Das Wichtigste in Kürze
- Drei Kopien, zwei Speicherarten, eine außer Haus, und mindestens eine getrennt vom System.
- Ein Cloud-Ordner, der sich abgleicht, ist kein Backup; ein Backup bewahrt frühere Stände auf.
- Erst die Liste, wo alle Daten liegen, dann die Sicherung einrichten, und zwar automatisch.
- Zurückspielen üben, Zeit stoppen und die Anleitung ausgedruckt aufbewahren.
- Die DSGVO verlangt eine rasche Wiederherstellung; Backups verschlüsseln und nach Frist überschreiben.
Ein Dienstagmorgen ohne Daten
Ein Dachdeckerbetrieb startet in die Woche, und der Bürorechner zeigt statt der Angebote einen Hinweis: Alle Dateien seien verschlüsselt, gegen Zahlung gebe es den Schlüssel. Angebote, Kundenliste, Aufmaße, Fotos und die Rechnungen der letzten Jahre sind nicht mehr lesbar. Die externe Festplatte, die als Sicherung gedacht war, hing dauerhaft am Rechner und wurde gleich mit verschlüsselt.
Es muss nicht einmal ein Angriff sein. Eine defekte Festplatte, ein gestohlener Laptop, ein Wasserschaden im Büro oder ein versehentlich gelöschter Ordner führen zum selben Ergebnis. Die Frage ist nicht, ob so etwas passiert, sondern ob der Betrieb danach weiterarbeiten kann. Genau das entscheidet ein Backup, das vorher eingerichtet wurde.
Die 3-2-1-Regel in einfachen Worten
Die Regel ist alt, einfach und bis heute die beste Grundlage. Drei Kopien Ihrer Daten: das Original und zwei Sicherungen. Zwei verschiedene Speicherarten, etwa eine Festplatte im Büro und ein Speicher bei einem Anbieter im Internet, damit nicht ein einziger Fehler beide trifft. Eine Kopie außer Haus, damit Feuer, Diebstahl oder Einbruch nicht alles auf einmal erwischen.
Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt darüber hinaus, dass mindestens eine Sicherung vom laufenden System getrennt ist, also nicht dauerhaft angeschlossen oder online erreichbar. Genau das hätte den Dachdeckerbetrieb gerettet: Eine Verschlüsselungssoftware kann nur erreichen, was verbunden ist.
Wichtig ist der Unterschied zwischen Synchronisation und Backup. Ein Cloud-Ordner, der sich mit dem Rechner abgleicht, ist kein Backup: Was Sie löschen oder was verschlüsselt wird, wird ebenfalls abgeglichen. Ein Backup bewahrt frühere Stände auf, zu denen Sie zurückgehen können.
Was überhaupt gesichert werden muss
Bevor Sie eine Sicherung einrichten, brauchen Sie eine Liste, wo Ihre Daten liegen. In kleinen Betrieben sind das meist mehr Orte als gedacht:
- Buchhaltung, Rechnungen und Belege, für die steuerliche Aufbewahrungspflichten gelten: Buchungsbelege und Rechnungen derzeit acht Jahre, Bücher und Jahresabschlüsse zehn Jahre, Stand September 2026
- Kundendaten, Angebote, Aufmaße, Abnahmeprotokolle und Baustellenfotos
- E-Mails, wenn sie nur auf einem Gerät liegen
- Die Website samt Inhalten und die Zugangsdaten zum Hosting
- Einstellungen von Router, Kasse, Telefonanlage und Zeiterfassung
- Der Tresor des Passwort-Managers und die Wiederherstellungscodes
So sieht das in einem kleinen Betrieb konkret aus
Ein Malerbetrieb mit fünf Mitarbeitern hat es so gelöst: Alle Arbeitsdateien liegen auf einem kleinen Netzwerkspeicher im Büro, nicht auf einzelnen Rechnern. Dieser Speicher sichert sich jede Nacht automatisch und verschlüsselt zu einem Anbieter mit Rechenzentrum in Deutschland. Das ist die Kopie außer Haus.
Zusätzlich gibt es zwei Wechselfestplatten. Jeden Freitag wird eine davon angeschlossen, die Sicherung läuft, und die Platte wird abgezogen und mit nach Hause genommen; die andere kommt in der nächsten Woche dran. So ist immer eine Platte getrennt vom System und außer Haus, und niemand muss daran denken, weil es im Kalender steht.
Alles, was von Hand gestartet werden muss, wird irgendwann vergessen. Die nächtliche Sicherung läuft deshalb automatisch, und die Software schickt eine E-Mail, wenn sie fehlschlägt; diese Mail muss jemand lesen. Bei Software, die Sie im Browser nutzen, etwa einer Buchhaltung wie DeppFlow Finance, liegen die Daten beim Anbieter; klären Sie trotzdem, wo sie liegen und wie Sie sie exportieren können.
Der Schritt, den fast alle vergessen: Zurückspielen üben
Ein Backup, das nie zurückgespielt wurde, ist eine Hoffnung, kein Backup. Üben Sie einmal im Quartal, eine einzelne Datei aus der Sicherung von vor drei Wochen wiederherzustellen, und einmal im Jahr, einen ganzen Rechner aus der Sicherung neu aufzusetzen, wenn möglich auf einem Ersatzgerät. Stoppen Sie die Zeit. Wenn das einen Tag dauert, wissen Sie, womit Sie im Ernstfall rechnen müssen.
Schreiben Sie auf einer Seite auf, wo die Sicherungen liegen, wie man sie zurückspielt und wer die Passwörter dafür hat. Diese Seite gehört ausgedruckt in den Ordner, nicht nur auf den Rechner, der gerade ausgefallen ist. Und legen Sie fest, wie viele Tage an Daten Sie im schlimmsten Fall verlieren dürfen; daraus ergibt sich, wie oft gesichert werden muss.
Backups und Datenschutz
Die Datenschutz-Grundverordnung verlangt in Artikel 32 ausdrücklich, dass Sie personenbezogene Daten nach einem Zwischenfall rasch wiederherstellen können. Ein funktionierendes Backup ist also nicht nur Eigenschutz, sondern eine Pflicht gegenüber Ihren Kunden und Mitarbeitern. Backups müssen verschlüsselt sein, und bei einem Anbieter brauchen Sie einen Vertrag zur Auftragsverarbeitung.
Zwei Punkte werden oft übersehen. Löschpflichten gelten grundsätzlich auch für Sicherungen, weshalb Backups nach einer festen Frist überschrieben werden sollten. Und wenn Daten verloren gehen oder in fremde Hände geraten, kann eine Meldung an die Datenschutzbehörde binnen 72 Stunden nötig sein; wer ein Backup hat, kann dann wenigstens sagen, welche Daten betroffen waren.
