- 3-2-1: drei Kopien, zwei Medien, eine extern
- Mindestens eine Kopie unveränderlich (immutable) — gegen Ransomware und Bedienfehler
- Microsoft 365 wird separat gesichert; die eingebaute Aufbewahrung ist kein Backup
- RPO und RTO je System wird je Kunde vereinbart
- Restore-Tests regelmäßig, protokolliert mit Datum, Dauer, Ergebnis
Backup & Wiederherstellung
Server — virtuell und physisch —, Datenbanken, Fileserver, Microsoft 365 (Exchange, SharePoint, OneDrive, Teams), Konfigurationen von Firewall und Switches. Arbeitsplätze nur, wenn dort Daten liegen; unser Standard ist, dass sie zentral liegen. Für jedes System ist festgelegt, wie viel Datenverlust (RPO) und wie viel Ausfallzeit (RTO) tragbar sind — daraus folgen Häufigkeit und Wiederherstellungsweg.
Restore-Protokoll
Jeder Test wird protokolliert — auch, wenn er nicht auf Anhieb funktioniert hat. Das Protokoll ist der Beleg, den Cyber-Versicherer inzwischen sehen wollen.
- Datum und Uhrzeit
- System und Umfang (Datei / VM / Postfach / Szenario)
- Backup-Stand, der verwendet wurde
- Dauer bis zur Verfügbarkeit
- Ergebnis und Abweichungen
- Maßnahmen, falls nötig
Backup & Wiederherstellung — die Parameter.
Werte, die je Kunde festgelegt werden, sind als „wird je Kunde vereinbart" markiert.
Server und Fileserver typischerweise täglich, Datenbanken bei Bedarf häufiger, Microsoft 365 mehrmals täglich. Konkrete Werte folgen aus RPO/RTO und werden vereinbart.
Tägliche Stände für einen Zeitraum von Wochen, monatliche Stände länger; gesetzliche Aufbewahrungsfristen werden berücksichtigt. Dauer wird je Kunde vereinbart.
Mindestens eine Kopie mit Object Lock bzw. gehärtetem Repository: kann in der Frist weder gelöscht noch verschlüsselt werden — auch nicht mit Admin-Rechten.
Externe Kopie in einem Rechenzentrum in Deutschland oder der EU; bei Microsoft 365 im EU-Rechenzentrum des Backup-Anbieters.
Backup-Zugänge sind eigene Konten mit MFA, getrennt von Domänen- und Tenant-Admins. Wer die Produktion kompromittiert, hat damit nicht das Backup.
Regelmäßig Stichprobe (Datei, Postfach, einzelne VM) und in größerem Abstand ein vollständiges Szenario (System aus dem Backup hochfahren). Rhythmus wird je Kunde vereinbart.
Bei Übertragung und auf dem Speicher; Schlüssel dokumentiert und getrennt aufbewahrt — ein Backup, dessen Schlüssel niemand findet, ist keins.
Womit — und was davon ersetzbar ist.
| Werkzeug | Rolle | Datenstandort | Ersetzbar durch |
|---|---|---|---|
| Veeam | Sicherung von VMware- und Windows-Umgebungen, gehärtetes Repository | Ihr Standort + externe Kopie EU | jedes Produkt mit Immutable-Ziel und Restore-Test |
| Proxmox Backup Server | Sicherung von Proxmox-Umgebungen, Deduplizierung, Verifikation | Ihr Standort + externe Kopie EU | Open Source |
| Microsoft-365-Backup (EU-Anbieter) | Postfächer, SharePoint, OneDrive, Teams — eigene Aufbewahrung, unabhängig von Microsoft | EU-Rechenzentrum des Anbieters | jedes M365-Backup mit Export |
| RMM-Plattform | Überwachung der Backup-Jobs, Alarm bei Fehlschlag | EU-Instanz | — |
Was wir bewusst nicht tun
- Keine Sicherung ohne Restore-Test — ein Backup, das nie geprüft wurde, zählt bei uns nicht als vorhanden
- Kein Backup, das mit Domänen-Admin-Rechten erreichbar ist
- Kein „Microsoft sichert das schon" — Aufbewahrungsrichtlinien sind kein Backup
- Keine Kopie außerhalb der EU ohne ausdrückliche Entscheidung von Ihnen
Voraussetzungen bei Ihnen
- Inventar der Systeme mit RPO/RTO-Einstufung (machen wir in der Bestandsaufnahme)
- Speicherziel vor Ort und Zugang zum externen Ziel
- Entscheidung zur Aufbewahrungsdauer
- Ein Zeitfenster für Restore-Tests, in dem ein Testsystem laufen darf
Fragen aus der IT
Warum Microsoft 365 extra sichern — das liegt doch schon in der Cloud?
Weil Microsoft Verfügbarkeit garantiert, nicht Wiederherstellung. Gelöschte oder verschlüsselte Daten sind nach Ablauf der Aufbewahrung weg, und ein Ransomware-Angriff auf Konten synchronisiert sich brav in die Cloud. Ein separates Backup mit eigener Aufbewahrung ist der einzige Weg zurück.
Wie lange dauert eine Wiederherstellung?
Eine Datei: Minuten. Ein Postfach: unter einer Stunde. Eine komplette VM: abhängig von Größe und Ziel, typischerweise Stunden. Das RTO, das wir vereinbaren, ist die Zeit, die wir uns zutrauen — und die wir im Restore-Test nachweisen.
Wo liegen die Kopien physisch?
Eine lokal bei Ihnen (schnelle Wiederherstellung), eine extern in einem Rechenzentrum in Deutschland oder der EU (unveränderlich), bei Microsoft 365 im EU-Rechenzentrum des Backup-Anbieters. Standorte stehen in der Dokumentation.
Hilft das Backup bei Ransomware wirklich?
Nur, wenn es die Verschlüsselung überlebt und älter ist als der Befall. Deshalb: unveränderliche Kopie, getrennte Zugänge, Aufbewahrung über Wochen — und ein Restore-Test, der zeigt, dass der Weg zurück funktioniert, bevor Sie ihn brauchen.
Lassen Sie uns über Ihre IT sprechen.
Ein Erstgespräch ist kostenfrei und unverbindlich. Wir hören zu, fragen nach — und sagen offen, ob wir die Richtigen für Sie sind.