Backup für kleine Unternehmen: worauf es wirklich ankommt

Für kleine Unternehmen ohne eigene IT-Abteilung ist Backup kein Technikprojekt, sondern eine Geschäftsentscheidung: Was kostet uns ein Tag ohne Daten? Die Antwort darauf bestimmt alles Weitere. Was wirklich zählt, sind vier Dinge: die 3-2-1-Regel als Fundament, regelmäßige Restore-Tests als Wahrheitsbeweis, klare Verantwortlichkeiten statt „macht der Kollege nebenbei" und die DSGVO-Pflichten vom AV-Vertrag bis zum Löschkonzept. Alles andere ist Kür.

Warum kleine Unternehmen besonders gefährdet sind

Große Konzerne haben IT-Abteilungen, Notfallpläne und Budgets. Kleine Unternehmen haben oft: einen Rechner pro Mitarbeiter, eine „wichtige" Excel-Datei auf einem Netzlaufwerk und die stille Hoffnung, dass schon nichts passiert. Statistisch passiert aber gerade dort am meisten — Cyberkriminelle wissen, dass Kleinbetriebe leichte Ziele sind: keine dedizierte IT-Sicherheit, veraltete Systeme, Mitarbeiter, die alles dürfen.

Die Rechnung ist brutal ehrlich: Ein Tag ohne Zugriff auf Kundendaten, Rechnungen und E-Mails kostet einen Handwerksbetrieb mit zehn Mitarbeitern schnell mehrere tausend Euro — ganz ohne Lösegeldforderung. Ein professionelles Datenrettungslabor verlangt für eine defekte Festplatte 500 bis 2.000 Euro, ohne Erfolgsgarantie. Dagegen sind 30 Euro im Monat für ein automatisiertes Cloud-Backup schlicht eine der günstigsten Versicherungen, die ein Unternehmen abschließen kann.

Der häufigste Fehler ist nicht die falsche Technik, sondern gar keine Strategie: Backups „macht der Kollege, wenn er dran denkt", die externe Festplatte liegt seit Monaten unangeschlossen im Schrank, und niemand weiß, ob die Sicherung überhaupt funktioniert. Dieser Artikel ändert das — Schritt für Schritt.

Die 3-2-1-Regel als Fundament

Die 3-2-1-Regel ist der bewährte Mindeststandard, und sie lässt sich in jedem Kleinbetrieb umsetzen:

• 3 Kopien Ihrer Geschäftsdaten: das Original plus zwei Sicherungskopien.
• 2 verschiedene Medien: zum Beispiel die Arbeitsrechner plus eine lokale Sicherung (NAS oder externe Festplatte) plus die Cloud.
• 1 Kopie außer Haus: ein Cloud-Backup in einem Rechenzentrum — idealerweise in Deutschland oder der EU.

Für einen typischen Kleinbetrieb sieht das konkret so aus: Auf den Arbeitsrechnern liegen die aktuellen Daten. Ein NAS im Büro erstellt nachts automatische Sicherungen aller Rechner. Und ein Cloud-Backup-Dienst — etwa Backblaze für die Rechner-Backups oder eine Hetzner Storage Box für das NAS — spiegelt alles zusätzlich in ein deutsches Rechenzentrum. Fällt das Büro aus (Brand, Einbruch, Wasserschaden), sind die Daten in der Cloud. Fällt das Internet aus, ist das NAS da. Fällt ein einzelner Rechner aus, sowieso.

Wichtig: Die Regel ist ein Minimum, kein Maximum. Für besonders kritische Daten — Buchhaltung, Kundendatenbank — darf es gern eine Kopie mehr sein.

Was gehört ins Backup? Die ehrliche Inventur

Bevor Sie Technik kaufen, machen Sie eine Inventur. Setzen Sie sich eine Stunde hin und beantworten Sie für Ihr Unternehmen:

1. Welche Daten sind überlebenswichtig? Kundendaten, Rechnungen, Verträge, Buchhaltung, E-Mail-Archive, Projektdateien. Sortieren Sie nach: „Ohne das stehen wir still" vs. „wäre ärgerlich".
2. Wo liegen diese Daten heute? Auf einzelnen Rechnern? Auf einem Server? In verstreuten Cloud-Diensten? In privaten WhatsApp-Chats von Mitarbeitern? (Letzteres ist ein eigenes Problem.)
3. Wie oft ändern sie sich? Buchhaltungsdaten täglich, das Firmenarchiv vielleicht monatlich. Die Backup-Frequenz folgt der Änderungsrate.
4. Wie schnell brauchen Sie sie zurück? Das nennt man Wiederherstellungszeit — für die Kasse im Laden ist „heute noch" Pflicht, fürs Altarchiv reicht „diese Woche".

Diese Inventur ist gleichzeitig die Grundlage für Ihr Verzeichnis von Verarbeitungstätigkeiten nach DSGVO — zwei Fliegen, eine Klappe. Und sie verhindert den Klassiker: Man sichert drei Jahre lang fleißig — nur leider das falsche Verzeichnis.

Restore-Tests: der Wahrheitsbeweis

Hier kommt die unbequemste Wahrheit dieses Artikels: Die meisten Backups, die im Ernstfall versagen, sind nie getestet worden. Die Sicherung lief jahrelang „erfolgreich" — bis sich herausstellte, dass das entscheidende Verzeichnis nie eingeschlossen war, das Passwort niemand mehr kennt oder die Wiederherstellung an einem korrupten Archiv scheitert.

Deshalb: Testen Sie die Wiederherstellung mindestens halbjährlich, bei kritischen Systemen quartalsweise. So geht's pragmatisch:

1. Wählen Sie einen Testzeitpunkt außerhalb der Stoßzeiten (Freitagnachmittag ist ideal).
2. Stellen Sie eine definierte Datenmenge auf einem separaten Rechner oder in einem Testordner wieder her — nicht auf dem Produktivsystem.
3. Prüfen Sie stichprobenartig: Lassen sich Dateien öffnen? Sind die neuesten Stände dabei? Stimmen Dateigrößen und Zeitstempel?
4. Dokumentieren Sie Ergebnis, Dauer und Probleme in einem kurzen Protokoll — eine Seite genügt.

Der erste Test dauert einen halben Tag und offenbart fast garantiert Lücken. Jeder weitere geht schneller. Und falls Sie je einen echten Notfall haben, kennen Sie den Ablauf bereits — das ist im Ernstfall Gold wert.

Verantwortlichkeiten klar regeln

„Das macht bei uns die IT" — in einem Betrieb ohne IT-Abteilung heißt das: Es macht niemand. Backup-Verantwortung braucht einen Namen, nicht eine Abteilung:

• Benennen Sie eine verantwortliche Person — Inhaber, Büroleitung oder ein externer Dienstleister. Diese Person sorgt dafür, dass Backups laufen, Tests stattfinden und Probleme eskaliert werden.
• Regeln Sie die Vertretung für Urlaub und Krankheit. Ein Backup, das drei Wochen im August nicht läuft, weil „der Kollege im Urlaub war", ist kein Backup.
• Halten Sie es schriftlich fest: Was wird gesichert, wie oft, wohin, wer testet wann, wer wird im Notfall informiert. Eine Seite genügt — aber sie muss existieren und auffindbar sein.
• Externe Dienstleister einbinden: Viele Systemhäuser bieten Backup als Managed Service für Kleinbetriebe an — Einrichtung, Überwachung und Tests gegen Monatspauschale. Für Betriebe ohne jede IT-Affinität ist das oft die ehrlichste Lösung.

Ein einfacher Rhythmus hilft: Monatlich fünf Minuten Dashboard-Check (laufen die Backups?), halbjährlich ein Restore-Test, jährlich ein Strategie-Review – zum Beispiel mit unserer Backup-Checkliste zum Jahresende. Tragen Sie die Termine in den Kalender ein — was nicht terminiert ist, findet nicht statt.

Ransomware: der Ernstfall im Kleinbetrieb

Erpressungstrojaner sind für Kleinunternehmen die realistischste Katastrophe — häufiger als Feuer, wahrscheinlicher als Einbruch. Der Angriff läuft fast immer gleich: Eine präparierte E-Mail oder ein kompromittierter Fernzugriff, dann verschlüsselt der Trojaner Rechner, Netzlaufwerke und alles, was gerade verbunden ist — einschließlich naiver Cloud-Syncs.

Ihre Verteidigung in der Praxis:

• Unveränderliche Backup-Kopien: Konfigurieren Sie Ihr Backup so, dass Sicherungen für einen Zeitraum (z. B. 30 Tage) weder geändert noch gelöscht werden können — auch nicht von einem kompromittierten Admin-Konto. Details in unserem Artikel zu Ransomware und unveränderlichen Backups.
• Getrennte Zugangsdaten: Das Backup-Konto bekommt eigene, starke Zugangsdaten mit Zwei-Faktor-Authentifizierung — nicht dasselbe Passwort wie überall sonst.
• Offline-Kopie: Eine externe Festplatte, die nach dem Backup getrennt wird, ist der klassische Air Gap — kein Trojaner erreicht, was nicht angeschlossen ist.
• Notfallplan: Wer ruft wen an? Wo stehen die Wiederherstellungs-Schritte? Ein einseitiger Notfallplan an der Pinnwand schlägt jede improvisierte Krisensitzung.

Und die wichtigste Regel überhaupt: Zahlen Sie kein Lösegeld. Es gibt keine Garantie für die Entschlüsselung, und Sie finanzieren die nächste Angriffswelle.

DSGVO-Pflichten für Unternehmen

Für Unternehmen ist die DSGVO beim Backup kein „vielleicht", sondern Pflichtprogramm — schließlich verarbeiten Sie fast immer personenbezogene Daten Dritter (Kunden, Mitarbeiter, Lieferanten). Die Kernpunkte im Überblick (allgemeine Informationen, keine Rechtsberatung):

• AV-Verträge: Mit jedem Backup- und Cloud-Anbieter brauchen Sie einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Seriöse Anbieter stellen ihn zum Download bereit — prüfen und ablegen, bevor das erste Backup läuft.
• Serverstandort: Dokumentieren Sie, wo Ihre Backup-Daten liegen. Deutsche oder EU-Rechenzentren — etwa Hetzner in Falkenstein/Nürnberg — halten den Aufwand gering; bei US-Anbietern kommen Transfer-Mechanismen und Zusatzmaßnahmen dazu. Ausführlich in unserem DSGVO-Ratgeber.
• Löschkonzept: Legen Sie fest, wie lange Backups aufbewahrt werden und wie Löschungen — auch aus versionierten Kopien — umgesetzt werden. „Wir löschen, wenn wir dran denken" ist kein Konzept.
• Verzeichnis von Verarbeitungstätigkeiten: Ihr Backup gehört dort hinein — die Inventur aus diesem Artikel liefert die Vorlage.
• Meldepflicht: Bei einer Datenpanne (z. B. kompromittiertes Backup-Konto) gelten die 72-Stunden-Meldefristen an die Aufsichtsbehörde. Wissen Sie heute, wer das bei Ihnen meldet?

Hinweis: Dieser Abschnitt gibt allgemeine Informationen zum Verständnis und ist keine Rechtsberatung. Bei konkreten Fragen wenden Sie sich an eine qualifizierte Rechtsberatung oder Ihre Aufsichtsbehörde.

Kosten und Anbieterwahl

Was kostet eine solide Backup-Strategie für einen Kleinbetrieb mit fünf bis zehn Arbeitsplätzen? Ehrlich gerechnet:

• Cloud-Backup für die Rechner: Dienste wie Backblaze Computer Backup kosten pro Rechner und Monat einen einstelligen Euro-Betrag — bei zehn Rechnern also 50 bis 90 Euro monatlich.
• Alternative für Technik-Affine: Eine Hetzner Storage Box (1 TB ab ca. 5 Euro/Monat, 5 TB ca. 14,19 Euro/Monat zzgl. USt.; Stand: geprüft September 2026) plus Open-Source-Backup-Software wie restic oder BorgBackup — deutlich günstiger, aber mit Einrichtungsaufwand.
• Lokale Komponente: Ein NAS fürs Büro gibt es ab etwa 300 Euro ohne Festplatten — einmalig, hält Jahre.
• Managed Service: Externe Betreuung inklusive Überwachung und Tests ab ca. 100 bis 200 Euro monatlich — für Betriebe ohne IT-Affinität oft die sinnvollste Ausgabe.

Setzen Sie das ins Verhältnis: Ein einziger Datenverlust-Tag kostet meist ein Vielfaches der Jahreskosten für Backups. Bei der Anbieterwahl zählen für deutsche Kleinbetriebe: Serverstandort in Deutschland/EU, AV-Vertrag ohne Diskussion, deutschsprachiger Support und transparente Preise. Alles andere — schicke Dashboards, KI-Features — ist zweitrangig. Einen Überblick über Kosten und Tarife und die besten Anbieter 2026 finden Sie in unseren Vergleichen.

Häufige Fragen

Reicht die Cloud-Synchronisation (z. B. OneDrive) als Firmen-Backup?

Nein — Synchronisation ist kein Backup. Wird eine Datei lokal gelöscht oder von Ransomware verschlüsselt, synchronisiert der Dienst die Änderung brav in die Cloud. Sie brauchen zusätzlich ein echtes Backup mit Versionierung und idealerweise unveränderlichen Kopien.

Wie oft sollten Firmen-Backups laufen?

Für aktiv genutzte Geschäftsdaten: täglich, besser mehrmals täglich oder kontinuierlich. Wöchentliche Backups bedeuten im Ernstfall bis zu einer Woche Datenverlust — das ist für die meisten Betriebe inakzeptabel. Archive mit seltenen Änderungen kommen mit wöchentlich oder monatlich aus.

Wer haftet, wenn trotz Backup Daten verloren gehen?

Die Verantwortung für eine angemessene Datensicherung liegt beim Unternehmen — „der Dienstleister hat versagt" entlastet Sie gegenüber Kunden und Aufsichtsbehörden nicht. Deshalb: AV-Verträge prüfen, Restore-Tests dokumentieren, Verantwortlichkeiten festlegen.

Können wir Backups komplett auslagern?

Ja — viele Systemhäuser bieten Backup als Managed Service an: Einrichtung, Überwachung, Tests und Notfall-Wiederherstellung gegen Monatspauschale. Achten Sie auf AV-Vertrag, Serverstandort und eine klare Leistungsbeschreibung (was genau wird wie oft getestet?).

Was ist der häufigste Backup-Fehler in Kleinbetrieben?

Dass niemand je eine Wiederherstellung getestet hat. An zweiter Stelle: Backups, die „irgendwohin" laufen, aber niemand weiß wohin — etwa auf die private Festplatte eines ehemaligen Mitarbeiters. Inventur und Tests beheben beides.

Wie fangen wir an, wenn bisher gar nichts existiert?

In dieser Reihenfolge: 1) Inventur der wichtigen Daten (eine Stunde). 2) Cloud-Backup für alle Rechner einrichten (ein Nachmittag). 3) AV-Verträge abschließen und ablegen. 4) Ersten Restore-Test terminieren. 5) Verantwortlichkeit benennen und Rhythmus in den Kalender eintragen. In einer Woche sind Sie grundlegend geschützt.

Quellen

• Konferenz der Datenschutzaufsichtsbehörden (DSK) — Orientierungshilfe Cloud Computing, Version 2.0 (2014), via BfDI (allgemeine Informationen, keine Rechtsberatung): https://www.bfdi.bund.de/SharedDocs/Downloads/DE/DSK/Orientierungshilfen/OHCloudComputing.pdf?__blob=publicationFile&v=5
• Hetzner Online GmbH — Storage Box Dokumentation (Preise und Funktionen, Stand: geprüft September 2026): https://docs.hetzner.com/de/robot/storage-box/general

Alle Preise Stand: geprüft September 2026. Allgemeine Informationen, keine Rechtsberatung.