Backup & Disaster Recovery für KMU: Daten nie wieder verlieren

Ein Ransomware-Angriff, ein defekter Server, eine versehentlich gelöschte Datenbank — und plötzlich steht der Betrieb still. Für kleine und mittlere Unternehmen entscheidet dann nicht das Backup allein, sondern eine durchdachte Disaster Recovery: der Plan, wie Systeme und Daten nach einem Ausfall wieder ans Laufen kommen. Dieser Ratgeber erklärt die wichtigsten Kennzahlen, die Unterschiede zwischen Backup und DRaaS und liefert eine Checkliste zum Abhaken.

Warum Disaster Recovery für KMU wichtig ist

Große Konzerne haben eigene Rechenzentren, Notfallteams und redundante Systeme. Kleine und mittlere Unternehmen haben das meist nicht — und sind trotzdem genauso auf ihre Daten angewiesen. Fällt das zentrale System aus, steht oft der komplette Betrieb: keine Aufträge, keine Rechnungen, kein Kundenzugriff. Genau diese Lücke schließt eine solide Disaster Recovery.

Die Auslöser sind vielfältiger, als viele denken. Es geht längst nicht nur um Cyberangriffe:

• Hardware-Defekte — Festplatten und Server fallen aus, oft ohne Vorwarnung.
• Ransomware und Schadsoftware — verschlüsselte Daten sind ohne sauberes, getrenntes Backup faktisch verloren.
• Menschliche Fehler — versehentlich gelöschte Ordner oder überschriebene Datenbanken zählen zu den häufigsten Ursachen.
• Physische Schäden — Feuer, Wasser oder Stromausfall im Serverraum.

Der wirtschaftliche Schaden entsteht dabei selten nur durch die verlorenen Daten selbst. Jede Stunde Stillstand kostet Umsatz, bindet Personal und beschädigt im schlimmsten Fall das Vertrauen von Kunden und Partnern. Gerade für KMU ohne finanzielle Puffer kann ein längerer Ausfall existenzbedrohend werden — während ein durchdachtes Wiederherstellungskonzept den Unterschied zwischen einer Randnotiz und einer echten Krise ausmacht.

Hinzu kommt der regulatorische Druck. Mit der EU-Richtlinie NIS2 rücken Anforderungen an Cybersicherheit und Betriebskontinuität stärker in den Fokus — auch für mittelständische Unternehmen, die bislang außerhalb solcher Vorgaben lagen. Ob und in welchem Umfang Ihr Betrieb betroffen ist, hängt von Branche und Unternehmensgröße ab und wird über die nationale Umsetzung geregelt. Eine belastbare Aussage dazu sollten Sie mit einer fachkundigen Rechts- oder IT-Sicherheitsberatung klären, statt sich auf pauschale Fristen zu verlassen. Unabhängig davon gilt: Wer seine Wiederherstellung im Griff hat, ist für kommende Anforderungen deutlich besser aufgestellt.

RTO, RPO und die 3-2-1-Regel erklärt

Zwei Kennzahlen bilden das Fundament jeder Disaster-Recovery-Strategie. Sie klingen technisch, lassen sich aber in einem Satz erklären.

• RTO (Recovery Time Objective) — die maximal tolerierbare Ausfalldauer. Wie lange darf ein System stehen, bevor es wieder laufen muss? Eine Stunde? Ein Tag?
• RPO (Recovery Point Objective) — der maximal tolerierbare Datenverlust, gemessen in Zeit. Wenn Sie einmal pro Nacht sichern, kann im schlimmsten Fall ein ganzer Arbeitstag verloren gehen.

Ein Beispiel macht den Zusammenhang greifbar: Ein Online-Shop mit einem RTO von zwei Stunden und einem RPO von 15 Minuten braucht eine deutlich aufwendigere Lösung als ein Handwerksbetrieb, der eine tägliche Sicherung und einen halben Tag Wiederanlauf verkraften kann. Je kürzer RTO und RPO, desto höher der technische Aufwand — und die Kosten.

Der praktische Nutzen dieser beiden Kennzahlen: Sie zwingen zu einer ehrlichen Priorisierung. Nicht jedes System muss in Minuten wieder verfügbar sein, und nicht überall ist ein Datenverlust von einigen Stunden ein Problem. Definieren Sie RTO und RPO deshalb pro System und nicht pauschal für das ganze Unternehmen — so investieren Sie das Budget dort, wo ein Ausfall wirklich weh tut, statt es gleichmäßig zu verteilen.

Entscheidend ist der letzte Punkt: die offsite-Kopie. Liegen alle Sicherungen im selben Serverraum, hilft das gegen einen Festplattendefekt — aber nicht gegen Feuer, Diebstahl oder eine Ransomware, die sich über das Netzwerk auf verbundene Backups ausbreitet. Eine getrennte, idealerweise unveränderbare (immutable) Kopie ist die Versicherung gegen den wirklich schlimmen Fall.

Backup vs. Disaster Recovery vs. DRaaS

Diese drei Begriffe werden oft synonym verwendet, meinen aber unterschiedliche Dinge. Der Unterschied entscheidet darüber, wie schnell Sie nach einem Ausfall wieder handlungsfähig sind.

• Backup — eine Kopie Ihrer Daten. Ein Backup schützt vor Datenverlust, sagt aber nichts darüber aus, wie schnell ein komplettes System wieder läuft. Sie haben die Dateien, müssen aber Server, Anwendungen und Konfigurationen selbst neu aufsetzen.
• Disaster Recovery — der vollständige Plan und die Prozesse, um nach einem Ausfall den Betrieb wiederherzustellen. Das umfasst nicht nur die Daten, sondern auch Systeme, Reihenfolgen, Zuständigkeiten und getestete Abläufe.
• DRaaS (Disaster Recovery as a Service) — Disaster Recovery als Dienstleistung aus der Cloud. Ein Anbieter hält eine einsatzbereite Kopie Ihrer Infrastruktur vor und kann im Ernstfall auf ein gespiegeltes System umschalten, oft mit deutlich kürzeren Wiederanlaufzeiten.

Für viele KMU ist die pragmatische Antwort eine Kombination: ein zuverlässiges, getrenntes Backup als Basis und DRaaS für die wenigen Systeme, deren Ausfall wirklich weh tut. Wer ohnehin gerade Systeme in die Cloud verlagert, sollte Disaster Recovery direkt mitdenken — unser Ratgeber zur Cloud-Migration zeigt, worauf es dabei ankommt.

Anbieter & Kosten (indikativ)

Die Kosten für Backup und Disaster Recovery hängen stark von Datenmenge, gewünschtem RTO/RPO und dem Grad der Automatisierung ab. Die folgenden Spannen sind grobe Orientierungswerte für ein KMU, keine Angebote. Holen Sie immer zwei bis drei konkrete Angebote ein und vergleichen Sie den Leistungsumfang, nicht nur den Preis.

Bei den Speicher- und Hosting-Anbietern führt in Deutschland oft kein Weg an Namen wie IONOS oder Hetzner vorbei, die Server- und Cloud-Speicher in deutschen Rechenzentren anbieten — ein Pluspunkt für Unternehmen, die Wert auf einen Serverstandort in der EU legen. Prüfen Sie beim konkreten Vergleich, welche Backup- und Wiederherstellungsfunktionen im jeweiligen Tarif tatsächlich enthalten sind, wo die Daten liegen und wie ein Auftragsverarbeitungsvertrag (AVV) geregelt ist. Wenn Sie kein eigenes IT-Team haben, das die Wiederherstellung im Ernstfall steuert, sind Managed IT Services häufig der praktikablere Weg als eine reine Selbstverwaltung.

Notfallplan-Checkliste

Ein Disaster-Recovery-Plan ist nur so gut wie sein letzter Test. Die folgende Checkliste hilft Ihnen, die wichtigsten Punkte durchzugehen — vom ersten Konzept bis zum regelmäßigen Ernstfall-Training.

1. Kritische Systeme erfassen. Welche Anwendungen und Daten sind geschäftskritisch? Ordnen Sie jedem eine Priorität, ein RTO und ein RPO zu.
2. 3-2-1-Regel umsetzen. Drei Kopien, zwei Medientypen, eine offsite — idealerweise eine davon unveränderbar (immutable).
3. Zuständigkeiten festlegen. Wer entscheidet im Ernstfall? Wer führt die Wiederherstellung durch? Legen Sie Namen und Vertretungen fest, nicht nur Rollen.
4. Ablauf dokumentieren. Ein Notfallplan, der nur im Kopf eines Mitarbeiters existiert, ist kein Plan. Schreiben Sie die Schritte auf und bewahren Sie sie auch außerhalb der betroffenen Systeme auf.
5. Kontaktliste bereithalten. Anbieter, Dienstleister, interne Ansprechpartner — inklusive Zugangsdaten an einem sicheren, getrennten Ort.
6. Wiederherstellung testen. Mindestens einmal im Jahr eine echte Rücksicherung durchspielen. Ein Backup, das sich nicht wiederherstellen lässt, ist wertlos.
7. Plan aktuell halten. Neue Systeme, neue Mitarbeiter, neue Anbieter — der Plan muss mitwachsen.

Wenn Sie diese Punkte lieber mit erfahrenen Anbietern statt in Eigenregie angehen möchten, hilft ein strukturierter Vergleich mehr als eine Bauchentscheidung. Beginnen Sie mit Ihren geschäftskritischen Systemen und arbeiten Sie sich von dort nach unten.

FAQ