Hybride Backup-Strategien auf dem Vormarsch – aber ohne Wiederherstellungsstrategie nur die halbe Miete

DATA REVERSE®-Studie 2025: Restore-Tests fehlen trotz wachsender Backup-Komplexität

KMU-Backupstudie 2025: Sicherungsverhalten und Testquoten deutscher Unternehmen (© DATA REVERSE)

Leipzig (pts007/20.04.2026/09:05)

Hybride Backup-Architekturen haben sich in deutschen KMU binnen drei Jahren vom Nischenmodell zum Standard entwickelt. Das belegt die KMU-Backupstudie 2025 von DATA REVERSE®, für die im ersten Quartal 2025 insgesamt 285 kleine und mittelständische Unternehmen befragt wurden. 59 Prozent kombinieren inzwischen Cloud- und On-Premises-Speicher – 2022 waren es lediglich 19 Prozent. Was in der Theorie mehr Ausfallsicherheit bedeutet, stellt IT-Verantwortliche in der Praxis vor neue Herausforderungen: Denn mit steigender Infrastrukturkomplexität wächst auch der Anspruch an eine strukturierte Wiederherstellungsplanung – und genau dort klaffen die größten Lücken.

Von der einfachen Sicherung zur verteilten Architektur

Die Verschiebung weg von rein lokalen Lösungen ist deutlich: Nur noch 12 Prozent der befragten Unternehmen setzen ausschließlich auf On-Premises-Infrastruktur, 29 Prozent sichern vollständig in der Cloud. Die dominierende Mehrheit von 59 Prozent verteilt ihre Daten auf beide Speicherebenen – ein Ansatz, der prinzipiell der bewährten 3-2-1-Regel entspricht: mindestens drei Kopien der Daten, auf zwei verschiedenen Medientypen, davon eine außerhalb des primären Standorts.

Hybride Setups erfüllen diese Anforderung strukturell – sie bieten Schutz vor lokalem Hardwareversagen, Standortausfällen und, zunehmend relevant, vor Ransomware-Angriffen. Moderne Angriffe zielen dabei gezielt auch auf Backup-Systeme ab, um eine Wiederherstellung zu verhindern. Wirksamen Schutz bieten hier erst Immutable Backups – also unveränderliche Sicherungen auf WORM-Speicher (Write Once, Read Many), die nachträglich weder überschrieben noch verschlüsselt werden können. In Kombination mit einem Air-Gap, also einer physischen oder logischen Netzwerktrennung des Backup-Systems, gilt dieses Konzept derzeit als Stand der Technik gegen ransomware-basierte Erpressung. Der Schutzwert hybrider Architekturen hängt jedoch in jedem Fall davon ab, ob die Wiederherstellung ebenso sorgfältig geplant wurde wie die Sicherung selbst.

Tägliche Backups rückläufig – ein unterschätzter Befund

Auffällig im Vergleich zur DATA REVERSE®-Studie aus dem Jahr 2022: Der Anteil der Unternehmen, die täglich sichern, ist von damals 47 Prozent auf heute 24 Prozent gesunken. 53 Prozent sichern wöchentlich, 23 Prozent monatlich oder seltener. Insgesamt geben 77 Prozent an, mindestens wöchentlich Backups durchzuführen – was grundsätzlich positiv ist, den RPO-Wert vieler Unternehmen jedoch verschlechtert.

Der Recovery Point Objective – also der maximal tolerierbare Datenverlust, gemessen in Zeit – steigt, wenn seltener gesichert wird. Für Unternehmen, die ausschließlich wöchentliche Vollsicherungen ohne inkrementelle Zwischensicherungen durchführen, bedeutet das im Ernstfall den Verlust einer ganzen Arbeitswoche an Transaktionen, Kundendaten oder Produktionsdaten. Inkrementelle oder differenzielle Backup-Strategien, die zwischen den Vollsicherungen ansetzen, können den RPO deutlich reduzieren – ohne proportional mehr Speicherplatz zu verbrauchen.

72 Prozent testen nicht – RTO bleibt unbekannte Größe

Das gravierendste Ergebnis der Studie: 72 Prozent der befragten KMU testen ihre Backups selten oder gar nicht auf tatsächliche Wiederherstellbarkeit. Nur 28 Prozent führen mindestens einmal pro Quartal gezielte Restore-Tests durch.

Für IT-Verantwortliche bedeutet das: Der Recovery Time Objective – also die Zeit, die eine vollständige Wiederherstellung in Anspruch nimmt – ist in diesen Unternehmen de facto unbekannt. Wer seinen RTO-Wert nicht kennt, kann ihn weder in einen Notfallplan noch in eine Business-Continuity-Strategie einbinden. Hinzu kommt, dass ungetestete Backups keine Garantie für Datenintegrität bieten. Ohne automatisierte Integritätsprüfung – etwa durch Checksummen-Validierung oder testweise Rücksicherung in eine isolierte Umgebung – bleibt unentdeckt, ob Sicherungsdateien korrumpiert, unvollständig oder durch stille Datenfehler (Silent Corruption) unbrauchbar geworden sind.

Komplexe Abhängigkeiten erfordern definierten Wiederanlaufplan

In verteilten Infrastrukturen genügt die technische Verfügbarkeit einzelner Backups nicht. Anwendungen, Datenbanken und Cloud-Dienste sind miteinander verknüpft und müssen in einer klar definierten Reihenfolge wiederhergestellt werden. In typischen dreischichtigen Architekturen bedeutet das: zuerst Netzwerkinfrastruktur und Storage, dann Datenbankserver – die vollständig initialisiert und erreichbar sein müssen, bevor abhängige Applikationsserver hochgefahren werden. Wird diese Reihenfolge nicht eingehalten oder sind die Abhängigkeiten nicht dokumentiert, entstehen Verbindungsfehler, inkonsistente Datenbankzustände oder fehlerhafte Anwendungsstarts, die die Wiederherstellung erheblich verzögern oder zusätzliche manuelle Eingriffe erfordern.

Die Auswertung realer Datenrettungseinsätze durch DATA REVERSE® im Jahr 2025 zeigt: Backups waren in vielen Fällen technisch intakt – die Wiederherstellung scheiterte dennoch, weil Systemabhängigkeiten nicht dokumentiert, Wiederanlaufreihenfolgen nicht definiert und Restore-Szenarien unter realistischen Bedingungen nie erprobt worden waren.

DSGVO-Konformität als zusätzliche Anforderung

Für deutsche KMU kommt ein weiterer Aspekt hinzu: Cloud-basierte Backup-Lösungen müssen DSGVO-konform betrieben werden. Das betrifft die Wahl des Rechenzentrumstandorts ebenso wie Verschlüsselung während der Übertragung und im Ruhezustand sowie vertragliche Regelungen zur Auftragsverarbeitung. Hybride Architekturen, die internationale Cloud-Anbieter einbinden, sind hier besonders sorgfältig zu prüfen – nicht zuletzt vor dem Hintergrund aktueller Diskussionen um digitale Souveränität und den Zugriff durch ausländische Behörden auf in der EU gespeicherte Daten.

Empfehlung: Backup-Strategie konsequent um Restore-Strategie erweitern

DATA REVERSE® empfiehlt IT-Verantwortlichen in KMU konkret:

• RPO definieren: Wie viel Datenverlust ist pro System tolerierbar? Backup-Frequenz und Sicherungstyp – vollständig, inkrementell oder differenziell – müssen darauf abgestimmt sein.
• RTO festlegen und testen: Wie lange darf die Wiederherstellung dauern? Dieser Wert muss unter realen Bedingungen ermittelt und regelmäßig überprüft werden.
• Immutable Backups einsetzen: Mindestens eine Sicherungskopie sollte auf WORM-Speicher liegen und über einen Air-Gap vom produktiven Netz getrennt sein – wirksamer Schutz gegen Ransomware.
• Integrität automatisiert prüfen: Backup-Dateien sollten regelmäßig auf Vollständigkeit und Lesbarkeit validiert werden, ohne auf den Ernstfall warten zu müssen.
• Systemabhängigkeiten dokumentieren: Eine vollständige Dependency Map aller beteiligten Dienste ist Voraussetzung für einen koordinierten Wiederanlauf in der richtigen Reihenfolge.
• Restore-Tests quartalsweise durchführen: Unter Einbeziehung aller genutzten Speicherebenen – lokal, cloud-basiert und virtualisiert – und unter möglichst realistischen Bedingungen.
• 3-2-1-Regel konsequent umsetzen: Hybride Architekturen bieten die strukturelle Basis – sie müssen jedoch aktiv als solche geplant, dokumentiert und getestet werden.

Die Entscheidung für eine hybride Backup-Strategie ist der richtige Schritt in Richtung Ausfallsicherheit. Ihren vollen Wert entfaltet sie jedoch erst dann, wenn Unternehmen auch wissen, wie, in welcher Reihenfolge und in welcher Zeit sie ihre Systeme daraus wiederherstellen können.

Aussender:	DATA REVERSE® Datenrettung
Ansprechpartner:	Christine Schröder
Tel.:	+49 341 392 817 89
E-Mail:	presse@datareverse.de
Website:	www.datareverse-datenrettung.de