Wenn die Auftragsdaten, Buchhaltung oder Projektordner am Montagmorgen nicht mehr erreichbar sind, steht nicht nur die IT still. Termine verschieben sich, Rechnungen bleiben liegen und Mitarbeitende verlieren wertvolle Zeit. Fünf Maßnahmen gegen Datenverlust helfen dabei, dieses Risiko im Betrieb spürbar zu senken – mit klaren Abläufen statt kompliziertem Fachchinesisch.

Datenverlust entsteht nicht nur durch einen defekten Server. Häufig sind es versehentlich gelöschte Dateien, falsch konfigurierte Cloud-Speicher, gestohlene Zugangsdaten oder ein Verschlüsselungstrojaner. Gerade kleine und mittelständische Unternehmen brauchen deshalb keine unnötig komplexe Sicherheitsarchitektur, sondern Schutzmaßnahmen, die im Alltag funktionieren und regelmäßig geprüft werden.

Fünf Maßnahmen gegen Datenverlust, die im Alltag wirken

1. Backups nach der 3-2-1-Regel einrichten

Ein Backup ist nur dann ein Backup, wenn sich die Daten daraus tatsächlich wiederherstellen lassen. Die bewährte 3-2-1-Regel schafft dafür eine solide Grundlage: Es gibt drei Kopien wichtiger Daten, auf zwei unterschiedlichen Speichermedien, davon mindestens eine Kopie außerhalb des eigenen Standorts.

Für ein Büro in Berlin oder Brandenburg kann das beispielsweise bedeuten: Die produktiven Daten liegen auf dem Server oder in Microsoft 365, eine Sicherung wird lokal auf einem getrennten Backup-Speicher abgelegt und eine weitere verschlüsselte Kopie wird extern gespeichert. Brennt es im Gebäude, wird Hardware gestohlen oder fällt ein Standort durch Wasser- oder Stromschaden aus, bleibt eine Kopie verfügbar.

Entscheidend ist der Umfang der Sicherung. Neben Dateien auf dem Server sollten auch Microsoft-365-Daten, etwa Exchange-Postfächer, OneDrive-Dateien, SharePoint-Bibliotheken und Teams-Daten, berücksichtigt werden. Die Plattform stellt die Dienste bereit, ersetzt aber keine individuell geplante Datensicherung mit passenden Aufbewahrungszeiten.

Wie oft gesichert werden sollte, hängt vom Geschäft ab. Wer täglich Angebote, Aufträge oder CAD-Dateien bearbeitet, benötigt in der Regel tägliche oder häufigere Sicherungen. Bei besonders zeitkritischen Daten kann auch ein kürzeres Sicherungsintervall sinnvoll sein. Mehr Sicherungen kosten Speicherplatz und Verwaltungsaufwand – der Aufwand ist aber meist deutlich geringer als mehrere verlorene Arbeitstage.

2. Wiederherstellungen regelmäßig testen

Viele Unternehmen erhalten täglich eine grüne Erfolgsmeldung vom Backup-System und gehen davon aus, dass alles abgesichert ist. Doch eine erfolgreiche Sicherung sagt zunächst nur, dass Daten geschrieben wurden. Ob die richtige Datei, ein vollständiger Server oder ein ganzes System wiederhergestellt werden kann, zeigt sich erst beim Test.

Planen Sie deshalb feste Wiederherstellungstests ein. Dabei sollte nicht nur eine einzelne Datei geprüft werden. Sinnvoll sind unterschiedliche Szenarien: ein versehentlich gelöschter Ordner, ein verlorenes E-Mail-Postfach, eine beschädigte Datenbank oder der komplette Ausfall eines Servers. So wird sichtbar, wie lange die Wiederherstellung dauert und ob Zugriffsrechte, Programme und Daten vollständig zurückkommen.

Ebenso wichtig ist die Frage, welche Systeme Vorrang haben. Die Telefonanlage darf vielleicht einen Tag ausfallen, die Warenwirtschaft aber nicht. Eine einfache Prioritätenliste hilft im Ernstfall, die richtige Reihenfolge einzuhalten. Sie verhindert, dass unter Druck über technische Details diskutiert wird, während Mitarbeitende auf ihre Arbeitsdaten warten.

Ein guter IT-Partner dokumentiert diese Abläufe, überwacht die Sicherungen und informiert frühzeitig, wenn Speicherplatz knapp wird oder ein Sicherungsjob fehlschlägt. Das ist proaktive Betreuung: Probleme werden erkannt, bevor sie im Tagesgeschäft sichtbar werden.

3. Zugänge mit Mehrfaktor-Authentifizierung schützen

Ein gestohlenes Kennwort genügt heute oft, um auf E-Mails, Cloud-Dateien und interne Systeme zuzugreifen. Angreifer erhalten Zugang nicht nur durch technische Angriffe. Sie nutzen gefälschte Microsoft-365-Anmeldeseiten, täuschend echte Rechnungen oder E-Mails, die angeblich von Geschäftspartnern stammen.

Die Mehrfaktor-Authentifizierung, oft MFA genannt, reduziert dieses Risiko deutlich. Zusätzlich zum Kennwort wird bei der Anmeldung ein weiterer Nachweis verlangt, zum Beispiel eine Bestätigung per App oder ein Sicherheitsschlüssel. Selbst wenn ein Passwort in falsche Hände gerät, reicht es für den Zugriff in der Regel nicht aus.

Besonders wichtig ist MFA für E-Mail-Konten, Microsoft 365, Fernzugänge, Verwaltungszugänge und Anwendungen mit Kunden-, Personal- oder Finanzdaten. Für administrative Konten sollte sie keine Option, sondern Standard sein. Wo es technisch möglich ist, sind Authenticator-Apps oder Sicherheitsschlüssel meist sinnvoller als SMS, weil SMS leichter abgefangen oder durch einen missbräuchlichen SIM-Tausch gefährdet sein können.

MFA ersetzt keine guten Passwörter. Mitarbeitende sollten für jeden Dienst ein eigenes, langes Kennwort verwenden. Ein Passwortmanager kann dabei helfen, ohne dass Kennwörter auf Zetteln oder in Excel-Listen landen. Auch ehemalige Mitarbeitende und externe Dienstleister gehören in den Prozess: Nicht mehr benötigte Konten müssen zeitnah deaktiviert werden.

4. Mitarbeitende für typische Angriffe sensibilisieren

Technik kann viel abfangen, aber nicht jede Situation entscheiden. Eine E-Mail vom vermeintlichen Geschäftsführer mit der Bitte, dringend eine Zahlung freizugeben, kann professionell aussehen. Gleiches gilt für Anrufe, bei denen sich jemand als IT-Support ausgibt und eine Fernwartung verlangt.

Sensibilisierung funktioniert am besten konkret und ohne erhobenen Zeigefinger. Mitarbeitende sollten wissen, woran sie verdächtige Nachrichten erkennen: unerwartete Anhänge, ungewohnte Zahlungsaufforderungen, Zeitdruck, leicht veränderte Absenderadressen oder Anmeldelinks, die nicht zur bekannten Adresse führen. Entscheidend ist auch die klare Handlungsregel: Im Zweifel nicht klicken, nicht antworten und kurz nachfragen.

Kurze, regelmäßige Schulungen sind wirksamer als eine jährliche Präsentation mit hundert Folien. Neue Mitarbeitende sollten die Regeln direkt beim Start kennenlernen. Hilfreich sind außerdem eindeutige Prozesse für Zahlungsfreigaben und Änderungen von Bankverbindungen. Wenn eine einzelne E-Mail eine Überweisung auslösen kann, ist das Risiko unnötig hoch.

Eine offene Fehlerkultur gehört dazu. Wer versehentlich auf einen Link geklickt hat, muss dies sofort melden können, ohne Angst vor Vorwürfen zu haben. Je früher ein Vorfall bekannt ist, desto eher lassen sich Kennwörter zurücksetzen, Sitzungen sperren und mögliche Schäden begrenzen.

5. Systeme aktuell halten und Zugriffe begrenzen

Veraltete Software ist ein häufiger Einstiegspunkt für Angreifer. Sicherheitslücken in Windows, Office-Anwendungen, Firewalls, Browsern oder Serverdiensten werden bekannt und oft automatisiert ausgenutzt. Regelmäßige Updates schließen diese Lücken, bevor sie zum Problem werden.

In der Praxis braucht es dafür einen geregelten Patch-Prozess. Updates sollten geplant eingespielt, überwacht und bei wichtigen Systemen zunächst kontrolliert getestet werden. Nicht jede Aktualisierung muss mitten am Arbeitstag erfolgen. Bei Servern oder branchenspezifischen Anwendungen kann ein abgestimmtes Wartungsfenster sinnvoll sein. Komplett auf Updates zu verzichten, weil eine Änderung theoretisch stören könnte, ist jedoch keine tragfähige Strategie.

Zusätzlich gilt das Prinzip der geringsten Berechtigung: Jeder erhält nur die Zugriffe, die für die eigene Arbeit notwendig sind. Nicht jede Person braucht Zugriff auf Personalakten, Geschäftsführungslaufwerke oder die gesamte Buchhaltung. Auch lokale Administratorrechte auf Arbeitsplatzrechnern sollten die Ausnahme bleiben. Sie erleichtern zwar manche spontane Installation, erhöhen aber das Risiko, dass Schadsoftware tief ins System eingreift.

Technische Schutzmaßnahmen wie aktuelle Endpoint-Sicherheit, eine sinnvoll konfigurierte Firewall und getrennte Benutzerkonten ergänzen diesen Ansatz. Kein einzelnes Werkzeug verhindert jeden Vorfall. Mehrere abgestimmte Schutzebenen sorgen aber dafür, dass ein Fehler nicht automatisch zum vollständigen Datenverlust wird.

Was vor der Umsetzung geklärt werden sollte

Die passende Lösung hängt von Ihrer IT-Landschaft ab. Ein Betrieb mit zehn Microsoft-365-Arbeitsplätzen hat andere Anforderungen als ein Unternehmen mit lokalem Server, Außendienst, CAD-Daten und mehreren Standorten. Auch gesetzliche Aufbewahrungsfristen, Datenschutzvorgaben und die Frage, wie lange ein System ausfallen darf, spielen eine Rolle.

Beginnen Sie mit einer Bestandsaufnahme: Welche Daten sind geschäftskritisch? Wo liegen sie? Wer greift darauf zu? Welche Sicherungen existieren bereits, und wann wurde zuletzt eine Wiederherstellung getestet? Oft zeigt sich dabei, dass einzelne Bereiche gut abgesichert sind, während andere unbemerkt außen vor bleiben – etwa E-Mail-Postfächer, mobile Geräte oder Daten in einer Fachanwendung.

PAPE-IT unterstützt Unternehmen in Berlin und Brandenburg dabei, diese Fragen verständlich zu klären und Schutzmaßnahmen in den laufenden Betrieb zu integrieren. Das Ziel ist keine möglichst komplizierte IT, sondern eine Umgebung, in der Daten geschützt sind und Mitarbeitende zuverlässig weiterarbeiten können.

Der beste Zeitpunkt für einen Wiederherstellungstest ist nicht nach einem Ransomware-Angriff oder Serverausfall. Legen Sie einen Termin fest, prüfen Sie Ihre Sicherungen und klären Sie Verantwortlichkeiten, solange der Betrieb normal läuft. Das schafft Sicherheit, die im entscheidenden Moment wirklich trägt.