Backup für Selbständige und kleine Firmen: die 3-2-1-Regel in der Praxis

Ein Backup, das im Ernstfall funktioniert, ist in einer kleinen Firma an einem Tag eingerichtet. Hier steht, wie es aussieht und woran es in der Praxis scheitert.

Warum "wir haben ein Backup" fast nie stimmt

Wenn wir bei einem Notfall in einer kleinen Firma ankommen, hören wir fast immer denselben Satz: "Wir haben ein Backup." Und fast immer zeigt sich dann eines von drei Dingen: Das Backup ist eine externe Festplatte, die seit Monaten am selben Rechner hängt und von der Ransomware mitverschlüsselt wurde. Oder es ist eine Cloud-Synchronisation, die die Löschung brav mitübertragen hat. Oder es ist ein Backup, das läuft, aus dem aber noch nie jemand eine Datei zurückgeholt hat, und das sich im Ernstfall als leer oder beschädigt erweist.

Ein Backup ist erst dann eines, wenn es automatisch läuft, wenn mindestens eine Kopie außerhalb des Büros liegt, wenn es alte Versionen behält und wenn die Wiederherstellung getestet ist. Dieser Beitrag beschreibt, wie das in einer Praxis, einer Kanzlei oder einem Handwerksbetrieb mit drei bis 25 Arbeitsplätzen aussieht, ohne Rechenzentrum und ohne IT-Abteilung.

Die 3-2-1-Regel

Drei Kopien Ihrer Daten, auf zwei verschiedenen Medien, davon eine an einem anderen Ort. Das klingt nach Konzernstandard, ist aber für kleine Firmen in einem Tag umgesetzt:

• Kopie 1: die Arbeitsdaten auf dem Server, NAS oder den Arbeitsplätzen.
• Kopie 2: ein lokales Backup auf ein zweites Medium: ein NAS, eine Backup-Festplatte, ein zweiter Server. Läuft automatisch, mehrmals täglich, mit Versionen.
• Kopie 3: eine Kopie außerhalb: Cloud-Backup mit Versionierung, oder eine Festplatte, die wöchentlich getauscht und woanders aufbewahrt wird.

Warum "außerhalb" so wichtig ist: Ein Wasserschaden, ein Einbruch, ein Brand oder eine Ransomware, die das ganze Netz erfasst, treffen alles, was im selben Raum und im selben Netz hängt. Die Kopie außerhalb ist die einzige, die dann noch da ist.

Versionierung: der Unterschied zwischen Sync und Backup

OneDrive, Google Drive, Dropbox und iCloud synchronisieren. Sie sorgen dafür, dass eine Datei auf allen Geräten gleich ist. Löschen Sie eine Datei, ist sie überall weg. Verschlüsselt Ransomware Ihre Dateien, sind sie überall verschlüsselt. Die Papierkorb-Funktionen dieser Dienste helfen ein paar Tage, aber nicht bei tausend Dateien auf einmal und nicht nach 30 Tagen.

Ein Backup dagegen behält Versionen: die Datei von gestern, von letzter Woche, von vor drei Monaten. Nach einem Ransomware-Vorfall spielen Sie den Stand von vor dem Angriff zurück. Deshalb ist ein Cloud-Speicher als Kopie 3 nur brauchbar, wenn er als Backup-Ziel mit Versionierung genutzt wird, nicht als Sync-Ordner.

Was gesichert werden muss, und was nicht

Die Liste ist in kleinen Firmen überschaubar, aber sie muss vollständig sein. Wir machen dafür eine Bestandsaufnahme, die typischerweise ergibt:

Daten	Wo sie liegen	Häufiger Fehler
Dokumente, Projekte, Kundendateien	Server, NAS, Freigabe	Lokale Ordner auf Arbeitsplätzen werden vergessen
Fachsoftware-Datenbank (Praxis, Kanzlei, Warenwirtschaft)	Server oder Arbeitsplatz	Datenbank wird im laufenden Betrieb kopiert und ist inkonsistent
E-Mail	Microsoft 365, Provider, lokales Outlook	"Liegt in der Cloud" heißt nicht "ist gesichert"
Buchhaltung, Lohn	Fachsoftware, Steuerberater	Nur auf einem Rechner, ohne Kopie
Konfigurationen: Router, Drucker, Telefonanlage	Geräte	Nie exportiert; nach Ausfall stundenlange Neueinrichtung

Nicht gesichert werden müssen Betriebssystem und Programme der Arbeitsplätze, wenn die Neuinstallation dokumentiert ist. Ein Systemabbild des Servers dagegen spart im Ernstfall einen Tag.

Wie oft, wie lange, wie geprüft

Häufigkeit

Die Frage lautet: Wie viel Arbeit darf verloren gehen? Für die meisten kleinen Firmen sind das wenige Stunden. Ein lokales Backup alle ein bis vier Stunden ist mit heutiger Software kein Problem; die Kopie außerhalb läuft nachts.

Aufbewahrung

Ransomware bleibt manchmal Wochen unbemerkt, bevor sie zuschlägt. Bewahren Sie tägliche Versionen für einen Monat, wöchentliche für ein Quartal und monatliche für ein Jahr auf. Speicher ist günstig, verlorene Daten nicht.

Test

Einmal im Quartal eine Datei, einen Ordner und, wenn möglich, die Fachsoftware-Datenbank aus dem Backup zurückspielen und öffnen. Das dauert 20 Minuten und ist der Unterschied zwischen "wir haben ein Backup" und "wir haben ein Backup, das funktioniert". Wir dokumentieren jeden Test mit Datum und Ergebnis.

Drei typische Aufbauten

• Drei bis fünf Arbeitsplätze ohne Server: Ein NAS als zentrale Ablage und Backup-Ziel für die Arbeitsplätze, plus Cloud-Backup mit Versionierung. Kosten überschaubar, Einrichtung ein Tag.
• Praxis oder Kanzlei mit Server und Fachsoftware: Backup-Software mit Datenbank-Unterstützung auf ein NAS, nächtliches Systemabbild des Servers, Kopie außerhalb per Cloud oder Wechselplatte. Zusätzlich: Export der Fachsoftware nach Herstellervorgabe.
• Handwerksbetrieb mit Büro und Außendienst: Microsoft 365 mit separatem Backup der Postfächer und SharePoint-Ordner (die Microsoft-eigene Aufbewahrung ist kein Backup), lokale Sicherung des Bürorechners auf NAS.

Was wir für Sie einrichten

Wir beginnen mit der Bestandsaufnahme: Welche Geräte, welche Daten, welche Software, welche Risiken. Daraus entsteht ein Konzept nach der 3-2-1-Regel mit konkreten Geräten und Zeitplänen, das wir einrichten, einmal komplett durchlaufen lassen und mit einem Wiederherstellungstest abnehmen. Sie bekommen eine Dokumentation, in der steht, was wo gesichert wird, wie man eine Datei zurückholt und wen man im Notfall anruft. Auf Wunsch prüfen wir das Backup einmal im Quartal. Den Rahmen beschreibt die Seite IT-Service für kleine Firmen; die Einrichtung für Einzelgeräte die Seite Datensicherung und Backup.

Wenn es schon passiert ist

Steht der Server, ist das NAS ausgefallen oder sind Dateien verschlüsselt: nichts neu aufbauen, nichts initialisieren, Netzwerk trennen, Anfrage mit "dringend". Wir sichern zuerst den Zustand, dann stellen wir wieder her. Details auf der Seite Server-Notdienst. Und wenn kein brauchbares Backup existiert, bleibt die Datenrettung vom Original; sie ist teurer und unsicherer als jedes Backup, aber oft möglich.

Ein Fall, der gut ausging, und einer, der es nicht tat

Kanzlei, acht Arbeitsplätze, Server mit Fachsoftware. Ransomware über einen E-Mail-Anhang, alle Freigaben verschlüsselt, auch die USB-Backup-Platte am Server. Was die Kanzlei rettete, war die Cloud-Kopie mit Versionierung, die nachts lief: Der Stand von vor zwei Tagen war vollständig da. Server neu aufgesetzt, Daten zurückgespielt, zwei Tage Ausfall, keine Lösegeldzahlung. Die USB-Platte hätte allein nichts genutzt.

Handwerksbetrieb, drei Rechner, NAS im Büro. Das NAS sicherte die Rechner täglich, eine Kopie außerhalb gab es nicht. Nach einem Wasserschaden im Büro standen NAS und Rechner zwei Tage im Wasser. Wir konnten von den NAS-Platten einen Großteil retten, aber die letzten drei Wochen Buchhaltung mussten aus Papierbelegen rekonstruiert werden. Eine Wechselplatte im Auto des Inhabers hätte das verhindert.

Die Lehre

Beide Firmen "hatten ein Backup". Der Unterschied war die dritte Kopie außerhalb. Sie kostet in einer kleinen Firma weniger als ein Tag Ausfall.

Die Kurzliste für den nächsten Montag

• Läuft das Backup automatisch, ohne dass jemand daran denken muss?
• Gibt es eine Kopie außerhalb des Büros und außerhalb des Netzes?
• Behält das Backup Versionen von mindestens 30 Tagen?
• Wann wurde zuletzt eine Datei zurückgespielt, und wer hat es dokumentiert?
• Ist die Fachsoftware-Datenbank konsistent gesichert?

Wer alle fünf Fragen mit Ja beantwortet, hat ein Backup. Wer bei einer zögert, sollte das Thema diese Woche erledigen, nicht nach dem nächsten Vorfall.