ERP-Daten sichern: Was KMU über Backup, Archivierung und Disaster Recovery wissen sollten

Stellen Sie sich vor, morgen früh sind Ihre ERP-Daten weg: kein Zugriff mehr auf Buchhaltung, Lagerbestände, Aufträge, Rechnungen oder Kundenstammdaten. Genau dieses Szenario erleben Jahr für Jahr Tausende von Unternehmen in Deutschland – und zwar mehrheitlich KMU. Laut Bundesamt für Sicherheit in der Informationstechnik (BSI) richteten sich rund 80 Prozent aller gemeldeten Ransomware-Angriffe im Jahr 2025 gegen kleine und mittlere Unternehmen (BSI-Lagebericht zur IT-Sicherheit 2025). Die Gesamtschadenssumme für die deutsche Wirtschaft erreichte im selben Jahr einen Rekordwert von über 289 Milliarden Euro (Bitkom-Studie 2025).

Und dennoch vertrauen viele KMU auf eine trügerische Sicherheit: „Wir haben ja Backups." Doch was genau steckt hinter diesem Begriff — und reicht ein Backup wirklich aus? Gerade bei der ERP Datensicherung zeigt sich schnell, ob nur Daten kopiert oder wirklich Risiken beherrscht werden.

Im Unternehmensalltag werden vor allem die Begriffe Archivierung und Backup (Datensicherung) teilweise durcheinandergeworfen oder gleichgesetzt. Das ist jedoch ein gefährlicher Irrtum.

Archivierung: Langzeitgedächtnis für Compliance

Eine Archivierung dient der revisionssicheren, langfristigen Aufbewahrung von Dokumenten und Daten — zum Beispiel zur Erfüllung gesetzlicher Aufbewahrungspflichten (GoBD, HGB). Archivierte Daten sind in der Regel unveränderbar gespeichert, gut indiziert und zur Aufbewahrung für Jahre oder Jahrzehnte ausgelegt.

Beispiel: Rechnungen und Buchungsbelege müssen mindestens acht Jahre lang aufbewahrt werden. Das Archiv – meist ein Dokumentenmanagementsystem (DMS) – stellt sicher, dass diese Belege jederzeit abrufbar sind und unveränderlich vorliegen.

Die Archivierung schützt dabei vor rechtlichen Risiken, jedoch nicht vor Datenverlust im laufenden Betrieb.

Backup: Kurzfristiger Schutz vor Datenverlust

Ein Backup (dt. Datensicherung) ist eine regelmäßige Kopie der aktuellen Betriebsdaten — Datenbanken, Konfigurationen, Dokumente — mit dem Ziel, nach einem Vorfall (Hardwareausfall, Bedienfehler, Ransomware-Angriff) den Normalbetrieb schnell wiederherzustellen. Für die ERP Datensicherung bedeutet das: Produktive Daten müssen so gesichert werden, dass sie im Notfall schnell und konsistent zurückgespielt werden können.

Beispiel: Das ERP-System wird täglich gesichert. Fällt ein Server aus, kann die Datenbank vom gestrigen Stand wiederhergestellt werden.

Ein Backup schützt somit vor operativen Risiken – etwa durch Systemausfälle oder Cyberangriffe.

Disaster Recovery: Den Ernstfall planen

Disaster Recovery (DR) geht über ein Backup hinaus. Es beschreibt den gesamten Plan und die Prozesse, um nach einem schwerwiegenden Vorfall (Brand, Hochwasser, vollständiger Ransomware-Befall) den IT-Betrieb eines Unternehmens geordnet wiederherzustellen — inklusive Systemen, Infrastruktur, Netzwerken und Daten.

Die 3-2-1-Backup-Regel gilt international als Basisstandard für eine robuste Datensicherung. Sie ist einfach, aber wirkungsvoll:

• 3 Kopien der Daten insgesamt (das Original + 2 Backups)
• 2 unterschiedliche Speichermedien (z. B. NAS-Speicher + externe Festplatte)
• 1 Kopie an einem externen Standort (z. B. Cloud oder physisch ausgelagertes Medium)

Warum alle drei Punkte wichtig sind

Ein Backup auf derselben Festplatte wie die Originaldaten ist nutzlos, wenn die Festplatte ausfällt. Zwei Backups im selben Serverraum sind nutzlos, wenn dieser brennt oder überflutet wird. Eine externe Kopie, sei es in der Cloud oder bei einem Rechenzentrumsdienstleister, ist die letzte Rettungsleine.

Praxistipp für KMU: Viele moderne Backup-Lösungen unterstützen die 3-2-1-Regel nativ und übertragen auf Wunsch automatisch eine Kopie in eine verschlüsselte Cloud-Umgebung. Für eine effektive ERP Datensicherung sollte diese Regel mindestens erfüllt sein.

Die Erweiterung: 3-2-1-1-0

In der Cybersicherheitsbranche wird die 3-2-1-Regel heute oft zu 3-2-1-1-0-Regel erweitert:

• 1 steht für mindestens eine unveränderliche (immutable) oder offline/air-gapped gespeicherte Backup-Kopie, die vor Manipulation, Verschlüsselung oder Löschung durch Angreifer geschützt ist.
• 0 steht für null Fehler bei der Wiederherstellung: Backups werden regelmäßig verifiziert und durch Restore-Tests darauf geprüft, ob sie im Ernstfall tatsächlich wiederherstellbar sind.

Die Sicherungsfrequenz hängt davon ab, wie viel Datenverlust ein Unternehmen im Ernstfall maximal hinnehmen möchte. In der Fachsprache spricht man in diesem Zusammenhang vom RPO (Recovery Point Objective): Wie alt darf das letzte Backup maximal sein? Für eine wirksame ERP Datensicherung ist diese Frage zentral.

Ransomware ist im Jahr 2025 zur häufigsten Schadensursache für KMU geworden: In 34 Prozent der befragten Unternehmen verursachte Ransomware innerhalb eines Jahres messbaren Schaden (Bitkom-Studie 2025). Und die Angreifer wissen genau, was zu tun ist: Zuerst werden die Backups angegriffen.

Das typische Angriffsmuster

• Erster Zugang: Ein Mitarbeiter klickt auf eine Phishing-Mail. Die Angreifer erhalten Zugang zum Netzwerk.
• Laterale Bewegung: Über Wochen oder Monate bewegen sich die Angreifer unbemerkt durch das Netzwerk.
• Backup-Sabotage: Backup-Systeme werden identifiziert, beschädigt oder gelöscht. 72 Prozent aller Ransomware-Angriffe gehen mit einem Datenleak einher — Daten werden also nicht nur verschlüsselt, sondern auch gestohlen (BSI-Lagebericht 2025).
• Verschlüsselung: Erst wenn die Rettungsleine gekappt ist, aktivieren die Angreifer die Ransomware auf den Produktivsystemen.
• Erpressung: Die Forderung lautet: Zahlen Sie, sonst werden Ihre Daten im Darknet veröffentlicht.

Was schützt wirklich?

• Immutable Backups (unveränderliche Backups): Backups, die nach dem Schreiben für einen festgelegten Zeitraum nicht mehr verändert oder gelöscht werden können. Je nach Technologie und Konfiguration gilt dieser Schutz auch gegenüber Administratoren, etwa bei S3-kompatiblen Objektspeichern mit Object Lock im Compliance Mode oder bei WORM-fähigen Bandlösungen. („write once, read many“).
• Air-Gap-Backups: Physisch vom Netzwerk getrennte Sicherungen, die aus dem Produktivnetz nicht direkt erreichbar sind (z. B. regelmäßig ausgelagerte Bänder oder externe Festplatten).
• Netzwerksegmentierung: Backup-Systeme sollten in einem eigenen Netzwerksegment betrieben werden, das vom Produktivnetzwerk getrennt ist. 
• Minimale Berechtigungen: Backup-Accounts sollten nur die Rechte besitzen, die für Sicherung und Wiederherstellung erforderlich sind — insbesondere keine unnötigen Administratorrechte im Produktivsystem.

Eine wirksame ERP Datensicherung muss deshalb immer auch den Schutz vor gezielten Angriffen auf die Backups selbst berücksichtigen.

Viele Unternehmen übersehen einen entscheidenden Schritt: die regelmäßige Test-Wiederherstellung. Diese deckt typische Schwachstellen von Backups rechtzeitig auf:

• Sicherungen sind beschädigt, unvollständig oder nicht konsistent.
• Wichtige Datenbestandteile fehlen, zum Beispiel Datenbankanhänge, Konfigurationsdateien oder externe Verzeichnisse.
• Die Wiederherstellung dauert wesentlich länger als angenommen, was zu erheblichen Betriebsunterbrechungen führt.
• Zugangsdaten, Schlüssel oder Entschlüsselungsinformationen fehlen oder sind nicht ausreichend dokumentiert,

In vielen KMU fehlen klare Zuständigkeiten für den Ernstfall. Das ist kritisch, denn unklare Verantwortung führt oft dazu, dass am Ende niemand rechtzeitig handelt.

Rollen, die definiert sein müssen

IT-Verantwortlicher / externer IT-Dienstleister

• Technische Umsetzung der Backup-Strategie
• Überwachung der Sicherungsjobs (tägliche Protokollprüfung!)
• Durchführung der Restore-Tests
• Pflege der Backup-Dokumentation

Geschäftsführung

• Freigabe des Budgets für Backup-Lösungen
• Verabschiedung des IT-Notfallplans
• Im Ernstfall: Entscheidung über Betriebsfortführung, Kommunikation nach außen

Fachabteilungen (Buchhaltung, Personal, Logistik)

• Definition der kritischen Daten und Systeme
• Benennung des maximal akzeptablen Datenverlusts (RPO) und der maximal akzeptablen Ausfallzeit (RTO — Recovery Time Objective)
• Meldung ungewöhnlichen Systemverhaltens

Der IT-Notfallplan: Mindestinhalt

Ein IT-Notfallplan sollte mindestens folgende Punkte abdecken:

• Kontaktliste mit allen relevanten Ansprechpartnern, z. B. IT-Dienstleister, interne Verantwortliche, Datenschutzbeauftragter, ggf. Cyberversicherung sowie gegebenenfalls Melde- und Unterstützungsstellen
• Klare Rollen und Zuständigkeiten: Wer bewertet den Vorfall, wer entscheidet über Sofortmaßnahmen, wer kommuniziert nach außen?
• Abschalt- und Isolationsprozeduren für betroffene Systeme, um eine weitere Ausbreitung zu verhindern
• Eskalationspfad: Wer entscheidet was, wann und auf welcher Grundlage?
• Kommunikationsregeln intern und extern: Wann werden Mitarbeitende, Kunden, Dienstleister, Behörden oder Versicherer informiert?
• Standort der Backup-Medien sowie sichere Verfügbarkeit der Zugangsdaten, Schlüssel und Wiederherstellungsinformationen – nicht ausschließlich digital gespeichert
• Prioritäten für den Wiederanlauf: Welche Systeme und Geschäftsprozesse müssen zuerst wiederhergestellt werden?
• Schritt-für-Schritt-Anleitung zur Systemwiederherstellung einschließlich Reihenfolge, Abhängigkeiten und Prüfschritten
• Regelmäßige Tests und Übungen, damit der Plan im Ernstfall auch tatsächlich funktioniert

Ohne klare Prozesse bleibt selbst die beste ERP Datensicherung im Ernstfall hinter ihren Möglichkeiten zurück.

Datensicherung ist für kleine und mittelständische Unternehmen eine betriebliche Notwendigkeit, denn die Bedrohung durch Cyberangriffe ist real: Rund 80 Prozent der angezeigten Ransomware-Angriffe richteten sich im Jahr 2025 gegen KMU. Im Fokus: ERP-Daten, Buchhaltung, Personalinformationen oder die Warenwirtschaft.

Die gute Nachricht: Auch ohne große IT-Abteilung lassen sich ein belastbares Schutzniveau und eine effektive ERP Datensicherung aufbauen. Wer die 3-2-1-Backup-Regel als Mindeststandard umsetzt, sie idealerweise in Richtung 3-2-1-1-0 erweitert und Restore-Tests in den Betriebsalltag integriert, reduziert das Risiko von Datenverlust, Betriebsstillstand und Erpressbarkeit erheblich.

Ebenso wichtig ist die klare Abgrenzung zwischen Archivierung und Backup. Eine Archivierung dient der langfristigen, revisionssicheren Aufbewahrung von Informationen zu Zwecken der Compliance, der Nachweisführung und der späteren Recherche. Ein Backup hingegen dient der Wiederherstellung nach Verlust, Ausfall, Manipulation oder Angriff. Beide sind unverzichtbar.

1. Was ist der Unterschied zwischen Backup, Archivierung und Disaster Recovery?

Ein Backup dient dazu, Daten nach Verlust, Ausfall oder Angriff wiederherzustellen. Archivierung speichert Informationen langfristig und revisionssicher für Compliance und Nachweise. Disaster Recovery geht weiter: Es beschreibt, wie ein Unternehmen nach einem schweren Vorfall den gesamten IT-Betrieb wieder aufnehmen kann.

2. Wie oft sollten ERP-Daten in einem KMU gesichert werden?

Das hängt davon ab, wie viel Datenverlust Ihr Unternehmen verkraften kann. Für Buchhaltung und ERP-Datenbanken sind stündliche oder kontinuierliche Sicherungen oft sinnvoll, weil sich diese Daten laufend ändern. Weniger kritische Systeme können in größeren Abständen gesichert werden.

3. Reicht das integrierte Backup eines ERP-Systems aus?

Nein. Integrierte Backup-Funktionen zur ERP Datensicherung sind hilfreich, ersetzen aber keine übergeordnete Backup-Strategie. Zusätzlich müssen Unternehmen Datenbanken, Systemdateien, Konfigurationen und weitere abhängige Komponenten separat sichern, damit eine vollständige Wiederherstellung möglich ist.

4. Was bedeutet die 3-2-1-Regel bei der Datensicherung?

Die 3-2-1-Regel bedeutet: 3 Kopien der Daten, 2 unterschiedliche Speichermedien und 1 Kopie an einem externen Standort. Diese Struktur schützt bei Hardwaredefekten, Bedienfehlern und physischen Schäden am Standort. Sie gilt als bewährter Mindeststandard für belastbare Backups. 

5. Was bedeutet die Erweiterung 3-2-1-1-0?

Die 3-2-1-1-0-Regel ergänzt die klassische Backup-Strategie um zwei wichtige Punkte: 1 unveränderliche oder offline getrennte Kopie und 0 Fehler bei der Wiederherstellungsprüfung. Ziel ist, dass mindestens eine Backup-Kopie vor Ransomware geschützt ist und die Wiederherstellung regelmäßig erfolgreich getestet wird.

6. Was ist ein immutable Backup?

Ein immutable Backup ist eine Sicherungskopie, die nach dem Schreiben für einen festgelegten Zeitraum nicht mehr verändert, gelöscht oder verschlüsselt werden kann. Solche Backups schützen besonders gut vor Ransomware, weil Angreifer auch mit kompromittierten Zugangsdaten nicht ohne Weiteres auf diese Kopie zugreifen können. 

7. Warum sind Restore-Tests für Backups so wichtig?

Ein Backup ist nur dann wertvoll, wenn es sich im Ernstfall tatsächlich wiederherstellen lässt. Restore-Tests zeigen frühzeitig, ob Sicherungen beschädigt, unvollständig oder zu langsam wiederherstellbar sind. Deshalb sollten Unternehmen Wiederherstellungen regelmäßig testen und dokumentieren.

8. Was bedeuten RPO und RTO einfach erklärt?

RPO (Recovery Point Objective) beschreibt, wie alt das letzte Backup im Ernstfall maximal sein darf. RTO (Recovery Time Objective) gibt an, wie schnell ein System nach einem Ausfall wieder verfügbar sein muss. Beide Werte helfen dabei, Backup-Frequenz und Wiederherstellungsstrategie passend zum Geschäftsrisiko festzulegen. 

9. Warum reicht ein Backup allein für den Ernstfall nicht aus?

Ein Backup stellt Daten wieder her, aber es beantwortet nicht automatisch die Frage, wie der Geschäftsbetrieb weiterläuft. Dafür braucht es einen Disaster-Recovery-Plan mit Verantwortlichkeiten, Prioritäten, Kommunikationswegen und getesteten Wiederanlaufprozessen. 

10. Welche Rolle spielt NIS-2 bei Backup und Wiederherstellung?

Für Unternehmen, die unter NIS-2 fallen, sind Backups und Wiederherstellung dokumentations- und nachweispflichtig. Gefordert sind unter anderem angemessene Sicherungsstrategien, Schutz vor Manipulation, regelmäßige Restore-Tests und belastbare Notfallprozesse. Maßgeblich ist nicht nur ein vorhandenes Konzept, sondern der nachvollziehbare Nachweis, dass diese Maßnahmen wirksam sind.

Bildquelle: Nicolas Herrbach - iStockphoto.com