Backups testen: Warum KMU Wiederherstellungstests nicht aufschieben dürfen

Die meisten Unternehmen merken erst im Ernstfall, dass ihr Backup nicht funktioniert. Aktuelles Beispiel: Laut heise online haben die Windows-Updates vom September den Dateiversionsverlauf auf betroffenen Rechnern lahmgelegt – eine Sicherungsfunktion, auf die sich viele kleine Betriebe für Arbeitsplatzrechner verlassen. Wer seine Backups nicht regelmäßig testet, bemerkt solche stillen Ausfälle oft erst, wenn eine Datei gelöscht oder ein Rechner verschlüsselt ist.

Das Problem: Backups scheitern leise

Eine Datensicherung kann aus vielen Gründen versagen, ohne dass jemand eine Fehlermeldung sieht:

• Updates verändern das Verhalten: Wie beim aktuellen Windows-Fall kann ein Betriebssystem- oder Software-Update eine Sicherungsfunktion unbemerkt stilllegen.
• Speicherziel voll oder nicht erreichbar: Die externe Festplatte ist nicht angeschlossen, das NAS hat keinen Platz mehr, die Zugangsdaten zum Cloud-Speicher sind abgelaufen.
• Neue Datenquellen fehlen: Ein neuer Netzwerkordner, eine neue Datenbank oder ein zusätzlicher Server wurde nie in den Sicherungsjob aufgenommen.
• Beschädigte Sicherungsdateien: Defekte Datenträger oder abgebrochene Übertragungen führen zu Backups, die sich nicht zurückspielen lassen.
• Fehlendes Wissen: Die Person, die das Backup eingerichtet hat, ist nicht mehr im Unternehmen – niemand weiß, wie die Wiederherstellung eigentlich funktioniert.

Ein grünes Häkchen in der Backup-Software sagt nur, dass ein Job durchgelaufen ist. Ob sich daraus tatsächlich ein arbeitsfähiger Zustand herstellen lässt, zeigt nur ein Wiederherstellungstest.

Warum Restore-Tests gerade für KMU entscheidend sind

In größeren Unternehmen gibt es dedizierte Teams für Datensicherung. In KMU mit 10 bis 100 Mitarbeitern hängt das Thema oft an einer Person oder an einem externen Dienstleister, der nur bei Problemen gerufen wird. Genau hier entstehen Lücken.

Hinzu kommt: Ransomware-Gruppen zielen gezielt auf Backups. Wer im Ernstfall feststellt, dass die letzte brauchbare Sicherung Wochen alt ist, verliert nicht nur Daten, sondern steht auch bei Verhandlungen mit Erpressern schlechter da. Eine solide 3-2-1-Backup-Strategie und unveränderliche Backups sind die Grundlage – regelmäßiges Backup-Testen ist der Nachweis, dass diese Grundlage trägt.

Auch regulatorisch wird das Thema wichtiger: Die NIS2-Richtlinie verlangt von betroffenen Unternehmen Maßnahmen zur Aufrechterhaltung des Betriebs, ausdrücklich einschließlich Backup-Management und Wiederherstellung. Cyber-Versicherer fragen zunehmend nach, ob Sicherungen getestet werden.

Welche Arten von Wiederherstellungstests gibt es?

Einzeldatei-Wiederherstellung

Der einfachste Test: Eine zufällig ausgewählte Datei aus einem bestimmten Ordner und von einem bestimmten Stand wird zurückgespielt und geöffnet. Das dauert wenige Minuten und zeigt, ob Sicherungsjob, Speicherziel und Zugriffsrechte grundsätzlich funktionieren.

Wiederherstellung einer Anwendung oder Datenbank

Datenbanken für Warenwirtschaft, Buchhaltung oder CRM lassen sich nicht einfach als Datei kopieren. Hier sollte getestet werden, ob sich die Datenbank in einer Testumgebung starten lässt und die Anwendung konsistente Daten anzeigt – inklusive der letzten Buchungen.

Komplette Systemwiederherstellung

Die anspruchsvollste Variante: Ein ganzer Server oder eine virtuelle Maschine wird auf Ersatzhardware oder in einer isolierten Umgebung neu aufgebaut. Dabei zeigt sich, wie lange die Wiederherstellung tatsächlich dauert – eine Zahl, die für jeden IT-Notfallplan entscheidend ist.

Wiederherstellung aus der Offsite-Kopie

Viele Tests laufen nur gegen die lokale Kopie auf dem NAS. Im Ernstfall – Brand, Wasserschaden, Ransomware mit Zugriff auf das Netz – steht aber nur die externe Kopie zur Verfügung. Mindestens einmal im Jahr sollte deshalb aus der Cloud oder vom ausgelagerten Datenträger wiederhergestellt werden, inklusive Download-Zeit.

Praxis: So führen KMU Backup-Tests Schritt für Schritt ein

Schritt 1: Bestandsaufnahme machen

Listen Sie auf, welche Systeme und Daten gesichert werden: Fileserver, Datenbanken, E-Mail, Arbeitsplatzrechner, Cloud-Dienste wie Microsoft 365. Notieren Sie für jedes System Sicherungsziel, Häufigkeit und Aufbewahrungsdauer. Oft zeigt sich schon hier, dass einzelne Systeme gar nicht gesichert werden.

Schritt 2: Wiederherstellungsziele festlegen

Definieren Sie pro System zwei Werte:

• RPO (Recovery Point Objective): Wie viele Daten dürfen maximal verloren gehen – eine Stunde, ein Tag?
• RTO (Recovery Time Objective): Wie lange darf das System maximal ausfallen?

Diese Ziele entscheiden, wie häufig gesichert und wie gründlich getestet werden muss.

Schritt 3: Testplan mit festen Intervallen erstellen

Ein praxistauglicher Rhythmus für KMU:

1. Monatlich: Einzeldatei-Wiederherstellung von mindestens einem kritischen System
2. Quartalsweise: Wiederherstellung einer Datenbank oder Anwendung in einer Testumgebung
3. Jährlich: Vollständige Wiederherstellung eines Servers, idealerweise aus der Offsite-Kopie

Tragen Sie die Termine fest in den Kalender ein und legen Sie eine verantwortliche Person fest.

Schritt 4: Tests dokumentieren

Halten Sie für jeden Test fest: Datum, getestetes System, Sicherungsstand, benötigte Zeit, Ergebnis und aufgetretene Probleme. Diese Dokumentation hilft beim nächsten Test, dient als Nachweis gegenüber Versicherern und Auditoren und zeigt, ob die RTO-Ziele realistisch sind.

Schritt 5: Überwachung automatisieren

Verlassen Sie sich nicht auf manuelle Kontrollen der Backup-Konsole. Richten Sie Benachrichtigungen bei fehlgeschlagenen oder ausbleibenden Sicherungen ein – wichtig ist gerade der Alarm, wenn ein Job gar nicht startet. Ein Monitoring mit Grafana und Prometheus oder Workflows in n8n können solche Meldungen zentral bündeln.

Schritt 6: Nach Updates gezielt prüfen

Der aktuelle Windows-Fall zeigt: Nach größeren Updates – Betriebssystem, Backup-Software, NAS-Firmware – sollte gezielt geprüft werden, ob die Sicherungen weiterhin laufen. Verknüpfen Sie Ihr Patch-Management deshalb mit einem kurzen Backup-Check.

Typische Fehler beim Backup-Testen

• Nur die Job-Logs prüfen statt tatsächlich Daten zurückzuspielen
• Immer dieselbe Datei testen – dadurch fallen fehlende Ordner nicht auf
• Über Produktivdaten wiederherstellen statt in einen separaten Ordner oder eine isolierte Umgebung
• Zugangsdaten zum Backup nur an einer Stelle – etwa auf dem Server, der gerade ausgefallen ist
• Arbeitsplatzrechner vergessen, weil „alles auf dem Server liegt” – was in der Praxis selten stimmt

Backup-Tests bei ostdeutschen KMU

Viele ostdeutsche KMU, gerade in Handwerk, Produktion und Dienstleistung in Sachsen, haben ihre IT über Jahre gewachsen aufgebaut. Backups wurden irgendwann eingerichtet und laufen seitdem – ungeprüft. Ein erster strukturierter Wiederherstellungstest bringt hier fast immer Überraschungen ans Licht: vergessene Freigaben, abgelaufene Cloud-Zugänge oder Wiederherstellungszeiten, die weit über dem liegen, was der Betrieb verkraften kann.

Sie suchen Unterstützung in Dresden?

Rexoma hilft KMU in Dresden und Sachsen dabei, Backups nicht nur einzurichten, sondern regelmäßig zu testen. Wir prüfen Ihre bestehende Datensicherung, definieren gemeinsam mit Ihnen realistische Wiederherstellungsziele und übernehmen auf Wunsch die regelmäßigen Restore-Tests samt Dokumentation. So wissen Sie im Ernstfall, dass Ihre Daten wirklich zurückkommen. Sprechen Sie uns an – wir melden uns zeitnah für ein unverbindliches Erstgespräch.

FAQ: Backups testen

Wie oft sollte ein KMU seine Backups testen?

Als Faustregel: monatlich eine Einzeldatei-Wiederherstellung, quartalsweise eine Anwendung oder Datenbank und einmal jährlich eine vollständige Systemwiederherstellung. Bei besonders kritischen Systemen kann ein kürzerer Rhythmus sinnvoll sein.

Reicht es, wenn die Backup-Software „erfolgreich” meldet?

Nein. Die Meldung besagt nur, dass der Sicherungsjob abgeschlossen wurde. Ob die Daten vollständig, lesbar und in angemessener Zeit wiederherstellbar sind, zeigt nur ein echter Wiederherstellungstest.

Stört ein Restore-Test den laufenden Betrieb?

Nicht, wenn er richtig geplant ist. Dateien werden in einen separaten Ordner wiederhergestellt, Server und Datenbanken in einer isolierten Testumgebung. Der Produktivbetrieb bleibt unberührt.

Müssen auch Microsoft-365-Daten gesichert und getestet werden?

Ja. Microsoft betreibt die Plattform, die Verantwortung für die Daten und deren Wiederherstellung liegt aber beim Unternehmen. Papierkorb und Versionsverlauf ersetzen kein eigenständiges Backup – und auch dieses sollte regelmäßig getestet werden.