Datensicherung im KMU: Pflichten und bewährte Praxis

Datensicherung ist im KMU keine freiwillige Fleißaufgabe, sondern Teil der unternehmerischen Sorgfalt: Die DSGVO verlangt, dass personenbezogene Daten vor Verlust geschützt sind und nach einem Zwischenfall rasch wiederhergestellt werden können, und steuerliche Aufbewahrungspflichten setzen voraus, dass Unterlagen über Jahre lesbar bleiben. Bewährter Kern jeder Sicherungsstrategie ist die 3-2-1-Regel – drei Kopien, zwei Medienarten, eine Kopie außer Haus. Der wichtigste und am häufigsten vergessene Baustein ist allerdings der Wiederherstellungs-Test, denn ein Backup, das sich im Ernstfall nicht zurückspielen lässt, ist keines.

In Kürze

• Art. 32 DSGVO verlangt unter anderem die Fähigkeit, die Verfügbarkeit personenbezogener Daten nach einem physischen oder technischen Zwischenfall rasch wiederherzustellen.
• Die Verantwortung für ein funktionierendes Sicherungskonzept liegt bei der Geschäftsführung – delegieren lässt sich die Durchführung, nicht die Verantwortung.
• Die 3-2-1-Regel ist der bewährte Mindeststandard: drei Kopien der Daten, zwei verschiedene Speichermedien, eine Kopie außer Haus.
• Gegen Verschlüsselungsangriffe (Ransomware) braucht mindestens eine Kopie zusätzlichen Schutz: offline gelagert oder unveränderbar gespeichert.
• Ohne regelmäßigen Wiederherstellungs-Test ist jede Datensicherung ein Blindflug – geprüft wird das Zurückspielen, nicht das Speichern.
• Das Sicherungskonzept gehört schriftlich dokumentiert und im Betrieb auffindbar abgelegt – nicht nur im Kopf des IT-Betreuers.

Welche Pflichten zur Datensicherung hat ein KMU?

Ein eigenes „Backup-Gesetz“ gibt es nicht – die Pflicht zur Datensicherung ergibt sich aus mehreren Richtungen gleichzeitig. Die wichtigste ist die DSGVO: Art. 32 verpflichtet jeden Betrieb, der personenbezogene Daten verarbeitet, zu technischen und organisatorischen Maßnahmen, die dem Risiko angemessen sind. Dazu zählt ausdrücklich die Fähigkeit, die Verfügbarkeit der Daten und den Zugang zu ihnen nach einem physischen oder technischen Zwischenfall rasch wiederherzustellen. Kundendaten, Personalakten und Lieferantenkontakte fallen praktisch in jedem Betrieb darunter.

Dazu kommen die Aufbewahrungspflichten aus dem Steuer- und Unternehmensrecht: Bücher, Aufzeichnungen und Belege sind in Österreich grundsätzlich sieben Jahre aufzubewahren, in bestimmten Fällen länger. Wer seine Buchhaltungsdaten durch einen Festplattendefekt verliert, hat nicht nur ein IT-Problem, sondern auch eines gegenüber dem Finanzamt.

Und schließlich die allgemeine Sorgfaltspflicht: Von der Geschäftsführung wird die Sorgfalt eines ordentlichen Unternehmers erwartet. Nach heutigem Verständnis gehört ein angemessener Umgang mit IT-Risiken dazu – ein Totalverlust der Betriebsdaten ohne jedes Sicherungskonzept ließe sich schwer als sorgfältiges Wirtschaften darstellen. Praxisleitfäden zur IT-Sicherheit für Betriebe bietet unter anderem die Wirtschaftskammer (wko.at). Dieser Beitrag gibt eine allgemeine Orientierung und ersetzt keine Rechtsberatung im Einzelfall.

Wie funktioniert die 3-2-1-Regel?

Die 3-2-1-Regel ist eine einfache Merkformel, die die häufigsten Verlustszenarien gleichzeitig abdeckt:

Ziffer	Bedeutung	Wovor sie schützt
3	Drei Kopien der Daten: das Original plus zwei Sicherungen	Ein einzelner Defekt oder Bedienfehler vernichtet nie den letzten Stand.
2	Zwei unterschiedliche Speichermedien, z. B. Netzwerkspeicher im Haus plus Cloud-Sicherung	Ein Serienfehler oder Ausfall einer Technologie trifft nicht beide Kopien.
1	Eine Kopie außer Haus, räumlich getrennt vom Betrieb	Brand, Wasserschaden, Einbruch oder Blitzschlag am Standort.

Seit Verschlüsselungsangriffe zum Alltagsrisiko geworden sind, wird die Regel oft um zwei Punkte erweitert: Mindestens eine Kopie sollte offline oder unveränderbar sein – also so gespeichert, dass ein Angreifer, der ins Netzwerk eindringt, sie nicht mitverschlüsseln oder löschen kann. Und die Zahl der Fehler beim Wiederherstellungs-Test sollte null betragen. Eine externe Festplatte, die dauerhaft am Server steckt, ist deshalb keine Offline-Kopie: Was verbunden ist, ist angreifbar.

Wichtig ist auch die Abgrenzung zur Synchronisation. Dienste, die Ordner laufend in die Cloud spiegeln, übertragen auch Löschungen und verschlüsselte Dateien – innerhalb von Sekunden sind dann beide Seiten unbrauchbar. Ein echtes Backup hält mehrere zeitlich gestaffelte Stände vor, sodass Sie auf den Zustand von gestern oder von voriger Woche zurückkönnen.

Warum ist die Geschäftsführung in der Verantwortung?

Die Technik können und sollen Sie delegieren – an eine interne IT-Kraft oder einen externen Betreuer. Nicht delegierbar ist die Entscheidung, was der Betrieb im Ernstfall verkraften kann. Zwei Fragen kann nur die Geschäftsführung beantworten:

1. Wie viel Datenverlust ist verkraftbar? Wenn die Antwort „maximal ein halber Arbeitstag“ lautet, reicht eine wöchentliche Sicherung nicht.
2. Wie lange darf der Betrieb stillstehen? Wenn Angebote, Aufträge und Pläne drei Tage unerreichbar sind, hat das andere Folgen als drei Stunden – danach richten sich Technik und Aufwand.

Aus den Antworten entsteht das Sicherungskonzept: welche Daten gesichert werden, wie oft, wie lange Stände aufgehoben werden, wo die Kopien liegen und wer die Kontrolle übernimmt. Dieses Konzept gehört schriftlich festgehalten und von der Geschäftsführung freigegeben. Wer einen externen Dienstleister beauftragt, sollte sich die Sicherungsläufe und Testergebnisse regelmäßig berichten lassen – ein jährliches Gespräch mit Protokoll genügt oft schon, um böse Überraschungen zu vermeiden. Liegen personenbezogene Daten beim Dienstleister, braucht es zusätzlich die passende vertragliche Grundlage nach DSGVO.

Warum ist der Wiederherstellungs-Test wichtiger als das Backup selbst?

Der klassische Ernstfall sieht so aus: Die Sicherung lief jahrelang scheinbar fehlerfrei – und beim ersten echten Wiederherstellungsversuch stellt sich heraus, dass ein Ordner nie erfasst war, das Sicherungsmedium defekt ist oder niemand das Passwort für die Verschlüsselung der Sicherung kennt. Deshalb gilt: Nicht das Speichern ist der Beweis, sondern das Zurückspielen. Ein brauchbarer Test läuft so ab:

1. Szenario festlegen: etwa „Der Dateiserver ist ausgefallen“ oder „Ein Ordner wurde versehentlich gelöscht“ – einmal klein, einmal groß denken.
2. Wiederherstellung durchführen: auf ein Testsystem oder in einen separaten Ordner, nie über die Produktivdaten drüber.
3. Zeit messen: Wie lange dauert es wirklich, bis gearbeitet werden kann? Diese Zahl gehört ins Konzept.
4. Vollständigkeit prüfen: Stichproben öffnen – sind die Dateien lesbar, aktuell und vollständig?
5. Ergebnis protokollieren: Datum, Szenario, Dauer, Mängel, Abstellmaßnahmen. Das Protokoll ist zugleich Ihr Nachweis gegenüber Versicherung, Kunden oder Behörde.

Als Rhythmus hat sich mindestens ein Test pro Jahr bewährt, besser zwei – und zusätzlich nach jedem Wechsel von Server, Sicherungssoftware oder Dienstleister.

Welche Fehler passieren in der Praxis am häufigsten?

Alle Kopien im selben Gebäude. Der Netzwerkspeicher im Nebenraum schützt vor Festplattendefekt, aber nicht vor Brand oder Einbruch. Ohne externe Kopie ist die 3-2-1-Regel nicht erfüllt.

Synchronisation mit Backup verwechselt. Der Cloud-Ordner ist praktisch, aber er spiegelt Fehler in Echtzeit mit. Wer nur synchronisiert, hat keine Rückfallebene.

Keine Offline-Kopie. Moderne Schadsoftware sucht gezielt nach erreichbaren Sicherungen und verschlüsselt sie zuerst. Eine getrennte, nicht dauerhaft verbundene Kopie ist die Lebensversicherung.

Niemand testet. Die Sicherung meldet „erfolgreich“ – ob sich daraus je ein System wiederherstellen lässt, hat nie jemand probiert.

Das Wissen hängt an einer Person. Nur der IT-Betreuer weiß, wo die Sicherungen liegen, wie die Wiederherstellung funktioniert und welche Reihenfolge einzuhalten ist. Fällt diese Person aus, steht der Betrieb trotz intakter Backups still.

Wie dokumentieren Sie Ihre Datensicherung nachvollziehbar?

Gerade der letzte Punkt wird unterschätzt: Im Ernstfall zählt nicht nur, dass die Daten existieren, sondern dass das Wissen über die Wiederherstellung auffindbar ist. Zum dokumentierten Sicherungskonzept gehören der Umfang der Sicherung, die Intervalle, die Speicherorte, die Zuständigkeiten, die Schritt-für-Schritt-Anleitung für die Wiederherstellung und die Testprotokolle. Diese Unterlagen nützen wenig, wenn sie im Ernstfall – unter Stress, womöglich ohne den gewohnten Ansprechpartner – niemand findet.

Hier schließt sich der Kreis zum Wissensmanagement: Eine KI-Wissensdatenbank, die aus Ihren eigenen Dokumenten antwortet und zu jeder Antwort das Quelldokument nennt, macht genau solche Unterlagen per einfacher Frage zugänglich – etwa „Wie stellen wir den Dateiserver wieder her, und wer ist zuständig?“. Die KI ersetzt dabei nicht das Backup-System, sie macht das dokumentierte Wie im entscheidenden Moment auffindbar und prüfbar.

Datensicherung ist zugleich nur einer von mehreren Bausteinen eines DSGVO-konformen IT-Einsatzes – neben Serverstandort, Zugriffskontrolle und Auftragsverarbeitung. Wie diese Bausteine zusammenspielen, zeigt der Überblicksbeitrag KI und DSGVO in Österreich.

Der nächste Schritt ist unspektakulär, aber wirksam: Prüfen Sie diese Woche, wann Ihre letzte Wiederherstellung getestet wurde – und halten Sie das Ergebnis schriftlich fest. Wenn Sie Ihr Sicherungskonzept und das übrige Betriebswissen dauerhaft auffindbar machen wollen, zeigt die Seite Ablauf der Einführung, wie eine Wissensdatenbank Schritt für Schritt in den Betrieb kommt.