Fast jedes Unternehmen hat (hoffentlich!) ein Backup. Irgendwo läuft eine Sicherung, jede Nacht kommt die Meldung „erfolgreich“, und das Thema gilt als erledigt. Laut dem aktuellen CYBERsicher Lagebild 2026 bewerten 81 Prozent der befragten Unternehmen ihre Datensicherung als gut.
Im selben Bericht steht allerdings auch: Ransomware-Angriffe auf kleine und mittlere Unternehmen sind 2025 um 281 Prozent gestiegen, verglichen mit dem Jahr 2023. Für 2026 wird ein noch stärkerer Anstieg erwartet.
Diese beiden Zahlen passen nur so lange zusammen, bis der Ernstfall eintritt. Dann ist nicht mehr wichtig, ob ein Backup existiert. Wichtig ist nur noch, ob es das Unternehmen wieder arbeitsfähig macht, und wie schnell. Dieser Beitrag zeigt, wo die Datensicherung im Unternehmen häufig scheitert und was eine Sicherung ausmacht, die im Ernstfall trägt.
Ransomware hat sich verändert, das Backup zur Datensicherung im Unternehmen aber oft nicht
Die Grundidee von Ransomware ist schnell erklärt: Angreifer verschlüsseln Daten sowie Systeme und verlangen Geld für die Freigabe. Lange galt deshalb die einfache Antwort: Wer ein Backup hat, muss nicht zahlen.
Das wissen die Angreifer auch, deshalb hat sich ihr Vorgehen geändert. Nach Angaben des BSI bewegen sich Angreifer nach dem ersten Eindringen teilweise mehrere Wochen unbemerkt im Netzwerk. Sie verschaffen sich Administratorrechte und suchen gezielt nach allen Backups, um diese zusammen mit den Produktivsystemen zu verschlüsseln.
Das ist längst die Regel. Laut einer Untersuchung der Enterprise Strategy Group wurden bei 96 Prozent der Unternehmen, die in den vergangenen zwei Jahren von Ransomware betroffen waren, mindestens einmal auch die Backups angegriffen (Storage-Insider).
Hinzu kommt eine zweite Entwicklung: Viele Angreifer verschlüsseln nicht nur, sie kopieren die Daten vorher auch. Danach drohen sie mit der Veröffentlichung. Dagegen hilft auch das beste Backup nicht! Das BSI weist nüchtern darauf hin, dass nur Daten abfließen können, die überhaupt gespeichert sind. Alte Kundendatenbanken und längst abgeschlossene Projektarchive sind deshalb nicht nur Ballast, sondern auch ein Risiko.
„Wir haben doch ein Backup!“
Ein typisches Szenario aus dem Mittelstand: Am Montagmorgen lassen sich auf keinem Rechner mehr Dateien öffnen. Auf dem Bildschirm steht eine Lösegeldforderung. Niemand gerät in Panik, denn es gibt ja ein Backup.
Dann zeigt sich: Das Backup liegt auf einem Speichersystem im selben Netzwerk. Es nutzt dieselben Administratorzugänge wie der Rest der IT und ist deshalb mitverschlüsselt. Oder das Backup ist zwar intakt, aber niemand hat je eine komplette Wiederherstellung geübt. Bis Server, Programme und Daten wieder laufen, vergehen nicht Stunden, sondern Wochen. Oder die Sicherung lief zwar jede Nacht, hat aber seit Monaten einen wichtigen Server nicht mehr erfasst, und niemand hat es bemerkt.
Keiner dieser Fälle ist exotisch und alle beruhen auf demselben Missverständnis: Ein Backup zu haben ist nicht dasselbe, wie wiederherstellen zu können.
Backup ist nicht gleich Wiederherstellung
Viele Lösungen, die im Alltag als Backup gelten, halten einem gezielten Angriff nicht stand. Die folgende Übersicht zeigt die häufigsten Schwachstellen:
| Was oft als Backup gilt | Warum es im Ernstfall nicht trägt | Was stattdessen nötig ist |
|---|---|---|
| Speichersystem, das ständig mit dem Firmennetz verbunden ist | Wird bei einem Angriff einfach mitverschlüsselt | Mindestens eine Kopie, die getrennt oder unveränderbar gespeichert ist |
| Cloud-Synchronisation wie OneDrive oder Dropbox | Synchronisiert verschlüsselte Dateien zuverlässig mit | Eine echte Sicherung mit älteren Versionen statt reiner Synchronisation |
| Tägliche Meldung „Backup erfolgreich“ | Sagt nichts darüber, ob sich die Daten wiederherstellen lassen | Regelmäßige, dokumentierte Tests der Wiederherstellung |
| Dieselben Admin-Zugänge wie für die übrige IT | Wer die Admin-Rechte hat, kann auch die Sicherungen löschen | Getrennte Zugänge mit zusätzlicher Absicherung |
| Nur Dateien und Ordner werden gesichert | Server, Programme und Einstellungen müssen mühsam neu aufgebaut werden | Sicherung kompletter Systeme |
| Kein Plan für den Wiederanlauf | Im Ernstfall weiß niemand, was zuerst zurück muss | Festgelegte Reihenfolge und klare Zuständigkeiten |
Was eine belastbare Datensicherung im Unternehmen ausmacht
Eine gute Datensicherung hängt weniger von einem bestimmten Produkt ab als von wenigen klaren Prinzipien. Sie lassen sich auch im Mittelstand ohne großen Aufwand umsetzen.
Mehrere Kopien an mehreren Orten
Bewährt hat sich die sogenannte 3-2-1-Regel: drei Kopien der Daten auf zwei unterschiedlichen Speichermedien, eine davon an einem anderen Ort. Weil Angreifer gezielt nach Backups suchen, gehört heute noch eine weitere Kopie dazu, die sich nicht verändern lässt. Das BSI empfiehlt ausdrücklich, mindestens eine Kopie offline zu halten, also nach der Sicherung von den übrigen Systemen zu trennen. Das kann ein getrenntes Speichermedium sein oder ein Speicher in einem Rechenzentrum, der vom eigenen Netz komplett abgekoppelt ist.
Getrennte Zugänge
Ein Backup ist nur so sicher wie der Zugang zu ihm. Wenn dieselben Zugangsdaten für die gesamte IT und für die Datensicherung gelten, öffnet ein einziges gestohlenes Passwort alle Türen. Das BSI schlägt dafür einen einfachen Test vor: Ein Administrator versucht probeweise, auf die getrennten Sicherungskopien zuzugreifen. Gelingt ihm das, ist die Trennung nicht gut genug.
Wiederherstellen üben, nicht nur sichern
Das ist der Punkt, der in der Praxis am häufigsten fehlt: Eine Sicherung zeigt ihren Wert erst, wenn die Daten zurückgespielt werden. Deshalb sollte die Wiederherstellung regelmäßig geübt werden, und zwar nicht nur für einzelne Dateien, sondern für ganze Systeme. Das BSI empfiehlt, auch den Wiederanlauf der gesamten IT zu planen und zu üben. Dabei gilt: Messen Sie, wie lange es tatsächlich dauert. Die gemessene Zeit ist oft deutlich länger als die angenommene.
Vorher entscheiden, was wie schnell zurück muss
Wie lange kann das Unternehmen ohne Warenwirtschaft arbeiten? Wie viele Stunden an Daten dürfen im schlimmsten Fall verloren gehen? Das sind keine technischen Fragen, sondern unternehmerische. Die Antworten muss die Geschäftsführung geben, nicht die IT. Erst wenn sie feststehen, lässt sich eine Datensicherung planen, die zum Betrieb passt, statt nur zum Budget.
Überwachen statt hoffen
Sicherungen schlagen manchmal still fehl. Ein Speicher ist voll, ein Server wurde neu eingerichtet und nicht in die Sicherung aufgenommen, ein Dienst läuft nicht mehr. Ohne laufende Überwachung fällt das oft erst auf, wenn die Daten gebraucht werden. Bei Compose IT ist die Datensicherung deshalb Teil des 24/7-Monitorings: Auffälligkeiten werden automatisch erkannt und bearbeitet, bevor sie zum Problem werden.
Warum die Datensicherung im Unternehmen Chefsache ist
Nach Angaben des BSI betreffen rund 80 Prozent der angezeigten Angriffe kleine und mittlere Unternehmen. Das Thema ist also längst kein Problem der großen Konzerne mehr.
Auch die Anforderungen von außen steigen. Für Unternehmen, die unter NIS2 fallen, gehören Datensicherung und Notfallvorsorge zu den gesetzlich geforderten Maßnahmen, und sie müssen nachweisbar sein. Das BSI will noch in diesem Quartal damit beginnen, NIS2 aktiv durchzusetzen, und ab 2027 auch Audits anordnen. Cyberversicherer fragen ebenfalls immer genauer nach, wie Sicherungen geschützt und getestet werden. Wer das nicht belegen kann, zahlt höhere Prämien oder steht im Schadensfall ohne Schutz da.
Vor allem aber geht es um die Handlungsfähigkeit des Unternehmens. Ein Ausfall von mehreren Wochen bedeutet nicht nur Kosten für die IT. Aufträge bleiben liegen, Kunden warten, Mitarbeitende können nicht arbeiten. Diese Folgen trägt die Geschäftsführung, unabhängig davon, wer die Sicherung technisch betreut.
Fünf Fragen an die eigene IT zur Datensicherung im Unternehmen
Wer wissen möchte, wie belastbar die eigene Datensicherung ist, kann mit diesen Fragen beginnen:
- Gibt es mindestens eine Sicherungskopie, die ein Angreifer mit Administratorrechten weder löschen noch verschlüsseln kann?
- Wann wurde zuletzt ein komplettes System aus dem Backup wiederhergestellt, und wie lange hat es gedauert?
- Sind wirklich alle wichtigen Server und Programme in der Sicherung enthalten?
- Ist festgelegt, welche Systeme im Ernstfall zuerst zurück müssen und wer entscheidet?
- Wer bemerkt es, wenn eine Sicherung nicht funktioniert hat, und wie schnell?
Wenn eine dieser Fragen nicht klar beantwortet werden kann, besteht Handlungsbedarf. Das ist kein Grund zur Panik, aber ein guter Grund, das Thema jetzt anzugehen und nicht erst im Ernstfall.
Fazit: Ein Backup ist ein Versprechen Ob eine Datensicherung im Unternehmen funktioniert, zeigt sich nicht an der nächtlichen Erfolgsmeldung, sondern erst bei der Wiederherstellung. Angreifer haben sich darauf eingestellt und nehmen Sicherungen gezielt ins Visier. Wer sich darauf verlässt, dass „schon irgendwo ein Backup läuft“, verlässt sich auf eine Annahme.
Die gute Nachricht: Eine belastbare Datensicherung ist weder ein Großprojekt noch unbezahlbar. Sie braucht getrennte Kopien, getrennte Zugänge, regelmäßige Tests und jemanden, der die Verantwortung übernimmt.
Genau das übernehmen wir für unsere Kunden: von der Bestandsaufnahme über die Sicherung in unserer Private Cloud im deutschen Rechenzentrum bis zur laufenden Überwachung rund um die Uhr. Sie möchten wissen, ob Ihr Backup im Ernstfall trägt? Sprechen Sie uns an, wir prüfen das gemeinsam mit Ihnen!
