Stellen Sie sich vor: Ein Montagmorgen, das Büro füllt sich, der erste Kaffee dampft noch, und dann öffnet jemand eine E-Mail, die besser ungeöffnet geblieben wäre. Ransomware. Innerhalb kurzer Zeit sind Kundendaten, Buchhaltung und ERP verschlüsselt. Das letzte funktionierende Backup? Drei Monate alt. Was dann folgt, ist keine Filmszene. Wir bei EBL kennen genau dieses Bild: Neue Kunden kommen häufig erst dann zu uns, wenn das Kind bereits in den Brunnen gefallen ist. Die Frage, welche Backup-Strategie die beste für kleine Unternehmen ist, stellt sich dann leider zu spät.

Das Thema Datensicherung klingt technisch und trocken. Es ist beides nicht. Im Kern ist es eine unternehmerische Entscheidung: Wie viel Datenverlust kann mein Betrieb verkraften? Wie lange darf ich ausfallen? Und was kostet mich eine Lösung im Vergleich zu dem, was ein Datenverlust tatsächlich kosten würde? Dieser Artikel beantwortet genau diese Fragen. Erklärt die wichtigsten Methoden, benennt konkrete Kostenrahmen und zeigt, welche Backup-Strategie für kleine Unternehmen zu welcher Betriebsgröße passt.

3-2-1-Regel: Das Fundament jeder Datensicherung

Die 3-2-1-Backup-Regel ist kein Insider-Tipp, sie ist der anerkannte Grundstandard für jede sinnvolle Datensicherung für kleine Unternehmen und große gleichermaßen. Das Prinzip ist denkbar einfach: drei Kopien Ihrer Daten, auf zwei unterschiedlichen Speichermedien, davon eine Kopie außerhalb des Standorts. Warum das funktioniert? Weil kein einzelnes Schadensereignis alle drei Kopien gleichzeitig treffen kann. Hardware gibt den Geist auf, Büros brennen, Diebstahl passiert, und Ransomware verschlüsselt alles in Reichweite. Die räumliche und mediale Trennung durchbricht diesen Dominoeffekt.

Ein typisches Setup für einen Betrieb mit 5 bis 30 Mitarbeitenden sieht so aus: Die Produktivdaten liegen auf dem Büroserver. Täglich werden sie auf ein lokales NAS gesichert. Zusätzlich läuft ein verschlüsseltes Cloud-Backup, das die externe Kopie außerhalb des Standorts bereitstellt. Welche Daten gehören gesichert? Alles, was den Betrieb lahmlegt, wenn es fehlt: Buchhaltung, Kundenstammdaten, ERP- und CRM-Systeme sowie E-Mail-Postfächer. Die 3-2-1-Backup-Regel gibt dabei die Struktur vor, aber nicht den Rhythmus. Den bestimmen Sie selbst, abhängig davon, wie häufig sich Ihre Daten ändern.

Cloud oder NAS? Die beste Backup Strategie für kleine Unternehmen

Wann Cloud-Backup die bessere Wahl ist

Cloud-Backup bietet klare Stärken für kleine Unternehmen ohne eigene IT-Abteilung: keine Vorabinvestitionen in Hardware, planbare monatliche Kosten, einfache Skalierung bei wachsenden Datenmengen und automatisierter Betrieb im Hintergrund. Wer viele Mitarbeitende im Homeoffice hat oder keinen eigenen IT-Administrator beschäftigt, profitiert besonders. Der entscheidende Haken: Wenn Sie nach einem Ernstfall mehrere Terabyte aus der Cloud zurückspielen müssen und Ihre Internetleitung schwach ist, warten Sie unter Umständen Tage statt Stunden.

Wann ein lokales NAS die richtige Ergänzung ist

Ein NAS im eigenen Netzwerk liefert das, was Cloud-Backup nicht kann: blitzschnelle Wiederherstellung großer Datenmengen, unabhängig von der Internetverbindung. Ein Server, der um 14 Uhr abstürzt, kann mit einem lokalen Backup oft noch am selben Nachmittag wieder laufen. Die Grenze ist klar: Wenn Büro, Server und NAS im selben Gebäude stehen und dieses Gebäude abbrennt, hilft das lokale NAS allein nicht weiter. Das NAS sichert die Wiederherstellungsgeschwindigkeit, die Cloud sichert die geografische Redundanz.

Wann eine Hybride Backup-Strategie notwendig ist

Für die meisten kleinen Unternehmen ist ein hybrider Ansatz die beste Backup-Strategie: lokal für schnelle Rücksicherung, Cloud für Ausfallsicherheit und die externe Kopie. Das lässt sich konkret budgetieren. Für einen 10-Personen-Betrieb mit rund 50 GB Daten pro Person fallen je nach Anbieter und Datenmenge erfahrungsgemäß 100 bis 150 Euro monatlich für den Cloud-Anteil an, ein Richtwert, der je nach gewähltem Dienst variiert. Ein NAS der Mittelklasse kostet einmalig 400 bis 800 Euro, dazu kommen Festplatten für weitere 400 bis 600 Euro. Auf drei Jahre gerechnet ist das eine kalkulierbare Investition. Zum Vergleich: Laut Studien zur Unternehmens-IT können ungeplante Ausfälle durch Datenverlust schnell mehrere Tausend Euro kosten, allein durch Produktionsausfall, Wiederherstellungsaufwand und mögliche Vertragsstrafen.

Wie lange darf Ihr Betrieb im Notfall stillstehen?

Was RTO und RPO bedeuten und warum sie Ihre Entscheidung steuern

Die Wiederherstellungszeit (RTO, Recovery Time Objective) beschreibt die maximal akzeptable Ausfallzeit bis zur vollständigen Wiederherstellung. Der Wiederherstellungspunkt (RPO, Recovery Point Objective) gibt an, wie viel Datenverlust gemessen in Zeit Ihr Betrieb verkraften kann. Beide Werte legt Ihr Unternehmen selbst fest, eine universelle Antwort gibt es nicht. Was klar ist: Je kleiner RTO und RPO, desto aufwändiger und teurer die nötige Infrastruktur. Ein System, das innerhalb einer Stunde wieder laufen muss, braucht eine andere Backup-Strategie als ein Archivserver, der notfalls zwei Tage warten kann.

Typische Zielwerte für kleine Unternehmen nach Systemtyp

Als Orientierung hat sich in der Praxis folgende Staffelung bewährt: ERP- und Warenwirtschaftssysteme sollten eine Wiederherstellungszeit (RTO) von 1 bis 4 Stunden und einen Wiederherstellungspunkt (RPO) von unter einer Stunde anstreben, weil hier jede Stunde Stillstand direkt Umsatz kostet. Buchhaltungssoftware und DATEV-Umgebungen verkraften 4 bis 8 Stunden RTO bei einem RPO von 1 bis 4 Stunden. Dateiserver und E-Mail-Systeme liegen meist bei 8 bis 24 Stunden; Archivdaten können 24 bis 72 Stunden tolerieren. Ein Wiederherstellungstest zeigt, ob diese Werte in Ihrer konkreten Umgebung überhaupt erreichbar sind.Erfahrungsgemäß zeigen solche Tests häufig, dass die geplanten Ziele in der Praxis nicht ohne Weiteres erreicht werden, die tatsächliche Wiederherstellungszeit liegt dann deutlich über dem angenommenen Wert.

Das Backup für kleine Unternehmen: Ransomware und DSGVO

Unveränderliche Sicherungskopien und Offsite-Kopien als Ransomware-Schutz

Klassische Backups schützen nicht automatisch vor Ransomware. Moderne Angriffe suchen gezielt nach verbundenen Backup-Laufwerken und verschlüsseln oder löschen diese mit. Die Antwort darauf sind unveränderliche Sicherungskopien: Speicherebenen, bei denen weder Software noch ein Angreifer Daten nachträglich verändern oder löschen kann. Ergänzt wird das durch das Air-Gap-Prinzip, die physische oder logische Trennung des Backups vom Produktionsnetz, sowie durch Versionierung, die mehrere Zeitstände vorhält.

Auf organisatorischer Ebene empfiehlt sich das Vier-Augen-Prinzip für administrative Backup-Zugänge. Kein einzelner Benutzer sollte allein in der Lage sein, ein Backup zu löschen oder zu deaktivieren. Das mag nach Mehraufwand klingen, ist aber eine der wirksamsten Maßnahmen gegen Insider-Bedrohungen und kompromittierte Zugangsdaten, und lässt sich in der Praxis ohne großen Konfigurationsaufwand umsetzen.

DSGVO-konforme Datensicherung in der Praxis

Für Unternehmen in Österreich bedeutet DSGVO-konforme Datensicherung konkret: Backups müssen nach Art. 32 DSGVO durch geeignete technische Maßnahmen geschützt sein, wozu in der Praxis Verschlüsselung gehört. Die Speicherung in EU- oder EWR-Rechenzentren ist die einfachste Wahl, um Drittlandübertragungen zu vermeiden, bei Anbietern außerhalb des EWR sind nach Art. 44 ff. DSGVO geeignete Rechtsgrundlagen wie Standardvertragsklauseln erforderlich. Mit jedem Cloud-Anbieter, der personenbezogene Daten verarbeitet, ist zudem nach Art. 28 DSGVO ein Auftragsverarbeitungsvertrag abzuschließen. Besonders strenge Anforderungen treffen Steuerberater, Arzt- und Anwaltspraxen, aber auch Handelsunternehmen mit umfangreichen Kundendaten. Bei einer DSGVO-Prüfung müssen Sie ein schriftliches Datensicherungskonzept vorlegen können. Wer das nicht hat, riskiert nicht nur Bußgelder, sondern auch Reputationsschäden, die schwerer wiegen als die Strafe selbst.

Welche Lösung passt zu welcher Betriebsgröße?

Empfehlungen für 1 bis 10 Mitarbeitende

Für sehr kleine Teams ist ein Cloud-Backup mit automatisierter Verwaltung, kombiniert mit einer lokalen Spiegelsicherung auf einem NAS oder einer externen Festplatte, meist ausreichend. Lösungen wie Acronis, IDrive oder Veeam Essentials sind für diesen Bereich konzipiert; die Hersteller werben mit der Einrichtung ohne tiefes IT-Wissen, was für Standardszenarien in der Regel zutrifft. Der monatliche Kostenrahmen liegt in der Regel unter 100 Euro, wenn ausgewählte Systeme gesichert werden, je nach Datenmenge und gewähltem Anbieter.

Empfehlungen für 10 bis 50 Mitarbeitende

Ab dieser Größe lohnt sich ein strukturierteres hybrides Setup: NAS mit täglicher Datensicherung und verschlüsseltem Cloud-Offsite, zentral verwaltet und mit regelmäßigen Wiederherstellungstests. Hier wird auch die Definition von RTO- und RPO-Zielen pro System wichtig, denn die Datenlandschaft ist heterogener. Der Kostenrahmen liegt je nach Datenmenge und Wiederherstellungsanforderungen bei 150 bis 400 Euro monatlich. Was in dieser Größenklasse häufig unterschätzt wird: Homeoffice-Arbeitsplätze müssen ausdrücklich in die Backup-Strategie einbezogen werden, sonst entstehen unkontrollierte Datenlücken auf den Laptops der Mitarbeitenden. Ebenso braucht es klare Zuständigkeiten, wer prüft täglich, ob die Sicherung tatsächlich durchgelaufen ist?

Branchenspezifische Hinweise

Steuerberater und Anwälte unterliegen langen gesetzlichen Aufbewahrungspflichten, was die Archivierungsstrategie direkt beeinflusst. Handelsunternehmen können sich häufig keinen mehrstündigen ERP-Ausfall leisten und benötigen entsprechend kleinere RTO-Werte. Dienstleistungsbetriebe mit einfacherer Struktur sollten dennoch Homeoffice-Daten und Cloud-Anwendungen wie Microsoft 365 aktiv in die Sicherung einbeziehen. Microsoft selbst hält in seiner Dokumentation zur geteilten Verantwortung fest, dass die Wiederherstellung von Daten in Microsoft 365 Sache des jeweiligen Unternehmens ist, eine automatische Datensicherung durch den Cloud-Anbieter ist nicht vorgesehen.

Verwalteter Backup-Service als Alternative

Was ein verwalteter Backup-Service konkret bedeutet

Bei einem verwalteten Backup-Service übernimmt ein externer Dienstleister die gesamte Verantwortung: Einrichtung und Automatisierung, laufende Überwachung sowie regelmäßige Wiederherstellungstests mit sofortiger Alarmierung bei Fehlern. Für kleine Unternehmen ohne eigene IT-Abteilung ist das besonders wertvoll, weil niemand intern die tägliche Kontrolle leisten muss. Die Kosten sind planbar, die Zuständigkeit klar, und es gibt einen festen Ansprechpartner, der weiß, wo Ihre Daten liegen und wie sie im Notfall zurückgespielt werden.

EBL: Vollautomatische Backup-Lösungen für kleine Unternehmen

Genau das setzen wir bei EBL seit 1995 für kleine und mittlere Unternehmen in Wien und Niederösterreich um. Wir richten Backup-Lösungen ein, die zu Ihrer Betriebsgröße, Branche und Risikolage passen, überwachen sie täglich und testen die Wiederherstellbarkeit regelmäßig, ohne dass Sie als Kunde etwas dafür tun müssen. Als Sophos Gold Partner und Microsoft-Partner decken wir dabei auch die Sicherheits- und Cloud-Schicht mit ab, sodass Datensicherung, Endgeräteschutz und Cloud-Nutzung aus einer Hand kommen.

Wenn Sie wissen möchten, wie Ihre aktuelle Backup-Situation aufgestellt ist und was sich verbessern lässt, bieten wir ein kostenfreies Erstgespräch an, kein Verkaufsgespräch, sondern ein ehrlicher Blick auf Ihre IT-Situation mit konkreten Empfehlungen für den nächsten Schritt. Einfach Termin anfragen und loslegen.

Fazit: Die beste Backup-Strategie für kleine Unternehmen

Die Wahl der richtigen Datensicherung für kleine Unternehmen folgt einem klaren Rahmen: Die 3-2-1-Backup-Regel gibt die Grundstruktur vor. Ein hybrides Setup aus lokalem NAS und Cloud-Backup ist für die meisten KMU die ausgewogenste Backup-Strategie. Wiederherstellungszeit (RTO) und Wiederherstellungspunkt (RPO) legen Sie nach der Kritikalität Ihrer Systeme fest. DSGVO-konforme Datensicherung ist rechtliche Pflicht; unveränderliche Sicherungskopien als Ransomware-Schutz gelten heute als unverzichtbare Grundlage jeder ernsthaften Lösung.

Wer diese Punkte konsequent umsetzt, nimmt dem Worst-Case-Szenario seinen Schrecken. Und wer die Umsetzung lieber in die Hände eines erfahrenen Partners legen möchte, ist beim kostenfreien Erstgespräch mit EBL genau richtig.