Ransomware Schutz KMU: Backups testen

1Einleitung

93 %. Genau so hoch ist laut gemakom der Anteil der Ransomware-Angriffe, die zuerst auf die Datensicherung zielen. Das ist die Zahl, die du dir merken solltest. Nicht, weil sie spektakulär klingt – sondern weil sie viele Backup-Konzepte der letzten Jahre brutal entwertet.

Für Unternehmen in der Region Aachen, vom Handwerksbetrieb bis zum Zulieferer im Dreiländereck, ist das kein abstraktes Risiko. Wenn bei dir ERP, Dateiablage oder Warenwirtschaft mehrere Tage stehen, fehlen nicht nur Daten. Dann verpasst du Lieferfenster nach Belgien oder in die Niederlande, die Produktion stockt und Kunden warten .

Ich sage es bewusst direkt: „Backup vorhanden“ ist 2026 kein Sicherheitskonzept mehr. Es ist bestenfalls ein Zwischenstand. Ob dein Unternehmen wirklich wieder hochkommt, entscheidet sich erst beim Restore.

Dieser Artikel ist der Deep-Dive zum Thema Backup. Den breiteren Rahmen — MFA, Patch-Management, Phishing-Schutz und Notfallplan — findest du im Grundlagen-Guide IT-Sicherheit für KMU.

2Warum „Backup vorhanden“ 2026 nicht mehr reicht

Ransomware-Angreifer sind nicht dumm. Sie wissen, dass ein Unternehmen mit sauberen, erreichbaren Backups viel schlechter erpressbar ist. Deshalb greifen sie zuerst Sicherungsserver, Backup-Speicher, Admin-Konten und Aufbewahrungsregeln an.

Ein Backup ohne Immutability, ohne externe Kopie und ohne dokumentierten Restore-Test ist deshalb Scheinsicherheit. Es gibt dir innerlich Ruhe, aber im Ernstfall fehlt der Beweis, dass die Daten sauber, vollständig und rechtzeitig zurückkommen.

Dazu kommt ein Punkt, den viele unterschätzen: Nach einem Ransomware-Fall spielst du nicht einfach „die letzte Sicherung“ zurück. Laut SentinelOne musst du erst einen verifizierten, malwarefreien Wiederherstellungspunkt finden. Genau das verlängert die reale Wiederherstellungszeit – und diese Verzögerung muss in deine Planung rein.

In meiner Arbeit mit Unternehmen rund um Aachen sehe ich das ständig: grüne Häkchen im Backup-Dashboard, aber keine klare Antwort auf die einfache Frage, wie lange ein Restore der Warenwirtschaft wirklich dauert. Ehrlich gesagt halte ich diese Art von Sicherheit für überschätzt. Solange niemand den Ernstfall getestet hat, ist das Hoffnung – nicht Resilienz.

3Die pragmatische Zielarchitektur: 3-2-1-1-0 für KMU

Wenn du es pragmatisch willst, dann fang mit 3-2-1-1-0 an. Die Regel ist nicht sexy, aber sie funktioniert.

3 Kopien deiner Daten. 2 unterschiedliche Medientypen. 1 Kopie extern. 1 Kopie offline oder immutable. 0 ungeprüfte Fehler nach dem Backup-Job. Das ist 2026 die Basis, nicht die Kür.

Für viele kleinere und mittlere Unternehmen ist eine hybride Architektur am sinnvollsten: lokal für schnelle Restores und zusätzlich eine immutable Offsite-Kopie. Typische Umsetzungen sind S3 Object Lock, Azure Immutable Blob Storage oder Synology C2 Object Storage in Kombination mit Backup-Software wie Veeam. Dass Synology C2 Object Lock für immutable Backups nutzbar ist, beschreibt zum Beispiel Ben Young.

Mindestens genauso wichtig wie der Speicher ist die Trennung der Berechtigungen. Laut Valtik Studios sollten Backup-Admin-Konten nicht an derselben Active-Directory-Authentifizierung hängen wie die Produktivsysteme. Wenn die Domäne kompromittiert ist und dein Backup daran klebt, fällt oft beides gleichzeitig.

Und bitte nicht nur Dateien sichern. Moderne Angriffe zerstören oder manipulieren auch IAM-Rollen, DNS-Einträge, Netzwerk-Settings und SaaS-Konfigurationen. Genau darauf weist ControlMonkey hin. Wenn diese Zustände fehlen, bekommst du vielleicht Daten zurück – aber nicht deinen Betrieb.

4Air Gap oder immutable Backup: Was passt zum Mittelstand?

Hier wird oft so getan, als gäbe es die eine richtige Lehre. Meine Meinung: Dieses Schwarz-Weiß-Denken bringt dir wenig. Du brauchst die Lösung, die du sauber betreiben kannst.

Air-Gap-Backups sind vollständig offline oder isoliert. Typisch sind Bänder, Offline-Laufwerke oder wirklich getrennte Speicher. Der große Vorteil ist offensichtlich: Kein Netzwerkzugriff, also deutlich weniger Angriffsfläche.

Immutable Backups bleiben online, können aber während der definierten Aufbewahrungszeit nicht verändert oder gelöscht werden. Laut Veeam sind typische Varianten S3 Object Lock, Azure Immutable Blob Storage, gehärtete Repositories oder sichere Snapshots.

Für viele Unternehmen ist immutable Offsite realistisch besser skalierbar. Air Gap bringt maximale Isolation, aber auch mehr Aufwand: Medienhandling, Lagerung, Rotationen, Dokumentation. Wenn das im Alltag niemand diszipliniert macht, hilft dir die schönste Theorie nichts.

Meine Empfehlung für den Mittelstand ist meist simpel: lokal für Geschwindigkeit, immutable Offsite für Resilienz, und bei wirklich kritischen Daten zusätzlich ein periodischer Offline-Satz. Nicht dogmatisch. Sondern belastbar.

5Restore-Tests: Der Unterschied zwischen Hoffnung und Nachweis

Jetzt zum Teil, an dem sich gute von schlechten Konzepten trennen. Backups sind erst dann wertvoll, wenn du sie reproduzierbar zurückholen kannst.

Die von Valtik Studios genannte Testkadenz ist sinnvoll und überraschend bodenständig: monatlich zufällige Datei-Restores aus Produktionsbackups mit Integritätsprüfung, quartalsweise vollständige System-Restores in isolierter Testumgebung und jährlich ein kompletter Disaster-Recovery-Test mit Messung von RTO und RPO.

Genau so muss man das denken. Klein anfangen, regelmäßig testen, Ergebnisse dokumentieren.

Ich persönlich akzeptiere Backups erst dann als Sicherheitskonzept, wenn ein Restore-Test mit echten Daten, echten Rollen, gemessener RTO/RPO und unterschriebenem Protokoll durchgeführt wurde. Alles andere ist aus meiner Sicht nur ein Technikversprechen. In Audits sehe ich oft stolz präsentierte, grüne Backup-Jobs – aber niemand weiß, ob die Warenwirtschaft in zwei Stunden, in acht Stunden oder erst am nächsten Tag wieder läuft.

6RTO und RPO: So übersetzt man Technik in Betriebsfähigkeit

RTO und RPO klingen für viele nach typischem IT-Sprech. Sind sie aber nicht. Sie sind die zwei Zahlen, mit denen du Technik in Geschäftsschaden übersetzt.

RTO ist die maximal tolerierbare Ausfallzeit. RPO ist der maximal tolerierbare Datenverlust. Beides musst du pro System festlegen – nicht einmal pauschal für das ganze Unternehmen.

Gerade in der Städteregion Aachen ist das wichtig. Ein Maschinenbauer hat andere Prioritäten als ein Steuerberater, ein Logistiker andere als ein Handwerksbetrieb mit mobiler Einsatzplanung. Wenn im Dreiländereck Touren, Versand oder Fertigung hängen, trifft ein IT-Ausfall sofort reale Lieferketten. Deshalb brauchst du eine Business-Impact-Analyse: Welche Systeme stoppen Umsatz, Produktion, Buchhaltung oder Kundenkommunikation?

Die Dringlichkeit wird oft erst verstanden, wenn man Zahlen nennt. Laut HostSpezial drohen ohne IT-Notfallplan durchschnittlich 23 Tage Ausfallzeit und 250.000 EUR Schaden. Das ist keine Randnotiz mehr.

Ransomware macht diese Planung noch härter. Vor dem eigentlichen Restore musst du saubere Wiederherstellungspunkte identifizieren, Systeme isolieren und Zugangsdaten prüfen. Genau deshalb ist die reale RTO nach einem Angriff oft länger als in schönen Projektfolien.

Wenn du das Thema strukturiert angehen willst, gehört das für mich in eine saubere IT-Beratung – nicht als PowerPoint, sondern als priorisierte Wiederanlaufreihenfolge mit echten Abhängigkeiten.

1. 1
   Kritische Systeme priorisieren

   Lege fest, was zuerst wieder laufen muss: Identität, Netzwerk, ERP, Dateiablagen, Kommunikation.
2. 2
   RTO und RPO je System definieren

   Bestimme pro Anwendung maximale Ausfallzeit und tolerierbaren Datenverlust.
3. 3
   Restore-Reihenfolge testen

   Prüfe in Übungen und Testumgebungen, ob die Reihenfolge praktisch funktioniert.

7Der KMU-Notfallplan: Rollen, Reihenfolge, Probe-Ernstfall

Ein guter Notfallplan ist keine Word-Datei für die Schublade. Er ist ein Betriebsdokument für schlechte Tage.

Er muss festlegen, wer entscheidet, wer Systeme isoliert, wer Backups freigibt, wer Dienstleister steuert, wer Kunden informiert und wer den Restore technisch ausführt. Wenn diese Rollen erst im Vorfall diskutiert werden, verlierst du Stunden. Und Stunden werden bei Ransomware schnell teuer .

Tabletop-Übungen sind laut Adaptive Security nur der Mindeststandard. Wirklich belastbar wird dein Plan erst durch Live-Fire-Simulationen in einer isolierten Umgebung, unter Zeitdruck und mit Kommunikationskaskade. Das klingt aufwendiger, als es ist. Aber es zeigt gnadenlos, wo Prozesse, Freigaben oder Passwörter fehlen.

Die Restore-Reihenfolge sollte konkret sein. Meist zuerst Identität oder eine Ersatz-Authentifizierung, dann Netzwerk und DNS, danach Kernserver, ERP oder Warenwirtschaft, Dateiablagen, Clients und erst dann Randthemen. Wer alles gleichzeitig wiederherstellen will, scheitert meistens an den Abhängigkeiten.

Unterm Strich gewinnt selten das teuerste Tool. Gewinnen tut die Kombination aus klarer Architektur, getrennten Berechtigungen, immutable Offsite-Kopie und wiederholtem Probe-Ernstfall. Nicht glamourös. Aber wirksam.

8Meine Einschätzung

Ich halte viele Backup-Strategien im Mittelstand für zu optimistisch. Nicht technisch schlecht – aber organisatorisch unvollständig. Es gibt Speicher, Software und Reports, aber keinen belastbaren Nachweis, dass der Betrieb unter Druck wirklich zurückkommt.

Die gute Nachricht: Du brauchst dafür kein Konzernbudget. Du brauchst Disziplin in den Basics. 3-2-1-1-0, getrennte Berechtigungen, immutable Offsite-Kopie, echte Restore-Tests und einen Notfallplan, der nicht peinlich theoretisch ist.

Wenn du das sauber aufsetzt, bist du nicht unverwundbar. Aber du wirst deutlich schwerer erpressbar. Und genau das ist bei Ransomware oft der entscheidende Unterschied .