Backup und Disaster Recovery: der Minimalplan

Niemand denkt an das Backup, bis man es braucht. Und wenn man es braucht — eine Ransomware, ein Ausfall, ein menschlicher Fehler, der den falschen Ordner löscht — dann festzustellen, dass man kein funktionierendes hat, ist eine der kostspieligsten Situationen, in die ein Unternehmen geraten kann. Das Backup ist kein IT-Thema, das man delegieren und vergessen kann: Es ist Geschäftskontinuität. Betrachten wir den Minimalplan, den jedes KMU haben sollte.

Backup und Disaster Recovery sind nicht dasselbe

Zwei häufig verwechselte Begriffe.

• Das Backup ist eine Kopie der Daten, die es erlaubt, sie wiederherzustellen, wenn das Original verloren geht.
• Das Disaster Recovery ist der Plan, der es Ihnen ermöglicht, nach einem schweren Vorfall wieder betriebsfähig zu werden: nicht nur die Daten, sondern die Systeme, die Zugänge, die Prozesse.

Backups zu haben, aber keinen Wiederherstellungsplan, bedeutet, die Ziegel zu haben, aber keinen Bauplan, um das Haus wieder aufzubauen. Man braucht beides.

Die 3-2-1-Regel

Es ist der Referenzstandard, einfach und bewährt:

• 3 Kopien der Daten (das Original plus zwei Backups).
• 2 unterschiedliche Datenträger (zum Beispiel lokale Festplatte und Cloud).
• 1 Off-site-Kopie, physisch getrennt, idealerweise nicht dauerhaft verbunden.

Die getrennte und offline gehaltene Kopie ist die entscheidende Verteidigung gegen Ransomware: Ein Angriff, der die verbundenen Systeme verschlüsselt, kann ein Backup nicht antasten, das über das Netz nicht erreichbar ist. Viele Unternehmen entdecken zu spät, dass ihre Backups auf demselben getroffenen System lagen.

Die zwei Fragen, die den Plan bestimmen: RPO und RTO

Bevor Sie die Werkzeuge wählen, beantworten Sie zwei geschäftliche Fragen.

• RPO (Recovery Point Objective): Wie viele Daten können Sie sich zu verlieren leisten? Wenn Sie einmal täglich sichern, verlieren Sie bei einem Ausfall bis zu einem Arbeitstag. Für die Fakturierung oder die Bestellungen kann das inakzeptabel sein: Es braucht eine höhere Frequenz.
• RTO (Recovery Time Objective): Wie lange können Sie stillstehen? Eine Stunde, einen Tag, eine Woche? Von der Antwort hängt ab, wie schnell die Wiederherstellung sein muss.

Es gibt keine absolut richtige Antwort: Sie hängt davon ab, wie viel eine Stunde Stillstand Ihr Geschäft kostet. Aber die Frage muss vorher gestellt werden, nicht während des Notfalls.

Ein Backup, das nie getestet wurde, existiert nicht

Es ist der verbreitetste und schwerwiegendste Fehler. Ein Backup, das jede Nacht läuft, vermittelt ein falsches Sicherheitsgefühl, bis man versucht, es wiederherzustellen — und feststellt, dass es unvollständig, beschädigt war oder dass niemand weiss, wie es geht. Ein Backup ist nur so viel wert wie die Wiederherstellung, die Sie daraus erhalten.

Die Mindestregeln:

1. Testen Sie die Wiederherstellung regelmässig, nicht nur die Ausführung des Backups.
2. Dokumentieren Sie das Verfahren: wer macht was, mit welchen Zugängen, in welcher Reihenfolge.
3. Prüfen Sie die Alarme: Wenn ein Backup fehlschlägt, muss es jemand sofort bemerken.

Der menschliche Faktor und die Ransomware

Die meisten Vorfälle entstehen nicht aus Hardwareausfällen, sondern aus menschlichen Fehlern und Angriffen. Der technische Plan muss von einfachen Massnahmen begleitet werden: laufende Systemaktualisierungen, Mehrfaktor-Authentifizierung bei kritischen Zugängen, Schulung der Mitarbeitenden im Erkennen von Phishing-E-Mails. Die Offline-Kopie ist, wie gesagt, die letzte Verteidigungslinie, wenn alles andere kompromittiert wurde.

Datenschutz und Aufbewahrung

Das Thema berührt auch die rechtliche Ebene, nicht nur die technische.

• Das Schweizer Recht sieht die Pflicht vor, die Geschäfts- und Buchhaltungsunterlagen zehn Jahre lang aufzubewahren. Ihr Backup-System muss gewährleisten, dass diese Dokumente während des gesamten Zeitraums wiederherstellbar und lesbar bleiben.
• Das neue Datenschutzgesetz (revDSG) verlangt angemessene Sicherheitsmassnahmen für Personendaten: Ein ungeschütztes oder ohne Konzept aufbewahrtes Backup ist selbst ein Risiko.
• Wenn die Backups in der Cloud liegen, prüfen Sie, wo sie aufbewahrt werden und mit welchen Garantien, und bevorzugen Sie Hosting in der Schweiz oder in der EU mit klaren Bedingungen.

Der Minimalplan in Kürze

Auch ein kleines KMU kann sich eine solide Grundlage geben: Wenden Sie die 3-2-1-Regel an, definieren Sie RPO und RTO danach, was ein Stillstand Sie kostet, halten Sie eine Offline-Kopie gegen Ransomware, testen Sie die Wiederherstellung in regelmässigen Abständen, dokumentieren Sie im Fall eines Vorfalls, wer was macht, und stellen Sie sicher, dass Sie die zehnjährigen Aufbewahrungspflichten erfüllen. Es braucht keine komplexe Infrastruktur: Es braucht einen schriftlichen und erprobten Plan.

Wie wir arbeiten

SIH ONE ist eine KI-native Treuhandgruppe: Wir verbinden technologische Kompetenz mit der Kenntnis der Schweizer Pflichten zu Aufbewahrung und Datenschutz. Wir helfen Ihnen, einen auf Ihr Geschäft zugeschnittenen Backup- und Kontinuitätsplan einzurichten, der technische Sicherheit, realistische Wiederherstellungszeiten und regulatorische Konformität zusammenhält.

Möchten Sie sicher sein, nach einem Vorfall wieder starten zu können? Sprechen wir darüber.