Backup für jedes Budget — was KMU wirklich brauchen und was realistisch ist

Von /

Einmal im Quartal gibt es den Anruf: Eine Datei ist weg. Manchmal ein Ordner. Manchmal mehr. Die erste Frage ist immer dieselbe: „Gibt es ein Backup?“ Die Antwort in kleinen Unternehmen ist erschreckend oft: „Eigentlich schon — aber ich weiß nicht wie aktuell das ist.“

Das ist kein Einzelfall. Und es ist lösbar, auch ohne IT-Abteilung und ohne großes Budget.

Warum Backup kein optionaler Luxus ist

Datenverlust in KMU hat vier typische Ursachen: versehentliches Löschen, Hardware-Ausfall, Ransomware und ausscheidende Mitarbeiter. Die erste und zweite Ursache sind Alltag. Ransomware hat sich in den letzten Jahren zu einem Massenphänomen entwickelt — laut Bitkom verursachte Cyberkriminalität 2025 in Deutschland einen Gesamtschaden von über 178 Milliarden Euro. Der Durchschnittsschaden pro betroffenes Unternehmen liegt bei rund 266.000 Euro, gerechnet über Lösegelder, Ausfallzeit, forensische Untersuchungen und DSGVO-Meldepflichten.

Wer denkt, Microsoft oder Google sichert seine Cloud-Daten: tut es nicht. Beide Anbieter sichern ihre Infrastruktur, nicht deine Daten. Was ein Mitarbeiter löscht, ist nach den eingebauten Aufbewahrungsfristen weg. Für Microsoft 365 gibt es einen eigenen Beitrag auf dieser Seite.

Die 3-2-1-Regel — drei Sätze, die alles erklären

Drei Kopien deiner Daten. Auf zwei verschiedenen Medientypen. Davon eine außerhalb des Standorts.

Das ist alles. Wer sich diese drei Sätze merkt, hat das Wichtigste verstanden. Eine externe Festplatte, die dauerhaft am Rechner hängt, ist keine Sicherung — sie brennt mit, wird mitgestohlen und wird von Ransomware mitverschlüsselt. Erst wenn eine Kopie physisch woanders liegt, greift 3-2-1.

Vier Stufen — je nach Unternehmensgröße und Budget

Kein KMU sieht wie das andere aus. Ein Handwerksbetrieb mit drei Rechnern hat andere Anforderungen als ein Ingenieurbüro mit zehn Arbeitsplätzen und CAD-Daten im dreistelligen Gigabyte-Bereich. Deshalb vier realistische Stufen.

Stufe 1: Windows Server mit Bandlaufwerk — der klassische Ansatz

Wer einen Windows Server im Haus hat, kann auf ausgereifte, seit Jahrzehnten bewährte Backup-Software zurückgreifen: Veeam, Acronis, Windows Server Backup. Das Zielmedium ist ein Bandlaufwerk — LTO ist der industrielle Standard. LTO-8-Bänder fassen 12 TB nativ, LTO-9 bereits 18 TB. Bänder sind per Definition offline, sobald sie aus dem Laufwerk genommen werden. Ein Angreifer, der das Netzwerk kompromittiert, kommt an ein Band im Safe nicht heran.

Der Preis für diesen Komfort ist real: Ein LTO-Laufwerk kostet 2.000 bis 4.000 Euro, die Bänder 20 bis 50 Euro pro Stück. Dazu kommt die Backup-Software-Lizenz. Das rechnet sich ab einer gewissen Datenmenge und einer gewissen Unternehmensreife — für ein Zehn-Personen-Büro mit einem vorhandenen Server ist es der technisch sauberste Weg.

Die Rotation läuft nach dem Grandfather-Father-Son-Prinzip: Tages-, Wochen- und Monatsbänder wechseln sich ab, mindestens eines liegt außer Haus. Das klingt nach Aufwand, ist nach einmaliger Einrichtung aber Routine.

Stufe 2: Server mit RDX-Wechsellaufwerk — kleiner, günstiger, trotzdem wechselbar

Wer einen Windows Server hat, aber kein LTO-Budget, greift zum Tandberg RDX QuikStor. RDX ist technisch kein Band, sondern eine stoßgeschützte 2,5″-Festplatte in einem Wechselrahmen. Das Laufwerk (Dock) kostet rund 250 Euro und bleibt am Server. Die Kartuschen kosten je nach Kapazität 350 Euro pro Stück für 2 TB.

Drei Kartuschen reichen für eine einfache Wochenrotation: eine liegt im Büro, eine liegt außer Haus, eine wird gerade beschrieben. Gesamtinvestition für das Laufwerk und drei Kartuschen à 2 TB: über 1000 Euro einmalig.

Der Vorteil gegenüber einer einfachen USB-Platte: Das System ist für Wechselbetrieb konstruiert. Die Kartusche wird sauber ausgeworfen, ist stoßgeschützt und für den Transport geeignet. Windows Server Backup erkennt RDX als Wechselmedium und kann automatisch auf das jeweils eingelegte Medium sichern.

Der Nachteil: Die Medienkosten sind im Verhältnis zu dem, was technisch drin steckt, hoch. Wer die Kartuschen öffnet, findet eine gewöhnliche 2,5″-Festplatte. Der Aufpreis ist für Robustheit und Wechselrahmen-Kompatibilität.

Stufe 3: Kein Server — zwei NAS an zwei Standorten

Kleine Unternehmen ohne Windows Server und ohne Domäne — Arztpraxen, Kanzleien, Handwerksbetriebe — arbeiten oft mit einem einzelnen NAS (Network Attached Storage) im Büro. Das NAS speichert gemeinsame Dateien und ist per Browser oder Netzlaufwerk erreichbar.

Zwei NAS an zwei Standorten, die sich über das Internet synchronisieren, erfüllen 3-2-1 näherungsweise: zwei Kopien auf zwei Geräten, einer außerhalb des Standorts. Synology und QNAP, die beiden führenden Hersteller im KMU-Segment, bringen die nötige Synchronisationsfunktion ab Werk mit. Ein einfaches NAS mit zwei Festplatten im RAID-1-Verbund kostet ab rund 300 bis 500 Euro, dazu zwei Festplatten.

Der zweite Standort kann ein anderes Büro, ein Mitarbeiterzuhause oder ein gemietetes Rack sein. Die Synchronisation läuft verschlüsselt, der Einrichtungsaufwand ist überschaubar.

Was diese Lösung nicht leistet: Sie schützt nicht vor versehentlichem Löschen, wenn die Löschung synchronisiert wird, bevor jemand es bemerkt. Viele NAS-Systeme bieten dafür Snapshot-Funktionen — Punktabzüge für Dateistand zu einem bestimmten Zeitpunkt. Die müssen aktiviert sein.

Stufe 4: OneDrive und vier externe Festplatten — die kleinste sinnvolle Lösung

Wer weder Server noch NAS betreibt, teilt gemeinsame Dateien oft über OneDrive for Business. Das ist in Microsoft 365 Business-Tarifen enthalten und funktioniert als Ordner auf dem Desktop — Dateien sind lokal sichtbar und in der Cloud synchronisiert.

Ein wichtiger Hinweis für diese Konfiguration: OneDrive synchronisiert Dateien standardmäßig nicht vollständig auf die lokale Festplatte. Viele Dateien existieren nur als Platzhalter (On-Demand), der eigentliche Inhalt liegt ausschließlich in der Cloud. Beim Backup-Lauf werden diese Platzhalter-Dateien automatisch heruntergeladen — das braucht Zeit und eine stabile Internetverbindung. Wer das weiß, plant den Backup-Zeitpunkt entsprechend: nachts, bei aktiver Verbindung.

Vier externe Festplatten à 1 TB — derzeit für rund 100 Euro pro Stück erhältlich — bilden die Rotationsgrundlage: drei Platten sind im Einsatz, eine liegt immer außer Haus. Die Platten werden mit sprechenden Namen versehen (BACKUP-A bis BACKUP-D), damit die Rotation nicht davon abhängt, dass jemand den richtigen Laufwerksbuchstaben kennt.

Das Kopieren läuft über ein einfaches PowerShell-Skript, das einmal eingerichtet und dann per Windows-Taskplaner wöchentlich gestartet wird.

Das PowerShell-Skript für Stufe 4

Das folgende Skript geht von einer einfachen Annahme aus: Es ist immer genau eine Backup-Platte angesteckt, und zwar die richtige. Wer die Rotation selbst im Griff hat, braucht keine automatische Auswahl-Logik — das Skript kopiert einfach von der Quelle auf die angesteckte Platte.

<#
.SYNOPSIS
    Einfaches Backup-Skript für externe Wechselplatten (Stufe 4)
    Quelle:  OneDrive-Ordner oder freigegebener Ordner
    Ziel:    Externe Platte mit bekannter Volume-Bezeichnung
    Annahme: Genau eine Backup-Platte ist angesteckt (BACKUP-A, -B, -C oder -D)
    Anpassung: Pfade und Bezeichnungen unten anpassen.
               Bei Fragen hilft ein Admin, eine KI oder Sönke Schäfer (sesoft.de/kontakt).
#>

# -----------------------------------------------
# Konfiguration — hier anpassen
# -----------------------------------------------
# Quelle: OneDrive-Ordner (Pfad aus dem Explorer kopieren)
$SourcePath = "$env:USERPROFILE\OneDrive - Firmenname\Gemeinsame Dateien"

# Mögliche Volume-Bezeichnungen der Backup-Platten
$DriveLabels = @("BACKUP-A", "BACKUP-B", "BACKUP-C", "BACKUP-D")

# Zielordner auf der Backup-Platte
$TargetFolder = "M365-Backup"

# Protokolldatei (lokal, wird bei jedem Lauf ergänzt)
$LogFile = "C:\Backup\backup-log.txt"

# -----------------------------------------------
# Angesteckte Backup-Platte finden
# -----------------------------------------------
$TargetDrive = $null
foreach ($Label in $DriveLabels) {
    $Vol = Get-Volume -FileSystemLabel $Label -ErrorAction SilentlyContinue
    if ($Vol) {
        $TargetDrive = $Vol.DriveLetter
        $TargetLabel = $Label
        break
    }
}

if (-not $TargetDrive) {
    $Msg = "$(Get-Date -Format 'yyyy-MM-dd HH:mm') FEHLER: Keine Backup-Platte gefunden. Bitte Platte anstecken."
    $Msg | Add-Content $LogFile
    Write-Error $Msg
    exit 1
}

$TargetPath = "${TargetDrive}:\$TargetFolder"

# -----------------------------------------------
# Robocopy: Quelle auf Ziel spiegeln
# /MIR   = Spiegel (löscht auf Ziel, was in Quelle fehlt)
# /R:2   = 2 Wiederholungsversuche bei Fehler
# /W:5   = 5 Sekunden warten zwischen Versuchen
# /NP    = kein Fortschritts-Prozentsatz (Protokoll lesbarer)
# /LOG+  = Protokoll anhängen (nicht überschreiben)
# -----------------------------------------------
$StartMsg = "$(Get-Date -Format 'yyyy-MM-dd HH:mm') START: $TargetLabel ($TargetDrive):\"
$StartMsg | Add-Content $LogFile
Write-Host $StartMsg

robocopy "$SourcePath" "$TargetPath" /MIR /R:2 /W:5 /NP /LOG+:"$LogFile"

# Robocopy: Exit Codes 0-7 sind OK (0=keine Änderung, 1=kopiert, 3=kopiert+gelöscht usw.)
# Ab 8 liegt ein echter Fehler vor
if ($LASTEXITCODE -ge 8) {
    $ErrMsg = "$(Get-Date -Format 'yyyy-MM-dd HH:mm') FEHLER: Robocopy Exit Code $LASTEXITCODE — bitte Protokoll prüfen."
    $ErrMsg | Add-Content $LogFile
    Write-Error $ErrMsg
    exit $LASTEXITCODE
}

$EndMsg = "$(Get-Date -Format 'yyyy-MM-dd HH:mm') FERTIG: Backup auf $TargetLabel abgeschlossen."
$EndMsg | Add-Content $LogFile
Write-Host $EndMsg

Robocopy ist ein Windows-Bordmittel — es ist auf jedem Windows-Rechner vorhanden, kein Download nötig. /MIR spiegelt die Quelle vollständig auf das Ziel: Dateien, die in der Quelle gelöscht wurden, werden auch auf der Backup-Platte entfernt. Wer lieber ein reines Archiv ohne Löschungen möchte, lässt /MIR weg und verwendet stattdessen /E (Unterordner inklusive).

Der Quellpfad für den OneDrive-Ordner steht im Explorer in der Adressleiste. Wer mehrere Quellen sichern möchte — OneDrive und ein lokaler Projektordner — kopiert den robocopy-Aufruf einfach mit einem zweiten Quell- und Zielpfad darunter.

Einrichten in drei Schritten: Platten in der Datenträgerverwaltung (Win+X → Datenträgerverwaltung) mit den Bezeichnungen BACKUP-A bis BACKUP-D benennen. Skript als backup.ps1 unter C:\Backup\ speichern. Im Windows-Taskplaner eine wöchentliche Aufgabe anlegen, die das Skript ausführt — am besten Freitagabend oder über Nacht.

Wer bei der Anpassung des Pfades oder der Taskplaner-Einrichtung nicht weiterkommt: Ein Admin, eine KI oder ich helfen gern — sesoft.de/kontakt.

Was alle vier Stufen gemeinsam haben müssen

Egal welche Stufe: Das Backup muss getestet werden. Ein Backup, das nie wiederhergestellt wurde, ist eine Hoffnung, kein Backup. Einmal im Jahr eine Datei aus der Sicherung zurückspielen — das ist der einzige Beweis, dass die Kette funktioniert.

Und: Mindestens eine Kopie muss physisch außerhalb des Büros liegen. Das Band im Safe des Nebenraums zählt nicht — es gehört in ein anderes Gebäude. Die RDX-Kartusche, die beim Geschäftsführer zu Hause liegt, zählt. Die USB-Platte, die jede Woche mitgenommen wird, zählt.

Ransomware macht keine Ausnahme für Backups, die im selben Netzwerk erreichbar sind.

Was das für dein Unternehmen bedeutet

Stufe 4 — OneDrive plus vier rotierende Festplatten plus PowerShell-Skript — kostet unter 500 Euro einmalig und etwa 15 Minuten pro Woche für den Plattenwechsel. Das ist keine perfekte Lösung. Aber sie ist deutlich besser als gar nichts, und für viele Kleinstunternehmen ist sie der ehrlichste Weg zwischen „wir haben ein Backup“ und „das stimmt auch wirklich“.

Wer die Cloud-Seite — also das Backup der Microsoft-365-Daten selbst — noch nicht gelöst hat, findet dazu einen eigenen Beitrag auf sesoft.de.

Wer wissen möchte, welche Stufe zum eigenen Unternehmen passt, erreicht mich unter sesoft.de/kontakt.

Quellen

Autor

Sönke Schäfer berät seit über 25 Jahren norddeutsche KMU in Fragen der Datensicherung, Datenarchitektur und Systemintegration. Sein Schwerpunkt liegt auf pragmatischen Lösungen für Betriebe, die keine eigene IT-Abteilung haben — mit Microsoft Access, SQL Server und den Werkzeugen, die schon im Haus sind. Er arbeitet direkt und ohne Subunternehmer aus Sierksdorf in Ostholstein.

→ https://sesoft.de/datenschaefer-soenke-schaefer/

Hinweis: Der Code-Abschnitt richtet sich an IT-Betreuer und technisch versierte Leser. Wenn dich nicht das Skript, sondern die Frage interessiert, welche Backup-Stufe für dein Unternehmen sinnvoll ist: Das beantworte ich im Gespräch — sesoft.de/kontakt.

Ähnliche Beiträge

Nach oben scrollen