Backup-as-a-Service: Wie die sichere Einführung gelingt

Backup-as-a-Service (BaaS) bietet große Vorteile: Es entlastet interne Teams und stellt sicher, dass die Wiederherstellung zuverlässig funktioniert. Doch auch ein BaaS-Projekt ist kein Selbstläufer. Es muss sauber geplant und sicher eingeführt werden. In diesem Artikel sprechen wir über typische Herausforderungen und wie KMU diese meistern.

BaaS: Die 6 größten Herausforderungen

Viele Unternehmen denken, dass mit einem Wechsel zu BaaS alle Sorgen rund um Datensicherung automatisch verschwinden. Schließlich übernimmt ein spezialisierter Service-Provider die Backup-Durchführung. BaaS ist aber kein Plug-and-Play, sondern muss aktiv in die IT-Strategie eingebettet werden. Hier die wichtigsten Stolpersteine, auf die Unternehmen achten sollten.

1. Zu kleiner Geltungsbereich

BaaS sichert nur das, was explizit im Leistungsumfang festgelegt ist. Lücken entstehen, wenn:

• Externe Clouds oder SaaS-Anwendungen (zum Beispiel Microsoft 365 oder Salesforce) nicht integriert werden,
• Altdaten oder Spezialanwendungen schlicht vergessen werden,
• Metadaten, Konfigurationen und Protokolle nicht explizit in den Backup-Umfang aufgenommen sind.

Speziell das SaaS-Thema sollte genau geregelt werden. Viele KMU denken, dass SaaS-Anbieter wie Microsoft oder Google automatisch ihre Daten sichern. Tatsächlich liegt die Verantwortung fast immer beim Kunden. Daher ist ein BaaS-Angebot nur dann vollständig, wenn es auch Dienste wie Microsoft 365 (siehe auch Blogartikel „Microsoft 365 Backup: Alles, was Sie wissen müssen„), Google Workspace oder Salesforce absichert.

Ähnliches gilt für Hybrid- und Multi-Cloud-Umgebungen. Hier liegen Daten über viele Plattformen verteilt. Ein BaaS-Anbieter, der hier nur die internen Systeme berücksichtigt, schafft gefährliche Lücken. Das Ziel muss sein, eine plattformübergreifende Sicherungsstrategie zu entwickeln.

2. Interne Kontrolle

Auch wenn Technik und Betrieb ausgelagert sind:

• die Pflicht zu regelmäßigen Sicherheitsaudits,
• das Monitoring von Erfolg/Misserfolg der Backups,
• die Durchführung von Restore-Tests

bleiben Aufgaben, die zumindest intern nachvollzogen werden müssen. Tatsächlich kann es vorteilhafter sein, dass der eigene Datensicherungsbeauftragte diese Aufgaben abwickelt. So behält das Unternehmen mehr Kontrolle über den Backup-Prozess.

Weitere Maßnahmen, die einem Kontrollverlust vorbeugen, sind:

• Klar definierte SLAs mit Angaben zu maximalen Wiederherstellungszeiten und Datenverlustgrenzen
• Regelmäßige Reports
• Regelmäßige Review-Meetings
• Zugang zum Management-Portal (zumindest „Read-only“)
• Getrennte Encryption Keys; der Kunde behält im Idealfall die Hoheit über die Schlüssel

3. Compliance-Lücken

BaaS muss in den regulatorischen Kontext des Unternehmens passen. Typische Risiken sind:

• Verschlüsselung: Manche Provider verschlüsseln nur bei Übertragung, nicht im Ruhezustand

• Zugriffsrechte: Wer darf auf die Sicherungen zugreifen? Ausschließlich das Unternehmen und der Provider oder auch Subdienstleister des Providers?

• Nachvollziehbarkeit: Ohne Audit-Logs fehlt im Ernstfall der Nachweis gegenüber Behörden oder Kunden

4. Digitale Lieferkette

Die neue NIS-2-Richtlinie der EU stellt höhere Anforderungen an die Resilienz digitaler Lieferketten und damit auch an BaaS. Konkret bedeutet das:

• Unternehmen müssen wissen, wo ihre Daten gespeichert sind (Land, Speicherumgebung) und welche Schutzmaßnahmen dort gelten

• Sie müssen sicherstellen, dass der Provider eigene Notfallstrategien hat, also selbst gegen Ausfälle abgesichert ist

• Verträge sollten klare Zusagen enthalten, wie der Provider regulatorische Vorgaben einhält

5. Lock-in

Ein Wechsel des Anbieters kann sich als schwierig erweisen: Viele Provider verwenden proprietäre Formate, was die Datenportabilität erschwert. Ohne vordefinierte Exit-Strategien können sich KMU hier in Abhängigkeiten verfangen, zum Beispiel wenn der Anbieter überraschend die Preise stark erhöht.

6. Gefahr durch Ransomware

Backups beim Provider sind genauso Angriffsziel wie lokale Systeme. Ein BaaS-Angebot muss deshalb starke Sicherheitsmechanismen bieten:

• Unveränderbare Kopien (Immutability)
• Physische Trennung vom Primärsystem (Air Gapping)
• Mehrstufige Authentifizierung (MFA)
• Role-Based Access Control (RBAC)
• Zeitlich begrenzte Freigaben („Just in Time“-Zugriffe)
• Log-Analyse

BaaS-Einführung: In 8 Schritten zum Erfolg

Die Einführung von Backup-as-a-Service unterscheidet sich von klassischen IT-Projekten: Es geht nicht nur darum, Technik zu installieren, sondern auch darum, Sicherheitsprinzipien und Serviceverantwortung zu regeln. Die folgende Schritt-für-Schritt-Anleitung zeigt, worauf IT-Entscheider achten sollten:

1. Analyse

Der erste Schritt sollte eine Bestandsaufnahme sein: Welche Systeme und Datenquellen müssen gesichert werden? Besonderes Augenmerk sollte auf geschäftskritische Daten gelegt werden, die zwingend redundant vorliegen müssen. Dazu gehören beispielsweise ERP-Systeme, Kundendaten und die Finanzbuchhaltung.

Daneben sollten auch Cloud-Workloads und SaaS-Anwendungen (Microsoft 365, Salesforce etc.) beachtet werden. Diese beiden Bereiche werden oft übersehen, da viele Unternehmen fälschlich auf den Schutz durch die Cloud-Anbieter vertrauen. Tatsächlich liegt die Verantwortung für die Sicherung fast immer beim Kunden.

Und nicht zuletzt sollten die Recovery Objectives definiert werden:

• RPO (Recovery Point Objective) = Wie viele Daten im Ernstfall maximal verloren gehen dürfen. Das betrifft den zeitlichen Abstand zwischen Backups

• RTO (Recovery Time Objective) = Wie schnell Systeme nach einem Betriebsausfall wieder verfügbar sein müssen

Hier ist es wichtig, zu Beginn von realistischen Werten auszugehen, die der Provider auch einhalten kann. Je länger die Zusammenarbeit andauert, desto mehr lassen sich diese Werte dann optimieren.

2. Compliance-Integration

Gesetzliche Vorgaben wie DSGVO, NIS-2 und DORA verlangen unter anderem europäische Rechenzentren, revisionssichere Speicherungen und eine abgesicherte digitale Lieferkette. Prüfen Sie, ob der BaaS-Provider diese Anforderungen abdeckt.

Das führt schnell zu der Frage, welche konkreten Sicherheits- und Managementfunktionen der Provider im Programm hat. Empfehlenswert sind hier:

• Verschlüsselung (im Transit und im Ruhezustand)
• Schlüsselverwaltung, die idealerweise im Unternehmen verbleibt
• Immutable Storage, also die unveränderliche Speicherung von Daten
• Automatisierte Restore-Tests, um die Funktionalität der Backups zu überprüfen
• Granulare Restore-Optionen, zum Beispiel für einzelne E-Mail-Postfächer
• Integration in hybride und Multi-Cloud-Umgebungen, damit Daten plattformübergreifend erfasst werden
• Audit-Trails, um Zugriffe und Änderungen an Backups nachvollziehen zu können
• Monitoring- und Reporting-Tools, für mehr Transparenz und Kontrolle, aber auch um gesetzlichen Berichtspflichten nachzukommen

Am Ende dieser zweiten Phase sollte eine umfassende Risikoklassifizierung erfolgen. Sie definiert, welche Daten extern beim Provider liegen dürfen und welche intern gesichert werden sollten.

3. Anbieter- & Vertragsprüfung

Unternehmen sollten prüfen, über welche Zertifizierungen der BaaS-Provider verfügt. Relevant sind hier beispielsweise ISO 27001, ISO 27017, SOC 2 oder BSI C5.

Zertifikate alleine reichen jedoch nicht. Auch die Kundenprojekte des Providers sollten unter die Lupe genommen werden. Sind hier Unternehmen dabei, die dem eigenen Unternehmen vergleichbar sind? Gegebenenfalls ist es sinnvoll, direkt auf diese Organisationen zuzugehen und nach Erfahrungen mit dem Provider zu fragen.

Natürlich muss auch ein Kostenvergleich angestellt werden. Dieser sollte nicht nur Lizenz- und Speicherkosten einbeziehen, sondern auch mögliche Zusatzkosten, etwa für Datenabruf oder Immutability.

Weitere Punkte, auf die das Kostenmodell abgeklopft werden sollte:

• Zusätzliche Restore-Gebühren
• Kosten für lange Aufbewahrungsfristen
• Kosten für Beratung und Support-Services

Ein Fallstrick, den es zu beachten gilt: Manche BaaS-Provider locken mit sehr günstigen Tarifen zu Beginn der Zusammenarbeit, fahren die Preise nach den ersten 6 oder 12 Monaten dann aber deutlich hoch. Garantierte Preise bzw. Höchstgrenzen bei der Preisanpassung schaffen hier Abhilfe.

Unbedingt sollten sämtliche Performance- und Serviceanforderungen in einem Service Level Agreement (SLA) definiert werden. Das beinhaltet mindestens:

• Verfügbarkeit
• Wiederherstellungszeiten
• Support-Reaktionszeiten
• Eskalationswege

Last, but not least: Eine verbindliche Exit-Strategie definiert, wie die Zusammenarbeit reibungsarm beendet werden kann. Das betrifft vor allem die Portierung von Daten, die sichere Löschung und wie lange der Anbieter nach der Kündigung noch Support leistet. Auch diese Themen sollten im SLA klar benannt werden.

4. Design

Als Nächstes folgt das Design des BaaS-Modells. Dabei sollten von Anfang an Sicherheitsprinzipien integriert werden. Administratorrechte für Kunden und Provider müssen strikt getrennt sein, der Zugriff erfolgt nach dem Least-Privilege-Prinzip: Nur Personen, die bestimmte Aufgaben benötigen (zum Beispiel Backup-Administratoren für Konfiguration, Auditoren für Protokolle) erhalten Zugriff. So wird verhindert, dass ein kompromittiertes Konto gleich mehrere Ebenen des Systems gefährdet.

Ein weiterer wichtiger Punkt ist die Netzwerkisolation: Backup-Systeme müssen als eigenständige Umgebung betrieben werden, getrennt von der Kundeninfrastruktur. Nur so lässt sich sicherstellen, dass ein Angriff auf die Produktionssysteme nicht automatisch auch die Backups kompromittiert.

Auch die Skalierbarkeit muss eingeplant werden. Weil das Datenvolumen ständig wächst, sollten sich Speicherplatz und Systemperformance leicht anheben lassen. Hier bieten sich moderne Object-Storage-Lösungen an. Diese sollten mit Data-Lifecycle-Management-Tools kombiniert werden, damit seltener genutzte Daten automatisch in günstigere Speicherklassen verschoben werden.

Ein weiterer Aspekt ist die Einbindung von SaaS-Anwendungen. Dienste wie Microsoft 365, Google Workspace und Salesforce verfügen zwar über eigene Redundanzmechanismen, aber diese sind begrenzt. Sie bieten keinen ausreichenden Schutz vor Datenverlust durch Bedienfehler, Insider-Threats oder Ransomware. Daher sollte ein professionelles BaaS-Design diese Workloads explizit einbinden. Idealerweise lassen sich die SaaS-Backups über das gleiche Management-Portal steuern, sodass keine Silos entstehen.

5. Implementierung

Die Einführung von Backup-as-a-Service sollte nie als „Big Bang“ erfolgen, sondern immer mit einer Pilotphase starten. Dabei werden kleine Datenmengen gesichert und unter realitätsnahen Bedingungen wiederhergestellt. Die Erkenntnisse aus diesem Test werden dann auf die restliche Produktivumgebung angewandt. So lassen sich Schwachstellen früh erkennen, ohne den laufenden Betrieb zu gefährden.

Auch die verschiedenen Integrationen sollten vor der Inbetriebnahme getestet werden. Das betrifft beispielsweise die Verbindungen zu:

• Cloud-Plattformen
• SaaS-Anwendungen
• Authentifizierungsdiensten
• APIs

Dabei geht es nicht nur um das Vorhandensein der Schnittstellen, sondern auch um die Workflows zwischen den verschiedenen Plattformen. Werden Backups automatisch ausgelöst, beispielsweise beim Erstellen neuer VMs? Sind Workflows für Skalierung oder Cloud-Migration eingebunden?

Ebenfalls wichtig ist die Netzwerkanbindung (siehe auch Blogartikel „Was ist Software-Defined Networking (SDN) – und wie nützt es Ihrem Unternehmen?„). Da bei Backups große Datenvolumina bewegt werden, ist die Bandbreite ein kritischer Erfolgsfaktor. Der Provider sollte hier Deduplizierung und Komprimierung nutzen, um Datenmengen zu reduzieren. Außerdem sollte er Transfers zeitlich so steuern, dass sie den Geschäftsbetrieb nicht beeinträchtigen. Bei sehr großen Umgebungen kann der Anbieter auch initiale Seeding-Verfahren anbieten, bei denen die erste Vollsicherung per physischem Datenträger durchgeführt wird.

6. Testing & Schulung

Ein Backup ist nur dann etwas wert, wenn die Wiederherstellung im Ernstfall zuverlässig funktioniert. Deshalb sollten in fest definierten Intervallen Wiederherstellungstests durchgeführt werden, etwa quartalsweise oder nach jeder größeren Systemänderung. In der Praxis haben sich die folgenden Testarten bewährt:

• Granular Restore: Wiederherstellung einzelner Dateien, E-Mails oder Datenbankeinträge

• System Restore: Rücksicherung kompletter Server oder virtueller Maschinen auf Ersatzhardware oder in der Cloud

• Point-in-Time-Recovery: Zurücksetzen auf einen exakten Zeitpunkt, etwa kurz vor einer Datenkorruption

• Disaster-Recovery-Tests: Simulation eines Totalausfalls, inklusive Umschaltung auf ein Notfallrechenzentrum

Jede Wiederherstellung sollte protokolliert werden. So lässt sich nachvollziehen, ob Backup-Ziele erreicht wurden und wo Verbesserungen nötig sind. Außerdem dienen die Ergebnisse dem Kunden als Audit-Nachweis, um Compliance-Anforderungen (DSGVO, NIS-2, DORA) abzudecken.

Neben dem technischen Teil ist auch die Schulung der Anwender wichtig. Das betrifft vor allem Self-Service-Portale, über die einzelne Daten oder Postfächer schnell zurückgeholt werden können. Diese Angebote entfalten nur dann ihren Nutzen, wenn Teams sie sicher bedienen können.

7. Monitoring & Detection

Ein wesentliches Qualitätsmerkmal von BaaS ist die kontinuierliche Überwachung: Backups müssen in Echtzeit auf Anomalien geprüft werden. Dazu gehören etwa ungewöhnlich viele gelöschte Dateien, auffällige Datenzugriffe oder ein sprunghafter Anstieg bei Datenänderungen.

Moderne Provider binden ihr BaaS-Angebot hierfür in ein Security Operations Center (SOC) ein und kombinieren Backup-Monitoring mit der allgemeinen Bedrohungserkennung. So lassen sich sicherheitsrelevante Ereignisse schnell global einordnen. Wichtig ist hier ein proaktives Alarmierungsmodell: Der Kunde sollte bereits während des Vorfalls eingebunden und nicht erst nachträglich informiert werden.

Alternativ kann das Monitoring in bestehende ITSM- oder SIEM-Systeme des Kunden integriert werden, sodass Backup-Events nicht isoliert laufen, sondern auch hier in den Gesamtüberblick einfließen.

Generell spielt Transparenz eine große Rolle. Es sollte zentrale Dashboards und Reports geben, die jederzeit kundenseitig einsehbar sind. Das betrifft unter anderem den Backup-Status, erfolgte Prüfungen und Anomalien. Das Unternehmen muss sich selbst ein Bild der Lage machen können, unabhängig vom Provider.

8. Governance & Optimierung

Damit BaaS langfristig funktioniert, braucht es klare interne Strukturen. Es muss geklärt werden, welche Teams welche Aufgaben übernehmen. Ein Beispiel: IT-Security prüft Logs und Audit-Trails, die Systemadministration überwacht die SLA-Einhaltung und Störungsbehebung, während Fachabteilungen für Datenklassifizierung und Zugriffsrechte verantwortlich sind.

Weiterhin sollten Backup-Strategien fortlaufend überprüft werden. Bewährt haben sich hier quartalsweise Service-Reviews mit dem Provider. Fragen, die hier besprochen werden sollten:

• Wurden die Service-Vereinbarungen aus dem SLA eingehalten?
• Wurden in der Zwischenzeit neue Datenquellen integriert?
• Spiegeln die Aufbewahrungsfristen noch die aktuelle Situation im Unternehmen wider?
• Ist die Kostenstruktur weiterhin im Rahmen?

Einmal jährlich sollte eine ganzheitliche strategische Betrachtung durchgeführt werden. Das betrifft unter anderem die Kapazitätsplanung, um Engpässe oder Kostenexplosionen zu vermeiden. Weiterhin muss geprüft werden, ob in der Zwischenzeit neue regulatorische Anforderungen hinzugekommen sind. Auch technologische Entwicklungen müssen im Blick behalten werden, etwa was z.B. eine KI-gestützte Anomalieerkennung angeht.

Nutzen Sie BaaS – mit Proact!

Sie möchten BaaS sicher einführen? Dann sollten Sie sich mit unseren Proact-Experten unterhalten. Aus zahlreichen Kundenprojekten wissen wir, wie man Sicherheitsanforderungen, Compliance-Vorgaben und Kosten in einer funktionierenden Lösung zusammenführt. Als erfahrener BaaS-Provider übernehmen wir jeden Schritt, arbeiten aber eng mit Ihrem Team zusammen.

Für die technische Umsetzung setzen wir auf die marktführenden Plattformen (u.a. von NetApp, Veeam und Commvault). Welche Technologie im Einzelfall zum Einsatz kommt, hängt von Ihrer Umgebung und Ihren Anforderungen an Backup und Disaster Recovery ab. Proact analysiert Ihre Situation und wählt für Sie die passenden Bausteine aus, sodass Sie sich nicht mit zeitraubenden Details befassen müssen.

So entsteht ein Service, der nicht nur leistungsfähig ist, sondern auch langfristig Sicherheit bietet: Schutz vor Datenverlust, schnelle Wiederherstellung im Ernstfall und klare Compliance-Nachweise.

Das klingt interessant? Dann kontaktieren Sie uns jetzt für ein kostenloses Beratungsgespräch. Wir freuen uns schon, von Ihnen zu hören!