Backup-Strategie: in 7 Schritten zum Datensicherungskonzept

Kurz erklärt

Eine Backup-Strategie legt fest, welche Daten wie oft, wohin und wie lange gesichert werden – und wie schnell Systeme nach einem Ausfall wieder laufen müssen. Ausgearbeitet und je System dokumentiert heißt sie Datensicherungskonzept. Eine gute Strategie beginnt nicht bei der Software, sondern bei der Frage, was das Unternehmen im Ernstfall zuerst braucht.

Aufbau

7 Schritte

Von der Inventur bis zum Test.

Maßstab

RTO und RPO

Zielwerte je System.

Oft vergessen

SaaS-Daten

Microsoft 365 & Co. gehören dazu.

Was eine Backup-Strategie ist

Die Backup-Strategie ist die Grundsatzentscheidung: Welche Zielwerte gelten, wie viele Kopien es gibt, wo sie liegen und wie sie geschützt werden. Das Datensicherungskonzept setzt diese Entscheidung je System um, mit Zeitplänen, Speicherzielen, Aufbewahrung und Zuständigkeiten. Die Grundlagen erklärt der Eintrag Datensicherung.

Der häufigste Fehler ist eine Strategie, die nur das Sichern regelt. Ob sie funktioniert, zeigt sich erst bei der Wiederherstellung. Deshalb gehören Wiederherstellungsreihenfolge, Verantwortliche und regelmäßige Tests von Anfang an dazu.

Datensicherungskonzept in 7 Schritten

Datensicherungskonzept in sieben Schritten
Nr.	Schritt	Leitfrage	Ergebnis
1	Bestandsaufnahme	Welche Systeme, Anwendungen und Daten gibt es, wo liegen sie, wie viel ändert sich täglich?	Liste aller zu sichernden Systeme mit Datenmenge
2	Ziele festlegen	Wie schnell muss jedes System wieder laufen, wie viel Datenverlust ist verkraftbar?	RTO und RPO je System
3	Methode und Zeitplan	Vollsicherung, inkrementell oder differenziell, wie oft, in welchem Zeitfenster?	Sicherungsplan je System
4	Kopien und Speicherorte	Wie viele Kopien, auf welchen Medien, an welchen Orten?	3-2-1-1-0 umgesetzt
5	Aufbewahrung	Wie lange werden welche Stände aufbewahrt, was wird archiviert?	Aufbewahrungsregeln und Generationen
6	Schutz der Backups	Wer hat Zugriff, sind Sicherungen verschlüsselt und unveränderlich?	Zugriffskonzept, unveränderliche Kopie
7	Wiederherstellung und Test	In welcher Reihenfolge wird wiederhergestellt, wer tut was, wie oft wird getestet?	Wiederherstellungsplan und Testprotokolle

Die Schritte orientieren sich am BSI-Baustein CON.3 Datensicherungskonzept: Rahmenbedingungen erheben, Datensicherungspläne erstellen, Wiederherstellung regelmäßig testen.

Schritt 1 und 2: Daten kennen, Ziele festlegen

Am Anfang steht die Bestandsaufnahme: alle Systeme, Anwendungen und Datenbestände, auch Cloud-Dienste wie Microsoft 365. Für jedes System wird festgehalten, wie viele Daten es enthält und wie stark sie sich täglich ändern. Daraus ergeben sich Sicherungsvolumen und Zeitfenster.

Danach werden die Zielwerte festgelegt: Wie lange darf ein System ausfallen (RTO) und wie viel Datenverlust ist verkraftbar (RPO)? Die Werte unterscheiden sich stark, für ein ERP-System meist deutlich enger als für ein Dateiarchiv. Mehr dazu unter RTO und RPO und Business Continuity.

Schritt 3 bis 5: Methode, Kopien und Aufbewahrung

Aus den Zielwerten folgen Methode und Takt: Vollsicherung, inkrementelle oder differenzielle Sicherung, siehe Backup-Arten. Für die Kopien hat sich die 3-2-1-1-0-Regel bewährt: drei Kopien, zwei Medien, eine an einem anderen Ort, eine unveränderlich oder getrennt, null Fehler beim Test. Welche Medien passen, zeigt Speichermedien im Vergleich. Bei der Aufbewahrung hilft das Generationenprinzip: tägliche, wöchentliche und monatliche Stände werden unterschiedlich lange gehalten. Unterlagen mit gesetzlichen Fristen gehören zusätzlich in ein revisionssicheres Archiv.

Schritt 6: Die Backups selbst schützen

Angreifer suchen gezielt nach Sicherungen, um eine Wiederherstellung zu verhindern. Backups brauchen deshalb mindestens denselben Schutz wie die Originaldaten: eigene Zugänge mit Mehr-Faktor-Anmeldung, Verschlüsselung und mindestens eine Kopie, die sich nicht ändern oder löschen lässt – als Immutable Backup, mit S3 Object Lock oder per Air Gap.

Schritt 7: Wiederherstellung planen und testen

Der Wiederherstellungsplan legt fest, in welcher Reihenfolge Systeme zurückkommen, wer entscheidet und wer was tut. Regelmäßige Tests zeigen, ob die Zielwerte erreicht werden, siehe Wiederherstellbarkeit. Für ganze Server hilft Bare Metal Recovery. Die Strategie selbst sollte mindestens jährlich und bei jeder größeren Änderung überprüft werden.

So unterstützt Cristie

Ihre Backup-Strategie mit Cristie

Backup-Check

Zehn Fragen, sofort ein Ergebnis: Wo steht Ihre Datensicherung heute? Zum Backup-Check

Backup und Archiv

Wir setzen Ihre Strategie um – mit Lösungen führender Hersteller, von Disk bis Band und S3. Zu Backup und Archiv

Managed Backup

Wir betreiben Ihre Sicherung oder die Zweitkopie in Rechenzentren in Deutschland. Zu Managed Backup

Ihre Backup-Strategie auf dem Prüfstand

Wir gehen die sieben Schritte mit Ihnen durch und zeigen, wo Ihr Konzept Lücken hat.

Gespräch vereinbaren

Häufige Fragen zur Backup-Strategie

Was gehört in eine Backup-Strategie?

Mindestens: welche Daten und Systeme gesichert werden, wie oft und mit welcher Methode, wohin und in wie vielen Kopien, wie lange Sicherungen aufbewahrt werden, wie sie gegen Angriffe geschützt sind und wie schnell welches System wieder laufen muss. Dazu gehören Verantwortliche und regelmäßige Wiederherstellungstests.

Was ist der Unterschied zwischen Backup-Strategie und Datensicherungskonzept?

Die Strategie legt die Grundsätze fest, zum Beispiel Zielwerte, Kopien und Schutzniveau. Das Datensicherungskonzept beschreibt die konkrete Umsetzung je System: Zeitpläne, Speicherziele, Aufbewahrung, Zuständigkeiten und Wiederherstellungsabläufe. In der Praxis werden beide Begriffe oft gleich verwendet.

Was ist das Generationenprinzip?

Beim Generationenprinzip, auch Großvater-Vater-Sohn genannt, werden zum Beispiel tägliche, wöchentliche und monatliche Sicherungen unterschiedlich lange aufbewahrt. So stehen kurzfristig viele und langfristig ausgewählte Stände zur Verfügung, ohne dass jede Sicherung ewig gespeichert wird.

Gehören Microsoft 365 und andere SaaS-Daten in die Backup-Strategie?

Ja. SaaS-Anbieter betreiben den Dienst, für gelöschte, verschlüsselte oder überschriebene Daten ist nach dem Modell der geteilten Verantwortung in der Regel der Kunde zuständig. Eine Backup-Strategie sollte deshalb auch Microsoft 365, Entra ID und andere Cloud-Dienste abdecken.

Wie oft sollte die Backup-Strategie überprüft werden?

Wir empfehlen mindestens einmal im Jahr und zusätzlich bei jeder größeren Änderung, etwa neuen Systemen, einem Umzug in die Cloud oder geänderten Anforderungen. Wiederherstellungstests zeigen dabei, ob die Zielwerte noch erreicht werden.

Ist eine Backup-Strategie gesetzlich vorgeschrieben?

Für viele Unternehmen indirekt ja. Die DSGVO verlangt, personenbezogene Daten nach einem Zwischenfall rasch wiederherstellen zu können. Einrichtungen unter NIS2 müssen Backup-Management und Wiederherstellung umsetzen (§ 30 BSIG), Finanzunternehmen nach DORA Datensicherungsstrategien dokumentieren und testen (Art. 12).