Warum ist ein Backup ohne Wiederherstellungstest wertlos?

Fast jedes Unternehmen mit Microsoft 365 hat inzwischen ein Backup. Meist läuft es über den IT-Dienstleister, oft als Zusatzposten auf der monatlichen Rechnung, und der Bericht im Postfach ist seit Monaten grün. Die Frage, die im Ernstfall zählt, ist eine andere: Wann hat zuletzt jemand nachgewiesen, dass sich daraus tatsächlich etwas zurückholen lässt? Vollständig, lesbar und schnell genug?

Zwischen „wir sichern” und „wir können wiederherstellen” liegt ein Unterschied, der sich erst am Tag des Vorfalls zeigt.

Die kurze Antwort: Erst der Restore beweist, dass das Backup funktioniert

Ein Backup ohne Wiederherstellungstest ist eine Vermutung, kein Nachweis. Erst der Restore zeigt, ob die Daten vollständig und lesbar zurückkommen und wie lange das dauert. Ohne Test bleibt beides unbekannt. Der BSI-IT-Grundschutz verlangt den Test als Basis-Anforderung (CON.3.A15), ISO/IEC 27001:2022 im Anhang A 8.13. Für Unternehmen, die als besonders wichtige oder wichtige Einrichtung unter das seit dem 6. Dezember 2025 geltende BSIG fallen, nennt § 30 Abs. 2 Nr. 3 BSIG Backup-Management und Wiederherstellung zusätzlich ausdrücklich als Mindestmaßnahme. Versicherer und Prüfer fragen deshalb nicht, ob gesichert wird, sondern nach dem Protokoll der letzten erfolgreichen Wiederherstellung.

Was bei ungetesteten Backups typischerweise schiefgeht

Die Fehler sind selten spektakulär, sondern banal. Gerade deshalb fallen sie ohne Test nicht auf:

• Der Umfang wächst nicht mit. Ein neues Postfach, eine neue SharePoint-Website, ein neues Team: Ob diese Objekte automatisch in die Sicherungsrichtlinie aufgenommen werden, hängt davon ab, wie die Richtlinie konfiguriert wurde. Wurden einzelne Objekte statt ganzer Dienste ausgewählt, bleibt alles Neue ungesichert.
• Nicht alles, was Sie für Daten halten, ist im Umfang. Teams-Chats, Planner-Aufgaben, OneNote-Notizbücher, Metadaten und Freigabeberechtigungen werden je nach eingesetztem Werkzeug unterschiedlich behandelt. Was zurückkommt, ist manchmal nur die Datei, nicht die Struktur drumherum.
• Grün heißt „geschrieben”, nicht „lesbar”. Eine erfolgreiche Sicherung bestätigt, dass Daten weggeschrieben wurden. Sie sagt nichts darüber, ob sie sich wieder öffnen lassen.
• Die Dauer ist unbekannt. Ohne Messung ist Ihre Wiederherstellungszeit eine Schätzung. Ob der Betrieb sie aushält, wissen Sie erst, wenn es zu spät ist, das zu ändern.
• Der Zugang zum Backup hängt am kompromittierten Konto. Wenn dasselbe Administratorkonto, das der Angreifer übernommen hat, auch das Sicherungsportal öffnet, ist die Sicherung technisch vorhanden und praktisch unerreichbar.

Dass Angreifer gezielt an die Sicherungen gehen, ist gut belegt. In einer von Sophos beauftragten Befragung unter 2.974 IT- und Sicherheitsverantwortlichen (Erhebung Anfang 2024) gaben 94 Prozent der von Ransomware betroffenen Organisationen an, dass die Angreifer versucht hatten, ihre Backups zu kompromittieren; branchenübergreifend war gut die Hälfte dieser Versuche erfolgreich. Die mittleren Wiederherstellungskosten lagen bei betroffenen Sicherungen bei 3 Mio. US-Dollar gegenüber 375.000 US-Dollar, wenn die Sicherung intakt blieb.

Was ein Wiederherstellungstest konkret umfasst

Ein Restore-Test ist kein IT-Projekt. Er dauert bei sauberer Vorbereitung einen halben Tag und besteht aus sechs Schritten:

1. Umfang festlegen. Nicht alles. Eine repräsentative Stichprobe: ein Postfach, eine Dateiablage mit Berechtigungen, ein Datensatz aus dem System, das den Umsatz trägt.
2. Einen Zeitpunkt wählen, der nicht von gestern Nacht ist. Ransomware wird oft erst Tage nach dem Eindringen wirksam. Wer nur den jüngsten Sicherungspunkt testen kann, testet die Situation, die im Ernstfall gerade nicht hilft.
3. An einen separaten Ort zurückspielen. In eine neue Adresse, einen neuen Ordner oder eine Testumgebung, niemals über die Produktivdaten. Der Test darf nicht selbst zum Schaden werden.
4. Fachlich prüfen, nicht technisch. Nicht die IT entscheidet, ob die Wiederherstellung gelungen ist, sondern die Person, die mit den Daten arbeitet: Ist die Datei vollständig? Stimmen die Versionen? Sind die Berechtigungen korrekt? Fehlt ein Anhang?
5. Die Zeit messen und vergleichen. Messen Sie, wie lange die Wiederherstellung gedauert hat, und halten Sie das gegen die Zeit, die laut Ihrer eigenen Festlegung erlaubt ist. Ohne diesen Abgleich ist die Zahl bedeutungslos.
6. Protokollieren. Ein Test, den niemand dokumentiert hat, existiert gegenüber Versicherer und Prüfer nicht.

Wie oft ist „regelmäßig”?

Der BSI-IT-Grundschutz nennt in CON.3.A15 keine Frequenz, sondern verlangt Regelmäßigkeit. Angemessen für ein Unternehmen mit 10 bis 75 Beschäftigten ist ein gestufter Rhythmus:

Was in ein Testprotokoll gehört, damit es als Nachweis taugt

Ein Protokoll muss ohne Rückfragen verständlich sein. Auch jemand, der Ihr Netzwerk nicht kennt und es zwei Jahre später liest, muss es einordnen können:

Warum Versicherer und Prüfer danach fragen

Für den Versicherer ist der Restore-Test die einzige belastbare Aussage über Ihre Schadenhöhe. Ob Sie einen Vorfall in zwei Tagen oder in drei Wochen überstehen, entscheidet über die Betriebsunterbrechung. Das ist der größte Posten in der Schadenrechnung. Antragsfragen und Obliegenheiten greifen das auf.

Wichtig ist dabei die richtige Einordnung der Rechtsfolge: Wird eine vereinbarte Obliegenheit verletzt, ist der Versicherer nach § 28 Abs. 2 VVG nur bei Vorsatz vollständig leistungsfrei. Bei grober Fahrlässigkeit wird die Leistung anteilig gekürzt, bei einfacher Fahrlässigkeit bleibt sie in voller Höhe bestehen. Und nach § 28 Abs. 3 VVG bleibt die Leistungspflicht ohnehin bestehen, wenn die Verletzung für den Schaden nicht ursächlich war. „Kein Test, kein Geld” ist also falsch. Richtig ist: Ein fehlender Test kostet Sie im Streitfall die Beweisposition. Schon vorher kann er Sie Konditionen im Antrag kosten.

Für Prüfer ist die Lage seit dem NIS2UmsuCG klarer geworden. Das gilt allerdings nur für einen Teil der Unternehmen. Wer nach § 28 BSIG als besonders wichtige oder wichtige Einrichtung gilt (in den Sektoren der Anlagen 1 und 2, ab 50 Beschäftigten oder bei Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. €), unterliegt § 30 Abs. 2 Nr. 3 BSIG: „Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall” ist dort ausdrücklich Mindestmaßnahme. § 38 BSIG verpflichtet die Geschäftsleitung dieser Einrichtungen zusätzlich, die Maßnahmen zu billigen, ihre Umsetzung sicherzustellen und sie zu überwachen. Die Haftung daraus ist eine Innenhaftung gegenüber der eigenen Gesellschaft, keine persönliche Außenhaftung. Sie ist trotzdem unangenehm: Überwachung setzt voraus, dass Sie etwas vorzeigen können.

Auch wenn Sie nicht unter NIS2 fallen: Der BSI-CyberRisikoCheck nach DIN SPEC 27076, entwickelt für Unternehmen bis 50 Beschäftigte, prüft 27 Anforderungen in sechs Themenfeldern. Eines davon ist die Datensicherung, ausdrücklich mit der Frage nach der schnellen Wiederherstellbarkeit.

Microsoft 365: Was Sie überhaupt testen können

Hier liegt bei vielen Unternehmen die eigentliche Lücke. Microsoft 365 enthält kein Backup. Was es enthält, sind kurze Aufbewahrungsfristen: gelöschte Elemente standardmäßig 14 Tage (auf bis zu 30 Tage konfigurierbar), gelöschte Postfächer 30 Tage, SharePoint- und OneDrive-Papierkörbe 93 Tage. Diese 93 Tage gelten über beide Stufen zusammen, nicht je Stufe.

Microsoft bietet ein eigenes Sicherungsprodukt an, aber als separat abzurechnende Zusatzleistung (0,15 US-Dollar pro Gigabyte und Monat, Aufbewahrung ein Jahr). Es schützt Exchange-Online-Postfächer, SharePoint-Websites und OneDrive-Konten. Die weiter oben genannten Lücken bei Chats, Aufgaben und Notizbüchern schließt es also nicht. Für die Testbarkeit ist eine Eigenschaft entscheidend: Die Wiederherstellung kann an eine neue Adresse beziehungsweise in einen neuen Ordner erfolgen. Damit ist ein zerstörungsfreier Test überhaupt erst möglich. Prüfen Sie, ob Ihr eingesetztes Werkzeug diese Option hat, egal ob es von Microsoft oder einem Drittanbieter stammt. Ohne sie können Sie nur im Ernstfall testen.

Checkliste zur Selbsteinordnung

Beantworten Sie diese sieben Fragen. Jedes „weiß ich nicht” ist ein Befund:

1. Wann wurde zuletzt eine Wiederherstellung durchgeführt? Und liegt dazu ein schriftliches Protokoll vor?
2. Wurde dabei ein Sicherungspunkt genutzt, der älter als sieben Tage war?
3. Hat eine Fachperson (nicht die IT) das Ergebnis freigegeben?
4. Wie lange dauerte die Wiederherstellung? Und wie lange darf sie laut Ihrer Festlegung dauern?
5. Sind Teams-Inhalte, Berechtigungen und Dateiversionen im Sicherungsumfang enthalten?
6. Werden neu angelegte Postfächer und Websites automatisch mitgesichert?
7. Lässt sich das Sicherungsportal auch dann erreichen, wenn Ihr Microsoft-365-Zugang kompromittiert ist?

Wer die ersten vier Fragen nicht beantworten kann, hat kein Backup-Problem, sondern ein Nachweisproblem. Im Ernstfall beides.

Am Ende zählt eine einzige Angabe: die gemessene Dauer der letzten erfolgreichen Wiederherstellung, festgehalten mit Datum, getestetem Objekt und fachlicher Freigabe. Das ist der Nachweis. Alles davor ist Absicht.

Quellen

• BSI IT-Grundschutz, Baustein CON.3 Datensicherungskonzept, Basis-Anforderung CON.3.A15 „Regelmäßiges Testen der Datensicherungen”: Es MUSS regelmäßig getestet werden, ob gesicherte Daten einwandfrei und in angemessener Zeit zurückgespielt werden können. Keine Frequenz vorgegeben (bsi.bund.de)
• ISO/IEC 27001:2022 Anhang A 8.13 (Information backup) verlangt, dass Sicherungskopien gepflegt und regelmäßig getestet werden (isms.online)
• § 30 Abs. 2 Nr. 3 BSIG nennt „Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement” als Mindestmaßnahme; § 30 gilt für besonders wichtige und wichtige Einrichtungen (gesetze-im-internet.de)
• § 28 BSIG definiert besonders wichtige und wichtige Einrichtungen: wichtige Einrichtung ab 50 Beschäftigten oder bei Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. €, in den Sektoren der Anlagen 1 und 2 (gesetze-im-internet.de)
• § 38 BSIG: Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen; Haftung gegenüber der Einrichtung (Innenhaftung) (gesetze-im-internet.de)
• § 28 VVG: Vollständige Leistungsfreiheit nur bei Vorsatz, anteilige Kürzung bei grober Fahrlässigkeit; Leistungspflicht bleibt bei fehlender Kausalität (Abs. 3) (gesetze-im-internet.de)
• Sophos-Befragung von 2.974 IT-/Sicherheitsverantwortlichen (Erhebung Anfang 2024, Vanson Bourne): 94 % der Ransomware-Betroffenen berichteten von Versuchen, Backups zu kompromittieren; 57 % der Versuche waren erfolgreich. Mittlere Wiederherstellungskosten 3 Mio. USD bei kompromittierten Backups gegenüber 375.000 USD (sophos.com)
• Microsoft 365 Backup ist ein separates Pay-as-you-go-Produkt zu 0,15 USD pro GB und Monat, Aufbewahrung 1 Jahr; es schützt Exchange-Online-Postfächer, SharePoint-Websites und OneDrive-Konten; Wiederherstellung an dieselbe oder eine neue URL bzw. in einen neuen Ordner im Postfach möglich (learn.microsoft.com)
• SharePoint- und OneDrive-Papierkorb: 93 Tage Aufbewahrung über erste und zweite Stufe zusammen, nicht je Stufe (learn.microsoft.com)
• Gelöschte Postfächer in Exchange Online werden 30 Tage im Soft-Deleted-Zustand aufbewahrt (learn.microsoft.com)
• Aufbewahrung gelöschter Elemente in Exchange Online: standardmäßig 14 Tage, durch Administratoren auf bis zu 30 Tage konfigurierbar (learn.microsoft.com)
• BSI CyberRisikoCheck nach DIN SPEC 27076: 27 Anforderungen in sechs Themenbereichen, entwickelt für Unternehmen bis 50 Beschäftigte; Datensicherung ist einer der Themenbereiche (bsi.bund.de)
• CON.3.A4 verlangt, dass Datensicherungspläne festlegen, in welcher Reihenfolge IT-Systeme und Anwendungen wiederhergestellt werden; CON.3.A6 verlangt die Berücksichtigung der Recovery Point Objective (RPO) (bsi.bund.de)