Stellen Sie sich vor, morgen früh startet Ihr Server nicht mehr. Nicht als Gedankenspiel, sondern konkret: Wer bemerkt es zuerst? Wer entscheidet, was zu tun ist? Wie lange dauert es, bis Auftragsbearbeitung, E-Mail und Buchhaltung wieder laufen, und woher kommen die Daten? Wenn Sie diese Fragen nicht aus dem Stand beantworten können, geht es Ihnen wie den meisten kleinen und mittleren Unternehmen. Einen Ordner namens „Backup" gibt es fast überall. Einen Plan, der im Ernstfall wirklich trägt, deutlich seltener.
Dabei ist der Auslöser am Ende zweitrangig: Ransomware, ein defektes Speichersystem, ein Wasserschaden im Serverraum oder schlicht ein versehentlich gelöschtes Verzeichnis führen alle zur selben Frage: Wie schnell sind wir wieder arbeitsfähig? Dieser Beitrag zeigt, wie ein IT-Notfallplan für KMU aussieht, der ohne Konzernapparat auskommt, und warum die Backup-Strategie sein Fundament ist.
Zwei Kennzahlen, die alles strukturieren
Bevor über Technik gesprochen wird, lohnen zwei einfache Fragen pro System:
- Wie viel Datenverlust ist verkraftbar? Fachleute nennen das RPO (Recovery Point Objective). Sind es bei der Warenwirtschaft maximal ein paar Stunden, muss öfter gesichert werden als einmal pro Nacht.
- Wie lange darf der Ausfall dauern? Das ist die RTO (Recovery Time Objective). Ein Tag ohne Intranet ist ärgerlich, ein Tag ohne Auftragsannahme kann existenzbedrohend sein.
Der Wert dieser Übung liegt in der Priorisierung: Nicht jedes System braucht dieselbe Absicherung. Wer für seine fünf wichtigsten Anwendungen realistische Werte festlegt, weiß danach ziemlich genau, wie die Sicherung aussehen muss und in welcher Reihenfolge im Ernstfall wiederhergestellt wird.
Das Fundament: Backups nach der 3-2-1-Regel
Für die Sicherung selbst hat sich die 3-2-1-Regel bewährt: drei Kopien der Daten, auf zwei verschiedenen Medien, davon eine außer Haus. Entscheidend ist heute die Ergänzung, dass mindestens eine Kopie offline oder unveränderbar (immutable) ist. Moderne Ransomware sucht nämlich gezielt nach erreichbaren Sicherungen und verschlüsselt sie gleich mit; ein Backup, das Angreifer weder löschen noch überschreiben können, ist Ihre letzte Verteidigungslinie.
Genauso wichtig ist, was kein Backup ist:
- RAID ist kein Backup. Es schützt vor dem Ausfall einer Festplatte, nicht vor Löschung, Verschlüsselung oder Diebstahl, denn jeder Fehler wird sofort auf alle Platten gespiegelt.
- Cloud-Synchronisation ist kein Backup. Wer eine Datei verschlüsselt oder löscht, synchronisiert genau das binnen Sekunden auf alle Geräte.
- Ein Backup im selben Gebäude ist ein halbes Backup. Brand, Wasser oder Einbruch treffen Original und Kopie gemeinsam.
Ob die Auswärtskopie auf einem NAS am zweiten Standort oder in einem europäischen Rechenzentrum liegt, ist eine Abwägungsfrage; die Kriterien dazu haben wir in NAS oder Cloud-Speicher gegenübergestellt.
Der Prüfstein: die getestete Wiederherstellung
Der häufigste und teuerste Fehler in der Praxis ist nicht das fehlende Backup, sondern das ungetestete. Viele Betriebe stellen erst im Ernstfall fest, dass die Sicherung seit Monaten leer läuft, ein wichtiges Verzeichnis nie enthalten war oder die Wiederherstellung Tage statt Stunden dauert.
Deshalb gehört zu jeder Backup-Strategie ein fester Rhythmus an Restore-Tests: regelmäßig einzelne Dateien und Datenbanken zurückspielen, mindestens einmal jährlich die Wiederherstellung eines kompletten Systems durchspielen und dabei die Zeit stoppen. Erst dieser Test macht aus der Hoffnung „wir sichern ja" die belastbare Aussage „wir sind in vier Stunden wieder arbeitsfähig". Und nur er zeigt, ob die tatsächliche Wiederherstellungszeit zu der RTO passt, die Sie oben festgelegt haben.
Das Notfallhandbuch: wenige Seiten, große Wirkung
Der zweite Baustein neben der Sicherung ist ein knappes, aktuelles Notfallhandbuch. Es beantwortet die Fragen, für deren Klärung im Ernstfall keine Zeit ist:
- Erreichbarkeiten: Wer ist intern zuständig, wer vertritt, wie lauten die Nummern von IT-Dienstleister, Provider und gegebenenfalls Versicherung?
- Systemübersicht: Welche Systeme gibt es, wo laufen sie, wo liegen Zugangsdaten und Lizenzen? Ein Passwort-Tresor, dessen einziger Schlüssel auf dem verschlüsselten Server liegt, hilft niemandem.
- Wiederherstellungsreihenfolge: Was kommt zuerst zurück, was kann warten? Diese Reihenfolge ergibt sich direkt aus Ihren RTO-Überlegungen.
- Kommunikation: Wie erreichen Sie Mitarbeiter und Kunden, wenn E-Mail und Telefonanlage betroffen sind? Welche Meldefristen gelten, etwa die 24-Stunden-Erstmeldung nach NIS-2 oder datenschutzrechtliche Pflichten?
Wichtig: Das Handbuch muss auch ohne die eigene IT erreichbar sein, also gedruckt oder auf einem unabhängigen Speicher, und es muss gepflegt werden. Ein Notfallplan mit den Telefonnummern von vor drei Jahren ist Dekoration.
Pflicht statt Kür: was NIS-2 verlangt
Für viele Unternehmen ist Notfallvorsorge inzwischen keine freiwillige Fleißaufgabe mehr. Das NIS-2-Umsetzungsgesetz, seit Dezember 2025 in Kraft, schreibt betroffenen Unternehmen unter anderem Backup-Management, Wiederherstellungskonzepte und Krisenmanagement ausdrücklich als Mindestmaßnahmen vor, mit persönlicher Verantwortung der Geschäftsleitung. Und auch wer nicht direkt unter NIS-2 fällt, bekommt die Anforderungen zunehmend über Kunden, Lieferketten und Cyber-Versicherer auf den Tisch gelegt. Wer betroffen ist und welche Pflichten gelten, haben wir im NIS-2-Leitfaden für KMU zusammengefasst; eine erste Einschätzung liefert unser kostenfreier Compliance-Checker.
In vier Schritten zum tragfähigen Plan
Das Gute an diesem Thema: Es lässt sich in überschaubaren Etappen abarbeiten.
- Bestandsaufnahme: Systeme erfassen, für jedes RPO und RTO festlegen. Ein Nachmittag mit den richtigen Personen am Tisch genügt oft für die erste Fassung.
- Backup-Konzept anpassen: Sicherungsrhythmus, Medien und die unveränderbare Auswärtskopie an den festgelegten Werten ausrichten, Lücken schließen.
- Notfallhandbuch schreiben: Kurz, konkret, offline verfügbar. Lieber fünf gepflegte Seiten als fünfzig veraltete.
- Testen und üben: Restore-Tests fest einplanen und den Ernstfall einmal im Jahr als Trockenübung durchspielen. Jede Übung deckt Lücken auf, solange sie noch nichts kosten.
Wie ein Angriff abläuft und was in den ersten Stunden danach zu tun ist, vertieft unser Beitrag zum Ransomware-Lagebild für den Mittelstand. Der Notfallplan ist das Gegenstück dazu: die Vorbereitung, die aus dem Chaos einen Ablauf macht.
Häufige Fragen
Reicht die tägliche Sicherung auf eine externe Festplatte? Als Anfang ja, als Strategie nein. Eine einzelne Platte am selben Standort verletzt die 3-2-1-Regel gleich doppelt: keine Auswärtskopie, keine Unveränderbarkeit. Bleibt sie dauerhaft angesteckt, verschlüsselt Ransomware sie schlicht mit.
Wie oft sollten wir die Wiederherstellung testen? Einzelne Dateien und Datenbanken monatlich bis quartalsweise, ein komplettes System mindestens einmal im Jahr. Entscheidend ist ein fester, dokumentierter Rhythmus, nicht der Test „bei Gelegenheit".
Was kostet ein IT-Notfallplan für ein kleines Unternehmen? Der Plan selbst kostet vor allem einige Stunden konzentrierter Arbeit. Bei der Technik reden wir für ein typisches KMU über eine überschaubare monatliche Größenordnung für Backup-Speicher und gegebenenfalls Software, ein Bruchteil dessen, was ein einziger Tag Betriebsstillstand kostet.
Sind wir überhaupt von NIS-2 betroffen? Das hängt von Branche und Unternehmensgröße ab; betroffen sind deutlich mehr Mittelständler, als viele vermuten. Prüfen Sie Ihre Einordnung, bevor es ein Kunde oder eine Behörde tut. Unser Compliance-Checker liefert dafür eine erste Orientierung.
Fazit: Der Ernstfall fragt nicht, ob es gerade passt
Ein IT-Notfallplan ist kein Konzernluxus, sondern die Antwort auf eine simple Rechnung: Ein paar Stunden Vorbereitung und ein solides Backup-Konzept stehen gegen Tage oder Wochen Stillstand. RPO und RTO festlegen, nach 3-2-1 mit unveränderbarer Kopie sichern, die Wiederherstellung wirklich testen, das Wichtigste in ein kurzes Handbuch schreiben: mehr braucht es für den Anfang nicht.
Wenn Sie dabei Unterstützung möchten, von der Standortbestimmung bis zum betreuten Backup im Rahmen unserer Leistungen zu IT-Sicherheit und Managed Hosting, sprechen Sie uns an. Im kostenfreien Erstgespräch klären wir, wo Ihr Betrieb heute steht und welche Lücken zuerst geschlossen gehören.