Datensicherung im Unternehmen
Datensicherung im Unternehmen organisieren: was gesichert werden muss, wer verantwortlich ist, wie ein Datensicherungskonzept aussieht und was oft fehlt.
Die Datensicherung im Unternehmen ist mehr als ein Programm, das nachts läuft. Sie braucht eine verantwortliche Person, eine klare Übersicht, welche Daten wo liegen, und regelmäßige Tests. Fehlt einer dieser Teile, zeigt sich das meist erst im Ernstfall, wenn es zu spät ist.
Was gesichert werden muss
Nicht nur der Server. Auch E-Mails, Daten in Cloud-Diensten, Laptops, die Datenbank der Branchensoftware, die Buchhaltung und die Website gehören dazu. Viele Betriebe verlassen sich darauf, dass Cloud-Anbieter automatisch sichern. Das ist häufig nur begrenzt der Fall und gehört geprüft.
Wer verantwortlich ist
Die Verantwortung liegt bei der Geschäftsleitung, auch wenn ein IT-Dienstleister die Technik betreut. Sie sollte wissen, was gesichert wird, was nicht, und wie lange es dauert, bis nach einem Ausfall wieder gearbeitet werden kann.
Was ein gutes Konzept enthält
Ein kurzes Datensicherungskonzept auf wenigen Seiten: welche Daten, wie oft, wohin, wie lange aufbewahrt, wer prüft, wie wiederhergestellt wird. Für den Aufbau der Sicherung selbst hat sich die 3-2-1-Regel bewährt.
Der nächste Schritt
Setzen Sie sich mit Ihrer IT eine Stunde zusammen und füllen Sie gemeinsam eine Liste aus: Datenbestand, Speicherort, Sicherung ja oder nein, letzter Wiederherstellungstest. Offene Zeilen sind Ihre Aufgabenliste.
Grundlage im IT-Grundschutz
Im IT-Grundschutz-Kompendium behandelt der Baustein CON.3 «Datensicherungskonzept» die Datensicherung. Er verlangt, dass die Organisation ihre Datensicherung planvoll regelt und die Regeln in einem Konzept festhält, statt sie dem Zufall oder einzelnen Personen zu überlassen. In der DIN SPEC 27076 ist die regelmäßige Datensicherung eine TOP-Anforderung. Für Einrichtungen, die unter NIS-2 fallen, nennt Artikel 21 der Richtlinie Backup-Management und Wiederherstellung ausdrücklich als Teil der Risikomanagementmaßnahmen.
Technische Fragen wie Sicherungsarten, Medien und die 3-2-1-Regel sind im Artikel zur Backup-Strategie beschrieben. Hier geht es um die Organisation.
Datensicherung im Unternehmen: das Konzept
Bestandsaufnahme der Daten
Am Anfang steht eine Liste aller Datenbestände mit Speicherort und Verantwortlichen. Typisch in kleinen Betrieben:
- Dateiablage auf Server oder Netzwerkspeicher,
- E-Mail-Postfächer, lokal oder in der Cloud,
- gemeinsame Ablagen und Teamräume in Cloud-Diensten,
- Datenbanken von Branchen-, Warenwirtschafts- und Buchhaltungssoftware,
- Daten auf Laptops und Arbeitsplatzrechnern, die nicht zentral abgelegt werden,
- Konfigurationen von Firewall, Router, Telefonanlage und Servern,
- Website, Shop und deren Datenbanken,
- Zugangsdaten im Passwortmanager und Schlüssel für Verschlüsselung.
Anforderungen je Datenbestand
Für jeden Bestand werden zwei Fragen beantwortet: Wie viel Datenverlust ist tolerierbar (RPO), und wie schnell müssen die Daten wieder verfügbar sein (RTO)? Daraus ergeben sich Häufigkeit der Sicherung und Art der Wiederherstellung. Die Buchhaltung kurz vor dem Monatsabschluss hat andere Anforderungen als ein Archiv alter Projekte.
Regeln im Konzept
Ein schlankes Datensicherungskonzept enthält:
- Geltungsbereich und Datenbestände,
- Verantwortliche für Durchführung, Kontrolle und Wiederherstellung,
- Sicherungsverfahren, Häufigkeit und Zeitpunkte,
- Speicherorte, Medien und Trennung vom Netz,
- Aufbewahrungsdauer und Anzahl der Generationen,
- Verschlüsselung und Verwahrung der Schlüssel,
- Ablauf und Häufigkeit von Wiederherstellungstests,
- Vorgehen bei Fehlern und Meldungen,
- Zuständigkeit bei externen Dienstleistern.
Das Konzept muss nicht lang sein. Wichtiger ist, dass es aktuell ist und bei Änderungen der IT nachgeführt wird.
Die Rolle der Geschäftsleitung
Die Datensicherung entscheidet im Ernstfall darüber, ob ein Betrieb nach Tagen oder nach Wochen wieder arbeitet. Deshalb sollte die Geschäftsleitung nicht nur zustimmen, sondern einige Entscheidungen selbst treffen: welcher Datenverlust und welche Ausfallzeit für die wichtigsten Abläufe akzeptabel sind, welches Budget für Speicher, Software und Tests zur Verfügung steht und wer die Verantwortung für den laufenden Betrieb trägt. Diese Entscheidungen gehören ins Konzept, damit sie bei Personalwechsel oder Dienstleisterwechsel nicht verloren gehen.
Hilfreich ist eine kurze jährliche Rückmeldung an die Leitung: Was wurde gesichert, welche Tests liefen, wie lange dauerte die Wiederherstellung, welche Lücken sind offen. Eine Seite reicht.
Cloud-Dienste
Viele Betriebe gehen davon aus, dass Daten in Cloud-Diensten automatisch gesichert sind. Anbieter schützen in der Regel ihre Infrastruktur vor Ausfällen; das Wiederherstellen versehentlich gelöschter oder durch einen Angriff verschlüsselter Kundendaten ist dagegen oft zeitlich begrenzt oder gar nicht vorgesehen. Prüfen Sie für jeden Dienst die Vertragsbedingungen: Gibt es Versionierung, wie lange liegen gelöschte Daten im Papierkorb, kann man einzelne Elemente wiederherstellen? Reicht das nicht, ist eine zusätzliche Sicherung bei einem anderen Anbieter oder lokal sinnvoll.
Laptops und mobile Arbeit
Daten, die nur auf Laptops liegen, gehen bei Verlust, Diebstahl oder Defekt verloren. Die einfachste Regel: Arbeitsdaten gehören in die zentrale Ablage, nicht auf den lokalen Desktop. Wo das nicht durchsetzbar ist, braucht es eine automatische Sicherung der Endgeräte.
Rechtliche Rahmenbedingungen
Datensicherungen enthalten oft personenbezogene Daten. Sie müssen deshalb ebenso geschützt werden wie die Originaldaten, etwa durch Verschlüsselung und Zugriffsbeschränkung. Steuer- und handelsrechtliche Aufbewahrungspflichten betreffen die Archivierung, nicht die Datensicherung: Ein Backup ersetzt kein revisionssicheres Archiv. Welche Fristen für Ihren Betrieb gelten, klären Sie mit Steuerberatung und Datenschutzbeauftragten.
Kontrolle und Nachweis
Laufende Überwachung
Eine benannte Person prüft die Meldungen der Backup-Software regelmäßig und reagiert auf Fehler. Bei externer Betreuung lassen Sie sich die Berichte zusenden oder vereinbaren eine Meldung bei Fehlschlägen.
Wiederherstellungstests
Mindestens einmal im Jahr wird ein vollständiger Wiederherstellungstest durchgeführt und dokumentiert, zusätzlich regelmäßig Stichproben. Das BSI empfiehlt ausdrücklich, Wiederanlaufpläne praktisch zu testen.
Überprüfung des Konzepts
Bei jeder größeren Änderung, etwa neuer Software, einem Umzug in die Cloud oder einem Dienstleisterwechsel, wird das Konzept angepasst. Ein fester jährlicher Termin mit der Geschäftsleitung sorgt dafür, dass das nicht vergessen wird.
Externe Dienstleister
Wenn ein IT-Dienstleister die Sicherung betreibt, sollte der Vertrag regeln, welche Daten gesichert werden, wo die Sicherungen liegen, wer Zugriff hat, wie schnell im Ernstfall wiederhergestellt wird und wie Tests nachgewiesen werden. Fragen Sie auch, ob die Sicherungen beim Dienstleister selbst vor einem Angriff auf dessen Systeme geschützt sind.
Häufige Fragen
Wer ist im Unternehmen für die Datensicherung verantwortlich?
Die Gesamtverantwortung liegt bei der Geschäftsleitung. Die Durchführung kann an eine Person im Betrieb oder an einen IT-Dienstleister übertragen werden; das sollte schriftlich festgelegt sein.
Sichert Microsoft 365 meine Daten automatisch?
Microsoft schützt seine Infrastruktur und bietet Papierkorb- und Versionsfunktionen, die aber zeitlich begrenzt sind. Ob das für Ihren Bedarf genügt, sollten Sie anhand der aktuellen Bedingungen prüfen; viele Betriebe ergänzen eine eigene Sicherung.
Ersetzt ein Backup die Archivierung?
Nein. Ein Backup dient der Wiederherstellung nach Verlust. Für gesetzliche Aufbewahrungspflichten braucht es eine geeignete Archivierung, die Unveränderbarkeit und Auffindbarkeit sicherstellt.