Backup-Strategie KMU: Welche Rahmen sind verbreitet?

Welche regulatorischen Grundlagen sind einschlägig?

Die Anforderungen an ein Datensicherungskonzept lassen sich aus mehreren parallelen Rechts- und Standard-Quellen ableiten, deren Anwendbarkeit jeweils zu prüfen ist:

• DSGVO Art. 32 Abs. 1 lit. b und c verpflichtet zur Sicherstellung der Verfügbarkeit und Belastbarkeit der Verarbeitungssysteme sowie zur Wiederherstellbarkeit der Daten bei einem Zwischenfall.
• NIS2-Richtlinie (EU) 2022/2555 Art. 21 Abs. 2 Buchst. c verlangt Maßnahmen zur Aufrechterhaltung des Betriebs, ausdrücklich einschließlich Backup-Management und Wiederherstellung nach einem Notfall. In Deutschland gilt dafür seit 06.12.2025 § 30 Abs. 2 Nr. 3 BSIG („Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement"); für Betreiber öffentlicher TK-Netze und -Dienste, Energieunternehmen unter §§ 5c bis 5e EnWG und DORA-Finanzunternehmen gilt § 30 BSIG nach § 28 Abs. 5 und 6 BSIG nicht.

• BSI IT-Grundschutz Baustein CON.3 (Datensicherungskonzept) ist die anerkannte Referenz für die Auslegung eines Datensicherungskonzepts im deutschen Raum.
• ISO/IEC 27040:2024 (Storage security) definiert international die Sicherheitsanforderungen an Speichersysteme einschließlich Backup und Archiv.
• Sektorspezifische Anforderungen können hinzukommen, etwa im Finanzsektor DORA (VO (EU) 2022/2554) mit Art. 12 zu Datensicherung und Wiederherstellung; VAIT, KAIT und ZAIT hat die BaFin zum 16.01.2025 aufgehoben, die BAIT entfallen mit Ablauf des 31.12.2026 vollständig. Im Gesundheitswesen gibt es branchenspezifische Sicherheitsstandards (B3S). Die BSI-KritisV selbst legt nur Sektoren und Schwellenwerte fest, keine Backup-Anforderungen.

Welche dieser Quellen mit welcher Bindungswirkung greift, ergibt sich aus der konkreten Unternehmenssituation.

Welche Schutzbedarfs-Stufe passt typisch zu KMU?

Die Wahl des Backup-Konzepts richtet sich nach dem Schutzbedarf der Daten in den Kategorien Verfügbarkeit und Integrität. Eine typische KMU-Einstufung (in Anlehnung an BSI-Schutzbedarfskategorien) kann sein:

• Normaler Schutzbedarf (Bürobetrieb mit Standard-Geschäftsdaten, Standard-Buchhaltung, klassische Dateiablagen): Der 3-2-1-Rahmen mit regelmäßiger Restore-Übung ist ein verbreiteter Bezugspunkt, sofern keine sektorspezifischen Pflichten oder Cyber-Policen darüber hinausgehen.
• Hoher Schutzbedarf (vertrauliche Geschäftsdaten, größere Kundendatenbestände, ERP-Systeme mit Echtzeit-Transaktionen): Hier sind eine 3-2-1-1-0-Erweiterung (zusätzlich eine Immutable-Kopie und null Wiederherstellungsfehler im Test), kürzere RPO/RTO-Zielwerte und ggf. Continuous Data Protection in Erwägung zu ziehen.
• Sehr hoher Schutzbedarf (Gesundheitsdaten besonderer Kategorie nach Art. 9 DSGVO, KRITIS-relevante Sektoren, Geschäftsgeheimnisse mit hohem Wert): Air-Gap-Architekturen, Off-Site-Replikation in geographisch getrennten Rechenzentren und ein dokumentierter Recovery-Test-Plan kommen in Betracht.

Die Methodik der Schutzbedarfsfeststellung beschreibt der BSI-Standard 200-2 (Kapitel 8.2); sie sollte der Backup-Konzeption vorausgehen.

Welcher Aufbau-Rahmen ist verbreitet?

Die 3-2-1-Regel ist ein etablierter Bezugspunkt für die Datensicherungs-Architektur. Sie ist keine Formulierung des BSI, setzt aber die Anforderung aus CON.3.A12 um, Sicherungsmedien räumlich getrennt von den gesicherten IT-Systemen und möglichst in einem anderen Brandabschnitt aufzubewahren. Sie besteht aus drei Komponenten:

• 3 Kopien der Daten, Produktivdatensatz plus zwei voneinander unabhängige Sicherungen.
• 2 verschiedene Medientypen, die Vermeidung medien-spezifischer Ausfallrisiken (z. B. NAS plus Cloud-Storage statt zwei NAS-Systeme).

• 1 Off-Site-Kopie, räumliche Trennung zur Absicherung gegen Standort-Ereignisse (Brand, Wasserschaden, Diebstahl, Beschlagnahme).

Eine Erweiterung ist die 3-2-1-1-0-Variante: zusätzlich eine unveränderbare (Immutable) oder vom Netz getrennte (Air-Gap) Kopie sowie null Fehler bei den Wiederherstellungstests. Wie oft getestet wird, legt das Datensicherungskonzept fest; CON.3.A15 verlangt Tests „regelmäßig", ohne eine Frequenz vorzugeben.

Typische Umsetzungsmuster im KMU-Bereich:

• SaaS-zentriertes Profil (Microsoft 365 oder Google Workspace als Produktion): Produktivdaten in der Cloud-Suite, separate Backup-Lösung für Postfächer, OneDrive/Drive und SharePoint/Shared-Drives. Marktbekannte Anbieter sind u. a. Veeam, Acronis, SkyKick, Synology, Hornetsecurity, die Auswahl hängt von Datenvolumen, Aufbewahrungsanforderungen und vorhandenen Verträgen ab.
• Hybrides Profil (On-Premise-Server plus SaaS): Lokales Backup-Ziel (NAS oder dediziertes Backup-Appliance) plus replizierte Cloud-Sicherung.
• Server-zentriertes Profil (eigene Server-Infrastruktur, ggf. Fertigungs- oder CAD-Workloads): Image-basierte Backups, ggf. mit Continuous Data Protection für transaktionskritische Workloads.

Welches Muster geeignet ist, hängt vom konkreten Datenprofil und den Sektorvorgaben ab.

Wie sind RPO und RTO einzuordnen?

Recovery-Point-Objective (RPO) und Recovery-Time-Objective (RTO) sind unternehmensindividuell aus dem Business-Impact-Assessment abzuleiten, sie ergeben sich aus der Frage, welcher Datenverlust und welcher Ausfallzeitraum für den jeweiligen Geschäftsprozess wirtschaftlich, vertraglich und regulatorisch tragbar ist.

• RPO beschreibt den maximal tolerierbaren Datenverlust in der Zeit, gemessen vom letzten erfolgreichen Backup bis zum Ausfallzeitpunkt.
• RTO beschreibt den maximal tolerierbaren Zeitraum vom Ausfall bis zur Wiederherstellung der Produktivfähigkeit.

Übliche Ausgangswerte aus der Praxisliteratur sind als Orientierung, nicht als pauschale Vorgabe zu verstehen:

• Transaktionsnahe Systeme (ERP, Kassen-Systeme, Echtzeit-Buchungen), niedrige RPO-Zielwerte sind üblich.
• Vertriebs- und Projekt-Daten, mittlere RPO-Zielwerte sind üblich.
• Allgemeine Dokumentenbestände, tagesnahe RPO-Zielwerte sind häufig akzeptabel.

Die konkrete Festlegung erfordert eine Geschäftsprozess-Analyse, an die sich die Auswahl der Backup-Architektur anschließt. Eine pauschale Übernahme von Erfahrungswerten ohne diese Analyse ist nicht empfehlenswert.

Welche Anforderungen an Ransomware-Resilienz sind verbreitet?

BSI-Baustein CON.3 weist in der Gefährdung „Ransomware" (2.10) darauf hin, dass unzureichend abgesicherte Speichermedien für die Datensicherung selbst verschlüsselt werden können. Verbreitete Schutz-Anforderungen, die im Rahmen der Backup-Konzeption zu prüfen sind:

• Unveränderbarkeit (Immutability) oder Air-Gap. Sicherungskopien sind so zu schützen, dass sie auch bei kompromittierten Administrationskonten nicht überschrieben oder gelöscht werden können. Object-Lock-Funktionen großer Cloud-Object-Storage-Plattformen oder physische Off-Line-Medien sind verbreitete Umsetzungen.
• Trennung der Authentifizierung. Backup-Infrastruktur und Produktions-Domäne sollten unterschiedliche Identitäts-Domänen mit separater Multi-Faktor-Authentifizierung nutzen, um einer Lateral-Movement-Strategie eines Angreifers zu begegnen.
• Aufbewahrungs-Horizont. Manche Ransomware-Familien verbleiben unbemerkt in der Infrastruktur, bevor die Verschlüsselungsphase aktiviert wird. Ein nur kurzer Backup-Horizont kann dazu führen, dass die Wiederherstellung selbst bereits kompromittierte Daten enthält.

Welche dieser Maßnahmen mit welcher Tiefe einschlägig ist, ergibt sich aus der Bedrohungslage und der Cyber-Versicherungs-Anforderung.

Welche Konstellationen erfordern abweichendes Vorgehen?

Ein 3-2-1-Rahmen ohne weitere Erweiterungen ist nicht für alle Unternehmensprofile geeignet. In den folgenden Konstellationen sind erweiterte Strategien erforderlich:

• Betreiber kritischer Anlagen (Schwellenwerte nach BSI-KritisV): Zusätzlich zu § 30 BSIG gelten erweiterte Pflichten nach § 31 BSIG; die Umsetzung ist dem BSI nach § 39 Abs. 1 BSIG erstmals zu einem vom BSI festgelegten Zeitpunkt und anschließend alle drei Jahre nachzuweisen.
• Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO, Gesundheits-, biometrische, religiöse, gewerkschaftliche Daten): Das nach Art. 32 DSGVO dem Risiko angemessene Schutzniveau fällt entsprechend höher aus; in Betracht kommen verschlüsselte Backup-Wege (vgl. CON.3.A13) und gesonderte Zugriffsbeschränkungen.

• Finanzsektor: Seit 17.01.2025 gilt DORA (VO (EU) 2022/2554). Art. 12 verlangt dokumentierte Datensicherungsleitlinien, Wiederherstellungsverfahren, regelmäßige Tests dieser Verfahren und, bei Wiederherstellung mit eigenen Systemen, IKT-Systeme, die vom Quellsystem physisch und logisch getrennt sind. VAIT, KAIT und ZAIT hat die BaFin aufgehoben; die BAIT gelten nur noch für Institute außerhalb von DORA und entfallen mit Ablauf des 31.12.2026 vollständig.
• Gesundheitssektor: Krankenhäuser sind nach § 391 SGB V zu Vorkehrungen nach dem Stand der Technik gegen Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer IT verpflichtet; branchenspezifische Sicherheitsstandards (B3S) konkretisieren das.
• Cyber-Policen: Ob Immutable Backups, Air-Gap-Komponenten, definierte RPO/RTO oder dokumentierte Restore-Tests Deckungsvoraussetzung sind und welche Folgen ein Verstoß hat, regeln die jeweiligen Versicherungsbedingungen; sie sollten vor Vertragsschluss und bei jeder Verlängerung geprüft werden.
• NIS2-pflichtige Einrichtungen (besonders wichtige und wichtige Einrichtungen): Backup-Management und Wiederherstellung nach einem Notfall sind ausdrücklich in Art. 21 Abs. 2 Buchst. c der NIS2-Richtlinie genannt; in Deutschland gilt § 30 Abs. 2 Nr. 3 BSIG, Aufsichtsbehörde ist das BSI. Ausgenommen sind nach § 28 Abs. 5 und 6 BSIG (mit Rückausnahmen) u. a. TK-Anbieter, Energieunternehmen unter §§ 5c bis 5e EnWG und DORA-Finanzunternehmen, für die eigene Regelwerke gelten.

Bei Unsicherheit über die einschlägige Maßnahmen-Tiefe ist eine fachliche Beratung dem Verzicht auf Erweiterungen vorzuziehen.

Nächster Schritt

Eine erste Strukturierung der Reaktionsorganisation nach einem Backup-relevanten Vorfall lässt sich über den Incident-Response-Plan-Generator anlegen. Welche RPO/RTO-Werte für das eigene Datenprofil tragfähig sind, ist im Anschluss durch eine Geschäftsprozess-Analyse zu bestimmen.

Eine Einordnung des Backup-Konzepts in den größeren Pflichtenkanon der NIS2 findet sich in NIS2 Asset-Management, was erwartet das BSI?.

Diese Einordnung beruht auf den oben genannten Quellen mit Stand: 18.09.2026. Sie ersetzt keine Einzelfallprüfung durch eine qualifizierte Beratung.