Wenn nach einem Ransomware-Angriff, einem Serverdefekt oder einem Fehlklick Daten fehlen, entscheidet das Backup darüber, ob der Betrieb in Stunden oder erst nach Tagen wieder arbeitsfähig ist. Die DSGVO-Backup-Pflichten für Firmen betreffen dabei nicht nur den Schutz der Datenkopie. Sie verlangen ein Konzept, das personenbezogene Daten sicher sichert, verfügbar hält und bei Bedarf kontrolliert wiederherstellen kann.
Für kleine und mittlere Unternehmen ist das eine betriebliche Aufgabe, keine reine Technikfrage. Kundendaten, Personalakten, E-Mails, Praxisdaten, Angebote und Buchhaltung müssen geschützt sein. Gleichzeitig dürfen Sicherungen nicht zum unkontrollierten Datenarchiv werden. Wer beide Seiten berücksichtigt, senkt Ausfallrisiken und schafft eine belastbare Grundlage für Datenschutz und Geschäftskontinuität.
Was die DSGVO bei Backups tatsächlich verlangt
Die DSGVO nennt keine feste Backup-Frist, keine bestimmte Software und keine vorgeschriebene Zahl an Sicherungskopien. Sie fordert aber, personenbezogene Daten angemessen zu schützen. Maßgeblich sind insbesondere die Grundsätze der Datenminimierung, Speicherbegrenzung und Integrität sowie die Pflicht zu geeigneten technischen und organisatorischen Maßnahmen.
Für Backups heißt das: Ein Unternehmen muss Daten nach einem technischen oder physischen Zwischenfall zeitnah wiederherstellen können. Das gilt für versehentlich gelöschte Dateien ebenso wie für Verschlüsselungstrojaner, Hardwareausfälle oder Schäden am Standort. Die Sicherung muss dabei vor unberechtigtem Zugriff, Verlust und Manipulation geschützt werden.
Wie weit die Maßnahmen reichen müssen, hängt vom Risiko ab. Eine kleine Handwerksfirma mit wenigen Kontaktdaten hat andere Anforderungen als eine Zahnarztpraxis, die besonders schutzwürdige Gesundheitsdaten verarbeitet. Auch die Folgen eines Ausfalls spielen eine Rolle: Kann der Betrieb einen Tag ohne Warenwirtschaft arbeiten, oder stehen Aufträge, Rechnungen und Termine sofort still?
Verfügbarkeit, Vertraulichkeit und Integrität gehören zusammen
Ein Backup ist erst dann sinnvoll, wenn es drei Anforderungen erfüllt. Es muss verfügbar sein, also im Ernstfall tatsächlich zur Wiederherstellung bereitstehen. Es muss vertraulich bleiben, damit Dritte keine Kundendaten, Mitarbeiterdaten oder Zugangsinformationen einsehen können. Und es muss integer sein: Die Sicherung darf nicht unbemerkt verändert, verschlüsselt oder beschädigt worden sein.
Eine externe Festplatte im Serverraum kann bei einem kleinen Dateiverlust hilfreich sein. Für einen Brand, Diebstahl oder einen Angriff auf das Netzwerk reicht sie meist nicht aus. Werden Sicherungsmedien dauerhaft angeschlossen, können Angreifer sie unter Umständen gemeinsam mit den Produktivdaten verschlüsseln. Das ist einer der häufigsten Gründe, warum ein vermeintlich vorhandenes Backup im Ernstfall nicht hilft.
DSGVO-Backup-Pflichten für Firmen in der Praxis
Ein DSGVO-konformes Backup-Konzept beginnt mit einer einfachen Bestandsaufnahme. Welche Systeme verarbeiten personenbezogene Daten? Dazu zählen nicht nur der zentrale Server, sondern häufig auch Microsoft-365-Postfächer, Cloud-Speicher, Fachanwendungen, Laptops und mobile Geräte. Gerade in hybriden Arbeitsumgebungen entsteht sonst eine Lücke: Lokale Daten werden gesichert, während relevante Daten in einer Cloud-Anwendung nur begrenzt oder gar nicht wiederherstellbar sind.
Danach sollten Verantwortliche festlegen, welche Daten wie oft gesichert werden und wie schnell sie wieder verfügbar sein müssen. Ein Unternehmen, das täglich Rechnungen schreibt, benötigt in der Regel kürzere Sicherungsintervalle als ein Betrieb, der nur gelegentlich Stammdaten aktualisiert. Entscheidend ist nicht die größtmögliche Datenmenge, sondern ein nachvollziehbares Verhältnis zwischen Risiko, Aufwand und Wiederanlaufzeit.
Der Wiederherstellungstest ist keine Kür
Viele Unternehmen prüfen, ob ein Backup-Job als erfolgreich gemeldet wurde. Das ist notwendig, aber nicht ausreichend. Eine Erfolgsmeldung belegt nicht, dass sich eine Datei, ein Server oder eine Anwendung auch sauber wiederherstellen lässt.
Regelmäßige Restore-Tests gehören deshalb zum Backup-Konzept. Dabei wird kontrolliert, ob die Sicherung vollständig ist, ob Zugriffsrechte korrekt greifen und ob die Wiederherstellung innerhalb der geplanten Zeit gelingt. Bei geschäftskritischen Anwendungen sollte nicht nur eine einzelne Datei getestet werden, sondern auch der Start der Anwendung mit den zurückgespielten Daten.
Das Ergebnis sollte dokumentiert werden. Eine kurze Dokumentation mit Datum, geprüftem System, Testumfang, Ergebnis und verantwortlicher Person zeigt im Ernstfall, dass das Unternehmen seine Maßnahmen nicht nur geplant, sondern wirksam kontrolliert hat.
Die 3-2-1-Regel als sinnvoller Ausgangspunkt
Die 3-2-1-Regel ist keine gesetzliche Vorschrift, aber für viele mittelständische Unternehmen ein bewährter Orientierungsrahmen. Sie empfiehlt mindestens drei Datenkopien auf zwei unterschiedlichen Speicherarten, davon eine Kopie außerhalb des eigenen Standorts.
Je nach Bedrohungslage kann eine zusätzliche unveränderbare Sicherung sinnvoll sein. Solche unveränderbaren Kopien lassen sich während einer festgelegten Aufbewahrungszeit nicht überschreiben oder löschen. Das reduziert das Risiko, dass ein Angreifer Sicherungen manipuliert. Wichtig bleibt jedoch die richtige Konfiguration: Unveränderbarkeit ersetzt weder Zugriffsschutz noch eine durchdachte Berechtigungskontrolle.
Aufbewahrung und Löschung: Der häufig übersehene Zielkonflikt
Backups enthalten oft Daten, die im produktiven System bereits gelöscht wurden. Das ist grundsätzlich kein Verstoß. Sicherungen dienen der Wiederherstellung und dürfen daher in einem angemessenen technischen Zyklus weiterbestehen. Eine sofortige Löschung aus jeder historischen Sicherung wäre in vielen Fällen unverhältnismäßig und würde den Zweck des Backups unterlaufen.
Trotzdem dürfen Backups nicht unbegrenzt wachsen. Unternehmen sollten definieren, wie lange tägliche, wöchentliche oder monatliche Sicherungen aufbewahrt werden. Die Fristen müssen zum Wiederherstellungsbedarf, zu gesetzlichen Aufbewahrungspflichten und zum jeweiligen Datenrisiko passen. Für steuerrelevante Unterlagen gelten beispielsweise andere Anforderungen als für eine kurzfristig benötigte Dateiversion.
Besondere Aufmerksamkeit erfordern Löschanfragen betroffener Personen. Wird ein Datensatz im aktiven System gelöscht, muss er nicht zwangsläufig aus jeder vorhandenen Backup-Kopie einzeln entfernt werden. Er darf aber bei einer späteren Wiederherstellung nicht wieder unkontrolliert in den Produktivbestand gelangen. Ein klarer Prozess verhindert genau das: Nach einem Restore werden notwendige Löschungen erneut umgesetzt, bevor die Daten wieder regulär genutzt werden.
Verschlüsselung, Zugriffe und Dienstleister richtig regeln
Sicherungsdaten müssen verschlüsselt übertragen und gespeichert werden, insbesondere bei Cloud-Backups oder bei Sicherungen an einen externen Standort. Ebenso entscheidend ist das Schlüsselmanagement. Wenn Zugangsdaten oder Verschlüsselungsschlüssel ausschließlich bei einem einzelnen Mitarbeiter liegen, entsteht ein vermeidbares Betriebsrisiko.
Der Zugriff auf Backup-Systeme sollte nach dem Prinzip der minimalen Berechtigung erfolgen. Nicht jeder Anwender benötigt Einsicht in Sicherungen, und auch Administratorrechte sollten klar geregelt sein. Separate Backup-Konten, Mehrfaktor-Authentifizierung und nachvollziehbare Protokolle erhöhen die Sicherheit spürbar.
Beauftragt ein Unternehmen einen externen IT-Dienstleister oder einen Cloud-Anbieter mit der Datensicherung, verarbeitet dieser möglicherweise personenbezogene Daten im Auftrag. Dann ist regelmäßig ein Vertrag zur Auftragsverarbeitung erforderlich. Unternehmen sollten außerdem wissen, wo die Daten gespeichert werden, welche Unterauftragnehmer beteiligt sind und wie der Dienstleister Zugriffe, Ausfälle und Sicherheitsvorfälle behandelt.
Typische Schwachstellen im Mittelstand
In der Praxis scheitert Backup-Sicherheit selten an einem einzelnen Produkt. Häufig fehlen Zuständigkeiten, Dokumentation oder Kontrolle. Besonders kritisch sind Sicherungen, die nur lokal am selben Standort liegen, sowie Backups ohne regelmäßigen Wiederherstellungstest.
Auch die Annahme, eine Cloud-Anwendung sichere automatisch alle Daten vollständig und langfristig, ist riskant. Anbieter schützen zwar ihre Plattformen, doch Wiederherstellungsoptionen, Aufbewahrungszeiträume und Verantwortlichkeiten unterscheiden sich erheblich. Unternehmen sollten deshalb konkret prüfen, welche Daten sie selbst zusätzlich sichern müssen.
Ein weiterer Fehler ist die fehlende Abstimmung mit Notfallprozessen. Ein Backup kann technisch vorhanden sein, aber der Betrieb verliert trotzdem wertvolle Zeit, wenn niemand weiß, wer im Ernstfall entscheidet, welche Systeme zuerst wiederhergestellt werden und wie Mitarbeitende weiterarbeiten. Ein kurzer, praxistauglicher Notfallplan gehört deshalb zum Konzept.
Backup als Teil einer verlässlichen IT-Betreuung
Datensicherung ist kein Projekt, das nach der Einrichtung erledigt ist. Systeme, Anwendungen, Mitarbeitende und Risiken verändern sich. Deshalb sollten Backup-Umfang, Aufbewahrungsfristen, Zugriffsrechte und Testergebnisse regelmäßig überprüft werden.
Für Unternehmen ohne eigene IT-Abteilung kann eine betreute Backup- und Recovery-Lösung diese Verantwortung planbar machen. XPINION verbindet dabei Sicherung, Überwachung und dokumentierte Wiederherstellungstests mit einer Betreuung, die den laufenden Betrieb berücksichtigt. So bleibt nicht nur die Technik im Blick, sondern auch die entscheidende Frage: Wie schnell kann Ihr Unternehmen nach einem Ausfall wieder zuverlässig arbeiten?
Ein gutes Backup-Konzept fällt im Alltag kaum auf. Seine Wirkung zeigt sich genau dann, wenn etwas schiefläuft - und Mitarbeitende, Kunden und Geschäftsführung darauf vertrauen können, dass wichtige Daten wieder da sind.
