Backup & Datensicherung

Nein. Microsoft 365, Google Workspace und auch Nextcloud (egal ob selbst gehostet oder über einen Managed-Anbieter) schützen zwar ihre eigene Infrastruktur (Datenzentrum-Ausfall, Hardware-Defekt), aber nicht eure Daten gegen versehentliches Löschen, Ransomware, manipulierte Konfiguration oder eine plötzliche Account-Sperrung. Es gibt zwar einen Papierkorb, der gelöschte Dateien und Mails meist 30 Tage (teils bis 93 Tage) aufbewahrt – das ist aber kein echtes Backup: nach Ablauf sind die Daten endgültig weg, von Ransomware verschlüsselte Dateien wandern nicht in den Papierkorb, und bei einer Account-Sperrung kommt ihr ohnehin nicht mehr daran. Im Kleingedruckten heißt es bei allen Anbietern, dass Datensicherung in der Verantwortung des Kunden liegt. Wir richten deshalb einen unabhängigen Backup-Dienst passend zu eurer Plattform ein (z. B. AvePoint oder Veeam für M365, dedizierte Tools für Google Workspace, Server- und Datenbank-Sicherung für Nextcloud) – außerhalb der eigentlichen Cloud-Plattform.

Wir orientieren uns an der modernen 3-2-1-1-0-Regel: 3 Kopien eurer Daten, auf 2 verschiedenen Medien, davon 1 extern, 1 immutable (Ransomware-resistent, nicht überschreibbar) und 0 Fehler beim Restore-Test. In der Praxis heißt das für die meisten NGOs: euer Hauptsystem (M365 oder Google Workspace), ein unabhängiger Backup-Dienst und eine zusätzliche, gegen Manipulation geschützte Kopie an einem getrennten Ort. Das genaue Setup passen wir an eure Datenmengen, Compliance-Anforderungen und das Budget an.

Nach Vereinbarung sichern wir die typischen Datenquellen einer NGO: Cloud-Mailboxen und -Dateien aus M365 oder Google Workspace, SharePoint- und Drive-Inhalte, Teams-Chats und -Dateien, lokale Server und NAS-Systeme, einzelne Arbeitsplätze (falls sinnvoll) sowie Datenbanken eurer Fachanwendungen (ERP, CRM, Spenden-Tools). Der konkrete Backup-Umfang hängt vom gewählten Tool ab – im Setup gehen wir das gemeinsam durch und definieren transparent, was abgedeckt ist und was außen vor bleibt.

Wir empfehlen zuerst – sofern räumlich umsetzbar und ausreichend Bandbreite vorhanden – ein lokales NAS-System (z. B. Synology) als Backup-Lage für schnelle Wiederherstellungen im Alltag. Zusätzlich können wir in europäischen Rechenzentren mit DSGVO-konformen Verträgen sichern – als externe Kopie für den Katastrophenfall. So habt ihr beide Ebenen abgedeckt: schnelle lokale Restores und eine räumlich getrennte Sicherung außer Haus.

Die zentrale Schutzmaßnahme sind immutable Backups: Sobald eine Sicherung geschrieben ist, kann sie für eine definierte Aufbewahrungszeit nicht mehr verändert oder gelöscht werden – auch nicht von einem Angreifer mit gestohlenen Admin-Zugangsdaten. Zusätzlich trennen wir die Backup-Infrastruktur netzwerktechnisch vom Produktivsystem (Air-Gap) und beschränken Backup-Zugriffe auf wenige Konten mit MFA-Pflicht. Selbst wenn euer Hauptsystem komplett verschlüsselt wird, bleiben die Backups intakt.

Standard sind tägliche Backups. Bei kritischen Systemen – etwa einem ERP mit laufenden Buchungen oder einem Spendentool während einer Kampagne – gehen wir auf stündliche oder snapshot-basierte Backups, abhängig von der akzeptablen Datenverlust-Spanne (RPO). Mit Synology Active Backup können wir sogar kontinuierlich sichern – Änderungen werden praktisch im Sekundentakt erfasst, sodass im Ernstfall kaum Datenverlust entsteht. Für reine Archiv-Systeme reichen oft wöchentliche oder monatliche Sicherungen. Den passenden Rhythmus legen wir im Setup pro Datentyp fest.

Wir richten automatisierte Restore-Tests ein, die quartalsweise oder häufiger eine Stichprobe aus den Backups in einer isolierten Umgebung wiederherstellen und prüfen, ob die Daten lesbar und vollständig sind. Zusätzlich führen wir komplette Disaster-Recovery-Tests gemeinsam mit euch durch, bei denen wir simulieren, dass alles weg ist, und einen Recovery-Lauf durchgehen. „Wir haben Backups" ist nur halb so viel wert wie „wir haben getestet, dass sie funktionieren".

Standard sind 30 Tage tägliche, 12 Monate wöchentliche und 7 Jahre monatliche Versionen – das deckt die meisten Datenschutz- und Compliance-Anforderungen (z. B. handelsrechtliche Aufbewahrungspflichten) ab. Für spezifische Anforderungen wie steuerrechtliche 10-Jahres-Aufbewahrung oder Förderer-Vorgaben passen wir die Retention an. Beim Verlassen eures Vertrags werden eure Backups in einem definierten Zeitraum vollständig gelöscht und das Löschen protokolliert.

Die Kosten hängen von drei Faktoren ab: Datenmenge (Volumen), Aufbewahrungsdauer (Retention) und Backup-Frequenz (RPO). Für eine kleine Organisation mit M365 und einigen hundert Gigabyte Daten liegen die monatlichen Storage-Kosten meist im niedrigen zweistelligen Bereich, plus unsere Setup- und Betreuungspauschalen. Konkrete Konditionen besprechen wir im Erstgespräch, nachdem wir euren Daten-Bestand grob eingeschätzt haben.