Backups, die im Ernstfall funktionieren

Warum ein Backup erst zählt, wenn es zurückkommt

Ein Backup ist kein Zustand, sondern ein Versprechen: Wenn das hier kaputtgeht, bekomme ich es zurück. Eingelöst wird es nie beim Sichern, sondern erst beim Zurückspielen — im Fachjargon Restore, auf Deutsch die Wiederherstellung. Grüne Häkchen und ein Protokoll ohne Fehlermeldung sind Indizien, kein Beweis.

Wer auf die Frage „Wann haben Sie zuletzt etwas zurückgeholt?“ kein Datum nennen kann, hat bisher nur gesichert. Ob der Betrieb im Ernstfall weiterläuft, weiß dann niemand. Die Überraschungen am Tag X sind dabei erstaunlich immer dieselben:

• Die Sicherung läuft — nur erfasst sie den Ordner neben der Datenbank, in der die Aufträge stehen.
• Die Daten sind da — aber das Programm, das sie lesen kann, ist es nicht. Sie haben Zahlen und keine Software.
• Es funktioniert — es dauert nur vier Tage, weil alles durch eine viel zu dünne Leitung zurückmuss.
• Die Sicherung ist vollständig — und lag auf dem Netzwerkspeicher, den die Erpressungssoftware mitverschlüsselt hat.
• Niemand kennt das Passwort für den Speicher. Der Kollege, der ihn eingerichtet hat, ist seit zwei Jahren woanders.

Die 3-2-1-Regel — und die zwei Ziffern, die heute dazukommen

Die Faustregel ist alt, einfach und immer noch richtig. Sie beantwortet eine einzige Frage: Was muss alles gleichzeitig schiefgehen, damit Ihre Daten weg sind?

Was 3-2-1 nicht abdeckt: dass jemand in Ihrem Netz sitzt und gezielt verhindern will, dass Sie Ihre Daten zurückholen. Deshalb wird die Regel heute oft zu 3-2-1-1-0 erweitert. Achten Sie vor allem auf die letzte Ziffer: Die ersten vier können Sie kaufen, die Null müssen Sie sich verdienen. So lesen sich die fünf Ziffern:

• 3 Kopien — das Original plus zwei Sicherungen. Zwei, weil auch eine Sicherung defekt sein kann.
• 2 verschiedene Systeme — verschieden heißt: Fällt eines aus, ist das andere nicht betroffen. Ein Netzwerkspeicher im Haus — die Kiste mit Festplatten, an der alle Rechner hängen — und ein Speicher außer Haus bei einem Anbieter sind zwei. Zwei Ordner auf demselben Server sind einer.
• 1 Kopie außer Haus — Brand, Wasser und Einbruch machen keinen Unterschied zwischen Ihrem Server und der Festplatte einen Meter daneben.
• 1 Kopie unveränderbar oder offline — nicht löschbar, nicht überschreibbar, auch nicht von einem Konto mit allen Rechten.
• 0 Fehler beim geprüften Zurückspielen — nicht „das Protokoll ist grün“, sondern „die Datei war da, die Datenbank lief, die Kassa hat gebucht“.

Warum ein erreichbares Backup kein Backup ist

Erpressungssoftware — meist Ransomware genannt — verschlüsselt Ihre Daten und verlangt Geld für den Schlüssel. Weniger bekannt ist der Schritt davor: Bevor verschlüsselt wird, suchen die Angreifer Ihre Sicherung. Wer selbst zurückholen kann, braucht ihren Schlüssel nicht. Das ist die halbe Miete, nicht die ganze: Werden die Daten zusätzlich kopiert und wird ihre Veröffentlichung angedroht, hilft dagegen auch die beste Sicherung nicht.

Daraus folgt ein unbequemer Satz: Was von Ihrem Netz aus erreichbar und löschbar ist, ist im Ernstfall keine Sicherung. Der Netzwerkspeicher, auf den jeder Rechner zugreift, ist es nicht. Das Cloud-Laufwerk, das auf jedem PC als Ordner hängt, auch nicht.

Die Sicherung ist die letzte Verteidigungslinie, nicht die erste: Updates, die zweite Bestätigung am Handy beim Anmelden — im Fachjargon Mehr-Faktor-Anmeldung — und die Regel, dass niemand mehr Zugriff hat, als er für seine Arbeit braucht, verhindern den Vorfall. Die Sicherung überlebt ihn nur. Deshalb gehören Angriffsschutz und Updates für mich ins selbe Projekt und nicht auf eine zweite Rechnung. Drei Wege führen aus der Falle:

• Unveränderbar — im Fachjargon Object Lock oder WORM, „write once, read many“: einmal schreiben, beliebig oft lesen, nie mehr ändern. Der Speicher verweigert das Löschen für eine feste Zeit, etwa 30 Tage — auch bei gestohlenen Zugangsdaten. Der praktikabelste Weg; er muss aber eingeschaltet werden, und nicht jeder Anbieter kann ihn.
• Offline — der Luftspalt, englisch „Air Gap“: ein Medium, das nach der Sicherung abgesteckt und weggesperrt wird. Sehr sicher, sehr unbequem: Jemand muss es jede Woche tun.
• Getrennte Zugänge — eigene Zugangsdaten für den Speicher, die sonst nirgends gelten, plus Bestätigung am Handy. Ihr Windows-Administratorkonto darf dort nichts löschen können.

Microsoft 365 und Google Workspace sind kein Backup

Hier sehe ich am häufigsten ungläubige Gesichter. Ihre Mails, Ihre Teams-Dateien, Ihr Google Drive liegen bei einem der größten Rechenzentrumsbetreiber der Welt. Nur sichert der nicht Ihre Daten. Er verantwortet den Betrieb seiner Plattform.

Das Prinzip heißt geteilte Verantwortung: Der Anbieter sorgt dafür, dass der Dienst läuft, für den Inhalt sind Sie zuständig. Räumt jemand ein Postfach aus, wird nach einer Kündigung ein Ordner mitgelöscht oder verschlüsselt Erpressungssoftware die synchronisierten Dateien — das ist kein Ausfall, sondern eine Eingabe, die der Anbieter korrekt ausgeführt hat.

Papierkörbe gibt es, aber die Standardfristen zählen in Tagen und Wochen. Mit Aufbewahrungsrichtlinien lässt sich mehr einstellen — das ist dann ein Archiv und noch immer kein Zurückspielen auf den Stand von vorgestern. Prüfen Sie zwei Zahlen in Ihrem Vertrag: Wie lange lässt sich ein gelöschtes Element wiederherstellen, wie lange ein gelöschtes Postfach? Alles darüber hinaus brauchen Sie in einer eigenen Sicherung. Dafür gibt es fertige Lösungen, abgerechnet pro Postfach und Monat — von allem in diesem Beitrag der billigste Posten und der, der am häufigsten fehlt. Ich richte ihn im Rahmen der laufenden IT-Betreuung gleich mit ein.

Das gilt für jede Software, die Sie mieten statt besitzen — auch für eine Hotelsoftware in der Cloud. „Was bekomme ich heraus, in welchem Format, wie schnell?“ ist eine Frage vor der Unterschrift. Für Apaleo habe ich aufgeschrieben, welche Daten Sie herausbekommen und was Sie dazuplanen müssen.

Was gesichert gehört — und wie oft

Bevor Sie über Technik reden, beantworten Sie zwei Fragen. Die erste: Wie viel Arbeit dürfen Sie verlieren? Wird nur nachts gesichert und fällt der Server um 16 Uhr aus, ist ein Arbeitstag weg — alle Buchungen, alle Aufträge, alle Mails seit Mitternacht.

Die zweite: Wie lange dürfen Sie stillstehen? Vier Stunden? Zwei Tage? Eine Rezeption ohne Zimmerplan beantwortet das anders als ein Handwerksbetrieb, dessen Leute ohnehin auf der Baustelle stehen. Schreiben Sie beide Zahlen pro System auf. „Null“ und „sofort“ sind keine Antworten, sondern ein Budget.

Daraus ergibt sich der Takt. Für Dateien und Postfächer ist die nächtliche Sicherung der übliche Mindesttakt. Für eine Datenbank, in der laufend gebucht wird, gibt es Verfahren, die auf die letzten Minuten zurückkommen — fragen Sie Ihren Softwarehersteller, ob Ihre das kann, bevor Sie den Takt festlegen.

Den Arbeitsplatz-PC ohne eigene Daten müssen Sie nicht sichern: Einen Rechner setzt man in ein paar Stunden neu auf. Alles andere steht auf dieser Liste:

• Die Daten, mit denen Sie Geld verdienen — Auftrags- oder Buchungsdatenbank, Kassa, Warenwirtschaft. Und zwar die Datenbank sauber herausgeschrieben, nicht mitten in einer laufenden Buchung mitkopiert.
• Die Buchhaltung samt Belegen — für Buchhaltungsunterlagen gilt in Österreich eine Aufbewahrungspflicht von sieben Jahren. So weit zurück reicht kein Papierkorb.
• Mail, Kalender, Dateiablage — Microsoft 365 oder Google Workspace, siehe oben.
• Website und Shop — Datenbank und Dateien. Ein Shop ohne die Bestellungen der letzten Woche ist ein teures Problem.
• Die Konfiguration — Firewall, Router, WLAN, Telefonanlage, Servereinstellungen. Das sind keine „Daten“ und trotzdem oft der Grund, warum ein Wiederanlauf Tage statt Stunden dauert: Weiß niemand mehr, wie es eingestellt war, wird geraten.
• Zugänge und Lizenzen — Passwortsafe, Lizenzschlüssel, die Nummer Ihres Internetanbieters. Und zwar nicht nur auf dem Server, der im Ernstfall selbst verschlüsselt ist.

Wie weit zurück Sie kommen — und wer die Schlüssel hat

Eine Sicherung, die jede Nacht die vorherige überschreibt, schützt Sie genau einen Tag weit. Wurde eine Datei am Dienstag beschädigt und fällt es erst am Freitag auf, holen Sie am Freitag brav den beschädigten Stand zurück.

Deshalb braucht es Aufbewahrungsstufen: mehrere Stände, gestaffelt über die Zeit. Ein bewährtes Muster passt in eine Zeile — die letzten 14 Tage täglich, 8 Wochen wöchentlich, 12 Monate monatlich, dazu ein Jahresstand. Wie weit Sie gehen, hängt an Ihren Aufbewahrungspflichten und daran, wie lange ein Schaden unentdeckt bleiben kann.

Dann die Frage, die Chefsache ist: Wer kann Ihre Sicherung entschlüsseln? Jede Kopie außer Haus gehört verschlüsselt, sonst liegen Ihre Kundendaten auf fremden Festplatten. Der Schlüssel darf aber nicht nur im Passwortsafe auf dem Server liegen, der gerade verschlüsselt wurde: zwei Kopien, eine davon außerhalb des Systems, das Sie retten wollen — Tresor oder Bankschließfach. Hier ist die unmoderne Lösung die richtige.

Ein Sonderfall sind Altsysteme, die Sie abschalten: Deren Archiv bleibt nur erreichbar, solange Sie den Vertrag zahlen. Was Sie vor der Kündigung selbst exportieren sollten, steht im Bericht über einen Umstieg.

Der Wiederherstellungstest: so machen Sie ihn

Ein Wiederherstellungstest ist eine Generalprobe — und die findet besser an einem ruhigen Dienstagvormittag statt als am Tag der Aufführung. Planen Sie beim ersten Mal einen halben Tag ein.

Legen Sie vorher fest, wann der Test bestanden ist, sonst tut es niemand. Erstens: Die Daten sind vollständig und richtig — bestätigt von der Fachabteilung, nicht von der Technik. Zweitens: Die gemessene Dauer liegt innerhalb der Zeit, die Ihr Betrieb stillstehen darf. Drittens: Es war kein undokumentierter Schritt nötig, keine Suche nach einem Passwort, kein Anruf bei einem Ehemaligen. Fällt eines davon durch, ist der Test nicht bestanden — und Sie haben es an einem Dienstag gelernt statt am Katastrophentag.

Das Protokoll passt auf eine Seite: Datum, System, Szenario, Start, Ende, Prüfer, Ergebnis, offene Punkte. Es ist Ihr Nachweis, wenn jemand fragt — NIS2 führt Sicherungen ausdrücklich unter den Mindestmaßnahmen, und dort zählt, was belegbar ist. Wie oft? Quartalsweise für die kritischen Systeme, jährlich für den Rest, und immer nach einer größeren Änderung. Sechs Schritte, mehr braucht es nicht:

• Szenario festlegen. Nicht „wir testen mal das Backup“, sondern: „Der Server mit der Auftragsdatenbank ist ausgefallen und kommt nicht wieder.“
• Auf die Uhr sehen. Die Frage lautet nicht „geht es?“, sondern „wie lange dauert es?“ — vergleichen Sie die Antwort mit der Stillstandzeit, die Sie sich leisten können.
• Getrennt zurückspielen. Nie über das Original, sondern auf ein zweites Gerät oder in eine Testumgebung. Ein Test, der das laufende System überschreibt, ist selbst der Störfall.
• Zwei Größen prüfen. Die einzelne Datei — der Alltagsfall „versehentlich überschrieben“. Und das ganze System — der Ernstfall. Wer nur Dateien zurückholt, hat den Ernstfall nie geprobt.
• Eine Fachperson prüfen lassen, keinen Techniker. Ob die Datenbank läuft, sagt die Technik. Ob die Zahlen stimmen, sagt nur, wer täglich damit arbeitet: Ist die Buchung von gestern drin?
• Mitschreiben, was gehakt hat. Das fehlende Passwort, der Treiber, die Lizenz, die neu aktiviert werden wollte — diese Kleinigkeiten kosten im Ernstfall die Stunden.

Der Notfallplan: wer ruft wen an?

Der beste technische Aufbau nützt nichts, wenn am Ereignistag niemand weiß, was zu tun ist. Ein Notfallplan ist kein Handbuch, sondern eine bis zwei Seiten — und er liegt ausgedruckt da. Im Dateiserver oder im Postfach nützt er nichts: Das sind die Systeme, die dann fehlen.

Nehmen Sie ihn einmal im Jahr in eine Besprechung mit und lesen Sie ihn laut vor. Erfahrungsgemäß stimmen nach einem Jahr mehrere Nummern nicht mehr — genau dafür ist die Übung da. Sechs Punkte gehören hinein:

• Wer entscheidet. Eine Person, namentlich, mit Vertretung: Wer darf Systeme abschalten, wer spricht mit Kunden, wer entscheidet über eine Zahlung.
• Wer wird in welcher Reihenfolge angerufen. Mit Nummern, die auch dann funktionieren, wenn die Telefonanlage über den Server läuft: IT-Betreuung, Internetanbieter, Softwarehersteller, Versicherung, Steuerberater, Bank.
• Was zuerst zurückkommt. Eine nummerierte Liste Ihrer Systeme. Im Hotel: erst Zimmerplan und Kassa, dann die Buchhaltung. Das legt man in Ruhe fest, nicht im Stress.
• Wie Sie erreichbar bleiben. Wenn die Mail nicht geht: Über welchen Kanal reden Sie miteinander — und mit Ihren Kunden?
• Was gemeldet werden muss. Datenschutzverletzungen und schwere Sicherheitsvorfälle sind meldepflichtig, und die Fristen sind knapp. Wer meldet, an wen, mit welchen Angaben?
• Was Sie nicht tun. Nichts überschreiben, die Sicherung nicht ungeprüft über ein befallenes System spielen. Wer die Spuren zerstört, kann hinterher nicht erklären, wie es passiert ist — und genau das müssen Sie erklären, wenn Sie den Schaden melden.

Womit ich das umsetze — und was auf Ihrer Backup-Rechnung stehen muss

Erfinden müssen Sie nichts. Drei Kategorien, meist brauchen Sie mehr als eine: Die Abbild-Sicherung sichert einen Server als Ganzes — zurück kommt ein lauffähiges System, kein Haufen Ordner. Die Datei- und Datenbanksicherung läuft verschlüsselt und in mehreren Ständen zu einem Speicher außer Haus, der die unveränderbare Ablage können muss. Dazu die eigene Sicherung der Cloud-Dienste. Welches Werkzeug es wird, hängt an Ihren Systemen: Ein Windows-Server, eine virtuelle Maschine und ein Microsoft-365-Postfach brauchen nicht dasselbe. Wichtiger als das Produkt ist die Überwachung — eine Sicherung, die seit sechs Wochen fehlschlägt, ohne dass jemand eine Meldung bekommt, ist keine mehr.

Zu den Kosten nenne ich keine erfundene Zahl: Sie hängen an der Datenmenge und daran, wie viele Systeme als Ganzes zurückkommen sollen. Lassen Sie sich stattdessen jedes Angebot in vier Posten aufschlüsseln. Erstens die Software, je Server und je Arbeitsplatz. Zweitens den Speicher außer Haus, pro Terabyte und Monat — und fragen Sie ausdrücklich, was das Zurückholen kostet: Bei manchen Anbietern wird das Herunterladen eigens verrechnet, und zwar genau dann, wenn Sie alles auf einmal brauchen. Drittens die Sicherung der Postfächer, pro Postfach und Monat. Viertens den Aufwand für Einrichtung und Test. Wer Ihnen eine Pauschale nennt, ohne diese vier Posten zu trennen, kann Ihnen auch nicht sagen, was der Ernstfall kostet.

Rechnen Sie zum Vergleich die Gegenseite: Personalkosten pro Tag mal Tage ohne Ihre Daten, plus entgangener Umsatz. Das ist Ihr Budgetrahmen.

Acht Fragen an Ihre Sicherung

Können Sie diese acht Fragen ohne Zögern beantworten, haben Sie das Wesentliche beisammen. Wenn nicht, wissen Sie jetzt, wo Sie anfangen — und dafür brauchen Sie niemanden, auch mich nicht.

• Wann haben Sie zuletzt etwas zurückgespielt, und wie lange hat es gedauert? Ohne Antwort mit Datum fangen Sie hier an.
• Gibt es eine Kopie, die niemand löschen kann? Auch nicht Ihr Administrator, auch nicht mit gestohlenem Passwort.
• Liegt eine Kopie außer Haus? Der Nebenraum ist es nicht — Feuer und Wasser halten sich nicht an Zimmertüren.
• Sind Ihre Mails und Cloud-Dateien gesichert? Der Anbieter tut es nicht für Sie.
• Wie viel Arbeit dürfen Sie verlieren, wie lange dürfen Sie stehen? Zwei Zahlen, pro System, aufgeschrieben.
• Wie weit zurück kommen Sie? Drei Tage sind zu wenig, wenn ein Schaden erst nach zwei Wochen auffällt.
• Wer hat die Schlüssel? Und liegt einer außerhalb des Systems, das Sie retten wollen?
• Wer ruft wen an? Existiert die Liste, ist sie ausgedruckt, sind die Nummern aktuell?

Wenn Sie heute nur eine Sache tun

Holen Sie eine Datei zurück. Irgendeine, aus der letzten Woche, aus einem echten System — und sehen Sie dabei auf die Uhr. Klappt es nicht, haben Sie es an einem harmlosen Nachmittag erfahren statt am schlechtesten Tag des Jahres.

Und wenn Sie das nicht selbst machen wollen: Schreiben Sie mir über das Kontaktformular zwei Sätze — welche Systeme Sie betreiben und was heute gesichert wird. Im Erstgespräch gehen wir die acht Fragen durch, danach bekommen Sie eine Seite Papier: was fehlt, in welcher Reihenfolge ich es angehen würde, was es kostet. Ist Ihre Sicherung in Ordnung, sage ich Ihnen auch das — dann haben Sie ein Gespräch geführt und keine Rechnung.