Viele Unternehmen sichern ihre Daten regelmäßig. Trotzdem können Wiederherstellungen im Ernstfall scheitern. Der Grund: Es fehlt nicht am Backup selbst, sondern an Prozessen, Tests und Härtung. Backup ist kein Feature, das man einmal konfiguriert. Es ist ein Sicherheitsprozess, der laufend geprüft und angepasst werden muss.
In den vorhergehenden Blogartikeln dieser Backup-Serie haben wir behandelt, wo Backups am besten liegen und welche Lösungen am Markt zur Verfügung stehen. Dieser Artikel geht einen Schritt weiter: Er behandelt die operative Umsetzung. Also nicht WO oder WOMIT, sondern WIE Sie Backup richtig machen. Die folgenden Best Practices gelten herstellerunabhängig und für jede Umgebung: On-Prem, Cloud oder Hybrid.
Sie erhalten eine kompakte Checkliste in 11 Kategorien. Für IT-Admins und Backup-Verantwortliche, die ihre bestehende Datensicherung systematisch überprüfen wollen.
Kostenfreies Whitepaper:
„Backup & Recovery: 14 Tipps von IT-Profis“
Möchten Sie noch tiefer in das Thema einsteigen? In unserem Whitepaper teilen unsere Sicherheitsexperten ihre besten Strategien für eine sichere Datensicherung.
Backup Best Practices: Die 50 wichtigsten Maßnahmen
1. Strategie, Schutzklassen & Policies
Eine durchdachte Priorisierung bildet das Fundament. Definieren Sie RPO (Recovery Point Objective: maximal tolerierbarer Datenverlust) und RTO (Recovery Time Objective: maximal tolerierbare Ausfallzeit) für jede Applikationsklasse. Abgestimmt auf die tatsächliche Datenkritikalität, die effektiven Änderungsraten und das Business-Risiko bei Ausfall.
Segmentieren Sie Ihre Backup-Policies nach Schutzklassen (Tiers). Ein einfaches Beispiel: Tier 0 umfasst kritische Kernsysteme wie Active Directory oder zentrale Datenbanken. Hier sind stündliche Sicherungen und lange Aufbewahrungszeiten nötig. Tier 1 sind produktionskritische Applikationen, Tier 2 wichtige, aber unkritische Systeme, Tier 3 Archiv- und Testsysteme mit minimalen Anforderungen. Intervalle, Aufbewahrungszeiten und Wiederherstellungsziele sollten je Tier klar definiert sein.
Retention-Zeiten technisch hart konfigurieren, nicht nur dokumentieren. Eine Policy, die nur auf dem Papier existiert, schützt im Ernstfall niemanden.
Prüfen Sie Ihre Policies mindestens halbjährlich, sowie nach jeder größeren Infrastrukturänderung. Neue Systeme, geänderte Geschäftsprozesse und neue Angriffsvektoren machen regelmäßige Reviews unverzichtbar.
Grundlagen zur Entwicklung einer Backup-Strategie finden Sie in unserem separaten Blogartikel.
2. Kopien, Offsite & Architektur
Die 3-2-1-Regel ist das Minimum: 3 Kopien, auf 2 verschiedenen Medientypen, davon 1 Offsite. Besser ist die erweiterte 3-2-1-1-0-Regel: 3 Kopien, 2 Medientypen, 1 Offsite, 1 Air-Gapped (physisch vom Netz getrennt und von außen nicht erreichbar) bzw. immutable (unveränderbar), 0 Fehler bei der Backup-Verifizierung.
Entscheidend ist, was „Offsite“ tatsächlich bedeutet. Eine Kopie in einem anderen Rechenzentrum, die mit denselben Admin-Credentials erreichbar ist, bietet keinen echten Schutz. Offsite muss ein separates Security-Boundary sein: ein anderer Account, ein anderer Tenant oder ein anderer Forest.
Die Air-Gapped-Kopie bleibt auch dann intakt, wenn ein Angreifer Zugriff auf die produktive Umgebung und die primäre Backup-Infrastruktur erlangt. Sie ist der letzte Anker im Worst Case.
Dokumentieren Sie Ihre gesamte Backup-Architektur. Im Ernstfall fehlt ohne Dokumentation die Zeit für eine Analyse. Welche Systeme werden wie und wohin gesichert? Wo liegen die Kopien physisch? Wer hat Zugriff?
3. Immutability & Ransomware-Resilienz
Unveränderliche Backups (Immutable Backups) sind der wichtigste Schutz gegen gezielte Angriffe. Aktivieren Sie Immutability für mindestens eine Backup-Kopie. Moderne Backup-Lösungen bieten entsprechende Funktionen auf Storage- oder Software-Ebene.
Besonders kritisch: Die Immutability-Zeiträume müssen länger sein als die tatsächliche Angriffs-Erkennungszeit in Ihrer Umgebung. Die Spannbreite ist groß: Moderne, schnell agierende Ransomware-Gruppen verschlüsseln heute teilweise innerhalb von Stunden nach dem Erstzugriff. Gleichzeitig lauern gezielte, langsam vorgehende Angreifer noch immer wochenlang unerkannt im Netz, bevor sie zuschlagen. Wenn die Immutability nach 7 Tagen abläuft, ein langsam vorgehender Angreifer aber erst nach 14 Tagen bemerkt wird, ist der Schutz wirkungslos.
Schützen Sie Ihre Immutability-Policies vor Änderungen durch Backup-Admins. Ein kompromittiertes Admin-Konto darf den Schutz nicht aufheben können.
Richten Sie für den Worst Case einen dedizierten Recovery-Vault mit „Golden Copies“ der kritischsten Systeme ein. Ergänzen Sie dies durch ein Ransomware-Recovery-Runbook, damit im Krisenfall nicht improvisiert wird.
Wie Sie sich bestmöglich vor Ransomware schützen, haben wir in einem eigenen Artikel beschrieben.
4. Identität, Rollen & Zugriffssicherheit
Setzen Sie rollenbasierte Zugriffskontrolle (RBAC, role-based access control) konsequent um. Jeder Benutzer darf nur genau die Aktionen ausführen, die seine Rolle erfordert. Das gilt besonders für Backup-Konsolen und -Repositories.
Trennen Sie Backup-Administratoren von Infrastruktur-Admins. Ein einziges kompromittiertes Konto, das beide Bereiche kontrolliert, bedeutet: Produktion und Backup fallen gleichzeitig aus.
MFA (Multi-Faktor-Authentifizierung) für alle Backup-Konsolen ist Pflicht.
Richten Sie außerdem Break-Glass-Accounts ein. Notfall-Adminkonten, die im normalen Betrieb nicht verwendet werden und deren Credentials physisch gesichert sind (zum Beispiel im Tresor). Jede Nutzung muss automatisch einen Alarm auslösen und nachträglich überprüft werden.
Rotieren Sie Service-Accounts regelmäßig und überwachen Sie deren Nutzung. Gerade bei langjährigen Accounts kommt es vor, dass Passwörter über Jahre unverändert bleiben: ein vermeidbares Risiko.
5. Härtung der Backup-Infrastruktur
Installieren Sie Backup-Server minimal und patchen Sie sie regelmäßig. Auch wenn sie nicht direkt im Internet stehen. Jede zusätzliche Komponente vergrößert die Angriffsfläche.
Entkoppeln Sie Ihre Backup-Infrastruktur von der produktiven Domäne. Domain-Compromise ist einer der häufigsten Angriffspfade bei Ransomware. Backup-Server in derselben Domäne sind mit denselben Credentials erreichbar und damit verloren.
Schützen Sie Repositories gegen interaktiven Zugriff. Kein Administrator sollte sich per SSH (Secure Shell) oder RDP (Remote Desktop Protocol) direkt auf einem Backup-Repository anmelden können. Zugriff sollte ausschließlich über die Backup-Anwendung selbst erfolgen.
Führen Sie herstellerseitige Security-Analyzer regelmäßig aus. Die meisten großen Backup-Anbieter stellen solche Tools bereit, die Fehlkonfigurationen und Schwachstellen erkennen.
Konfigurieren Sie Appliances nach den offiziellen Vendor-Hardening-Guides.
6. Netzwerk & Verschlüsselung
Trennen Sie den Backup-Traffic logisch oder physisch vom Produktionsnetz. Das verringert die Angriffsfläche und verhindert, dass sich eine Kompromittierung des Produktionsnetzes direkt auf die Backup-Infrastruktur ausbreitet.
Geben Sie nur die Ports und IP-Adressen frei, die explizit benötigt werden und verschlüsseln Sie die Replikation. Achten Sie dabei darauf, dass die Deduplizierung vor der Verschlüsselung erfolgt, denn verschlüsselte Blöcke sind immer einzigartig und lassen sich nicht mehr deduplizieren. Manche Implementierungen erzwingen hier Kompromisse. Prüfen Sie die Konfiguration im Detail.
Backup-Systeme dürfen nie direkt aus dem Internet erreichbar sein. Das klingt selbstverständlich, wird in der Praxis aber häufiger missachtet, als man denkt.
Prüfen Sie auch, ob Management-Interfaces oder API-Endpunkte unbeabsichtigt exponiert sind.
7. Workload-spezifischer Schutz
Sichern Sie Datenbanken applikationskonsistent. Ein Backup, das während einer laufenden Transaktion erstellt wurde, kann im Ernstfall wertlos sein. Nutzen Sie die jeweiligen Datenbankschnittstellen (zum Beispiel VSS/Volume Shadow Copy Service für Windows, RMAN/Oracle Recovery Manager für Oracle-Datenbanken oder native Dump-Tools), um konsistente Sicherungspunkte zu erzeugen.
Setzen Sie für Fileservices eine kombinierte Strategie aus Snapshots und Backups ein. Snapshots ermöglichen schnelle Wiederherstellung bei Benutzerfehlern. Das klassische Backup schützt zusätzlich vor Ausfällen auf Storage-Ebene.
Nehmen Sie SaaS-Workloads explizit in Ihre Backup-Strategie auf. Ein verbreiteter Irrglaube: Microsoft sichert Ihre Microsoft-365-Daten. Das stimmt so nicht. Microsoft stellt sicher, dass der Dienst läuft. Für gelöschte Postfächer, versehentlich entfernte Dateien oder durch Ransomware verschlüsselte Daten ist der Kunde selbst verantwortlich. Ein Microsoft 365 Backup gehört daher in jede moderne Backup-Strategie.
Berücksichtigen Sie außerdem Container– und Kubernetes-Workloads, falls Sie diese einsetzen.
Dokumentieren Sie die Abhängigkeiten zwischen Workloads, damit die Restore-Reihenfolge im Ernstfall stimmt.
8. Recovery-Readiness & Tests
Ein Backup ist erst wertvoll, wenn es erfolgreich zurückgespielt wurde. Dieser Grundsatz klingt trivial, wird in der Praxis aber am häufigsten vernachlässigt.
Führen Sie regelmäßige Restore-Tests durch. Mindestens quartalsweise für kritische Systeme, monatlich für Tier-0-Systeme. Dokumentieren und auditieren Sie jeden Test. Nur so können Sie gegenüber Auditoren und Geschäftsführung nachweisen, dass Ihre Datensicherung tatsächlich funktioniert.
Nutzen Sie eine isolierte Umgebung zur Validierung. Produktionsnahe Tests bergen Re-Infektionsrisiken, wenn die gesicherten Daten bereits kompromittiert waren.
Stellen Sie außerdem sicher, dass sich der „Last Known Good“-Zeitpunkt klar bestimmen lässt.
Testen Sie auch Mass-Restore-Szenarien. Die Wiederherstellung einer einzelnen VM in 10 Minuten bedeutet nicht, dass 500 VMs parallel in akzeptabler Zeit zurückgespielt werden können.
9. Monitoring, Reporting & Nachweisbarkeit
Überwachen Sie alle Backup-Jobs zentral und alarmieren Sie bei Fehlschlägen sofort. Ein fehlgeschlagenes Backup, das erst Tage später bemerkt wird, kann im Schadensfall den Unterschied zwischen einem überschaubaren Vorfall und einem existenzbedrohenden Datenverlust ausmachen.
Gleichen Sie CMDB (Configuration Management Database) und Backup-Katalog regelmäßig automatisiert ab. Neue Server, Datenbanken oder Cloud-Dienste werden häufig in Betrieb genommen, ohne in die Backup-Strategie aufgenommen zu werden. Solche Lücken bleiben ohne einen definierten Abgleichprozess unbemerkt und stellen ein latentes Risiko dar.
Loggen Sie Admin-Aktionen revisionssicher und binden Sie die Backup-Infrastruktur an Ihr SIEM (Security Information and Event Management) an. So erkennen Sie frühzeitig verdächtige Aktivitäten, etwa das massenhafte Löschen von Backup-Jobs.
Definieren Sie messbare SLAs für Backup-Erfolg und Restore-Zeiten. Ohne klare Kennzahlen bleibt Backup-Qualität eine Frage des Bauchgefühls.
10. Kapazität, Betrieb & Lifecycle
Analysieren und prognostizieren Sie Ihr Kapazitätswachstum regelmäßig. Backup-Systeme wachsen oft schneller als geplant. Wenn der Speicher zur Neige geht, werden Jobs abgebrochen: meist ohne Vorwarnung.
Planen Sie Backup-Fenster realistisch und überwachen Sie deren Einhaltung. Ein Job, der regelmäßig über das definierte Zeitfenster hinausläuft, ist ein Warnsignal für zu große Datenmengen, zu langsame Infrastruktur oder falsche Konfiguration.
Betreiben Sie Lifecycle-Management für alte Backup-Daten. Definieren Sie, ab wann Sicherungen automatisch gelöscht werden: abgestimmt auf Retention-Zeiten und gesetzliche Aufbewahrungspflichten. Daten, die länger als nötig vorgehalten werden, verbrauchen Kapazität ohne Mehrwert.
Verankern Sie Upgrades und Patches der Backup-Software fest im Change-Prozess. Veraltete Backup-Software ist ein häufig übersehenes Einfallstor für Cyberangriffe.
11. Dokumentation & Wissenstransfer
Dokumentieren Sie Ihre gesamte Backup-Strategie verständlich und vollständig. Das umfasst: Welche Systeme werden wie und wohin gesichert? Wo liegen die Kopien physisch? Welche Retention-Zeiten gelten? Wie laufen Restore-Prozesse ab? Eine fehlende oder veraltete Dokumentation bedeutet im Ernstfall wertvolle Zeit zu verlieren oder Entscheidungen auf Basis falscher Annahmen zu treffen.
Übergeben Sie das Wissen an mehrere Personen. Wenn nur ein einziger Admin die Backup-Umgebung kennt und diese Person ausfällt, krank wird oder das Unternehmen verlässt, steht Ihr Unternehmen im Ernstfall ohne funktionsfähige Wiederherstellung da. Definieren Sie mindestens eine Vertretung und führen Sie regelmäßige Einweisungen durch.
Pflegen Sie ein Notfall-Runbook für den Krisenfall. Ein Runbook hält die Restore-Reihenfolge, Zugangsdaten (verschlüsselt oder im Tresor hinterlegt), Eskalationspfade und Ansprechpartner fest. Im Ernstfall ist keine Zeit für eine umfangreiche Analyse. Das Runbook ersetzt sie.
Halten Sie Dokumentation und Runbook aktuell. Nach jeder größeren Infrastrukturänderung, jedem Systemwechsel und jedem Restore-Test müssen die Unterlagen geprüft und angepasst werden. Veraltete Dokumentation kann irreführend sein und ist damit schlimmer als keine.
Backup-Reife im Überblick
Die folgende Tabelle hilft Ihnen bei der schnellen Standortbestimmung. Prüfen Sie für jeden Bereich, wo Ihr Unternehmen aktuell steht und wo es stehen sollte.
| Kategorie | Basis | Fortgeschritten | Best Practice |
| Strategie, Schutzklassen & Policies | RPO/RTO definiert | Nach Tiers segmentiert | Automatisierter Review-Prozess |
| Kopien, Offsite & Architektur | 3-2-1-Regel umgesetzt | 3-2-1-1-0-Regel umgesetzt | Architektur dokumentiert + getestet |
| Immutability & Ransomware-Resilienz | Aktiviert | Länger als Erkennungszeit | Golden Copy Vault |
| Identität, Rollen & Zugriffssicherheit | RBAC vorhanden | Getrennte Admins + MFA | Break-Glass + Account Rotation |
| Härtung der Backup-Infrastruktur | Regelmäßig gepatcht | Von Produktionsdomäne getrennt | Vendor-Hardening umgesetzt |
| Netzwerk & Verschlüsselung | Backup-Traffic getrennt | Nur benötigte Ports offen | Verschlüsselt + kein Internet-Zugang |
| Workload-spezifischer Schutz | VMs gesichert | Applikationskonsistent gesichert | SaaS + Container abgedeckt |
| Recovery-Readiness & Tests | Jährlich | Quartalsweise | Mass-Restore + isolierte Umgebung |
| Monitoring, Reporting & Nachweisbarkeit | Alerts bei Job-Fehlern | CMDB-Abgleich auf ungesicherte Systeme | SLA-basierte Steuerung + SIEM |
| Kapazität, Betrieb & Lifecycle | Manuell überwacht | Kapazitätswachstum prognostiziert | Lifecycle-Regeln + SW-Updates im Change-Prozess |
| Dokumentation & Wissenstransfer | Backup-Setup dokumentiert | Notfall-Runbook vorhanden | Mehrere Personen eingewiesen + regelmäßig aktualisiert |
So nutzen Sie die Backup-Reife-Tabelle in der Praxis
Quick-Assessment in 60 Minuten
Gehen Sie die 11 Bereiche der Reihe nach durch und bewerten Sie jeden Bereich mit einer Ampelfarbe: Grün (umgesetzt), Gelb (teilweise) oder Rot (nicht umgesetzt). Konzentrieren Sie sich zuerst auf die roten Bereiche, dann auf die gelben. Das Ergebnis ist eine priorisierte To-Do-Liste.
Typische Schwachstellen
Aus der Proact-Praxis kennen wir vier Schwachstellen, die besonders häufig auftreten:
- Fehlende oder nicht getestete Restore-Prozesse. Backups laufen, aber niemand hat je geprüft, ob die Wiederherstellung tatsächlich funktioniert.
- Keine Trennung von Admin-Rollen. Ein einziger Account kontrolliert Produktion und Backup.
- SaaS-Workloads nicht abgedeckt. Microsoft 365, Salesforce oder Google Workspace werden nicht gesichert, weil „die Cloud das schon macht“.
- Immutability nicht aktiviert oder mit zu kurzen Zeiträumen konfiguriert. Der Schutz greift nicht, weil er vor der Angriffserkennung abläuft.
Fazit: Backup ist ein Sicherheitsprozess, kein Feature
Best Practices sind wichtiger als das Tool. Die beste Backup-Software nützt wenig, wenn die Prozesse dahinter nicht stimmen. Fehlende Tests, unklare Zuständigkeiten und veraltete Policies sind die häufigsten Ursachen dafür, dass Backups im Ernstfall versagen.
Die gute Nachricht: Viele der beschriebenen Maßnahmen lassen sich mit überschaubarem Aufwand umsetzen. RBAC aktivieren, Immutability einschalten, einen ersten Restore-Test durchführen. Solche kleinen, konkreten Maßnahmen verbessern Ihre Sicherheitslage sofort.
Prüfen Sie Ihre Datensicherung regelmäßig anhand der 11 Kategorien in diesem Artikel. Dokumentieren Sie Ihre Strategie, testen Sie Ihre Restores und stellen Sie sicher, dass das Wissen im Team verteilt ist. Das allein macht Ihr Backup deutlich resilienter.
Setzen Sie Backup Best Practices mit Proact um!
Sie möchten Ihre Backup-Strategie systematisch überprüfen und optimieren? Dann sollten wir uns unterhalten.
Unsere Proact-Experten analysieren Ihre bestehende Datensicherung, identifizieren Schwachstellen und entwickeln gemeinsam mit Ihrem Team einen Maßnahmenplan. Dabei arbeiten wir herstellerunabhängig und setzen auf bewährte Technologiepartner wie Commvault, Veeam, NetApp, Dell und Rubrik. Unsere Backup- und Disaster-Recovery-Lösungen betreiben wir für maximale Datensouveränität aus Rechenzentren in Deutschland.
Gleichzeitig können Sie operative Aufgaben an uns abgeben. Mit Backup-as-a-Service übernehmen wir die laufende Sicherung Ihrer Daten, inklusive Monitoring, Reporting und regelmäßiger Tests. Wie eine sichere BaaS-Einführung gelingt, erfahren Sie in unserem separaten Blogartikel.
Das klingt interessant? Dann kontaktieren Sie uns jetzt für ein kostenloses Beratungsgespräch. Wir freuen uns, von Ihnen zu hören!
Kostenfreies Whitepaper:
„Backup & Recovery: 14 Tipps von IT-Profis“
Möchten Sie noch tiefer in das Thema einsteigen? In unserem Whitepaper teilen unsere Sicherheitsexperten ihre besten Strategien für eine sichere Datensicherung.