Eine Website verschwindet selten mit Ankündigung. Ein Update läuft schief, ein Zugang wird übernommen, ein Löschbefehl trifft das falsche Verzeichnis, oder eine Verschlüsselung legt den Rechner still, auf dem noch die letzte brauchbare Fassung lag. Der Moment danach entscheidet über Stunden oder über Wochen, und er entscheidet fast ausschließlich über Dinge, die vorher festgelegt wurden: wie alt die letzte Sicherung ist, wo sie liegt, wer an sie herankommt und ob schon einmal jemand ausprobiert hat, sie zurückzuspielen. Dieser Beitrag beschreibt den Weg zurück für einen Betrieb ohne eigene IT-Abteilung. Er ordnet vier Fragen: welcher Umfang gesichert gehört, wie lange welcher Stand aufbewahrt wird, wie eine Rücksprungprobe abläuft und was auf einem Blatt Papier steht, das auch dann lesbar ist, wenn kein Rechner mehr startet.
Was im Ernstfall tatsächlich fehlt
Der Satz, der nach einem Ausfall am häufigsten fällt, lautet: Es gibt doch eine Sicherung. Der zweite Satz lautet: Wir wissen nur nicht, von wann. In kleinen Betrieben beschreibt diese Reihenfolge den Regelfall recht genau.
Eine Sicherung existiert, sie wurde bisher nicht zurückgespielt, und der Umfang ist unklar, weil die Website über Jahre gewachsen ist und niemand ein Verzeichnis davon führt. Was fehlt, ist also selten die Sicherung selbst. Es fehlt die Kette dahinter: ein bekannter Umfang, ein bekanntes Alter, ein bekannter Ablageort und eine Person, die den Zugang dazu hat, ohne erst jemanden anrufen zu müssen.
Die Zahlen zur Bedrohungslage sind eindeutig genug, um den Aufwand zu rechtfertigen. Fast jedes zweite Unternehmen war binnen zwölf Monaten von einem Ransomware-Angriff betroffen, nämlich 45 Prozent (Bitkom); bei 25 Prozent ist dabei ein Schaden entstanden (Bitkom). Und die Angriffe zielen längst nicht nur auf Konzerne: Rund 80 Prozent der angezeigten Angriffe richteten sich gegen kleine und mittlere Unternehmen (BSI). Das Bundesamt für Sicherheit in der Informationstechnik nennt in seinem Lagebericht ausdrücklich die Kosten für die Wiederherstellung von IT-Systemen als eigenen Posten neben den entgangenen Einnahmen während des Stillstands (BSI).
Der zweite Befund ist unangenehmer als der erste. Als wichtigsten Grund dafür, dass ein Angriff überhaupt zu einem Schaden führte, nennen 59 Prozent der geschädigten Unternehmen die unzureichende Erkennung von Sicherheitsvorfällen (Bitkom). Wer den Vorfall spät bemerkt, sichert in der Zwischenzeit den beschädigten Zustand mit. Deshalb gehören Erreichbarkeitsprüfung und Ausfallmeldung und die Datensicherung zusammen gedacht: Die eine Maßnahme bestimmt, wie früh man merkt, dass etwas nicht stimmt, die andere, wie weit man zurückspringen muss, um an einen unbeschädigten Stand zu kommen.
Sicherung und Wiederherstellung sind zwei Dinge
Zwei Zahlen, die den Aufwand bestimmen
Bevor Technik eine Rolle spielt, stehen zwei betriebliche Entscheidungen an. Die erste: Wie viel Arbeit darf verloren gehen?
Das BSI führt diese Größe im Baustein CON.3 seines IT-Grundschutz-Kompendiums als maximal zulässigen Datenverlust, Recovery Point Objective, und hält fest, dass sie im Datensicherungskonzept berücksichtigt werden sollte (BSI, IT-Grundschutz). Die zweite: Wie lange darf die Website weg sein, bis es teuer wird? Beide Antworten sind keine technischen Werte, sondern Aussagen über das Geschäft. Ein Handwerksbetrieb mit einem Kontaktformular kommt mit anderen Zahlen aus als ein Betrieb, der über die Website Kurse verkauft oder Termine vergibt.
- Zulässiger Datenverlust. Sichern Sie einmal täglich, verlieren Sie im schlechtesten Fall einen Arbeitstag: neue Beiträge, geänderte Preise, hochgeladene Bilder, eingegangene Formularmeldungen.
- Zulässige Ausfalldauer. Sie umfasst nicht nur das Zurückspielen, sondern auch das Bemerken, das Entscheiden und das Beschaffen der Zugänge. Der technische Teil ist erfahrungsgemäß der kürzeste.
- Reihenfolge der Rückkehr. Zuerst die erreichbare Seite mit Kontaktweg, danach Nebenfunktionen. Der Baustein CON.3 verlangt genau diese Festlegung je System im Datensicherungsplan (BSI, IT-Grundschutz).
- Verantwortliche Person. Eine benannte Person, eine benannte Vertretung. Ohne Vertretung ist ein Urlaub bereits die Störung.
- Belegbarkeit. Ein kurzes Protokoll je Lauf, damit später niemand raten muss, welcher Stand vollständig war.
Diese vier oder fünf Zeilen ersetzen kein Konzept, aber sie beantworten die Fragen, die im Ernstfall zuerst gestellt werden. Wichtig ist, dass die Zahlen aufgeschrieben werden und nicht in einem Kopf bleiben. Ein Blatt, das in die Ablage passt, reicht dafür aus. Erst danach ergibt es Sinn, über Speicherorte, Aufbewahrungszeiten und Werkzeuge zu sprechen, denn diese Entscheidungen folgen aus den Zahlen und nicht umgekehrt. Wer die Angriffsfläche der eigenen Website bereits verkleinert hat, hält den zweiten Teil derselben Rechnung in der Hand: Je weniger angreifbar der laufende Betrieb ist, desto seltener wird der Rückweg gebraucht.
Website: www.beispiel.invalid
Zulässiger Verlust: 24 Stunden (tägliche Sicherung, nachts)
Zulässiger Ausfall: 4 Stunden (Werktag, 08:00 bis 18:00)
Reihenfolge:
1. Startseite, Kontaktseite, Impressum (Erreichbarkeit)
2. Leistungsseiten, Blog (Inhalt)
3. Formularannahme, Terminvergabe (Funktionen)
Zuständig: Inhaberin
Vertretung: Bürokraft
Zugang zur Sicherung: beide, getrennt hinterlegt
Protokoll: Ablage "Website/Sicherung", ein Blatt je QuartalTabelle waagerecht wischen
| Fall | Was kaputtgeht | Woraus zurückgeholt wird |
|---|---|---|
| Fehlerhafte Änderung am Text | Eine Seite, sichtbar sofort | Vorherige Fassung derselben Seite |
| Fehlgeschlagenes Update | Darstellung oder Funktion der ganzen Seite | Letzter Stand vor dem Update |
| Übernommener Zugang | Inhalte und möglicherweise die Zugänge selbst | Älterer, geprüft unbeschädigter Stand |
| Verschlüsselung des Systems | Alles am selben Ort, oft samt Sicherung | Kopie am zweiten Ort, nicht überschreibbar |
| Ausfall beim Anbieter | Erreichbarkeit, nicht die Daten | Eigene Kopie auf anderem Weg ausgeliefert |
| Versehentliches Löschen | Einzelne Dateien oder eine Datenbank | Täglicher Stand, möglichst jung |
Der Fall, der die meisten Konzepte aushebelt
Was zur Website gehört und mitgesichert werden muss
Die häufigste Lücke ist keine technische, sondern eine Frage des Umfangs. Gesichert wird, was jemand als Website versteht, und das ist in der Regel weniger als das, was für den Betrieb der Website nötig ist.
Fehlt später ein einziger Teil, hilft der Rest wenig: Die Seiten sind da, aber die Domain zeigt woandershin; die Inhalte sind da, aber die Formularannahme fehlt; alles ist da, aber niemand kommt an den Anbieterzugang, weil er in einem Postfach lag, das mit ausgefallen ist.
Deshalb lohnt sich einmalig eine vollständige Aufstellung. Sie ist kein großes Dokument, sondern eine Liste mit einer Zeile je Bestandteil und der Angabe, wo dieser Bestandteil liegt und wer ihn ändern darf. Wer die Rollen und Rechte in der Website-Pflege bereits geordnet hat, kann diese Liste daraus ableiten. Sie ist zugleich die Grundlage für den Übergabewert der Website bei einer Betriebsnachfolge, denn dieselbe Aufstellung beantwortet die Frage, was überhaupt übergeben wird.
- Seiteninhalte und Aufbau. Texte, Überschriften, Reihenfolge der Abschnitte, Menüstruktur, Weiterleitungen alter Adressen.
- Bilder und Dateien. In der Auflösung, in der sie hochgeladen wurden, nicht nur in der ausgelieferten Fassung.
- Einstellungen. Farben, Schriften, Zustimmungsdialog, Formularempfänger, Sprachfassungen.
- Rechtstexte. Impressum und Datenschutzerklärung samt Stand, weil sie zum belegbaren Zustand der Seite gehören.
- Domain und Namensauflösung. Registrar, Ablaufdatum, Einträge für Web und E-Mail. Ohne diese Angaben zeigt die wiederhergestellte Seite ins Leere.
- Zugänge. Anbieterkonto, Domainkonto, Postfach für Systemmeldungen, Zugang zur Sicherung selbst.
- Formularmeldungen. Eingegangene Anfragen sind Geschäftsvorgänge und in der Regel nicht Teil der Seitendateien.
- Nachweise. Protokolle der Sicherungsläufe und das Datum der letzten geprüften Rückspielung.
Wie alt die letzte Sicherung sein darf
Eine einzige tägliche Kopie, die jede Nacht überschrieben wird, ist der häufigste Aufbau und zugleich der schwächste. Er hilft gegen Versehen, die am selben Tag auffallen, und er versagt bei allem, was später bemerkt wird.
Genau das ist der Regelfall: Ein übernommener Zugang fällt oft erst auf, wenn der Schaden sichtbar wird, und dann sind die letzten Kopien bereits mit dem beschädigten Zustand überschrieben. Der Ausweg ist keine größere Platte, sondern eine gestaffelte Aufbewahrung.
Gestaffelt heißt: mehrere Zeilen mit je eigenem Zeitraum, die nebeneinander laufen. Täglich für die jüngste Vergangenheit, wöchentlich für die mittlere, monatlich für den langen Rückblick. Der Platzbedarf steigt dabei deutlich langsamer als die Zahl der Rückkehrpunkte, weil die groben Zeilen wenige Stände halten. Wichtig ist nur, dass sich die drei Zeilen nicht gegenseitig überschreiben und dass eine Spiegelung nicht als Sicherung gezählt wird: Datenspiegelungen über RAID-Systeme werden nicht als Datensicherung verstanden, da die gespiegelten Daten simultan verändert werden (BSI, IT-Grundschutz).
Täglich, 14 Tage
Deckt Versehen und fehlgeschlagene Änderungen ab. Diese Zeile ist die einzige, die den Verlust auf Stunden begrenzt.
Wöchentlich, 12 Wochen
Deckt Schäden ab, die erst nach Tagen auffallen. Zwölf Stände reichen für ein Vierteljahr Rückblick.
Monatlich, 12 Monate
Deckt schleichende Veränderungen und Rückfragen ab, etwa zum Stand eines Rechtstextes an einem bestimmten Tag.
Vor jeder Änderung
Ein Stand unmittelbar vor einem größeren Eingriff. Er kostet nichts und ersetzt im Zweifel jede der drei Zeilen.
Zwei Orte
Ein Ort im Betrieb, ein Ort außerhalb. Die Trennung ist die Anforderung, nicht die Technik dahinter.
Nicht überschreibbar
Das laufende System darf ältere Stände nicht löschen können. Sonst nimmt ein übernommener Zugang die Sicherung gleich mit.
Schlüssel getrennt
Wird die Sicherung verschlüsselt, gehört der Schlüssel an einen anderen Ort als die Sicherung.
Protokoll je Lauf
Datum, Umfang, Ergebnis. Ein Lauf ohne Ausgabe hat kein Signal, an dem ein Dauerfehler auffallen würde.
Die Probe, die aus einer Sicherung eine Wiederherstellung macht
Eine Sicherung, die noch niemand zurückgespielt hat, ist eine Vermutung mit Zeitstempel.
Das BSI formuliert die Anforderung im Baustein CON.3 unmissverständlich: Datensicherungen sind regelmäßig daraufhin zu testen, ob sie wie gewünscht funktionieren, und vor allem daraufhin, ob gesicherte Daten einwandfrei und in angemessener Zeit zurückgespielt werden können (BSI, IT-Grundschutz). Der Zusatz zur angemessenen Zeit ist der Teil, den Betriebe am häufigsten übersehen. Eine Sicherung, deren Rückspielung zwei Tage dauert, erfüllt die Zusage einer vierstündigen Ausfalldauer nicht, auch wenn die Daten vollständig sind.
Die Probe muss klein sein, sonst findet sie nicht statt. Ein Vormittag im Quartal reicht aus, wenn er nach einem festen Ablauf läuft und wenn die Zeit mitgeschrieben wird. Geprobt wird an einer Kopie, nicht an der laufenden Seite. Und geprobt wird von der Person, die es im Ernstfall tun müsste, nicht von derjenigen, die das System aufgesetzt hat, denn genau dieser Unterschied macht später den Zeitbedarf aus.
Tabelle waagerecht wischen
| Schritt der Probe | Was gemessen wird | Woran sie typischerweise scheitert |
|---|---|---|
| Sicherung finden | Ort, Zugang, Alter des jüngsten Stands | Zugang liegt bei einer Person, die nicht erreichbar ist |
| Stand öffnen | Vollständigkeit, Lesbarkeit | Schlüssel fehlt oder liegt am selben Ort wie die Sicherung |
| Inhalte zurückspielen | Dauer bis zur sichtbaren Seite | Ein Bestandteil fehlt, etwa Einstellungen oder Bilder |
| Adresse umschalten | Zeit bis zur Erreichbarkeit unter der Domain | Domainzugang unbekannt, Ablauf des Namens übersehen |
| Funktionen prüfen | Formular, Weiterleitungen, Rechtstexte | Formularempfänger zeigt auf ein Postfach, das es nicht mehr gibt |
| Ergebnis festhalten | Gesamtdauer, offene Punkte | Es wird nichts notiert, die nächste Probe fängt bei null an |
Die Probe hat einen zweiten Ertrag, der oft größer ist als der erste: Sie erzeugt eine ehrliche Zahl für die Ausfalldauer. Wer diese Zahl kennt, kann entscheiden, ob sie zum Geschäft passt. Passt sie nicht, gibt es zwei Hebel: den Umfang verringern, indem Inhalte und Aufbau versioniert vorliegen, oder die Zugänge so ordnen, dass die Wartezeiten entfallen. Der zweite Hebel ist in kleinen Betrieben in der Regel der wirksamere, weil die Wartezeit auf Zugänge den größten Anteil an der Gesamtdauer hat.
Was die Probe über die Vorbereitung sagt
Zugänge, Schlüssel und der zweite Ort
Die Wiederherstellung scheitert selten an Dateien und häufig an Berechtigungen.
Wer im Ernstfall an die Sicherung heran muss, braucht den Zugang zum Speicherort, zum Anbieterkonto und zum Domainkonto, und zwar unabhängig von dem System, das gerade ausgefallen ist. Das BSI weist im Baustein CON.3 auch auf die Dokumentation hin: Wenn die Information zur Wiederherstellung nur digital vorliegt, besteht die Gefahr, dass diese bei Großschäden wie Ransomware ebenfalls verloren geht, und die Wiederherstellung dann gefährdet ist (BSI, IT-Grundschutz).
- Zugang zur Sicherung getrennt halten. Ein eigenes Konto, das nur schreiben und lesen darf, was es muss, und das nicht am Anmeldeweg des Tagesgeschäfts hängt.
- Schlüssel nicht neben der Tür aufbewahren. Wird die Sicherung verschlüsselt und ist bei einem Datenverlust auch der Schlüssel betroffen, können die Daten nicht wiederhergestellt werden (BSI, IT-Grundschutz).
- Zweite Person mit Zugang. Eine Vertretung, die den Weg kennt und ihn einmal gegangen ist. Eine hinterlegte Liste ohne Probe zählt nur halb.
- Postfach für Systemmeldungen außerhalb. Meldungen über ablaufende Domains oder fehlgeschlagene Läufe dürfen nicht in demselben System liegen, das ausfällt.
- Anbieterwechsel mitdenken. Wer die Zugänge sauber geführt hat, ist beim Umzug zu einem anderen Anbieter in der gleichen Lage wie im Ernstfall, nur ohne Zeitdruck.
Es MUSS regelmäßig getestet werden, ob die Datensicherungen wie gewünscht funktionieren, vor allem, ob gesicherte Daten einwandfrei und in angemessener Zeit zurückgespielt werden können.
Der Notfallzettel, der ohne Strom funktioniert
Der Notfallzettel ist die billigste Maßnahme in diesem ganzen Beitrag und die, die am häufigsten fehlt.
Er ist ein einzelnes Blatt in einem Ordner, der im Betrieb steht, und er beantwortet die Fragen der ersten Stunde: Wen rufe ich an, wo liegt die Sicherung, wie heißt der Anbieter, welche Reihenfolge gilt, was sage ich Kunden. Er enthält keine Passwörter, sondern den Weg zu ihnen, und er wird einmal im Quartal daraufhin angesehen, ob die Namen und Nummern noch stimmen.
Zum Zettel gehört ein Satz für die Außenwirkung. Ein Ausfall ist für Kunden zunächst eine geschlossene Tür, und eine kurze, ehrliche Nachricht auf einem anderen Weg verhindert Nachfragen, die im Ernstfall Zeit kosten. Falls bei dem Vorfall auch personenbezogene Daten betroffen sind, greifen zusätzlich Meldepflichten mit eigener Frist. Der Ablauf dafür steht im Beitrag zur Datenpanne und der 72-Stunden-Meldung, und er gehört auf dasselbe Blatt, weil sonst niemand daran denkt.
STAND: 2026-09-15 nächste Durchsicht: 2026-12-15
1 ERREICHBARKEIT PRÜFEN
Seite von außen aufrufen, Mobilfunk statt Firmennetz.
Fällt nur die Seite aus oder auch die E-Mail?
2 ANRUFEN
Zuständig: Inhaberin Vertretung: Bürokraft
Anbieter: Kundennummer im Ordner, Register 3
Domain: Registrar, Kundennummer im Ordner, Register 4
3 SICHERUNG
Ort 1: Netzlaufwerk "Sicherung" täglich, 14 Stände
Ort 2: getrennter Speicher außerhalb wöchentlich + monatlich
Schlüssel: Umschlag im Tresor, nicht digital
4 REIHENFOLGE
Startseite + Kontakt -> Leistungsseiten -> Formulare
5 NACH AUSSEN
Kurznachricht an Bestandskunden, Anrufbeantworter ändern.
Personenbezogene Daten betroffen? Dann Meldeweg prüfen.
6 MITSCHREIBEN
Uhrzeit je Schritt. Das Blatt ist hinterher der Nachweis.Warum eine versionierte Website den Rückweg verkürzt
Der Zeitbedarf einer Wiederherstellung hängt daran, wie viele bewegliche Teile eine Website hat.
Eine Seite, die zur Laufzeit aus einer Datenbank, einer Sammlung von Erweiterungen und einem Satz Einstellungen zusammengesetzt wird, muss in all diesen Teilen zurückgeholt werden, und jeder Teil kann einzeln scheitern. Liegen Aufbau, Inhalte und Einstellungen dagegen als versionierte Konfiguration vor und wird daraus eine statisch ausgelieferte Seite erzeugt, dann ist der Rückweg ein anderer Vorgang: Man wählt einen früheren Stand und veröffentlicht erneut. Wie dieser Weg von der Beschreibung bis zur veröffentlichten Seite verläuft, zeigt so funktioniert die Erstellung.
- Jede Veröffentlichung ist ein Rückkehrpunkt. Der Rückweg endet nicht bei der letzten Nacht, sondern bei der letzten Änderung.
- Der Umfang ist bekannt. Inhalte, Aufbau, Farben, Rechtstexte und Formularziele liegen an einem Ort und nicht verteilt.
- Weniger bewegliche Teile. Ausgeliefert werden fertige Dateien; Datenbank und Erweiterungen fallen als Fehlerquelle im Ausliefern weg.
- Der Rückweg ist derselbe Weg wie der Hinweg. Wer eine Änderung veröffentlichen kann, kann auch einen alten Stand veröffentlichen. Neue Abläufe unter Zeitdruck entfallen.
- Trennung ist eingebaut. Der Ort, an dem gebaut wird, ist nicht der Ort, an dem ausgeliefert wird. Das folgt demselben Gedanken wie die Vorgabe, Sicherungen getrennt von den gesicherten Systemen aufzubewahren (BSI, IT-Grundschutz).
Die ersten Schritte in dieser Woche
Der Aufwand für den Einstieg ist kleiner, als die Bedrohungszahlen vermuten lassen. Ein Nachmittag genügt für die Bestandsaufnahme, ein zweiter für die erste Probe.
Wer danach nichts weiter tut, hat bereits den größten Teil des Risikos verschoben, denn die teuren Fälle entstehen aus Unkenntnis über den eigenen Bestand und nicht aus fehlender Technik. Die folgende Reihenfolge hat sich bewährt, weil jeder Schritt für sich schon einen Nutzen hat.
- Aufstellung schreiben. Eine Zeile je Bestandteil, mit Ort und zuständiger Person. Auch die Bestandteile aufnehmen, bei denen unklar ist, wo sie liegen.
- Alter der jüngsten Sicherung feststellen. Nicht die Einstellung nachsehen, sondern den vorhandenen Stand: Datum, Umfang, Größe.
- Zweiten Ort einrichten. Getrennter Speicher, eigener Zugang, ältere Stände nicht überschreibbar.
- Staffelung festlegen. Täglich 14, wöchentlich 12, monatlich 12. Diese Werte sind ein Startpunkt und lassen sich nach der ersten Probe anpassen.
- Notfallzettel ausdrucken. In den Ordner, nicht in ein Verzeichnis auf demselben Rechner.
- Erste Probe fahren. An einer Kopie, mit Uhr, durch die Vertretung. Das Ergebnis auf dasselbe Blatt.
- Termin für die nächste Probe setzen. Ein Quartal später, mit Namen. Ohne Termin fällt die Probe erfahrungsgemäß aus.
Bleibt am Ende ein Punkt offen, gehört er auf das Blatt und nicht ins Vergessen. Genau dieselbe Ordnung hilft übrigens außerhalb des Ernstfalls: Wer weiß, welche Bestandteile eine Website hat und wo sie liegen, kann sie auch sauber erweitern, etwa um eine eigene Seite je Leistung, und kann vor einer Namensänderung Firmenname und Domain markenrechtlich prüfen, ohne erst suchen zu müssen, wer den Namen eigentlich hält. Wie ein solcher Aufbau bei uns entsteht, zeigen die Leistungen und die Demos.
Quellen und Studien