Backup-Tests: Warum die meisten Unternehmen erst zu spät feststellen, dass ihre Backups nicht funktionieren

Laut dem „Kaseya State of the MSP Report 2026“ bieten mittlerweile 79 % der MSPs Backup und Wiederherstellung als Managed Service an. Doch das Anbieten von Backups und die Gewährleistung einer verifizierten Wiederherstellung sind zwei verschiedene Dinge, und die Kluft zwischen beiden ist größer, als den meisten MSPs bewusst ist.

Die Forschungsergebnisse sprechen eine deutliche Sprache. Obwohl 92 % der Unternehmen angeben, über Backups zu verfügen, gelingt es 31 % nicht, ihre Daten wiederherzustellen, wenn sie von Ransomware befallen werden. Mehr als die Hälfte der Unternehmen testet ihren Notfallplan einmal im Jahr oder seltener. Und 33 % führen nur selten oder gar keine Tests durch. Das Problem ist nicht das Backup an sich. Das Problem ist, dass die Funktionsfähigkeit des Backups nie überprüft wurde.

Ein Backup-Job, der fehlerfrei abgeschlossen wird, vermittelt das Gefühl von Sicherheit. Auf jedem Dashboard und in jedem Bericht sieht es nach Sicherheit aus. Ob es sich tatsächlich um Sicherheit handelt, lässt sich nur durch eine Wiederherstellung feststellen, und die meisten Unternehmen tun dies erst, wenn in der Produktion etwas katastrophal schiefgelaufen ist und es keine andere Möglichkeit mehr gibt.

Warum Backups ohne Vorwarnung fehlschlagen

Ein Backup-Fehler ist gerade deshalb so heimtückisch, weil er unsichtbar ist. Es gibt keine Warnmeldung, keinen Bericht über einen fehlgeschlagenen Job und keinen Hinweis darauf, dass etwas nicht stimmt – bis unter Zeitdruck versucht wird, die Daten wiederherzustellen.

Backup-Aufträge werden abgeschlossen, die Wiederherstellung schlägt jedoch fehl. Ein Backup-Auftrag kann als erfolgreich gemeldet werden – mit Angaben zu übertragenen Dateien und zum Abschluss des Auftrags –, obwohl dabei ein unbrauchbares Backup erstellt wurde. Zu den stillen Fehlern zählen: Anwendungsdaten, die in einem inkonsistenten Zustand erfasst wurden und nach der Wiederherstellung nicht geöffnet werden können; Fehler bei Verschlüsselungsschlüsseln, die eine Entschlüsselung verhindern; Probleme mit Dateiberechtigungen, die den Zugriff auf einzelne Dateien blockieren; sowie VM-Images, die aufgrund von Inkompatibilitäten bei Treibern oder der Hardwareabstraktion nicht booten können.

Umgebungsänderungen. Server ändern sich: Anwendungen werden aktualisiert, Konfigurationen werden angepasst, neue Datenquellen kommen hinzu. Eine Backup-Konfiguration, die vor sechs Monaten noch korrekt war, erfasst möglicherweise nicht mehr die richtigen Daten oder weist Kompatibilitätsprobleme mit aktualisierten Anwendungsversionen auf, die erst bei einem Wiederherstellungsversuch zutage treten.

Lücken in der Aufbewahrungsdauer. Ein sich langsam ausbreitender Ransomware-Angriff kann eine Verweildauer haben, die Ihr Aufbewahrungsfenster überschreitet. Ein Backup, das Daten aus den letzten 30 Tagen aufbewahrt, bietet möglicherweise keinen Schutz vor einem Angriff, der vor 45 Tagen begann und bereits jeden Wiederherstellungspunkt im Set beschädigt hat.

Speicherausfälle. Backup-Ziele fallen unbemerkt aus. Eine lokale Festplatte, eine Bandbibliothek oder ein Cloud-Speicherziel, das seit Wochen nicht verfügbar ist, wird möglicherweise erst erkannt, wenn eine Wiederherstellung versucht wird. Bis dahin ist das gesamte Aufbewahrungsfenster möglicherweise bereits abgelaufen.

Die Folge ist nicht nur eine fehlgeschlagene Wiederherstellung. Es sind längere Ausfallzeiten, unwiederbringlicher Datenverlust, unnötige Verhandlungen mit Ransomware-Angreifern und im schlimmsten Fall der Geschäftsausfall. Fast jeder fünfte Inhaber eines KMU, der Opfer eines Cyberangriffs wurde, ging in Konkurs oder musste sein Geschäft aufgeben. Getestete Backups sind der direkteste technische Schutz vor einem solchen Ausgang.

So funktioniert das Testen von Backups: Die fünf Testarten

Test der Wiederherstellung auf Dateiebene. Bestimmte Dateien aus Backups, Dokumenten, Datenbankexporten und E-Mail-Archiven wiederherstellen und überprüfen, ob sie sich korrekt öffnen lassen und die erwarteten Daten enthalten. Dies ist der praktisch erforderliche Mindesttest, der Beschädigungen auf Dateiebene, Probleme mit Zugriffsberechtigungen und Verschlüsselungsprobleme aufdeckt. Er kann regelmäßig ohne nennenswerten betrieblichen Aufwand durchgeführt werden.

Wiederherstellungstest auf Systemebene. Stellen Sie einen kompletten Server oder eine VM aus einem Backup in einer isolierten Testumgebung wieder her und überprüfen Sie, ob das System hochfährt, Anwendungen starten und Dienste ordnungsgemäß funktionieren. Dieser Test dient dazu, zu überprüfen, ob eine vollständige Serverwiederherstellung tatsächlich möglich ist, und wird am häufigsten übersprungen. Durch die Durchführung in einem isolierten Netzwerk werden Auswirkungen auf die Produktionsumgebung vermieden.

Test der Datenbankwiederherstellung. Stellen Sie bei Datenbankservern die Datenbanksicherung sowie die Transaktionsprotokolle wieder her und überprüfen Sie, ob die Datenbank konsistent und zugänglich ist und sich am erwarteten Wiederherstellungspunkt befindet. Tests auf Dateiebene erkennen keine datenbankspezifischen Probleme wie Inkonsistenzen in den Transaktionsprotokollen, die zu einer technisch erfolgreichen Wiederherstellung führen können, bei der jedoch keine Abfragen ausgeführt werden können.

RTO-Messung. Messen Sie die Dauer des Wiederherstellungsprozesses vom Start bis zur Bestätigung der Wiederherstellung und vergleichen Sie diese mit dem für dieses System festgelegten RTO. Bei einem Server mit einem RTO von vier Stunden, dessen Wiederherstellung neun Stunden dauert, besteht eine Lücke, die vor dem Eintreten eines tatsächlichen Vorfalls und nicht erst währenddessen behoben werden muss.

Vollständige DR-Simulation. Eine jährlich oder halbjährlich durchgeführte Übung, bei der ein festgelegtes Wartungsfenster als simulierte Katastrophe behandelt wird: Alle kritischen Systeme werden auf die Backup-Infrastruktur umgeschaltet, die Aufrechterhaltung des Geschäftsbetriebs wird überprüft, die tatsächlichen RTOs werden gemessen und anschließend wird der Produktionsbetrieb wiederhergestellt. Dies ist der Test mit der höchsten Zuverlässigkeit und derjenige, der systemische Lücken aufdeckt, die bei Tests auf Komponentenebene übersehen werden. Er umfasst einen DR-Durchlauf mit Schlüsselpersonal zur Identifizierung von Lücken, Tabletop-Übungen zur Validierung von Checklisten und einen vollständigen Failover-Test, bei dem der Betrieb aus der DR-Umgebung heraus läuft, bevor ein Failback erfolgt.

Wie oft sollte man einen Test machen?

Empfehlungen zur Häufigkeit nach Testart und Systemebene:

Tier-1-Systeme (Systeme mit den strengsten RTOs und den größten Auswirkungen auf den Geschäftsbetrieb): monatliche Überprüfung der Wiederherstellung auf Dateiebene; vierteljährliche Überprüfung der Wiederherstellung auf Systemebene; jährliche vollständige DR-Simulation.

Tier-2-Systeme: vierteljährliche Wiederherstellung auf Dateiebene; zweimal jährlich Wiederherstellung auf Systemebene; Bestandteil der jährlichen DR-Simulation.

Nach jeder wesentlichen Änderung – sei es die Bereitstellung von Patches, Anwendungsupdates, Änderungen an der Infrastruktur oder die Aufnahme neuer Systeme in den Backup-Umfang – sollte jeweils ein gezielter Wiederherstellungstest für die betroffenen Systeme durchgeführt werden.

Nach einem Sicherheitsvorfall: Auch wenn die Backup-Infrastruktur nicht direkt betroffen war, sollten Sie die Wiederherstellungsfähigkeit testen, bevor Sie die Wiederherstellung als abgeschlossen betrachten. Ransomware zielt gezielt auf die Backup-Infrastruktur ab; stellen Sie daher sicher, dass Ihre Wiederherstellungspunkte nicht infiziert sind.

Für die meisten MSPs ist Zeit das größte Hindernis. Manuelle Wiederherstellungstests in Dutzenden von Kundenumgebungen in den oben genannten Abständen sind ohne Automatisierung betrieblich nicht durchführbar. Hier schließt die automatisierte Überprüfung die Lücke.

Die 3-2-1-Regel und was sie außer Acht lässt

Die 3-2-1-Regel – drei Kopien der Daten auf zwei verschiedenen Medientypen, wobei eine Kopie außerhalb des Standorts aufbewahrt wird – gilt nach wie vor als Standardempfehlung für eine ausfallsichere Datensicherung. Sie löst das Problem der Redundanz auf elegante Weise: Fällt eine einzelne Kopie aus, bleiben die anderen erhalten.

Was dabei jedoch außer Acht gelassen wird, ist die Wiederherstellbarkeit. Drei Kopien beschädigter Daten sind drei nicht wiederherstellbare Backups. Eine externe Kopie, die nicht getestet wurde, ist eine reine Vermutung.

Die 3-2-1-Regel sollte als Mindestanforderung an die Architektur betrachtet werden, nicht als vollständige Backup-Strategie. Eine vollständige Backup-Strategie ist ein getesteter, verifizierter und zeitlich gemessener Wiederherstellungsprozess, dessen Funktionsfähigkeit durch entsprechende Dokumentation belegt ist.

In einigen Leitfäden wird mittlerweile eine 3-2-2-Variante empfohlen, bei der zwei externe Kopien aufbewahrt werden – eine an einem alternativen Standort und eine in einem unveränderlichen Cloud-Speicher –, um speziell Ransomware-Szenarien zu berücksichtigen, in denen sowohl die Backups vor Ort als auch die primären externen Backups kompromittiert werden könnten. Für Umgebungen mit hohem Risiko oder Kunden mit strengen RPOs ist dies eine Überlegung wert.

Automatisierung der Backup-Überprüfung

Manuelle Tests sind zwar sinnvoll, stoßen jedoch an praktische Grenzen. Sie sind zeitaufwendig, erfordern Wartungsfenster, decken nur einen Teil der Systeme ab und werden nur in unregelmäßigen Abständen durchgeführt, sodass die meisten Wiederherstellungspunkte zwischen den Tests nicht überprüft werden.

Datto-Screenshot-Überprüfung startet jedes gesicherte System nach jedem Sicherungsauftrag automatisch in einer isolierten Virtualisierungsumgebung und erstellt einen Screenshot, um zu überprüfen, ob das System korrekt startet. Dies ermöglicht eine kontinuierliche Überprüfung jedes geschützten Systems bei jeder Sicherung, wodurch Startfehler unmittelbar nach dem Sicherungsauftrag erkannt werden und nicht erst Wochen oder Monate später bei einem Wiederherstellungsversuch. Dank Kaseya Intelligence bietet die Lösung eine Genauigkeit von über 99,9 % bei der Startüberprüfung.

Integritätsprüfungen von Backups stellen sicher, dass die Backup-Daten intakt und unbeschädigt sind, und melden Abweichungen bei Prüfsummen sowie Speicherfehler, bevor diese zu einem unwiederbringlichen Datenverlust führen.

Die Dashboards zur Überwachung des Systemzustands fassen den Status der Sicherungsaufträge, den Zeitpunkt der letzten erfolgreichen Sicherung sowie die Prüfergebnisse aller geschützten Systeme zusammen und bieten so die erforderliche Transparenz, die eine proaktive Erkennung und die Berichterstattung an Kunden ermöglicht.

Die Kombination aus automatisierter Überprüfung und manuellen Wiederherstellungstests in angemessenen Abständen sorgt sowohl für kontinuierliche Zuverlässigkeit als auch für eine regelmäßig validierte Wiederherstellungsfähigkeit.

Tests von Datensicherungen und Cyber-Versicherungen

Versicherer im Bereich Cyberversicherungen verlangen zunehmend Nachweise über die Durchführung von Backup-Tests als Voraussetzung für den Versicherungsschutz, und in einigen Policen sind die Anforderungen an die Testhäufigkeit mittlerweile ausdrücklich festgelegt. Ein Unternehmen, das zwar angibt, über einen Backup-Schutz zu verfügen, aber keine Nachweise für getestete Wiederherstellungsfähigkeiten vorlegen kann, muss damit rechnen, dass Versicherungsansprüche im Zusammenhang mit Datenverlust oder der Wiederherstellung nach einem Ransomware-Angriff angefochten werden.

Für MSPs bedeutet dies sowohl eine Compliance-Verpflichtung als auch eine geschäftliche Chance. Die Dokumentation regelmäßiger Backup-Tests, die Ergebnisse der Screenshot-Überprüfung und Aufzeichnungen über erfolgreiche Wiederherstellungen sind genau die Art von Nachweisen, die Versicherer sehen wollen. MSPs, die diese Dokumentation systematisch erstellen, helfen ihren Kunden dabei, die Versicherungsanforderungen zu erfüllen, stärken ihre eigene Haftungsposition und liefern Inhalte für das vierteljährliche Geschäftstreffen (QBR), die den konkreten Mehrwert ihrer Dienstleistungen belegen.

Ein praktischer Ansatz für Kundengespräche: Eine Cyberversicherung deckt ungeprüfte Backups genauso wenig ab wie eine Kfz-Versicherung ein nicht verkehrssicheres Fahrzeug. Der Test ist der Beweis.

Backup-Tests für MSPs

Für MSPs sind Backup-Tests zugleich eine betriebliche Anforderung, eine vertragliche Verpflichtung, ein Mittel zur Kundenkommunikation und eine Maßnahme zum Risikomanagement.

Vertragliche Verpflichtung. MSPs, die Backup-Dienste mit festgelegten RTO- und RPO-Zielen anbieten, müssen nachweisen, dass ihre Backup-Infrastruktur diese Ziele tatsächlich erfüllen kann. Regelmäßige Tests sind der einzige Nachweis. SLAs ohne Testprotokolle sind Versprechen ohne Beweis.

Kundenberichterstattung. Ergebnisse von Backup-Tests, getestete Systeme, Testergebnisse, erreichte RTOs und Screenshots zur Verifizierung sind überzeugende Inhalte für das vierteljährliche Geschäftsgespräch (QBR). Kunden, die Nachweise für regelmäßige Backup-Verifizierungen sehen, erhalten etwas, das die meisten MSPs nicht bieten – und das Kunden zunehmend verlangen, da sich die Anforderungen von Cyberversicherungen zunehmend auf ihre Beschaffungsentscheidungen auswirken.

Risikomanagement. Ein MSP, der bei einem tatsächlichen Kundenvorfall einen Ausfall der Datensicherung feststellt, muss mit Haftungsansprüchen, Reputationsschäden, einer Beeinträchtigung der Kundenbeziehung und möglicherweise mit Vertragsstreitigkeiten rechnen. Durch regelmäßige Tests werden Fehler aufgedeckt, solange sie noch behoben werden können, und nicht erst in einer Krisensituation.

Differenzierung im Serviceangebot. Die meisten MSPs bieten Backup-Lösungen an. Nur wenige können jedoch nachweisen, dass diese auch funktionieren. Die MSPs, die durch systematische Tests und Dokumentation eine nachweisbare Wiederherstellbarkeit belegen können, verfügen über ein konkretes, nachweisbares Alleinstellungsmerkmal, mit dem Anbieter von Standard-Backup-Lösungen nicht mithalten können.

Entdecken Sie Datto BCDR und die automatisierte Backup-Überprüfung für MSPs.

Das einheitliche Portal für Cyber-Resilienz

Die Verwaltung von Backups über lokale Infrastrukturen, SaaS-Anwendungen, Endgeräte und Cloud-Umgebungen hinweg bedeutete bislang, dass mehrere separate Tools verwaltet werden mussten, von denen jedes über eine eigene Konsole, ein eigenes Warnsystem und einen eigenen Wiederherstellungsworkflow verfügte. Für MSPs, die mehrere Kunden in all diesen Umgebungen betreuen, verursacht diese Fragmentierung einen erheblichen betrieblichen Mehraufwand und erschwert die Aufrechterhaltung einer einheitlichen Testdisziplin.

Das auf der Kaseya Connect 2026 vorgestellte „Unified Cyber Resilience Portal“ von Kaseya bündelt das gesamte Backup-Management in einer einzigen integrierten Oberfläche und beseitigt so die Vielzahl an Tools, die Techniker dazu zwingt, die Wiederherstellung über verschiedene Anbieter hinweg zu verwalten. Basierend auf Kaseya Intelligence bietet es eine KI-gesteuerte Überprüfung von Screenshots, vernetzte Wiederherstellungsworkflows mit intelligenter Priorisierung sowie Compliance-Abdeckung einschließlich FIPS-Fähigkeiten und FedRAMP-Bereitschaft. Die Unterstützung für Azure Files ist ab sofort allgemein verfügbar; die agentenlose Hyper-V-Sicherung folgt im Juni 2026.

Für MSPs bietet das Portal einen zentralen Überblick über die Backup-Umgebung jedes Kunden, wobei die Prüfergebnisse und der Wiederherstellungsstatus an einem Ort zusammengefasst sind, anstatt über die Dashboards verschiedener Anbieter verteilt zu sein.

Das Wichtigste in Kürze

• Obwohl 92 % der Unternehmen angeben, über Backups zu verfügen, gelingt es 31 % nicht, ihre Daten wiederherzustellen, wenn sie von Ransomware befallen werden. Die meisten Fehler bei der Datenwiederherstellung treten gerade dort auf, wo der Unterschied zwischen dem bloßen Vorhandensein eines Backups und einem getesteten, funktionsfähigen Backup liegt.
• Backup-Aufträge können zwar als erfolgreich gemeldet werden, dabei jedoch unbrauchbare Wiederherstellungspunkte erzeugen. Stille Fehler, Abweichungen in der Umgebung und Speicherausfälle bleiben unsichtbar, bis ein Wiederherstellungsversuch unternommen wird.
• Die Häufigkeit der Tests sollte sich nach der Systemstufe richten: Tier-1-Systeme erfordern eine monatliche Überprüfung auf Dateiebene, vierteljährliche Wiederherstellungen auf Systemebene und eine jährliche vollständige DR-Simulation.
• Die 3-2-1-Regel bezieht sich auf die Backup-Architektur, nicht jedoch auf die Wiederherstellbarkeit. Getestete und zeitlich erfasste Wiederherstellungsprozesse runden die Strategie ab.
• Die automatisierte Überprüfung (Screenshot-Überprüfung über Datto BCDR, unterstützt durch Kaseya Intelligence) ermöglicht eine kontinuierliche Bestätigung jeder einzelnen Sicherung ohne manuellen Aufwand und deckt Fehler bereits zum Zeitpunkt der Sicherung auf, anstatt erst bei der Wiederherstellung.
• Für MSPs sind Backup-Tests eine vertragliche Verpflichtung, eine Voraussetzung für den Nachweis im Rahmen einer Cyberversicherung und das konkreteste Unterscheidungsmerkmal auf dem Backup-Markt.