Wenn ein Betrieb nach einem Datenverlust feststellt, dass zwar Backups vorhanden sind, aber nur für die letzten sieben Tage, wird aus einer Formalität schnell ein echtes Geschäftsproblem. Genau deshalb ist die Frage, wie lange Backups aufbewahren, keine reine IT-Detailfrage, sondern eine betriebliche Entscheidung mit Auswirkungen auf Ausfallsicherheit, Nachvollziehbarkeit und Haftung.
Wie lange Backups aufbewahren – die kurze Antwort
Die kurze Antwort lautet: so lange wie nötig, aber nicht länger als sinnvoll. Für viele kleine und mittlere Unternehmen reicht es nicht, einfach „täglich sichern“ abzuhaken. Entscheidend ist, wie weit man im Ernstfall zurückgehen können muss.
Wer nur versehentlich gelöschte Dateien der letzten Tage wiederherstellen möchte, braucht eine andere Aufbewahrungsdauer als ein Unternehmen, das auf steuerlich relevante Unterlagen, Projektstände oder langfristige Kundendaten angewiesen ist. Dazu kommen branchenspezifische Vorgaben, interne Prozesse und die Frage, ob Daten lokal, in der Cloud oder hybrid gesichert werden.
Die Aufbewahrungsdauer hängt vom Einsatzzweck ab
Backups erfüllen in Unternehmen mehrere Aufgaben gleichzeitig. Sie dienen der schnellen Wiederherstellung nach Hardwarefehlern, schützen vor Bedienfehlern und sind oft die letzte Sicherheitslinie nach einem Cyberangriff. Je nachdem, welcher Zweck im Vordergrund steht, verändert sich auch die sinnvolle Aufbewahrung.
Für den operativen Alltag sind kurze Wiederherstellungsfenster wichtig. Wenn gestern eine Datei überschrieben wurde oder ein Server nach einem Update Probleme macht, braucht man aktuelle Sicherungen der letzten Stunden oder Tage. Hier zählt Geschwindigkeit mehr als Historie.
Anders sieht es bei schleichenden Problemen aus. Wird ein Verschlüsselungstrojaner erst nach drei Wochen entdeckt oder wurden Daten über einen längeren Zeitraum unbemerkt beschädigt, helfen nur ältere, saubere Sicherungen. Genau an diesem Punkt zeigt sich, warum sehr kurze Backup-Zeiträume riskant sein können.
Ein praxisnahes Modell für KMU
Für viele KMU in Österreich ist ein gestaffeltes Modell sinnvoll. Dabei werden verschiedene Sicherungsstände unterschiedlich lange aufbewahrt, statt alle Backups gleich zu behandeln.
Tägliche Backups bleiben meist für einige Wochen verfügbar. Das ist ideal für typische Fehler im Tagesgeschäft. Wöchentliche Sicherungen werden oft mehrere Monate aufgehoben, um auch bei später erkannten Problemen noch reagieren zu können. Monatliche oder quartalsweise Sicherungen bleiben deutlich länger bestehen, wenn sie für Dokumentation, Projekte oder historische Datenstände relevant sind.
Ein typischer Rahmen kann so aussehen: tägliche Backups für 14 bis 30 Tage, wöchentliche Sicherungen für 2 bis 3 Monate und monatliche Backups für 6 bis 12 Monate. Das ist kein Gesetz, aber ein praxistauglicher Ausgangspunkt. Je höher das Risiko und je sensibler die Daten, desto eher lohnt sich eine längere Historie.
Rechtliche und organisatorische Anforderungen nicht verwechseln
Eine der häufigsten Fehlannahmen ist, dass Backup und Archiv dasselbe sind. Das stimmt nicht. Ein Backup ist in erster Linie für die Wiederherstellung gedacht. Ein Archiv dient der langfristigen, nachvollziehbaren Aufbewahrung von Informationen.
Wenn Belege, Verträge oder andere geschäftsrelevante Unterlagen aus gesetzlichen Gründen mehrere Jahre aufbewahrt werden müssen, ersetzt ein normales Backup diese Pflicht nicht automatisch. Backups können Teil des Schutzkonzepts sein, aber nicht die komplette Archivierungsstrategie.
Für Unternehmen bedeutet das: Die Frage „wie lange Backups aufbewahren“ sollte immer getrennt betrachtet werden von der Frage, wie lange bestimmte Dokumente gesetzlich oder intern vorgehalten werden müssen. Beides hängt zusammen, ist aber nicht identisch. Wer hier sauber trennt, vermeidet spätere Probleme bei Prüfungen oder Wiederherstellungen.
Diese Faktoren bestimmen die passende Dauer
Wie lange Sicherungen wirklich aufgehoben werden sollten, hängt von einigen sehr konkreten Punkten ab. Wichtig ist zuerst der Datenwert. Fällt bei Verlust nur ein einzelnes Arbeitsdokument aus, ist das etwas anderes als der Verlust von Buchhaltung, Kundendatenbank oder Projektunterlagen.
Ebenso relevant ist, wie spät Fehler typischerweise auffallen. In vielen Unternehmen werden falsche Änderungen nicht am selben Tag bemerkt. Manchmal wird erst nach Wochen klar, dass ein Datenbestand unvollständig oder beschädigt ist. Dann braucht man ältere Wiederherstellungspunkte.
Auch die technische Umgebung spielt eine Rolle. In Microsoft-365-Umgebungen verlassen sich viele Betriebe auf Standardfunktionen wie Papierkorb oder Versionierung. Das hilft im Alltag, ist aber kein vollständiges Backup-Konzept. Wer Cloud-Dienste produktiv nutzt, sollte die Aufbewahrung dort genauso bewusst planen wie auf lokalen Servern.
Dazu kommt das Budget. Längere Aufbewahrung braucht mehr Speicherplatz, klar definierte Prozesse und regelmäßige Kontrolle. Unbegrenzt aufzubewahren klingt zunächst sicher, ist aber oft weder wirtschaftlich noch organisatorisch sauber. Mehr Daten bedeuten auch mehr Komplexität bei Wiederherstellung, Prüfung und Datenschutz.
Wie lange Backups aufbewahren bei Ransomware?
Bei Ransomware ist eine zu kurze Backup-Historie besonders gefährlich. Viele Angriffe werden nicht sofort erkannt. Angreifer bewegen sich teilweise über Tage oder Wochen im Netzwerk, bevor Daten verschlüsselt oder manipuliert werden. Wenn alle verfügbaren Sicherungen bereits kompromittiert oder zeitlich zu nah am Angriff liegen, nützt selbst ein vorhandenes Backup wenig.
Deshalb sollten Unternehmen mindestens einen Teil ihrer Backups länger aufbewahren und technisch so absichern, dass sie nicht einfach überschrieben oder gelöscht werden können. Unveränderbare Sicherungen, getrennte Speicherziele oder offline verfügbare Kopien sind hier oft wichtiger als noch ein zusätzliches Tagesbackup.
Die eigentliche Frage lautet also nicht nur, wie lange man Backups behält, sondern auch, ob diese im Ernstfall wirklich unangetastet verfügbar sind.
Die 3-2-1-Regel bleibt sinnvoll – reicht allein aber nicht
Die bekannte 3-2-1-Regel ist weiterhin ein guter Standard. Drei Kopien der Daten, auf zwei unterschiedlichen Medien, eine Kopie extern oder getrennt vom Hauptsystem. Für viele Unternehmen ist das eine solide Basis.
Was diese Regel nicht beantwortet, ist die Aufbewahrungsdauer. Man kann die 3-2-1-Regel formal erfüllen und trotzdem ein zu kurzes Zeitfenster haben. Dann ist die Infrastruktur vorhanden, aber der Rücksprungpunkt reicht nicht weit genug zurück.
Deshalb sollte jede Backup-Strategie zwei Fragen sauber beantworten: Wo liegen die Sicherungen – und wie lange bleiben welche Versionen verfügbar?
Typische Fehler in kleinen und mittleren Unternehmen
Im Mittelstand sehen wir oft dieselben Schwachstellen. Es gibt Backups, aber kein dokumentiertes Konzept. Oder die Aufbewahrungszeit wurde irgendwann einmal eingestellt und danach nie mehr überprüft.
Problematisch ist auch, wenn alle Systeme gleich behandelt werden. Ein Fileserver, ein E-Mail-System und eine Warenwirtschaft haben in der Regel nicht dieselben Anforderungen. Wer alles pauschal 14 Tage sichert, handelt zwar einfach, aber nicht unbedingt passend.
Ein weiterer Fehler ist fehlendes Testen. Eine definierte Aufbewahrung bringt wenig, wenn Wiederherstellungen nicht regelmäßig geprüft werden. Erst im Test zeigt sich, ob Sicherungsstände vollständig, lesbar und in vertretbarer Zeit verfügbar sind.
So treffen Unternehmen eine belastbare Entscheidung
Sinnvoll ist ein kurzer Blick auf vier Fragen. Erstens: Welche Daten müssen nach einem Vorfall schnell wieder da sein? Zweitens: Wie weit zurück muss man im Problemfall realistisch gehen können? Drittens: Gibt es rechtliche oder vertragliche Anforderungen? Viertens: Welche Systeme sind für den Betrieb geschäftskritisch?
Auf dieser Basis lässt sich eine Aufbewahrungsstrategie festlegen, die zum Unternehmen passt. Nicht maximal lang, sondern nachvollziehbar und umsetzbar. Ein Hotelbetrieb mit Buchungsdaten, WLAN-Infrastruktur und digitaler Kommunikation hat andere Anforderungen als ein Handwerksbetrieb oder ein Büro mit starkem Microsoft-365-Anteil.
Gerade für kleinere Unternehmen ist ein einfaches, dokumentiertes Konzept oft besser als eine komplizierte Lösung, die im Alltag niemand sauber betreut. Wichtig ist, dass Verantwortlichkeiten geklärt sind, Aufbewahrungsfristen definiert werden und die Sicherung regelmäßig kontrolliert wird.
Technik, Prozesse und Verantwortung müssen zusammenpassen
Backup ist kein Produkt, das man einmal kauft und dann abhakt. Es ist ein laufender Prozess. Systeme ändern sich, Datenmengen wachsen, Mitarbeiter arbeiten mobil, neue Cloud-Dienste kommen dazu. Damit verändert sich automatisch auch die Frage der Aufbewahrung.
Deshalb sollte die Backup-Strategie in regelmäßigen Abständen überprüft werden. Nicht aus Prinzip, sondern weil sich Risiken und Anforderungen im Betrieb verschieben. Ein Unternehmen, das heute mit wenigen lokalen Arbeitsplätzen auskommt, hat nach Einführung von Microsoft 365, neuer Telefonie oder zentraler Dateiverwaltung eine andere Ausgangslage als vor zwei Jahren.
Ein regionaler IT-Partner wie zellnet unterstützt hier nicht nur bei der technischen Umsetzung, sondern vor allem dabei, eine verständliche und belastbare Linie festzulegen. Genau das ist für Geschäftsführer und Verantwortliche oft der wichtigste Punkt: keine überladene Theorie, sondern eine Lösung, die im Alltag funktioniert.
Wer bei Backups nur an Speicherplatz denkt, plant zu kurz. Entscheidend ist, wie gut die Aufbewahrung zur Realität des eigenen Betriebs passt – denn erst im Ernstfall zeigt sich, ob aus einer Sicherung wirklich Sicherheit wird.