Backup-Strategie KMU: Welche Rahmen sind verbreitet?

Welche regulatorischen Grundlagen sind einschlägig?

Die Anforderungen an ein Datensicherungskonzept lassen sich aus mehreren parallelen Rechts- und Standard-Quellen ableiten, deren Anwendbarkeit jeweils zu prüfen ist:

• DSGVO Art. 32 Abs. 1 lit. b und c verpflichtet zur Sicherstellung der Verfügbarkeit und Belastbarkeit der Verarbeitungssysteme sowie zur Wiederherstellbarkeit der Daten bei einem Zwischenfall. Die Aufsichtsbehörden orientieren sich bei der Auslegung regelmäßig an BSI-Standards.
• NIS2-Richtlinie (EU) 2022/2555 Art. 21 Abs. 2 lit. c verlangt Maßnahmen zur Bewältigung der Geschäftskontinuität, ausdrücklich einschließlich Back-up-Management und Wiederherstellung nach einem Notfall.

Detail

• BSI IT-Grundschutz Baustein CON.3 (Datensicherungskonzept) ist die anerkannte Referenz für die Auslegung eines Datensicherungskonzepts im deutschen Raum.
• ISO/IEC 27040:2024 (Storage security) definiert international die Sicherheitsanforderungen an Speichersysteme einschließlich Backup und Archiv.
• Sektorspezifische Anforderungen (BAIT, VAIT, KAIT, B3S Krankenhaus, KRITIS-Verordnung, TKG) sehen regelmäßig erweiterte Anforderungen an Backup-Konzepte vor.

Welche dieser Quellen mit welcher Bindungswirkung greift, ergibt sich aus der konkreten Unternehmenssituation.

Welche Schutzbedarfs-Stufe passt typisch zu KMU?

Die Wahl des Backup-Konzepts richtet sich nach dem Schutzbedarf der Daten in den Kategorien Verfügbarkeit und Integrität. Eine typische KMU-Einstufung (in Anlehnung an BSI-Schutzbedarfskategorien) kann sein:

Detail

• Normaler Schutzbedarf (Bürobetrieb mit Standard-Geschäftsdaten, Standard-Buchhaltung, klassische Dateiablagen): Der 3-2-1-Rahmen mit regelmäßiger Restore-Übung ist ein verbreiteter Bezugspunkt — sofern keine sektorspezifischen Pflichten oder Cyber-Policen darüber hinausgehen.
• Hoher Schutzbedarf (vertrauliche Geschäftsdaten, größere Kundendatenbestände, ERP-Systeme mit Echtzeit-Transaktionen): Hier sind eine 3-2-1-1-0-Erweiterung (zusätzlich eine Immutable-Kopie und null Wiederherstellungsfehler im Test), kürzere RPO/RTO-Zielwerte und ggf. Continuous Data Protection in Erwägung zu ziehen.
• Sehr hoher Schutzbedarf (Gesundheitsdaten besonderer Kategorie nach Art. 9 DSGVO, KRITIS-relevante Sektoren, Geschäftsgeheimnisse mit hohem Wert): Air-Gap-Architekturen, Off-Site-Replikation in geographisch getrennten Rechenzentren und ein dokumentierter Recovery-Test-Plan sind regelmäßig erforderlich.

Die Schutzbedarfsanalyse ist nach BSI IT-Grundschutz Baustein ISMS.1 Bestandteil eines tragfähigen Sicherheitsmanagements und sollte der Backup-Konzeption vorausgehen.

Welcher Aufbau-Rahmen ist verbreitet?

Die 3-2-1-Regel ist ein etablierter Bezugspunkt für die Datensicherungs-Architektur. Sie ist im BSI-Baustein CON.3 als Mindest-Redundanz-Prinzip beschrieben und besteht aus drei Komponenten:

• 3 Kopien der Daten — Produktivdatensatz plus zwei voneinander unabhängige Sicherungen.
• 2 verschiedene Medientypen — die Vermeidung medien-spezifischer Ausfallrisiken (z. B. NAS plus Cloud-Storage statt zwei NAS-Systeme).

Detail

• 1 Off-Site-Kopie — räumliche Trennung zur Absicherung gegen Standort-Ereignisse (Brand, Wasserschaden, Diebstahl, Beschlagnahme).

Eine fortgeschrittene Erweiterung, die Versicherer und Auditor:innen zunehmend referenzieren, ist die 3-2-1-1-0-Variante: zusätzlich eine Immutable- oder Air-Gap-Kopie sowie null nicht-restaurierbare Backup-Sätze im jährlichen Wiederherstellungstest.

Typische Umsetzungsmuster im KMU-Bereich:

• SaaS-zentriertes Profil (Microsoft 365 oder Google Workspace als Produktion): Produktivdaten in der Cloud-Suite, separate Backup-Lösung für Postfächer, OneDrive/Drive und SharePoint/Shared-Drives. Marktbekannte Anbieter sind u. a. Veeam, Acronis, SkyKick, Synology, Hornetsecurity — die Auswahl hängt von Datenvolumen, Aufbewahrungsanforderungen und vorhandenen Verträgen ab.
• Hybrides Profil (On-Premise-Server plus SaaS): Lokales Backup-Ziel (NAS oder dediziertes Backup-Appliance) plus replizierte Cloud-Sicherung.
• Server-zentriertes Profil (eigene Server-Infrastruktur, ggf. Fertigungs- oder CAD-Workloads): Image-basierte Backups, ggf. mit Continuous Data Protection für transaktionskritische Workloads.

Welches Muster geeignet ist, hängt vom konkreten Datenprofil und den Sektorvorgaben ab.

Wie sind RPO und RTO einzuordnen?

Recovery-Point-Objective (RPO) und Recovery-Time-Objective (RTO) sind unternehmensindividuell aus dem Business-Impact-Assessment abzuleiten — sie ergeben sich aus der Frage, welcher Datenverlust und welcher Ausfallzeitraum für den jeweiligen Geschäftsprozess wirtschaftlich, vertraglich und regulatorisch tragbar ist.

Detail

• RPO beschreibt den maximal tolerierbaren Datenverlust in der Zeit, gemessen vom letzten erfolgreichen Backup bis zum Ausfallzeitpunkt.
• RTO beschreibt den maximal tolerierbaren Zeitraum vom Ausfall bis zur Wiederherstellung der Produktivfähigkeit.

Übliche Ausgangswerte aus der Praxisliteratur sind als Orientierung, nicht als pauschale Vorgabe zu verstehen:

• Transaktionsnahe Systeme (ERP, Kassen-Systeme, Echtzeit-Buchungen) — niedrige RPO-Zielwerte sind üblich.
• Vertriebs- und Projekt-Daten — mittlere RPO-Zielwerte sind üblich.
• Allgemeine Dokumentenbestände — tagesnahe RPO-Zielwerte sind häufig akzeptabel.

Die konkrete Festlegung erfordert eine Geschäftsprozess-Analyse, an die sich die Auswahl der Backup-Architektur anschließt. Eine pauschale Übernahme von Erfahrungswerten ohne diese Analyse ist nicht empfehlenswert.

Welche Anforderungen an Ransomware-Resilienz sind verbreitet?

Die ENISA und das BSI weisen in den jüngsten Lageberichten darauf hin, dass Backup-Infrastrukturen ein häufiges Sekundärziel von Ransomware-Angriffen sind. Verbreitete Schutz-Anforderungen, die im Rahmen der Backup-Konzeption zu prüfen sind:

Detail

• Unveränderbarkeit (Immutability) oder Air-Gap. Sicherungskopien sind so zu schützen, dass sie auch bei kompromittierten Administrationskonten nicht überschrieben oder gelöscht werden können. Object-Lock-Funktionen großer Cloud-Object-Storage-Plattformen oder physische Off-Line-Medien sind verbreitete Umsetzungen.
• Trennung der Authentifizierung. Backup-Infrastruktur und Produktions-Domäne sollten unterschiedliche Identitäts-Domänen mit separater Multi-Faktor-Authentifizierung nutzen, um einer Lateral-Movement-Strategie eines Angreifers zu begegnen.
• Aufbewahrungs-Horizont. Manche Ransomware-Familien verbleiben unbemerkt in der Infrastruktur, bevor die Verschlüsselungsphase aktiviert wird. Ein nur kurzer Backup-Horizont kann dazu führen, dass die Wiederherstellung selbst bereits kompromittierte Daten enthält.

Welche dieser Maßnahmen mit welcher Tiefe einschlägig ist, ergibt sich aus der Bedrohungslage und der Cyber-Versicherungs-Anforderung.

Welche Konstellationen erfordern abweichendes Vorgehen?

Ein 3-2-1-Rahmen ohne weitere Erweiterungen ist nicht für alle Unternehmensprofile geeignet. In den folgenden Konstellationen sind erweiterte Strategien erforderlich:

• KRITIS-Betreiber nach BSI-KritisV: Erweiterte Anforderungen an Redundanz, Wiederherstellungszeiten und Nachweispflichten ergeben sich aus dem sektorspezifischen Regelwerk.
• Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO — Gesundheits-, biometrische, religiöse, gewerkschaftliche Daten): Erweiterte technische und organisatorische Maßnahmen sind regelmäßig erforderlich, einschließlich verschlüsselter Backup-Wege und gesonderter Zugriffsbeschränkungen.

Detail

• Finanzsektor (BAIT, VAIT, KAIT, MaRisk): Detaillierte Vorgaben zu Wiederherstellungszeiten, Rückfall-Rechenzentren und regelmäßigen Notfallübungen.
• Gesundheitssektor (B3S Krankenhaus, KHZG-Förderbedingungen): Spezielle Anforderungen an die Verfügbarkeit medizintechnischer und administrativer Systeme.
• Cyber-Policen mit erweiterten Anforderungen: Versicherungsbedingungen schreiben regelmäßig Immutable Backups, Air-Gap-Komponenten, definierte RPO/RTO und dokumentierte Restore-Tests als Deckungsvoraussetzung vor — bei Nichteinhaltung droht der Deckungsverlust im Schadenfall.
• NIS2-pflichtige Einrichtungen (wesentliche und wichtige Einrichtungen): Backup-Management und Wiederherstellung nach einem Notfall sind ausdrücklich in Art. 21 Abs. 2 lit. c der NIS2-Richtlinie genannt; die Auslegung erfolgt durch das BSI im Rahmen der nationalen Umsetzung.

Bei Unsicherheit über die einschlägige Maßnahmen-Tiefe ist eine fachliche Beratung dem Verzicht auf Erweiterungen vorzuziehen.

Nächster Schritt

Eine erste Strukturierung der Reaktionsorganisation nach einem Backup-relevanten Vorfall lässt sich über den Incident-Response-Plan-Generator anlegen. Welche RPO/RTO-Werte für das eigene Datenprofil tragfähig sind, ist im Anschluss durch eine Geschäftsprozess-Analyse zu bestimmen.

Eine Einordnung des Backup-Konzepts in den größeren Pflichtenkanon der NIS2 findet sich in NIS2 Asset-Management — was erwartet das BSI?.

Diese Einordnung beruht auf den oben genannten Quellen mit Stand 2026-05-16. Sie ersetzt keine Einzelfallprüfung durch eine qualifizierte Beratung.