Welche Daten gehören in ein sicheres Backup?

Ein verschlüsseltes Notebook wird gestohlen, ein Mitarbeiter löscht versehentlich einen Projektordner oder ein Angriff legt den Dateiserver lahm. Erst in solchen Situationen zeigt sich, welche Daten in ein Backup gehören – und ob die Sicherung tatsächlich eine Wiederaufnahme des Betriebs ermöglicht. Für mittelständische Unternehmen ist das keine reine IT-Frage: Fehlende Daten betreffen Aufträge, Lohnabrechnungen, Liefertermine und die Fähigkeit, Kunden verlässlich Auskunft zu geben.

Welche Daten gehören in ein Backup?

Die kurze Antwort lautet: Alle Informationen und technischen Komponenten, ohne die ein Unternehmen seine vereinbarten Leistungen nicht innerhalb eines vertretbaren Zeitraums erbringen kann. Entscheidend ist jedoch nicht die größtmögliche Datenmenge. Ein Backup-Konzept muss priorisieren. Wer pauschal alles sichert, verursacht hohe Kosten, verlängert Wiederherstellungen und übersieht häufig zentrale Abhängigkeiten.

In der Praxis beginnt eine sinnvolle Auswahl mit drei Fragen: Welche Systeme erzeugen Umsatz oder ermöglichen die Leistungserbringung? Welche Daten sind rechtlich, vertraglich oder organisatorisch erforderlich? Und wie lange darf ein Ausfall höchstens dauern, bevor spürbare Schäden entstehen? Die Antworten unterscheiden sich zwischen einem Handelsunternehmen, einem Dienstleister und einem produzierenden Betrieb deutlich.

Geschäfts- und Auftragsdaten zuerst absichern

An erster Stelle stehen üblicherweise Daten aus Warenwirtschaft, Finanzbuchhaltung und ERP. Dazu zählen Stammdaten, Angebote, Aufträge, Rechnungen, Lieferinformationen, Buchungsdaten, Auswertungen und individuell eingerichtete Prozesse. Gerade bei ERP-Systemen reicht es nicht aus, nur einzelne Dokumente zu kopieren. Datenbanken, Anpassungen, Schnittstellen und Konfigurationen müssen zusammenpassen, damit die Anwendung nach einer Wiederherstellung funktionsfähig ist.

Ein typisches Szenario aus dem Mittelstand: Die Datenbank ist vorhanden, aber eine individuell entwickelte Schnittstelle zum Lager oder zur Belegverarbeitung fehlt. Das System startet zwar, doch Aufträge können nicht korrekt verarbeitet werden. Deshalb sollten Unternehmen dokumentieren, welche Zusatzmodule, Automatisierungen und Systemparameter für den Betrieb erforderlich sind.

Auch kaufmännische Unterlagen verdienen besondere Aufmerksamkeit. Digitale Belege, Buchungsdaten, Zahlungsinformationen und Jahresabschlüsse müssen nicht nur verfügbar sein, sondern nachvollziehbar und vollständig wiederhergestellt werden können. Aufbewahrungspflichten sind dabei kein Backup-Ersatz. Ein Archiv dient der langfristigen, unveränderbaren Aufbewahrung. Ein Backup dient der Wiederherstellung nach Verlust, Beschädigung oder Fehlbedienung. Beides ergänzt sich, erfüllt aber unterschiedliche Zwecke.

Personal- und Kommunikationsdaten differenziert behandeln

Personalakten, Lohnunterlagen, Arbeitszeitdaten und Abwesenheitsinformationen sind hochsensibel. Sie gehören in eine Sicherungsstrategie, benötigen aber besonders klare Zugriffsrechte, Verschlüsselung und definierte Aufbewahrungsfristen. Nicht jeder Administrator und nicht jede Führungskraft darf auf solche Sicherungen zugreifen. Datenschutz und Wiederherstellbarkeit müssen gemeinsam geplant werden.

Bei E-Mails, Kalendern und Dateien aus Microsoft 365 entsteht häufig ein falsches Sicherheitsgefühl. Die Plattform schützt die Verfügbarkeit ihrer Infrastruktur. Das bedeutet jedoch nicht automatisch, dass gelöschte Inhalte, fehlerhafte Berechtigungen oder versehentlich überschriebene Dateien dauerhaft in der vom Unternehmen benötigten Tiefe wiederhergestellt werden können. Ob ein separates Backup notwendig ist, hängt von Schutzbedarf, Compliance-Vorgaben, internen Prozessen und den gewählten Aufbewahrungseinstellungen ab.

Besonders relevant sind gemeinsame Postfächer, projektbezogene Teams, zentrale Dokumentbibliotheken und geschäftliche Kommunikation mit Kunden oder Lieferanten. Private oder kurzlebige Inhalte müssen dagegen nicht zwangsläufig denselben Sicherungsumfang erhalten. Eine nachvollziehbare Klassifizierung verhindert, dass sensible Daten unnötig breit gespeichert werden.

Nicht nur Dateien sichern: Die technische Betriebsfähigkeit

Ein häufiger Projektfehler besteht darin, Backups auf Dateiordner zu reduzieren. Im Ernstfall fehlen dann die Bausteine, mit denen Systeme überhaupt wieder in Betrieb gehen. Neben Nutzdaten müssen daher auch Server, virtuelle Maschinen, Datenbanken, Netzwerkkonfigurationen und zentrale Verzeichnisdienste berücksichtigt werden.

Dazu gehören insbesondere die folgenden Bereiche:

• Konfigurationen von Firewalls, Switches, WLAN-Komponenten und Telefonie, sofern sie für den Betrieb relevant sind.
• Virtuelle Server einschließlich Betriebssystem, Anwendungen und konsistenter Datenstände.
• Datenbanken und die dazugehörigen Sicherungsprotokolle, damit keine unvollständigen Transaktionen zurückbleiben.
• Identitäts- und Berechtigungsinformationen, etwa Benutzerkonten, Gruppen und zentrale Richtlinien.
• Lizenzinformationen, technische Dokumentationen, Wiederherstellungsanweisungen und Zugangsdaten für Notfallkonten.

Der letzte Punkt wird oft unterschätzt. Liegen Kennwörter, Schlüssel oder Wiederherstellungsanleitungen ausschließlich im betroffenen System, hilft selbst das beste Datenbackup nur eingeschränkt. Notfallinformationen müssen geschützt, aktuell und für autorisierte Personen erreichbar sein, auch wenn die reguläre Umgebung nicht verfügbar ist.

Abhängigkeiten sichtbar machen

Ein Backup ist nur so gut wie das Verständnis der Systemlandschaft. Ein Zeiterfassungssystem kann beispielsweise auf eine Datenbank, eine Dateifreigabe, einen Verzeichnisdienst und eine externe Schnittstelle angewiesen sein. Werden diese Komponenten in falscher Reihenfolge wiederhergestellt, verzögert sich der Neustart oder es entstehen Inkonsistenzen.

Erfahrene IT- oder Digitalisierungsdienstleister unterstützen Unternehmen deshalb zunächst bei einer Bestandsaufnahme. Sie erfassen Anwendungen, Datenflüsse, Verantwortlichkeiten und technische Abhängigkeiten. Anschließend entsteht kein theoretisches Papier, sondern ein umsetzbarer Wiederanlaufplan: Was wird zuerst wiederhergestellt, wer entscheidet im Notfall und welche Systeme können vorübergehend warten?

Prioritäten über RTO und RPO festlegen

Zwei Kennzahlen machen Backup-Entscheidungen konkret. Der Recovery Time Objective, kurz RTO, beschreibt die maximal akzeptable Zeit bis zur Wiederherstellung. Der Recovery Point Objective, kurz RPO, legt fest, wie viel Datenverlust zeitlich höchstens akzeptabel ist.

Für die Finanzbuchhaltung kann ein RPO von einem Arbeitstag ausreichen, wenn nur nachts gebucht wird. Für Auftragsabwicklung oder Produktionsdaten kann bereits ein Verlust von mehreren Stunden problematisch sein. Entsprechend sind häufigere Sicherungen oder technische Verfahren erforderlich, die Änderungen zeitnah erfassen. Umgekehrt muss ein Archivsystem, auf das selten zugegriffen wird, nicht zwingend innerhalb von 30 Minuten verfügbar sein.

Diese Abstufung schützt das Budget vor Überdimensionierung. Nicht jedes System benötigt dieselbe Geschwindigkeit, dieselbe Speicherdauer oder dieselbe Kopie an einem externen Standort. Kritische Systeme benötigen jedoch eine belastbare Auslegung, statt sich auf eine einzelne Sicherungsplatte im Büro zu verlassen.

Eine bewährte Orientierung ist die 3-2-1-1-0-Regel: mindestens drei Kopien der Daten, auf zwei unterschiedlichen Medien, eine Kopie außerhalb des Standorts, eine zusätzlich gegen Veränderung oder Löschung geschützt und null Fehler nach überprüften Sicherungsläufen. Die Regel ersetzt keine Planung, schafft aber einen sinnvollen Rahmen gegen Hardwaredefekte, Brand, Diebstahl und Verschlüsselungstrojaner.

Wiederherstellung testen, nicht nur Sicherungsberichte lesen

Ein grüner Status im Backup-Portal beweist lediglich, dass ein Auftrag technisch durchgelaufen ist. Er beweist nicht, dass sich eine Datenbank öffnen lässt, dass Berechtigungen stimmen oder dass eine Anwendung mit den wiederhergestellten Daten arbeitet. Regelmäßige Restore-Tests sind daher Pflicht.

Für kritische Systeme empfiehlt sich ein geplanter Test in einer getrennten Umgebung. Dabei wird nicht nur eine Datei zurückgespielt. Das Unternehmen prüft einen realistischen Ablauf: Server bereitstellen, Anwendung starten, Anmeldung testen, einen Auftrag öffnen und einen Beleg erzeugen. Die Ergebnisse sollten dokumentiert werden, inklusive Dauer, aufgetretener Fehler und notwendiger Anpassungen.

Viele Unternehmen ziehen für diese Aufgabe externe Spezialisten hinzu, weil interne Teams im Tagesgeschäft selten Zeit für vollständige Notfallübungen haben. Ein Partner wie LTmemory kann dabei technische Prüfungen, Dokumentation und die Abstimmung zwischen Infrastruktur, Cloud-Diensten und Fachbereichen zusammenführen. Entscheidend ist nicht, wer das Backup betreibt, sondern dass Verantwortlichkeiten und Wiederherstellungswege eindeutig geregelt sind.

Fazit: Backup als Teil der Betriebsorganisation

Die Frage, welche Daten in ein Backup gehören, lässt sich nicht mit einer pauschalen Ordnerliste beantworten. Gesichert werden müssen geschäftskritische Informationen, die technischen Voraussetzungen ihres Betriebs sowie die Dokumentation für den Wiederanlauf. Schutzbedarf, Wiederherstellungszeit und akzeptabler Datenverlust geben dabei die Richtung vor.

Nächster sinnvoller Schritt: Backup-Realität prüfen

In vielen mittelständischen Unternehmen fehlen weniger die Sicherungen als ein vollständiger Überblick über Daten, Abhängigkeiten und getestete Wiederherstellungszeiten. Eigenimplementierungen scheitern häufig an unklaren Zuständigkeiten, ungesicherten Konfigurationen oder daran, dass Cloud-Daten und lokale Systeme getrennt betrachtet werden.

Eine strukturierte Bestandsaufnahme benötigt Zeit aus IT, Fachbereichen und Geschäftsleitung. Ein erfahrener Partner kann diese Arbeit methodisch begleiten, Risiken priorisieren und Wiederherstellungstests praxisnah vorbereiten. So wird aus einer technischen Pflichtaufgabe eine belastbare Grundlage dafür, dass der Betrieb auch nach einem schwerwiegenden Vorfall handlungsfähig bleibt.