Fast jeder Betrieb, mit dem wir zum ersten Mal sprechen, sagt denselben Satz: „Backups laufen, das haben wir." Wir testen das bei jedem Neukunden mit einem echten Wiederherstellungslauf. Acht von zehn fallen durch.

„Durchfallen" heißt dabei nicht „es funktioniert, dauert nur etwas länger". Es heißt: Ein wesentlicher Datenbestand kommt nicht zurück. Eine Datenbank steht auf einem Stand von vor sechs Wochen. Eine Anwendung lässt sich starten, aber nicht produktiv nutzen. Dieser Beitrag erklärt, warum das so häufig passiert, was technisch dahintersteckt und woran Sie erkennen, ob Ihr eigenes Backup im Ernstfall trägt.

Warum „Backup vorhanden" und „wiederherstellbar" zwei verschiedene Dinge sind

Die meisten Backup-Probleme fallen nicht beim Sichern auf, sondern erst beim Zurückholen. Das Sichern läuft täglich, die Software meldet „erfolgreich", die grüne Anzeige beruhigt. Geprüft wird der umgekehrte Weg – die Wiederherstellung – fast nie. Und genau dort entscheidet sich alles.

Die belastbaren Zahlen sind unbequem. Der Veeam Ransomware Trends Report 2025 (1.300 befragte Organisationen, davon 900 mit einem Angriff in den letzten zwölf Monaten) zeigt:

Sophos nennt in seiner Erhebung eine mediane Wiederherstellungsdauer von 14 bis 30 Tagen. Zur Einordnung: Das sind keine Konzern-Zahlen. Laut BSI-Lagebericht 2025 richteten sich rund 80 % der gemeldeten Angriffe gegen kleine und mittlere Unternehmen – bei 950 registrierten Ransomware-Fällen im Berichtszeitraum. Wir sprechen also von der Realität eines 35-Mitarbeiter-Betriebs im Rheinland, nicht von einem DAX-Konzern.

In einem Satz: Ein Backup, das nie zurückgespielt wurde, ist keine Sicherung – es ist eine unbestätigte Vermutung.

Die drei Fehler, an denen Restores typischerweise scheitern

In der Praxis sehen wir immer wieder dieselben drei Bruchstellen.

1. Der Wiederanlauf wurde nie in einer sauberen Umgebung geprobt. Die Backup-Software läuft, aber niemand hat je versucht, daraus ein komplettes System in einer abgeschotteten Quarantäne-Umgebung hochzufahren. Das ist kein Detail: Laut Veeam nutzen nur 37 % der Organisationen bei der Wiederherstellung überhaupt eine Sandbox – 63 % spielen im Ernstfall blind direkt in die Produktion zurück, im schlimmsten Fall samt mitgesicherter Schadsoftware.

2. Anwendung und Datenbank stammen aus verschiedenen Momenten. Hier wird es technisch, aber es ist der häufigste stille Killer. Ein crash-consistent Backup friert die Festplatte zu einem Zeitpunkt ein, ohne die laufende Anwendung darüber zu informieren – als würde man einem Computer mitten im Schreibvorgang den Stecker ziehen. Datenbanken, Mailserver oder ERP-Systeme können danach in einem inkonsistenten Zustand sein: Die Dateien sind da, aber sie passen nicht zusammen. Was man braucht, ist ein application-consistent Backup, das die Anwendung kurz in einen sauberen Zustand versetzt (unter Windows über den Volume Shadow Copy Service, VSS), bevor gesichert wird. Fehlt dieser Mechanismus, lässt sich die Anwendung zwar starten – aber die Daten ergeben kein stimmiges Bild.

3. Die Person, die den Restore beherrscht, ist nicht erreichbar. Krankheit, Urlaub, Kündigung. Wenn das Wiederherstellungs-Wissen an einem einzigen Kopf hängt und dieser Kopf im Ernstfall fehlt, nützt das beste Backup nichts.

In einem Satz: Diese drei Fehler haben eines gemeinsam – sie werden erst sichtbar, wenn es zu spät ist, sie noch zu beheben.

Die unbequeme Selbstüberschätzung

Das eigentliche Risiko ist nicht fehlende Technik, sondern falsches Vertrauen. Der BSI-Lagebericht 2025 bringt es auf den Punkt: 91 % der KMU bewerten ihre eigene IT-Sicherheit als gut – tatsächlich erfüllen sie im Schnitt nur 56 % der Basisanforderungen. Beim Backup zeigt sich dieselbe Lücke: In einer Befragung gingen rund 60 % der IT-Verantwortlichen davon aus, ihre Daten innerhalb eines Tages zurückzuholen. Die gemessene Realität liegt, siehe oben, bei Wochen.

Diese Diskrepanz ist gefährlicher als eine offen erkannte Schwäche. Wer weiß, dass sein Backup wackelt, handelt. Wer fälschlich glaubt, es sei sicher, plant nichts – und merkt es im teuersten denkbaren Moment.

Was ein belastbares Backup ausmacht

Drei Prinzipien trennen ein echtes Sicherungskonzept von einer Hoffnung.

Die 3-2-1-Regel – erweitert. Drei Kopien der Daten, auf zwei verschiedenen Medientypen, eine davon außer Haus. Moderne Fassung: 3-2-1-1-0 – zusätzlich eine Kopie offline oder unveränderbar (immutable), und null Fehler im überprüften Wiederherstellungstest.

Unveränderbarkeit (Immutability). Ein Backup, das sich nachträglich nicht verändern oder löschen lässt, übersteht auch einen Angriff, der gezielt die Sicherungen mitverschlüsselt. Genau das tun moderne Ransomware-Gruppen zuerst: Sie suchen die Backups und zerstören sie, bevor sie die Produktivdaten verschlüsseln.

Der geprobte Restore mit Stoppuhr. Erst ein dokumentierter, in einer Testumgebung durchgeführter und zeitlich gemessener Wiederherstellungslauf macht aus „wir haben Backups" eine belastbare Aussage. Das verbindet sich direkt mit den beiden Kennzahlen, die jede Geschäftsführung kennen sollte: RTO (wie lange darf der Ausfall dauern?) und RPO (wie viel Datenverlust ist tolerierbar?). Ohne geprobten Restore sind beide nur Wunschwerte.

In einem Satz: „Wir haben Backups" beruhigt – „wir haben unseren Restore zuletzt am 12. März in 4 Stunden erfolgreich durchgespielt" schützt.

Für ein KMU in NRW: der realistische Weg

Man muss nicht alles auf einmal umbauen. Die sinnvolle Reihenfolge:

  1. Einen vollständigen Restore-Test fahren – einmal richtig. Nicht den schnellen Einzeldatei-Restore, sondern den ganzen Stack: System, Anwendung, Datenbank, in einer isolierten Umgebung, mit Stoppuhr. Das Ergebnis ist die ehrlichste IT-Kennzahl, die ein Betrieb haben kann.
  2. Anwendungskonsistenz und Immutability prüfen. Sichern die Backups die kritischen Anwendungen sauber? Sind mindestens eine Kopie unveränderbar und eine außer Haus?
  3. Das Wissen auf mindestens zwei Schultern verteilen. Der Wiederanlauf darf nicht an einer Person hängen – und er gehört dokumentiert, nicht im Kopf gespeichert.
  4. Den Test wiederholen. Einmalig bringt wenig; ein fester Rhythmus (z. B. halbjährlich) macht aus der Momentaufnahme eine verlässliche Größe.

Der Aufwand steckt nicht im Kaufen einer Backup-Software – die haben fast alle. Er steckt im sauberen Aufsetzen der Konsistenz, im Einrichten einer Quarantäne-Umgebung für den Testlauf und im ehrlichen Durchspielen des Ernstfalls. Genau das ist der Teil, den im Tagesgeschäft kaum jemand leistet – und an dem ein erfahrener Partner den Unterschied zwischen einem grünen Häkchen und einer echten Wiederanlauffähigkeit ausmacht.

Der nächste Schritt

Die ehrlichste Frage, die Sie sich heute stellen können: Wann haben Sie das letzte Mal einen vollständigen Restore in einer Testumgebung gefahren – den ganzen Stack, nicht nur eine einzelne Datei? Wenn die Antwort „noch nie" oder „weiß nicht genau" lautet, ist das die wichtigste Aufgabe der nächsten Wochen.

Wenn Sie wissen wollen, ob Ihr Backup im Ernstfall wirklich trägt, machen wir genau diesen Test mit Ihnen – dokumentiert, mit Stoppuhr, vor Ort in NRW. Eine erste Einordnung gibt es im kostenlosen Erstgespräch. Wie wir Backup, Wiederanlauf und laufende Sicherheit dauerhaft betreuen, lesen Sie auf der Leistungsseite Langfristige IT-Betreuung.

Quellen

Hinweis: Veeam und Sophos sind Hersteller-Studien (n = 1.300 bzw. mehrere Tausend). Sie sind methodisch solide, aber als Anbieter-Studien zu lesen. Das BSI liefert den herstellerneutralen, behördlichen Rahmen. Die genannte Beobachtung „8 von 10 fallen durch" ist eine anonymisierte Erfahrung aus unserer eigenen Praxis, keine repräsentative Statistik.