„Cheffe, der Rechner von der Buchhaltung geht nicht mehr an.“ „Kein Ding, wir haben doch ein Backup.“ „Und wie kriegen wir das wieder drauf?“ „Frag Ulf, der hat das damals eingerichtet.“ Ulf macht inzwischen was anderes, und auf der externen Festplatte im Schrank klebt ein Zettel mit einem Datum vom letzten Sommer.

Guck mal an, ein Prozess ohne Standard. Gesichert wird ja in fast jeder Firma irgendwas, die Frage ist halt, ob einer weiß, wie es zurückkommt. Und das fällt meistens erst an dem Tag auf, an dem man es braucht.

Was ich diese Woche selbst gebaut habe

Am Mittwoch habe ich für eine kleine Community-Seite, an der ich nebenbei mitbaue, eine nächtliche Sicherung eingebaut. Auf der Seite liegen Anmeldungen, Benutzerkonten und ein paar Listen, und bis dahin lag das alles in genau einem Ordner auf einem Server. Wäre der Server weg gewesen, wären die Daten auch weg gewesen. Jetzt geht jede Nacht um halb vier eine Kopie in einen Cloud-Speicher, die neuesten drei bleiben liegen, ältere werden gelöscht. Die Login-Sitzungen habe ich bewusst rausgelassen, die braucht nach einer Wiederherstellung keiner, dann meldet man sich halt neu an.

Klingt erst mal ordentlich. Und dann hab ich mir das mal so angeguckt, wie ich sonst auf Abläufe bei Kunden gucke. Da fallen drei Sachen auf, die ganz ehrlich in fast jeder kleinen Firma genauso aussehen.

Wenn die Sicherung schiefgeht, steht das nur im Protokoll vom Server. Das liest keiner. Die Sicherung könnte also seit Wochen nicht laufen, und keiner würde es merken. Dann sind drei Nächte zurück halt nicht viel. Leert jemand aus Versehen eine Liste und das fällt erst nach vier Tagen auf, ist der Fehler in allen drei Kopien schon drin. Und es gibt bisher keinen fertigen Weg zurück. Die Kopie liegt da, aber wie sie wieder auf den Server kommt, hab ich noch nicht durchgespielt. Mach ich als Nächstes. Und ich glaub, das ist auch der Schritt, den die meisten nie machen.

Gesichert wird fast überall, getestet kaum

Das ist nicht nur mein Gefühl. Der Datenretter DATA REVERSE hat Anfang 2025 nach eigenen Angaben 285 kleine und mittlere Firmen in Deutschland befragt. Laut der Pressemeldung testen 72 Prozent nur selten oder nie, ob sich ihre Daten wirklich wiederherstellen lassen. Die Zahl kommt von einer Firma, die mit Datenrettung Geld verdient, also mit etwas Vorsicht lesen. In der Schweiz sieht es aber ähnlich aus. Die Studie „KMU Cybersicherheit 2026“ mit 507 befragten Geschäftsleitungen von Firmen mit bis zu 49 Leuten kommt laut PCtipp darauf, dass neun von zehn sichern, aber nur ein Viertel regelmäßig die Wiederherstellung testet.

Die Sicherung ist eingerichtet, also gilt das Thema als erledigt. Ob sie läuft und ob das Richtige drin ist, weiß keiner so genau.

Datensicherung für kleine Unternehmen: was dazugehört

Die IHK München fasst die Grundregeln ganz gut zusammen: regelmäßig sichern, die Sicherung vom gesicherten System trennen, mehrere Stände über eine angemessene Zeit aufheben und die Sicherungen regelmäßig testen. Dazu kommt die bekannte 3-2-1-Regel, also drei Kopien auf zwei verschiedenen Speichern, eine davon woanders.

Wichtig finde ich vor allem das Trennen. Eine Festplatte, die immer am Rechner hängt, wird bei einem Schadprogramm gleich mit verschlüsselt. Und ein Ordner, der mit der Cloud synchronisiert wird, ist erst mal nur ein Spiegel. Was auf dem Rechner gelöscht wird, ist drüben auch weg, meistens mit Papierkorb für eine Weile, bei Google Drive sind das 30 Tage. Praktisch, aber nach einem Monat kann man sich da halt nicht mehr drauf verlassen.

Meine eigene Kopie liegt übrigens beim selben Anbieter wie die Fotos der Seite. Für eine kleine Community-Seite ist das gerade okay. Für die Buchhaltung einer Firma würd ich das nicht so lassen.

Wer merkt es, wenn die Sicherung nicht läuft?

Das ist am Ende die eigentliche Frage, und die ist keine Technikfrage. Bei der Überwachung von Websites ist es genauso, da habe ich vor ein paar Tagen über das grüne Häkchen geschrieben, das nichts bedeutet hat. Eine Sicherung, die im Stillen scheitert, ist schlimmer als keine, weil alle denken, es ist alles gut.

Deshalb braucht die Datensicherung einen Namen. Also eine Person, die die Meldung bekommt, wenn es schiefgeht, und die einmal im Quartal eine Datei zurückholt. „Die IT“ reicht da nicht. Das kann auch der Dienstleister sein, aber dann mit klarer Absprache, was er prüft und wem er Bescheid sagt.

So geht ihr vor

1. Aufschreiben, was eigentlich wichtig ist. Buchhaltung, Kundendaten, Angebote, Mails, die Daten in Programmen, die irgendwo im Netz laufen. Für jedes davon: wo liegt es heute, und ist es in einer Sicherung drin? Die Lücken sind meistens die Sachen, an die keiner denkt, der eine Rechner im Lager oder die Tabelle auf dem Desktop von der Kollegin.
2. Festlegen, wie viel verloren gehen darf. Ein Tag Arbeit? Eine Woche? Daraus ergibt sich, wie oft gesichert wird und wie weit die Stände zurückreichen müssen. Fehler fallen oft erst nach Tagen auf, also lieber ein paar Wochen zurück als drei Nächte.
3. Mindestens eine Kopie trennen. Eine Festplatte, die nach der Sicherung abgesteckt wird, oder ein Speicher bei einem anderen Anbieter, den nur die Sicherung erreicht.
4. Einen Zuständigen festlegen und dafür sorgen, dass Fehlermeldungen bei dieser Person landen, per Mail oder im Chat, nicht in einem Protokoll, das keiner liest.
5. Die Wiederherstellung ausprobieren. Einmal im Quartal eine einzelne Datei zurückholen, einmal im Jahr den großen Fall durchspielen, zum Beispiel einen Rechner neu aufsetzen. Dabei die Zeit stoppen und aufschreiben, welche Schritte nötig waren.
6. Den Weg zurück aufschreiben, so dass ihn auch jemand anderes als Ulf gehen kann. Wo liegt die Sicherung, wer hat den Zugang, welches Passwort braucht man, in welcher Reihenfolge wird was zurückgespielt.

Punkt fünf und sechs sind die, die den Unterschied machen. Bei mir stehen sie gerade selbst noch auf der Liste, das gebe ich zu.

Wer bei sich mal durchgehen will, an welchen Abläufen sonst noch so ein Ulf hängt, kann das mit unserem Prozess-Check machen.