„Wir haben ein Backup“ beantwortet nicht, ob der Betrieb nach einem Ausfall wieder läuft. Entscheidend sind zwei Zahlen, die Geschäftsführung und IT gemeinsam festlegen sollten: wie viel Datenverlust tragbar ist und wie lange ein Ausfall dauern darf. Dieser Beitrag erklärt beides, ordnet die 3-2-1-Regel ein und zeigt, warum Microsoft 365 kein Ersatz für eine eigene Sicherung ist.
Hinweis: Stand der fachlichen Prüfung: 23. Oktober 2026. Aufbewahrungsfristen und Funktionen von Herstellern ändern sich; prüfen Sie sie vor Entscheidungen in der aktuellen Herstellerdokumentation (Quellen am Ende).
Zwei Fragen vor jeder Technik: RPO und RTO
Beide Begriffe stammen aus der Notfallplanung und sind unter anderem im Glossar des US-amerikanischen NIST definiert. In eigenen Worten:
- RPO (Recovery Point Objective): bis zu welchem Zeitpunkt vor dem Ausfall Daten wiederhergestellt sein müssen. Ein RPO von 24 Stunden heißt: Der Verlust eines Arbeitstags ist tragbar. Daraus folgt direkt, wie oft gesichert werden muss.
- RTO (Recovery Time Objective): wie lange ein System im Wiederanlauf sein darf, bevor der Betrieb ernsthaft Schaden nimmt. Daraus folgt, welche Technik und welche Übung nötig sind.
Beides sind Geschäftsentscheidungen, keine technischen. Die IT kann sagen, was ein kürzeres RTO kostet; ob es sich lohnt, entscheidet die Geschäftsführung.
Systeme nach Kritikalität einteilen
Nicht jedes System braucht denselben Aufwand. Ein pragmatischer Weg: Systeme in drei Gruppen einteilen und für jede Gruppe RPO und RTO schriftlich festhalten. Die Zahlen in der Tabelle sind ein Rechenbeispiel zur Veranschaulichung, keine Empfehlung; Ihre Werte ergeben sich aus Ihrem Betrieb.
| Gruppe | Beispiele | Frage an die Geschäftsführung | Illustratives Beispiel |
|---|---|---|---|
| Betriebskritisch | ERP, Warenwirtschaft, Produktionssteuerung, E-Mail | Was kostet ein Stillstand pro Stunde und pro Tag? | RPO 1 h, RTO 4 h |
| Wichtig | Dateiablage, Teams/SharePoint, Buchhaltung | Wie lange können wir mit Behelfslösungen arbeiten? | RPO 24 h, RTO 1 Tag |
| Nachrangig | Archive, Testsysteme, Altdaten | Reicht eine seltenere Sicherung? | RPO 1 Woche, RTO mehrere Tage |
Wichtig ist die Ehrlichkeit beim Wiederanlauf: Das RTO gilt für das ganze System samt Abhängigkeiten, etwa Anmeldung, Netzwerk und Lizenzserver, nicht nur für das Zurückspielen einer Datei.
Die 3-2-1-Regel und ihre Erweiterung gegen Ransomware
Die 3-2-1-Regel ist eine verbreitete Faustformel für die Planung der Kopien:
- 3 Kopien der Daten (das Original und zwei Sicherungen),
- 2 verschiedene Speichermedien oder Speichersysteme,
- 1 Kopie an einem anderen Ort.
Gegen Angriffe, die gezielt auch Sicherungen verschlüsseln oder löschen, wird die Regel in der Praxis häufig erweitert („3-2-1-1-0“): eine Kopie offline oder unveränderbar, und null Fehler beim Wiederherstellungstest. Das ist eine Praxisempfehlung, keine gesetzliche Vorgabe. Der Kern: Mindestens eine Sicherung darf mit den Zugangsdaten des Produktivbetriebs nicht veränderbar sein.
Microsoft 365: Aufbewahrung ist kein Backup
Häufiger Irrtum: „Die Daten liegen in der Cloud, also sind sie gesichert.“ Was Microsoft selbst dazu sagt:
- Im Microsoft-Servicevertrag steht die Empfehlung, Inhalte und Daten, die man in den Diensten speichert, regelmäßig zu sichern.
- In Exchange Online bleiben dauerhaft gelöschte Elemente standardmäßig 14 Tage wiederherstellbar; der Zeitraum lässt sich laut Microsoft auf höchstens 30 Tage verlängern.
- Gelöschte SharePoint-Websitesammlungen werden laut Microsoft 93 Tage aufbewahrt und danach endgültig gelöscht.
Diese Funktionen helfen bei versehentlichem Löschen, sind aber befristet. Wer erst nach Wochen merkt, dass Daten fehlen oder verändert wurden, hat damit unter Umständen keine Wiederherstellungsmöglichkeit mehr. Ob eine zusätzliche, getrennte Sicherung für Postfächer, Dateien und Teams nötig ist, folgt aus Ihrem RPO/RTO und aus Aufbewahrungspflichten; die Antwort kann je Betrieb unterschiedlich ausfallen.
Gesichert ist erst, was zurückgespielt wurde
Ein Backup, das nie wiederhergestellt wurde, ist eine Annahme. Ein sinnvoller Test umfasst:
- ein vollständiges System zurückspielen, nicht nur eine Datei,
- die Dauer messen und mit dem RTO vergleichen,
- prüfen, ob die Daten brauchbar sind (Anwendung startet, Stand stimmt mit dem RPO überein),
- festhalten, wer was in welcher Reihenfolge tut, und die Lücken in den Notfallplan einarbeiten.
So gehen Sie vor
- Inventar: Welche Systeme und Daten tragen den Betrieb, wo liegen sie (im Haus, Microsoft 365, andere Cloud-Dienste)?
- RPO und RTO je Gruppe schriftlich festlegen, mit der Geschäftsführung.
- Ist-Stand prüfen: Wie oft wird gesichert, wo liegen die Kopien, wer kommt mit welchem Konto daran?
- Lücken schließen: fehlende Kopie an anderem Ort, fehlende unveränderbare oder Offline-Kopie, ungesicherte Cloud-Daten.
- Überwachen: fehlgeschlagene Sicherungen dürfen nicht erst beim Ernstfall auffallen.
- Testen und dokumentieren: mindestens jährlich, Ergebnis im IT-Notfallplan festhalten.
Häufige Fragen
Reicht ein Backup auf einer externen Festplatte?
Eine einzelne Festplatte, die dauerhaft am Rechner oder Server hängt, erfüllt weder die Trennung vom Produktivsystem noch die Kopie an einem anderen Ort. Sie ist ein Anfang, aber keine Strategie.
Wie oft sollte man die Wiederherstellung testen?
Mindestens einmal jährlich vollständig, kritische Systeme häufiger. Wichtig ist, die gemessene Dauer mit dem vereinbarten RTO zu vergleichen.
Ist die Cloud nicht schon das Backup?
Nein. Ein Cloud-Dienst sorgt für Verfügbarkeit, nicht automatisch für eine Sicherung gegen Löschen, Verschlüsseln oder Fehlbedienung. Microsoft empfiehlt in seinem Servicevertrag ausdrücklich, Inhalte und Daten regelmäßig selbst zu sichern.
Quellen (Abruf: 23. Oktober 2026)
- NIST CSRC Glossar, Recovery Point Objective (Quelle dort: NIST SP 800-34 Rev. 1): csrc.nist.gov/glossary/term/recovery_point_objective
- NIST CSRC Glossar, Recovery Time Objective: csrc.nist.gov/glossary/term/RTO
- Microsoft Services Agreement, Abschnitt Service Availability: microsoft.com/en-us/servicesagreement
- Microsoft Learn, Recoverable Items folder in Exchange Online: learn.microsoft.com/Exchange/security-and-compliance/recoverable-items-folder/recoverable-items-folder
- Microsoft Learn, Change how long permanently deleted items are kept for an Exchange Online mailbox: learn.microsoft.com/en-us/exchange/recipients-in-exchange-online/manage-user-mailboxes/change-deleted-item-retention
- Microsoft Learn, SharePoint data deletion in Microsoft 365: learn.microsoft.com/sharepoint/sharepoint-data-deletion
Dieser Beitrag ist allgemeine Information und keine Rechts- oder Produktberatung. RPO, RTO und Aufbewahrungspflichten hängen von Ihrem Betrieb ab. Die 3-2-1-Regel und ihre Erweiterung sind Praxisempfehlungen.
Wie belastbar ist Ihre Sicherung heute?
ROUBE beschreibt auf der Seite zu Backup und Notfall-Wiederanlauf, wie Bestandsaufnahme, Konzept, Einrichtung und Wiederherstellungsübung ablaufen. Sprechen Sie uns an, wenn Sie Ihren Ist-Stand einordnen möchten.
Erstgespräch vereinbaren