Backup und Disaster Recovery: Wie lange hält Ihre kleine und mittlere Firma still?

7 Minuten Lesestunden · DataRoad

Datensicherung und Notfallwiederherstellung Es sind zwei verschiedene Dinge, und die Verwechslung zwischen ihnen ist der Grund, warum so viele kleine und mittlere Unternehmen am schlimmsten tagtäglich feststellen, dass sie “Backup” hatten, aber eine Woche lang stillgelegt waren. Der Backup-Service beantwortet die Frage “haben wir eine Kopie?” Die Disaster-Recovery-Lösung beantwortet die Frage, die das Unternehmen interessiert: “In welchem Zeitraum können wir wieder Geld verdienen und mit welchen Daten?”.

Dieser Leitfaden hilft der Verwaltung, diese Antworten ohne Fachjargon, System für System, festzulegen und zu bestätigen, dass der IT-Anbieter diese erfüllen kann.

Backup ist keine Wiederherstellung nach einem Katastrophenfall

Stellen Sie sich vor, der Server des Büros würde am Montag Morgen ausfallen. Es gibt eine Kopie am Sonntagabend auf einem externen Datenträger. Um wieder arbeiten zu können, müssen Sie Folgendes tun:

• ein Gerät, in dem diese Kopie wiederhergestellt werden kann (der defekte Server ist nicht geeignet);
• jemand, der es kann, mit den Passwörtern und den Lizenzen griffbereit;
• Zeit, um die Daten zu kopieren, die Anwendungen zu deinstallieren und zu überprüfen, ob sie funktionieren;
• Die Konfiguration der Computer, Drucker und Verbindungen, die vom Server abhängten, neu zu konfigurieren.

Der Backup ist nur der erste Punkt. Alles andere ist Wiederherstellung – und genau da vergehen die Tage.

Die beiden Fragen, die alles entscheiden: RTO und RPO

Die beiden Zahlen sind eine Managemententscheidung, keine technische. Wer sie festlegt, ist die Verwaltung; der IT-Anbieter entwirft die Lösung, die diese erfüllt – und gibt den Preis an. Je kürzer die Zeitspanne, desto teurer die Lösung. Daher macht es keinen Sinn, “Null Stunden” für alles zu verlangen.

Wie Sie zu Ihren Zahlen gelangen

1. Liste die Systeme auf, auf die das Unternehmen angewiesen ist: E-Mail, Rechnungsstellung, Dateien, Unternehmenssoftware, Telefone, Website.
2. Fragen Sie jeden, der es benutzt: “Wenn das jetzt aufhört, wann verlieren wir dann Kunden oder Geld?” Das ist der RTO.
3. Fragen Sie anschließend: “Wenn wir Arbeit neu erledigen müssen, wie viele Stunden akzeptieren wir als Wiederholung?” Das ist das RPO.
4. Übergeben Sie die Liste an den IT-Anbieter und fordern Sie die Lösung an – und den Test, der beweist, dass sie funktioniert.

Beispiel: RTO und RPO nach Systemtyp

Beispiel — Dienstleistungsunternehmen mit 40 Mitarbeitern, täglicher Umsatz und teilweise Telearbeit. Die Zahlen sind unverbindlich; jede Firma muss sie selbst festlegen.

Beachten Sie, dass die Rechnungsstellung und das Archiv sehr unterschiedliche Lösungen erfordern. Wenn man sie auf die gleiche Weise behandelt, zahlt man mehr für das eine und schützt das andere weniger.

Die Grundregel: 3-2-1, verstärkt gegen Ransomware

Die klassische Regel besagt, dass drei Kopien der Daten in zwei unterschiedlichen Formaten vorliegen müssen, eine davon außerhalb des Unternehmens. Heute wird zusätzlich eine Kopie hinzugefügt, die nicht gelöscht werden kann innerhalb eines festgelegten Zeitraums – denn Ransomware-Angriffe suchen nach und zerstören die Backups, bevor sie die Server verschlüsseln – und es dürfen keine Fehler beim letzten Test auftreten. Die CISA, die US-amerikanische Cybersicherheitsbehörde, empfiehlt, Offline-Kopien und verschlüsselte Kopien der kritischen Daten zu halten und die Verfügbarkeit und Integrität regelmäßig zu testen.

Wenn Sie Microsoft 365 verwenden, sollten Sie bedenken, dass die Recyclingprogramme von Microsoft nur kurze Fristen haben und nicht eine eigene Sicherung ersetzen, wie wir in diesem Artikel erläutert haben. Der Microsoft 365-Backup, den fast keine Unternehmen haben.

Die Szenarien, die der Plan decken soll

• Ausfall von Ausrüstung: Server, Festplatte oder Netzwerkgerät, das nicht mehr funktioniert.
• Ransomware oder Eindringung: verschlüsselte oder gelöschte Daten, die oft auch die mit dem Netzwerk verbundenen Backups umfassen.
• Menschenfehler: die gelöschte Festplatte, die übergeordnete Datei, das gelöschte Konto.
• Leider kein Strom oder kein Internet: Ein mehrtägiger Stromausfall wie der vom 28. April 2025 – das Thema der Hätte Ihr Unternehmen 8 Stunden ohne Strom und Internet funktionieren können?
• Physischer Unfall: Brand, Überschwemmung oder Diebstahl im Büro.

Ein echter Fall: Server, UPS und Backups in der Union der Fregatten von Massamá und Monte Abraão

Im Jahr 2022 wird die Gemeindeverband Massamá und Monte Abraão DataRoad erhielt im Rahmen eines öffentlichen Auftrags ein Projekt, das die drei Punkte umfasst, die in diesem Artikel besprochen werden: die Installation und Konfiguration eines neuen Unternehmensservers, die Implementierung einer UPS zur Sicherung und Stabilität der Systeme sowie Unternehmens-Backup-Lösungen – mit der Erstellung und Validierung lokaler und Cloud-basiener Backup-Systeme. Die bestehenden Daten und Einstellungen wurden sicher auf die neue Infrastruktur migriert.

Das wichtige Wort ist “Validierung”. Ein lokaler Backup ermöglicht eine schnelle Wiederherstellung; ein Backup in der Cloud schützt vor physischen Ausfällen; die Validierung beweist, dass beide funktionieren. Es sind der RTO und der RPO, die in die Praxis umgesetzt werden.

Test: die einzige Messung, die zählt

Erholungziele sind nur dann sinnvoll, wenn sie gemessen werden. Bitten Sie den Anbieter mindestens einmal pro Quartal, einen Server in einer gesperrten Umgebung zu reparieren und zu messen. Einmal im Jahr führen Sie einen vollständigen Test mit Anwesenheit der Verwaltung durch. Der Schritt-für-Schritt-Handbuch steht hier zur Verfügung. Der 30-minütige Test, den der Anbieter verlangen sollte. Wenn das Schlimmste bereits passiert ist, beginnen Sie mit dem Artikel über Die ersten Stunden einer Datenrettung.

Wie DataRoad Disaster Recovery betreibt

In den IT-Unlimited-Verträgen definieren wir die Wiederherstellungsziele gemeinsam mit der Geschäftsführung und entwerfen die entsprechenden Maßnahmen. Verwaltete Backups Im Einklang mit diesen Zielen wurden die Tests dokumentiert. Der Service Disaster Recovery und Business Continuity Hinzufügen ist der Startplan, die Prioritätenliste und die Kommunikation während der Krise. Für Unternehmen, die nicht auf den nächsten Morgen warten können, ist das IT Unlimited Premium 365 Gibt die Abdeckung für Nächte, Wochenenden und Feiertage an.

Häufig gestellte Fragen

Was ist der Unterschied zwischen RTO und RPO?

Der RTO ist die Zeit, die das Unternehmen für die Wiederaufnahme der Arbeit benötigt. Der RPO ist die Menge an Arbeit, die sie verlieren kann, gemessen in Zeit seit der letzten gültigen Kopie. Der eine bestimmt die Geschwindigkeit der Wiederherstellung; der andere die Häufigkeit der Backups.

Wie oft sollte ich ein Backup erstellen?

In der Häufigkeit, die Ihr RPO erfordert. Wenn die Abrechnung nicht mehr als eine Arbeitsstunde verlieren darf, müssen Sie mindestens alle Stunden Kopien anfertigen. Für das Archiv reicht eine wöchentliche oder monatliche Kopie aus.

Ein externes Laufwerk dient als Backup?

Als einzige Kopie nicht. Ein auf dem Server angeschlossener Datenträger kann von demselben Ransomware-Virus infiziert werden und befindet sich in demselben Gebäude. Es sollte außerdem eine Kopie außerhalb des Unternehmens und eine andere, die nicht gelöscht werden kann, vorhanden sein.

Wie viel kostet ein Katastrophenrettungsplan?

Es hängt von den Wiederherstellungszielen ab. Wiederherstellen in vier Stunden kostet viel weniger als in fünfzehn Minuten. Daher ist der erste Schritt, RTO und RPO für jedes System zu definieren, und erst danach die Lösung zu wählen.

Karte zur Wiederherstellung Ihres Unternehmens innerhalb von 10 Werktagen

Wir definieren gemeinsam mit Ihnen den RTO und den RPO für jedes System, vergleichen dies mit dem, was Ihre Backups heute leisten können, und liefern einen Plan mit den prioritären Korrekturmaßnahmen. Für Unternehmen mit mehr als 10 Standorten · Vertrag zur technischen Unterstützung · Remote-, lokaler und telefonischer Support.

Quellen

• NIST — Recovery Time Objective (SP 800-34 Rev. 1)
• NIST — Recovery Point Objective (SP 800-34 Rev. 1)
• CISA — #StopRansomware-Handbuch