IT-Sicherheit · 28.07.2026 · Lesezeit ca. 6 Min.

Was, wenn das Backup nicht funktioniert?

Zwischen „Unsere Daten sind gesichert“ und „Wir arbeiten wieder“ liegt ein Schritt, den viele Betriebe nie gehen, obwohl die einschlägigen Regelwerke ihn ausdrücklich erwarten.

In vielen Unternehmen läuft die Datensicherung seit Jahren zuverlässig. Jede Nacht, jede Woche, ohne Fehlermeldung. Auf die Frage „Sind Ihre Daten gesichert?“ antworten Sie zu Recht mit Ja.

Nur beantwortet diese Frage nicht die entscheidende: Wie lange dauert es, bis Ihr Betrieb nach einem Ausfall wieder arbeitet? Wer soll dann was tun? Und funktioniert das Zurückspielen überhaupt? Wer das nie ausprobiert hat, kennt die Antwort nicht, er hofft sie nur.

Kein Extra für besonders Vorsichtige: Was die Regelwerke erwarten

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) führt in seinem Baustein „CON.3 Datensicherungskonzept“ (Edition 2023) die Anforderung CON.3.A15 „Regelmäßiges Testen der Datensicherungen“. Im Wortlaut: „Es MUSS regelmäßig getestet werden, ob die Datensicherungen wie gewünscht funktionieren, vor allem, ob gesicherte Daten einwandfrei und in angemessener Zeit zurückgespielt werden können.“ Die Großschreibung kennzeichnet dort eine Basis-Anforderung, die im IT-Grundschutz vorrangig zu erfüllen ist.

Dazu gehört eine Einordnung, die oft fehlt: Der IT-Grundschutz ist ein Standard des BSI, kein Gesetz. Für ein normales mittelständisches Unternehmen ist er nicht unmittelbar gesetzlich verbindlich; verbindlich wird er über Verträge, Auftraggeber, Zertifizierungen oder Branchenanforderungen. Sein Gewicht bezieht er daraus, dass er beschreibt, was fachlich als üblich gilt.

Der zweite Bezugspunkt ist der Datenschutz, und der betrifft nur personenbezogene Daten, nicht Ihren gesamten Datenbestand. Art. 32 DSGVO verlangt Maßnahmen für ein „dem Risiko angemessenes Schutzniveau“ und nennt dazu Regelbeispiele, die „gegebenenfalls“ dazugehören: die Fähigkeit, die Verfügbarkeit personenbezogener Daten nach einem Zwischenfall rasch wiederherzustellen (Buchstabe c), und ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der getroffenen Maßnahmen (Buchstabe d). Beides ist risikoabhängig, kein unbedingtes Muss. Eine Datensicherung ist typischerweise eine solche Maßnahme.

Eine Frist oder eine bestimmte Testmethode nennt der Gesetzestext nicht. Wie Sie das umsetzen, ist damit offen. Dass die Wirksamkeit überhaupt überprüft wird, ist der Punkt, auf den beide Regelwerke hinauslaufen.

Warum ein fehlerfreies Sicherungsprotokoll wenig aussagt

Das BSI führt „Fehlende Wiederherstellungstests“ als eigene Gefährdung auf und wird dort deutlich: Regelmäßig gesicherte Daten sind nicht automatisch problemlos wiederherstellbar. Die Gründe dafür sind unspektakulär und genau deshalb so häufig:

Die Sicherung ist mitbetroffen. Ransomware, also Schadsoftware, die Ihre Daten verschlüsselt und für die Freigabe Geld fordert, sucht laut BSI in vielen Ausprägungen nach Netzlaufwerken mit Schreibzugriff. Sind die Sicherungsmedien nicht ausreichend geschützt, können sie deshalb selbst verschlüsselt werden (CON.3, Gefährdung 2.10).
Der Schlüssel fehlt. Zu verschlüsselten Sicherungen heißt es beim BSI: „Wird diese beispielsweise verschlüsselt, und ist bei einem Datenverlust auch der Schlüssel zum Entschlüsseln der Datensicherung betroffen, können die Daten nicht wiederhergestellt werden. Das könnte dann der Fall sein, wenn nicht daran gedacht wurde, den Schlüssel getrennt aufzubewahren.“ (CON.3, Gefährdung 2.8)
Die Anleitung liegt nur digital vor. Auch das benennt das BSI: Ist die Anleitung für die Wiederherstellung nur auf den Systemen gespeichert, kann sie bei einem Großschaden mit verloren gehen (Gefährdung 2.4).
Ein RAID-System ist keine Datensicherung. Ein RAID ist ein Verbund mehrerer Festplatten, der die Daten über mehrere Datenträger hinweg absichert. Das beugt dem Ausfall einzelner Datenträger vor, schützt laut BSI aber nicht davor, dass Daten versehentlich überschrieben werden oder Schadsoftware sie befällt.

Keiner dieser Punkte erzeugt eine Fehlermeldung im laufenden Betrieb. Sie fallen erst auf, wenn jemand versucht, tatsächlich zurückzuspielen.

Der unterschätzte Faktor: Zeit

Eine Bitkom-Befragung hat 604 Unternehmen ab 10 Mitarbeitenden und 1 Mio. Euro Jahresumsatz gefragt, wie lange sie ihren Geschäftsbetrieb ohne Internet aufrechterhalten könnten (telefonisch, November 2025 bis Januar 2026). Das Ergebnis: im Schnitt 20 Stunden. 21 Prozent müssten sofort die Arbeit einstellen, und nur 8 Prozent sind sicher, länger als 48 Stunden weiterarbeiten zu können. Gefragt war nach einem Internetausfall, nicht nach einem Datenverlust, und es sind Selbsteinschätzungen der Befragten, keine gemessenen Ausfallzeiten. Ein Messwert für den Ernstfall „Wiederherstellung“ sind sie damit nicht, sie zeigen aber, wie wenig Puffer Betriebe sich selbst zutrauen, wenn das Internet ausfällt.

Unabhängig davon hält das BSI in seinem Arbeitspapier „Maßnahmenkatalog Ransomware“ (2022) fest, dass die Wiederherstellung häufig Wochen, mitunter sogar Monate dauern kann. Das sind zwei verschiedene Situationen und keine gemeinsame Rechnung. Wie lange eine Wiederherstellung in Ihrem Betrieb dauert, lässt sich ohnehin nur durch Ausprobieren herausfinden.

Ein Hinweis am Rande für die Geschäftsführung: Im selben BSI-Papier heißt es: „Es sollte auch bedacht werden, dass Cyber-Versicherungen in ihren Versicherungsbedingungen konkrete IT-Sicherheitsmaßnahmen (z.B. ein geeignetes Backup-Konzept) vorgeben und im Schadensfall sehr genau auf Versäumnisse des Versicherungsnehmers prüfen.“

Der erste Schritt muss kein Projekt sein

Was CON.3.A15 verlangt, ist das tatsächliche Zurückspielen: gesicherte Daten einwandfrei und in angemessener Zeit auf ein System zurückbringen. Eine Besprechung am grünen Tisch ersetzt das nicht.

Für den Einstieg nennt das BSI in seinem Arbeitspapier von 2022 aber auch einfache Formate: „Schon einfache Planbesprechungen und Übungen können sensibilisieren und dazu beitragen, am grünen Tisch zu überprüfen, wie eine Institution mit einem Vorfall umgehen würde.“ Durchspielen lässt sich das in unterschiedlichem Ausmaß: für ein einzelnes System, für einen Standort oder für den kompletten Betrieb. Den regelmäßigen Praxistest dieser Planungen empfiehlt dasselbe Papier daneben ausdrücklich, damit Probleme beim Zurückspielen auffallen, bevor es ernst wird.

Planen Sie für den Anfang einen Termin von rund zwei Stunden mit Ihrem IT-Dienstleister und einer Person aus dem Tagesgeschäft. Das BSI nennt Fragen, die sich beim Üben beantworten lassen, sinngemäß: In welcher Reihenfolge werden Server und Daten aus den Sicherungen zurückgeholt? Wie lange dauert das Wiederherstellen und Neueinrichten der zwingend nötigen Geräte? Wie wird vorgegangen, wenn lokale Systeme und Sicherungen unbrauchbar sind und alles aus Offline-Kopien kommen muss? Und wie laufen die kritischen Geschäftsprozesse in der Zwischenzeit weiter?

Das ist keine Checkliste, die abgehakt werden muss, sondern ein Einstieg. Der nächste Schritt ist, einmal wirklich zurückzuspielen. Das BSI empfiehlt außerdem, Kontaktdaten, Zugänge und Notfallunterlagen ausgedruckt vorzuhalten, damit sie verfügbar bleiben, wenn die digitalen Wege ausfallen.

Fazit

Dass die Datensicherung läuft, ist die halbe Antwort. Die andere Hälfte, wie schnell und wie vollständig Ihr Betrieb wieder arbeitsfähig wird, kennen Sie erst, wenn Sie einmal zurückgespielt haben. Der Aufwand dafür ist überschaubar. Sonst bekommen Sie die Antwort im ungünstigsten Moment.

Dieser Beitrag gibt eine allgemeine Orientierung und ersetzt keine rechtliche Beratung im Einzelfall. Ob und in welchem Umfang die genannten Anforderungen für Ihren Betrieb gelten, klären Sie bitte mit Ihrem Datenschutzbeauftragten oder Ihrer Rechtsberatung.

Den Test führen Sie am besten mit dem IT-Dienstleister durch, der Ihre Systeme betreut. Datensicherung und IT-Betrieb sind nicht unser Geschäft, wir entwickeln Web-Anwendungen. Dort gehört die Frage für uns aber von Anfang an dazu: Wie kommen Sie nach einem Ausfall wieder online, und wie lange dauert das? Wenn Sie eine Web-Anwendung von uns entwickeln oder betreuen lassen, klären wir das gemeinsam mit: mit klarem Ablauf und ohne Überraschungen. Sprechen Sie uns gern an: Sie reden direkt mit dem Entwickler, nicht mit einem Ticketsystem.