese Werte sind wichtig für die technische Auslegung der Backup-Strategie. Wer einen geschäftskritischen Server sehr schnell wieder benötigt, braucht gegebenenfalls andere Wiederherstellungsverfahren als ein Unternehmen, das bei einem weniger wichtigen Archivsystem längere Ausfallzeiten tolerieren kann.
Was bedeutet die 3-2-1-Backup-Regel?
Die 3-2-1-Regel ist ein verbreitetes Grundprinzip für die Datensicherung. Vereinfacht bedeutet sie: Es existieren mehrere Kopien der Daten, die nicht ausschließlich auf demselben Speichersystem und nicht ausschließlich am selben Standort liegen.
Der entscheidende Gedanke ist die Trennung. Ein Hardwaredefekt, Brand, Fehlkonfiguration oder Cyberangriff soll nicht gleichzeitig sämtliche verfügbaren Sicherungskopien unbrauchbar machen. Je nach Risikoprofil kann deshalb zusätzlich eine besonders stark vom Produktivsystem getrennte oder offline gehaltene Sicherung sinnvoll sein.
optimIT setzt bei der Datensicherung auf ein 3-2-1-Konzept mit lokalen, externen und getrennten Sicherungen. Die konkrete Umsetzung wird an die jeweilige Infrastruktur angepasst.
Warum sind Restore-Tests so wichtig?
Ein erfolgreich abgeschlossener Sicherungsjob zeigt zunächst nur, dass der technische Backup-Prozess keinen erkannten Fehler gemeldet hat. Er beweist nicht automatisch, dass alle benötigten Daten vollständig und innerhalb der benötigten Zeit wiederhergestellt werden können.
Bei einem Restore-Test werden ausgewählte Daten oder Systeme praktisch zurückgesichert. Dabei können Probleme sichtbar werden, die im täglichen Backup-Monitoring nicht auffallen: fehlende Abhängigkeiten, falsche Aufbewahrungszeiten, unvollständige Datenbestände oder unklare Wiederherstellungsabläufe.
Restore-Tests sind deshalb auch ein Test der Organisation. Es muss bekannt sein, wer im Notfall entscheidet, welche Systeme zuerst benötigt werden und welche Schritte für eine saubere Wiederherstellung erforderlich sind.
Schützt ein Backup vor Ransomware?
Ein Backup verhindert keinen Ransomware-Angriff. Es kann aber entscheidend dafür sein, ob Daten und Systeme anschließend aus einer geeigneten Sicherung wiederhergestellt werden können.
Dabei muss berücksichtigt werden, dass Angreifer gezielt versuchen können, erreichbare Backups zu löschen, zu verschlüsseln oder anderweitig unbrauchbar zu machen. Sicherungskopien sollten deshalb so getrennt und geschützt werden, dass eine Kompromittierung der Produktivumgebung nicht automatisch sämtliche Wiederherstellungsmöglichkeiten betrifft.
Vor einer Wiederherstellung nach einem Cyberangriff muss außerdem geprüft werden, ob der verwendete Sicherungsstand geeignet und nicht bereits kompromittiert ist. Das Backup ist damit Teil der Ransomware-Vorsorge, aber kein Ersatz für Patch-Management, Endpoint-Schutz, sichere Identitäten, Netzwerksegmentierung und Incident Response.
Was ist der Unterschied zwischen Backup, Archivierung und Hochverfügbarkeit?
Backup dient dazu, Daten oder Systeme nach Verlust oder Beschädigung wiederherzustellen. Archivierung verfolgt dagegen primär das Ziel, Informationen über einen definierten Zeitraum aufzubewahren und gegebenenfalls Anforderungen an Nachvollziehbarkeit oder Aufbewahrung zu erfüllen.
Hochverfügbarkeit wiederum soll Ausfallzeiten reduzieren, indem beispielsweise Systeme oder Komponenten redundant ausgelegt werden. Eine redundante Kopie ist aber nicht automatisch ein Backup. Wird eine Datei versehentlich gelöscht oder durch Schadsoftware verändert, kann diese Änderung bei synchroner Redundanz ebenfalls übertragen werden.
Die Verfahren erfüllen deshalb unterschiedliche Aufgaben und sollten nicht miteinander verwechselt werden.
Cloud-Backup, lokales Backup oder beides?
Lokale Sicherungen können bei bestimmten Wiederherstellungen kurze Wege und hohe Übertragungsgeschwindigkeiten bieten. Externe beziehungsweise Offsite-Sicherungen schaffen räumliche und technische Trennung zur Produktivumgebung. Eine Kombination kann beide Anforderungen miteinander verbinden.
Bei externen Backups spielen zusätzlich Verschlüsselung, Speicherort, Zugriffsrechte und organisatorische Rahmenbedingungen eine Rolle. optimIT bietet nach aktueller Leistungsbeschreibung automatisierte Online-Sicherungen in ein deutsches Rechenzentrum sowie verschlüsselte Übertragung an.
Wann lohnt sich Managed Backup für Unternehmen?
Managed Backup ist besonders dann interessant, wenn das eigene IT-Team Sicherungen nicht dauerhaft überwachen, Fehler zeitnah bearbeiten oder Restore-Tests regelmäßig durchführen kann. Auch heterogene Umgebungen mit Servern, virtuellen Maschinen, Arbeitsplatzsystemen und Cloud-Diensten erhöhen den organisatorischen Aufwand.
Ein externer Dienstleister nimmt dem Unternehmen dabei nicht jede Verantwortung ab. Geschäftsleitung und Fachbereiche müssen weiterhin definieren, welche Systeme geschäftskritisch sind, welcher Datenverlust tolerierbar ist und wie schnell Prozesse im Notfall wieder verfügbar sein müssen.
Welche Rolle spielt Managed Backup bei NIS2?
Für Unternehmen, die unter das deutsche NIS-2-Regime fallen, gehört die Aufrechterhaltung des Betriebs zu den relevanten Risikomanagementmaßnahmen. Das Bundesamt für Sicherheit in der Informationstechnik nennt in diesem Zusammenhang ausdrücklich Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement.
Ein Managed Backup kann diese Aufgaben technisch und organisatorisch unterstützen. Ein Backup-Vertrag allein stellt jedoch keine vollständige NIS2-Umsetzung dar. Betroffene Unternehmen müssen ein umfassenderes Risikomanagement für ihre Netz- und Informationssysteme betrachten. Aktuelle Informationen veröffentlicht das BSI zu den NIS2-Pflichten.
4. Schritt für Schritt
- Geschäftskritische Systeme bestimmen: Erfassen Sie Daten, Anwendungen, Server und Cloud-Dienste, die für den laufenden Betrieb benötigt werden.
- RPO definieren: Legen Sie fest, wie viel Datenverlust je System oder Prozess maximal akzeptabel ist.
- RTO definieren: Bestimmen Sie, wie schnell die jeweiligen Systeme nach einem Ausfall wieder verfügbar sein müssen.
- Backup-Umfang festlegen: Prüfen Sie, welche Daten, Anwendungen, Konfigurationen und Systemzustände für eine vollständige Wiederherstellung benötigt werden.
- Sicherungskopien trennen: Verteilen Sie Backups so, dass nicht ein einzelner technischer Defekt oder Sicherheitsvorfall sämtliche Kopien gleichzeitig betrifft.
- Aufbewahrung definieren: Legen Sie fest, wie viele Generationen benötigt werden und wie lange Sicherungsstände verfügbar bleiben sollen.
- Verschlüsselung und Zugriffe absichern: Beschränken Sie administrative Rechte und schützen Sie Übertragung sowie Speicherung der Sicherungsdaten angemessen.
- Monitoring einrichten: Überwachen Sie Sicherungsjobs und legen Sie fest, wer Warnungen und fehlgeschlagene Backups bearbeitet.
- Restore regelmäßig testen: Stellen Sie ausgewählte Daten und Systeme praktisch wieder her und dokumentieren Sie Ergebnis und benötigte Zeit.
- Notfallprozess pflegen: Legen Sie Prioritäten, Verantwortlichkeiten und die Reihenfolge der Wiederherstellung fest und aktualisieren Sie diese bei Änderungen der IT.
5. Checkliste
- Sind alle geschäftskritischen Daten, Systeme und Cloud-Dienste im Backup-Konzept erfasst?
- Sind für wichtige Geschäftsprozesse RPO und RTO nachvollziehbar definiert?
- Existieren mehrere Sicherungskopien, die ausreichend voneinander getrennt sind?
- Sind Aufbewahrungsfristen und benötigte Backup-Generationen festgelegt?
- Sind Sicherungsdaten während Übertragung und Speicherung angemessen geschützt?
- Ist der administrative Zugriff auf Backup-Systeme auf berechtigte Personen begrenzt?
- Werden fehlgeschlagene oder unvollständige Sicherungsjobs aktiv überwacht und bearbeitet?
- Werden Restore-Tests regelmäßig praktisch durchgeführt und dokumentiert?
- Ist für einen Cyberangriff geregelt, wie ein geeigneter und sauberer Wiederherstellungsstand bestimmt wird?
- Ist dokumentiert, welche Systeme im Notfall in welcher Reihenfolge wiederhergestellt werden sollen?
6. Häufige Fehler
Fehler 1: Ein grüner Backup-Status wird mit Wiederherstellbarkeit gleichgesetzt
Problem: Ein erfolgreich gemeldeter Sicherungsjob beweist nicht automatisch, dass Daten und Systeme vollständig zurückgesichert werden können. Besser: Führen Sie regelmäßige Restore-Tests durch und dokumentieren Sie, ob die Wiederherstellungsziele tatsächlich erreichbar sind.
Fehler 2: Alle Sicherungskopien sind aus demselben System erreichbar
Problem: Bei Ransomware, kompromittierten Administratorrechten oder technischen Fehlern können dadurch mehrere Sicherungen gleichzeitig betroffen sein. Besser: Sorgen Sie für ausreichend getrennte Sicherungskopien und prüfen Sie abhängig vom Risiko zusätzlich stärker isolierte oder offline gehaltene Varianten.
Fehler 3: Für jedes System gilt derselbe Backup-Zeitplan
Problem: Geschäftskritische Daten können sich wesentlich häufiger ändern als weniger wichtige Ablagen. Besser: Leiten Sie Sicherungsintervalle aus Geschäftsrelevanz und RPO ab.
Fehler 4: Backup und Hochverfügbarkeit werden verwechselt
Problem: Redundante Systeme können Ausfälle abfangen, übernehmen aber unter Umständen auch versehentliche Löschungen oder beschädigte Daten. Besser: Planen Sie Hochverfügbarkeit und Datensicherung als unterschiedliche, sich ergänzende Maßnahmen.
Fehler 5: Cloud-Daten werden automatisch als gesichert betrachtet
Problem: Die Verfügbarkeit eines Cloud-Dienstes beantwortet nicht automatisch, welche Wiederherstellungsoptionen für versehentlich gelöschte oder veränderte Unternehmensdaten bestehen. Besser: Prüfen Sie je Cloud-Dienst, welche Daten wie lange wiederherstellbar sein müssen und ob ein zusätzliches Backup erforderlich ist.
Fehler 6: Erst im Notfall wird über die Reihenfolge des Restores entschieden
Problem: Ohne festgelegte Prioritäten kann wertvolle Zeit verloren gehen oder ein abhängiges System in der falschen Reihenfolge wiederhergestellt werden. Besser: Definieren und testen Sie einen Wiederherstellungsplan mit Verantwortlichkeiten und priorisierten Systemen.
7. Praxisbeispiel
Beispielhafte Situation: Ein mittelständisches Unternehmen sichert seine Server bereits täglich, hat die Wiederherstellung aber seit längerer Zeit nicht getestet. Bei einer Bestandsaufnahme wird zunächst geklärt, welche Anwendungen für Auftragsbearbeitung, Dateizugriff und interne Kommunikation tatsächlich geschäftskritisch sind. Für diese Systeme werden unterschiedliche RPO- und RTO-Ziele festgelegt. Anschließend wird geprüft, ob die vorhandenen Sicherungskopien ausreichend voneinander getrennt sind und welche Zugriffsrechte auf die Backup-Umgebung bestehen. Das Monitoring wird so eingerichtet, dass fehlgeschlagene Sicherungsjobs nicht nur protokolliert, sondern zeitnah bearbeitet werden. In einem Restore-Test werden ausgewählte Daten und ein System kontrolliert zurückgesichert. Dabei zeigt sich, welche Abhängigkeiten und Arbeitsschritte für die Wiederherstellung zusätzlich dokumentiert werden müssen. Aus einem automatisierten Sicherungsjob entsteht so ein geregelter Backup- und Wiederherstellungsprozess, der anschließend regelmäßig überprüft wird.
FAQs
Häufig gestellte Fragen
Was ist ein Managed Backup?
Bei einem Managed Backup übernimmt ein IT-Dienstleister definierte Aufgaben rund um die Datensicherung. Dazu können Konzeption, Einrichtung, Überwachung der Sicherungsjobs, Fehlerbearbeitung und regelmäßige Wiederherstellungstests gehören. Ziel ist nicht nur die Erstellung von Sicherungskopien, sondern ein dauerhaft kontrollierter Backup- und Restore-Prozess.
Was bedeutet die 3-2-1-Regel beim Backup?
Die 3-2-1-Regel beschreibt ein Grundprinzip, bei dem mehrere Kopien der Daten vorhanden sind, die nicht ausschließlich auf demselben Speichersystem und am selben Standort liegen. Dadurch soll verhindert werden, dass ein einzelner Defekt, Standortschaden oder Cyberangriff sämtliche verfügbaren Sicherungskopien gleichzeitig betrifft.
Wie oft sollten Unternehmensdaten gesichert werden?
Die Sicherungshäufigkeit sollte sich danach richten, wie viel Datenverlust für den jeweiligen Geschäftsprozess akzeptabel ist. Dieses Ziel wird häufig als Recovery Point Objective oder RPO festgelegt. Geschäftskritische und häufig veränderte Daten können deshalb deutlich kürzere Sicherungsintervalle benötigen als selten veränderte Datenbestände.
Warum müssen Backups regelmäßig wiederhergestellt werden?
Ein erfolgreicher Sicherungsjob beweist nicht automatisch, dass alle benötigten Daten vollständig und innerhalb der vorgesehenen Zeit zurückgesichert werden können. Restore-Tests prüfen den tatsächlichen Wiederherstellungsprozess und können fehlende Daten, Abhängigkeiten oder unklare Abläufe sichtbar machen, bevor ein echter Notfall eintritt.
Schützt ein Managed Backup vor Ransomware?
Ein Managed Backup verhindert keinen Ransomware-Angriff. Geeignet getrennte und überwachte Sicherungen können jedoch eine wichtige Grundlage für die Wiederherstellung nach einem Angriff bilden. Vor einem Restore muss geprüft werden, welcher Sicherungsstand geeignet ist und ob die zu verwendenden Daten bereits von der Kompromittierung betroffen sein könnten.
Sind Microsoft-365-Daten automatisch ausreichend gesichert?
Ob die vorhandenen Wiederherstellungsfunktionen eines Cloud-Dienstes die Anforderungen eines Unternehmens erfüllen, muss anhand des konkreten Nutzungsszenarios geprüft werden. Entscheidend sind unter anderem benötigte Aufbewahrungszeiten, Wiederherstellungsziele und geschäftskritische Daten. optimIT kann Microsoft 365 je nach Setup in das Backup-Konzept einbeziehen.
Was umfasst die Datensicherung von optimIT?
optimIT beschreibt die Datensicherung mit einem bedarfsgerechten Backup-Konzept, 3-2-1-Prinzip, Monitoring und täglichen Checks sowie regelmäßigen Restore-Tests. In der Planung werden unter anderem RPO, RTO, Aufbewahrung, Offsite-Sicherung, Verschlüsselung und Zuständigkeiten berücksichtigt. Die konkrete Ausgestaltung richtet sich nach der jeweiligen IT-Umgebung.
9. Fazit
Eine Datensicherung erfüllt ihren Zweck erst dann, wenn die benötigten Daten und Systeme nach einem Ausfall zuverlässig wiederhergestellt werden können. Deshalb gehören RPO und RTO, getrennte Sicherungskopien, Monitoring und regelmäßige Restore-Tests zu einem belastbaren Backup-Konzept.
Managed Backup kann insbesondere dann sinnvoll sein, wenn diese Aufgaben intern nicht dauerhaft überwacht und getestet werden können. Wenn Sie Ihre Backup-Strategie prüfen und Sicherungen dauerhaft überwachen und auf Wiederherstellbarkeit testen lassen möchten, sprechen Sie optimIT unter info@optimit.de an.