Ein Serverausfall am Monatsende, verschlüsselte Dateien nach einem Cyberangriff oder ein versehentlich gelöschter Buchungssatz: Erst in solchen Situationen wird sichtbar, ob Datensicherung nur eingerichtet wurde oder tatsächlich funktioniert. Welche Backup-Pflichten Unternehmen treffen, lässt sich daher nicht mit einer pauschalen Zahl von Sicherungen pro Tag beantworten. Maßgeblich sind die Art der Daten, rechtliche Aufbewahrungsvorgaben, betriebliche Risiken und die Zeit, die ein Geschäftsprozess ohne IT verkraftet.
Für Geschäftsleitungen und IT-Verantwortliche geht es nicht allein um Speicherkapazität. Sie müssen nachweisen können, dass relevante Daten verfügbar, unverändert, fristgerecht aufbewahrt und bei Bedarf wiederherstellbar sind. Eine passende Backup-Strategie verbindet diese Anforderungen mit klaren Verantwortlichkeiten und technisch überprüfbaren Abläufen.
Welche Backup-Pflichten Unternehmen rechtlich betreffen
Eine allgemeine deutsche Vorschrift, die jedem Unternehmen eine bestimmte Backup-Frequenz vorschreibt, gibt es nicht. Die Pflicht entsteht vielmehr aus mehreren Rechtsbereichen und aus der konkreten Verantwortung für Geschäftsunterlagen und personenbezogene Daten. Wer daraus nur die Frage ableitet, ob täglich gesichert wird, greift zu kurz.
Handels- und steuerrechtliche Vorgaben verlangen die geordnete Aufbewahrung von Unterlagen. Dazu zählen je nach Unternehmen unter anderem Rechnungen, Buchungsbelege, Jahresabschlüsse, geschäftliche Korrespondenz und Daten aus der Finanzbuchhaltung. Elektronisch entstandene oder empfangene Unterlagen müssen grundsätzlich elektronisch aufbewahrt werden. Die Aufbewahrungsfristen liegen häufig bei sechs oder acht Jahren, für viele steuerlich relevante Unterlagen bei zehn Jahren. Welche Frist im Einzelfall gilt, hängt von Unterlagenart und geltender Rechtslage ab.
Die GoBD konkretisieren für steuerlich relevante digitale Daten, was die Finanzverwaltung erwartet: Nachvollziehbarkeit, Nachprüfbarkeit, Vollständigkeit, Richtigkeit, zeitgerechte Buchung oder Aufzeichnung, Ordnung und Unveränderbarkeit. Eine Sicherung, die sich zwar erstellen, aber nicht wieder einspielen lässt, erfüllt den praktischen Zweck dieser Anforderungen nicht. Ebenso problematisch ist eine Sicherung, aus der sich Datenstände nicht nachvollziehbar rekonstruieren lassen.
Bei personenbezogenen Daten kommt die Datenschutz-Grundverordnung hinzu. Artikel 32 DSGVO verlangt technische und organisatorische Maßnahmen, die ein dem Risiko angemessenes Schutzniveau gewährleisten. Dazu gehört ausdrücklich die Fähigkeit, Verfügbarkeit und Zugang zu personenbezogenen Daten nach einem technischen oder physischen Zwischenfall rasch wiederherzustellen. Für Personalunterlagen, Vertragsdaten, E-Mail-Postfächer oder Daten aus Fachanwendungen ist das besonders relevant.
Die DSGVO fordert dabei kein bestimmtes Produkt und keine identische Architektur für jedes Unternehmen. Entscheidend ist eine dokumentierte Risikoabwägung. Ein Betrieb, der bei einem Ausfall einen Tag ohne zentrale Systeme arbeiten kann, benötigt andere Wiederanlaufzeiten als ein Unternehmen mit durchgängiger Auftragsabwicklung, Fertigung oder digitaler Finanzbuchhaltung.
Backup ist nicht gleich Archivierung
In der Praxis werden Datensicherung und Archivierung häufig vermischt. Beide sind notwendig, lösen aber unterschiedliche Aufgaben. Ein Backup schützt vor Datenverlust und soll die operative Wiederherstellung ermöglichen. Es ist in der Regel zyklisch angelegt und überschreibt ältere Sicherungsstände nach einer definierten Frist.
Ein Archiv dient dagegen der langfristigen, geordneten und nachvollziehbaren Aufbewahrung. Es muss Aufbewahrungsfristen, Zugriffsrechte, Recherche und Unveränderbarkeit abbilden. Ein Backup mit einer Aufbewahrungsdauer von 30 Tagen ersetzt deshalb kein revisionssicheres Archiv für steuerlich relevante Unterlagen. Umgekehrt schützt ein Archiv nicht automatisch vor einem aktuellen Systemausfall, weil es meist nicht für die vollständige und schnelle Wiederherstellung von Anwendungen konzipiert ist.
Diese Trennung ist auch für Löschkonzepte wichtig. Personenbezogene Daten dürfen nicht unbegrenzt vorgehalten werden. Gleichzeitig können gesetzliche Aufbewahrungspflichten einer sofortigen Löschung entgegenstehen. Unternehmen benötigen daher Regeln dafür, welche Daten wie lange im produktiven System, im Archiv und in Sicherungen verbleiben. Technisch lässt sich nicht jede einzelne Information aus einem unveränderbaren Sicherungsstand sofort entfernen. Das muss in einem nachvollziehbaren Lösch- und Wiederherstellungskonzept berücksichtigt werden.
Die technische Sorgfaltspflicht: Wiederherstellung muss planbar sein
Ein erfolgreicher Backup-Job ist kein Beleg für eine funktionierende Datensicherung. Er zeigt nur, dass Daten übertragen wurden. Erst ein kontrollierter Restore belegt, ob Dateien, Datenbanken, Berechtigungen und Anwendungen im Ernstfall wieder nutzbar sind.
Dafür sind zwei Ziele zu definieren. Der Recovery Point Objective, kurz RPO, beschreibt den maximal akzeptablen Datenverlust in Zeit. Wenn die Buchhaltung höchstens vier Arbeitsstunden verlieren darf, muss die Sicherungsfrequenz dazu passen. Der Recovery Time Objective, kurz RTO, beschreibt die maximal vertretbare Wiederherstellungszeit. Ein tägliches Backup kann ausreichend sein, wenn ein System innerhalb weniger Stunden wieder laufen muss. Es reicht nicht, wenn mehrere Terabyte Daten erst nach Tagen verfügbar wären.
Besondere Aufmerksamkeit verdienen Datenbanken, virtuelle Server, E-Mail-Umgebungen und cloudbasierte Dienste. Bei Datenbanken muss die Sicherung transaktionskonsistent sein. Virtuelle Maschinen benötigen eine Wiederherstellung, die nicht nur einzelne Dateien, sondern bei Bedarf ganze Systeme einschließlich Konfiguration zurückbringt. Bei Cloud-Diensten ist die Annahme gefährlich, der Anbieter sichere automatisch alle Geschäftsdaten unbegrenzt und nach den eigenen Anforderungen. Verfügbarkeit der Plattform und eine ausreichende, unabhängige Datensicherung sind verschiedene Dinge.
Auch der Schutz vor Ransomware gehört zur Backup-Pflicht im weiteren Sinn. Wenn Angreifer neben Produktionsdaten auch Sicherungen löschen oder verschlüsseln, bleibt kein sauberer Wiederherstellungspunkt. Deshalb sollten Sicherungen vom Produktivsystem getrennt, mit eigenen Zugriffsrechten geschützt und mindestens teilweise unveränderbar gespeichert werden. Die bekannte 3-2-1-Regel ist dafür ein brauchbarer Ausgangspunkt: mehrere Kopien, auf unterschiedlichen Speichermedien, mit einer räumlich oder logisch getrennten Kopie. In vielen Szenarien ist eine zusätzliche offline oder unveränderbar abgelegte Kopie sinnvoll.
Was ein belastbares Backup-Konzept dokumentieren sollte
Ein Konzept muss nicht unnötig umfangreich sein, aber es muss den Betrieb steuern können. Es sollte festhalten, welche Systeme und Daten gesichert werden, welche Daten priorisiert sind und welche Sicherungsintervalle gelten. Dazu gehören auch Aufbewahrungszeiten, Speicherorte, Verschlüsselung, Berechtigungen und die Verantwortlichen für Kontrolle und Eskalation.
Mindestens vier Fragen sollten dabei eindeutig beantwortet sein:
- Welche Anwendungen, Dateien, Datenbanken und Konfigurationen sind für den Geschäftsbetrieb kritisch?
- Wie viel Datenverlust und Ausfallzeit sind je System vertretbar?
- Wer kontrolliert Sicherungsprotokolle, reagiert auf Fehler und entscheidet im Notfall über die Wiederherstellung?
- Wann wurde die Wiederherstellung zuletzt vollständig getestet und mit welchem Ergebnis?
Diese Dokumentation ist kein Selbstzweck. Sie verhindert, dass im Ausfall zwischen Geschäftsleitung, Fachabteilung und Dienstleister unklar bleibt, welche Daten zuerst benötigt werden. Gerade bei gewachsenen IT-Landschaften liegen relevante Informationen oft in lokalen Dateiservern, Microsoft-365-Umgebungen, ERP-Systemen, Personalsoftware und einzelnen Arbeitsplatzrechnern. Ohne Bestandsaufnahme entstehen blinde Flecken.
Häufige Fehler bei der Umsetzung
Ein verbreiteter Fehler ist die Sicherung auf ein dauerhaft verbundenes Netzlaufwerk. Das ist zwar bequem, bietet bei kompromittierten Administrationskonten jedoch wenig Schutz. Ebenso riskant ist ein einziger Cloud-Speicherort ohne getrennte Zugangsdaten oder unveränderbare Sicherungsstände.
Auch unklare Zuständigkeiten sind ein Problem. Wenn ein externer IT-Partner die Technik betreibt, verbleibt die unternehmerische Verantwortung für rechtliche Anforderungen und Prioritäten bei der Geschäftsleitung. Dienstleistungsverträge sollten daher konkret regeln, welche Systeme enthalten sind, welche Reaktionszeiten gelten, wie Fehler gemeldet werden und wie Restore-Tests dokumentiert werden.
Schließlich werden Änderungen oft vergessen: neue Standorte, zusätzliche Fachanwendungen, veränderte Datenmengen oder die Einführung hybrider Arbeitsmodelle. Ein Konzept von vor drei Jahren kann technisch noch laufen und fachlich trotzdem unzureichend sein. Eine jährliche Überprüfung sowie eine Anpassung nach größeren Systemänderungen sind deshalb sinnvoll.
Backup-Pflichten als Teil der Betriebsfähigkeit
Die passende Lösung muss nicht maximal komplex sein. Kleinere Unternehmen profitieren häufig von klar standardisierten Sicherungen, zentralem Monitoring und regelmäßig getesteten Wiederherstellungsabläufen. Unternehmen mit hohen Verfügbarkeitsanforderungen benötigen meist feinere Sicherungsintervalle, priorisierte Wiederanlaufpläne und stärker getrennte Speicherarchitekturen. Beides kann wirtschaftlich sein, wenn der Aufwand zum tatsächlichen Risiko passt.
Entscheidend ist, Datensicherung nicht als stillen Hintergrunddienst zu behandeln. Wer heute für kritische Systeme realistische Wiederherstellungsziele festlegt und einen Test unter kontrollierten Bedingungen durchführt, gewinnt im Ernstfall Zeit, Handlungssicherheit und Vertrauen bei Kunden, Mitarbeitenden und Geschäftspartnern.