Kurz gesagt: Ein Datensicherungskonzept legt für jedes IT-System fest, welche Daten wie oft, mit welchem Verfahren und auf welche Medien gesichert werden, wer dafür verantwortlich ist, wo die Sicherungen liegen und wie die Wiederherstellung getestet wird. Das BSI behandelt das Thema im IT-Grundschutz-Kompendium im Baustein CON.3 Datensicherungskonzept. Wir zeigen dir, was aus unserer Erfahrung in ein solches Konzept gehört, vom Minimalkonzept bis zur ausgebauten Fassung.
Stand: 03.11.2026
Warum reicht ein Backup ohne Konzept nicht?
Der Baustein CON.3 Datensicherungskonzept gehört zum IT-Grundschutz-Kompendium des Bundesamts für Sicherheit in der Informationstechnik (BSI), die aktuelle Fassung ist die Edition 2023. Laut BSI zeigt er, wie Institutionen ein Datensicherungskonzept erstellen können und welche Anforderungen dabei zu beachten sind. Auf seiner Seite zu den Top 10 Maßnahmen gegen Ransomware nennt das BSI das Backup die wichtigste präventive Maßnahme. Die Daten sollen in einem Offline-Backup liegen, das nach dem Sichern vom Netz getrennt wird, und Wiederanlauf und Rücksicherung sollen geplant und im Praxistest geprüft werden.
Ein Backup-Job allein erfüllt das nicht. Aus unserer Arbeit kennen wir diese typischen Schwachstellen:
- Lücken in der Sicherung: Ein neuer Server oder eine Cloud-Anwendung wurde nie in die Sicherung aufgenommen.
- Keine Wiederherstellungstests: Die Sicherung meldet Erfolg, lässt sich im Ernstfall aber nicht oder nur unvollständig zurückspielen.
- Ungeeignete Aufbewahrung: Sicherungsmedien liegen im selben Raum wie der Server oder sind dauerhaft mit dem Netz verbunden und werden bei einem Angriff mit verschlüsselt.
- Fehlende Dokumentation: Nur eine Person weiß, wie die Wiederherstellung funktioniert. Ist sie nicht erreichbar, dauert es länger oder scheitert ganz.
- Rechtliche Vorgaben übersehen: Aufbewahrungsfristen oder Datenschutzvorgaben für die gesicherten Daten sind nicht berücksichtigt.
- Cloud ohne Regeln: Beim Online-Backup ist nicht geklärt, wo die Daten liegen und wer darauf zugreifen kann.
- Zu wenig Speicherplatz: Das Ziel läuft voll, ältere Sicherungen werden überschrieben oder neue laufen nicht mehr, und ohne Überwachung merkt es niemand.
- Verlorener Schlüssel: Die Sicherungen sind verschlüsselt, aber der Schlüssel liegt nur auf dem System, das gerade ausgefallen ist.
Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.
Womit fängt ein Datensicherungskonzept an?
Bewährt hat sich ein Einstieg in vier Schritten. Sie bilden das Minimum, das wir jedem Unternehmen empfehlen, unabhängig von Größe und Branche:
- Rahmenbedingungen erheben: Für jedes IT-System wird ermittelt und dokumentiert, wie viele Daten es gibt, wie viel sich täglich ändert, wann sich Daten ändern, wie lange ein Ausfall dauern darf und welche rechtlichen Vorgaben gelten. Das klären Fachabteilung und IT gemeinsam.
- Verfahren festlegen: Pro System wird festgelegt, welche Daten wie gesichert werden: Art der Sicherung, Häufigkeit, Zeitpunkte, Medien, Transport und Aufbewahrung. Bei virtuellen Servern prüfen wir zusätzlich, ob Snapshots als Ergänzung sinnvoll sind. Ein Ersatz für die Sicherung sind sie nicht.
- Minimalkonzept schreiben: Ein kurzes Dokument beschreibt, welche Systeme und Daten gesichert werden, wie Sicherung und Wiederherstellung ablaufen, welche Einstellungen gelten und welche Hard- und Software eingesetzt wird.
- Regelmäßig sichern und testen: Die Sicherung läuft nach Plan, die Sicherungen sind vor fremdem Zugriff geschützt, mindestens eine Kopie ist offline, und die Wiederherstellung wird regelmäßig ausprobiert.
Was gehört in ein ausgebautes Konzept?
Steht das Minimalkonzept, empfehlen wir, es um diese Punkte zu erweitern:
- Vollständiges Konzept: Begriffe, Risiken, Rahmenbedingungen und Sicherungspläne je System, einschließlich des Datenverlusts, der höchstens tolerierbar ist (RPO). Die Mitarbeitenden kennen das Konzept, und jemand kontrolliert die Umsetzung.
- Passendes Sicherungssystem: Vor der Anschaffung schreibst du auf, was das System können muss. Erst dann wird ausgewählt, nicht umgekehrt.
- Regeln für Cloud-Backup: Vertrag, Speicherort, Verfügbarkeit (SLA), Anmeldung am Dienst sowie die Verschlüsselung der übertragenen und gespeicherten Daten sind schriftlich geklärt.
- Klare Zuständigkeiten: Alle Beteiligten kennen die Regeln und ihre Aufgaben, und es gibt eine Vertretung.
- Software und Lizenzen: Installationsquellen, Lizenzschlüssel und Konfigurationen werden mitgesichert, soweit das rechtlich erlaubt und technisch möglich ist.
- Sichere Aufbewahrung: Sicherungsmedien sind vor unbefugtem Zugriff geschützt, räumlich getrennt von den gesicherten Systemen und klimatisch geeignet gelagert.
Wo die Daten besonders schützenswert sind, raten wir zusätzlich zur Verschlüsselung der Sicherungen. Dann gehört ins Konzept, dass die Schlüssel getrennt von den Daten gesichert werden und dass sich die Sicherungen auch nach langer Zeit noch lesen lassen.
Checkliste: Was gehört in dein Datensicherungskonzept?
| Bestandteil | Leitfrage |
|---|---|
| Systeme und Daten | Welche Server, Clients, Cloud-Dienste und Geräte werden gesichert, welche bewusst nicht? |
| Rahmenbedingungen | Wie groß sind Datenvolumen und tägliche Änderung, wie lange darf ein Ausfall dauern, welcher Datenverlust ist tolerierbar? |
| Verfahren | Vollsicherung, inkrementell oder differenziell, Image oder Dateiebene, Snapshots bei virtuellen Maschinen? |
| Zeitplan | Wann läuft welche Sicherung, wie viele Generationen werden aufbewahrt? |
| Medien und Aufbewahrung | Wo liegen die Sicherungen, gibt es eine Offline-Kopie und eine Kopie außer Haus oder in der Cloud, wer hat Zugriff? |
| Verantwortlichkeiten | Wer sichert, wer kontrolliert, wer darf wiederherstellen, wer vertritt? |
| Wiederherstellung | Wie läuft die Wiederherstellung Schritt für Schritt, wie oft wird sie getestet, wer dokumentiert das Ergebnis? |
| Cloud-Backup | Vertrag, Speicherort, SLA, Anmeldung und Verschlüsselung geregelt? |
| Verschlüsselung | Sind Sicherungen verschlüsselt, und liegen die Schlüssel getrennt und sicher? |
| Software und Lizenzen | Sind Installationsmedien, Lizenzschlüssel und Konfigurationen gesichert? |
| Rechtliches | Welche Aufbewahrungsfristen und Datenschutzvorgaben gelten für die gesicherten Daten? |
| Dokumentation | Ist das Konzept aktuell, bekannt und auch ohne den Admin auffindbar? |
Wie setzt du das in einem kleinen Unternehmen praktisch um?
Du musst nicht mit dem vollständigen Konzept starten. Beginne mit dem Minimalkonzept: eine Tabelle der Systeme, das Verfahren, der Zeitplan, der Ablageort und der Name der verantwortlichen Person. Dazu ein fester Termin für den Wiederherstellungstest, zum Beispiel vierteljährlich eine zufällig gewählte Datei und einmal im Jahr ein ganzer Server. Erst wenn das läuft, baust du das Konzept schrittweise aus. Entscheidend ist, dass das Dokument gelebt wird: Nach jedem neuen Server, jeder neuen Cloud-Anwendung und jedem Personalwechsel wird es angepasst.
So unterstützen wir dich
Wir erstellen Datensicherungskonzepte für Unternehmen, Praxen und Kanzleien in Osnabrück und Umgebung, setzen sie mit lokalem Backup und TERRA CLOUD Backup um und übernehmen die regelmäßigen Wiederherstellungstests. Entfernter helfen wir per Fernwartung. Mehr dazu auf unserer Seite zu Backup und Wiederherstellung.
Häufige Fragen
Ist ein Datensicherungskonzept Pflicht?
Ob eine Vorgabe dafür gilt, hängt von Branche und Daten ab. Wir empfehlen ein dokumentiertes Konzept in jedem Fall, denn ohne es lässt sich weder intern noch gegenüber Auftraggebern oder Versicherern nachvollziehen, ob die Sicherung wirklich funktioniert.
Wie oft muss ich die Wiederherstellung testen?
Das BSI rät, Wiederanlauf und Rücksicherung zu planen und im Praxistest zu prüfen, ein festes Intervall nennt es auf seiner Seite nicht. Bewährt hat sich ein kleiner Test pro Quartal und ein großer pro Jahr, jeweils dokumentiert.
Reicht ein Cloud-Backup allein?
Das hängt vor allem davon ab, wie schnell du nach einem Ausfall wieder arbeiten musst. Wir empfehlen meist eine lokale Sicherung für die schnelle Wiederherstellung plus eine Kopie außer Haus, und für die Cloud müssen Vertrag, Speicherort, SLA, Anmeldung und Verschlüsselung geregelt sein.
Was ist der Unterschied zwischen Datensicherung und Archivierung?
Die Datensicherung soll den Betrieb nach einem Datenverlust kurzfristig wiederherstellen. Die Archivierung bewahrt Daten über lange Zeit unverändert auf, etwa wegen Aufbewahrungsfristen, und folgt eigenen Regeln.
Quellen
- CON.3 Datensicherungskonzept (Edition 2023) (Bundesamt für Sicherheit in der Informationstechnik, abgerufen am 03.11.2026)
- Top 10 Ransomware-Maßnahmen (Bundesamt für Sicherheit in der Informationstechnik, abgerufen am 03.11.2026)
