Source: Deutsche Nachrichten
Die Entscheidung für eine Backup-Strategie sollte sich an der betrieblichen Realität messen. In der Praxis landet die Diskussion oft zu früh bei Tools, Lizenzen oder Hosting-Modellen – während die wesentlichen Fragen in der operativen Basis liegen.
Die Entscheidung für eine Backup-Strategie sollte keine Frage der technologischen Modernität sein, sondern sich an der betrieblichen Realität messen: Welches Modell kann das Unternehmen im Alltag dauerhaft und diszipliniert leisten? In der Praxis sehen wir oft, dass die Diskussion zu früh bei Tools, Lizenzen oder Hosting-Modellen landet, während die wesentlichen Fragen in der operativen Basis liegen.
Die tragfähigere Perspektive ist meist eine andere: Wer überwacht die Jobs? Wer reagiert auf Fehler? Wer testet Restores regelmäßig? Wer dokumentiert so, dass Audits, interne Governance und Krisensituationen nicht in Improvisation enden? Erst wenn diese Fragen geklärt sind, wird aus einer Backup-Lösung eine belastbare Recovery-Strategie.
Direkte Kontrolle spricht für den Eigenbetrieb
Eine eigene Backup-Lösung hat einen klaren Vorteil: maximale Steuerbarkeit. Architektur, Policies, Aufbewahrungsfristen, Rollenmodelle und Wiederherstellungsabläufe bleiben vollständig in eigener Hand. Das ist vor allem dann ein echter Vorteil, wenn intern bereits genügend Erfahrung vorhanden ist und Backup nicht nur nebenbei mitläuft, sondern bewusst betrieben wird.
Gerade in komplexeren Umgebungen kann das entscheidend sein. Wer mehrere Plattformen, individuelle Compliance-Vorgaben oder historisch gewachsene Strukturen betreibt, kommt mit einem standardisierten Managed-Modell nicht immer sauber ans Ziel. Eine eigene Lösung lässt sich in solchen Fällen oft genauer an die tatsächliche Betriebsrealität anpassen.
Der operative Preis des Eigenbetriebs wird oft unterschätzt
Die Schwäche liegt meist nicht in der Software selbst, sondern im laufenden Betrieb. CISA und NIST machen sehr deutlich, dass Backups geschützt, dokumentiert und regelmäßig getestet werden müssen, wenn sie im Krisenfall wirklich helfen sollen.[1][2][3] Genau an diesem Punkt werden viele Umgebungen verwundbar — nicht, weil gar keine Backups existieren, sondern weil das operative Fundament darunter nicht stabil genug ist.
Mit dem Einrichten von Backup-Jobs ist es nicht getan. Entscheidend sind Monitoring, Eskalation, Immutable- oder Offline-Konzepte, Fehlernachverfolgung, Restore-Tests, Recovery-Dokumentation und die Frage, wer im Ernstfall strukturiert übernimmt. Wer das intern dauerhaft leisten kann, hat gute Argumente für den Eigenbetrieb. Wer das nicht leisten kann, sollte das Problem nicht kleiner machen, als es ist.
Managed Backup entlastet und macht die Systeme sicherer — die Verantwortung bleibt im Haus
Genau hier liegt die Stärke eines Managed-Ansatzes. Wenn intern Zeit oder Personal fehlen, oder Backup operativ nicht die Aufmerksamkeit bekommt, die es braucht, kann ein externer Betrieb deutlich mehr Verlässlichkeit und damit Sicherheit schaffen. Das betrifft nicht nur die Überwachung von Jobs, sondern auch Fehlerbehandlung, Kapazitätsmanagement, Eskalation und definierte Wiederherstellungsabläufe.
Das ist auch deshalb relevant, weil personelle Engpässe real sind. Die ISC2 Workforce Studie 2025 zeigt erneut eine erhebliche Lücke im Cybersecurity-Arbeitsmarkt.[4] Backup ist zwar nicht deckungsgleich mit Security, in der Praxis überschneiden sich die Disziplinen heute aber deutlich stärker als früher — vor allem bei Recovery, Zugriffsschutz und Cyber-Resilienz.
Auch die Bedrohungslage spricht dafür, Backup nicht als bloße Routineaufgabe zu behandeln. ENISA führt Ransomware weiterhin als eine der zentralen Cyberbedrohungen in Europa.[5] Gleichzeitig empfehlen CISA und MS-ISAC unter anderem Offline-Backups, abgesicherte Backup-Daten und regelmäßige Restore-Tests.[1] Ein Managed Service kann helfen, genau diese Disziplinen verlässlicher in den Betrieb zu bringen. Anforderungen, Prioritäten und Kontrollpunkte sauber zu definieren, bleiben in der Pflicht der Unternehmen, bei denen aber Managed Service mit Rat und Tat begleitet.
Shared Responsibility bleibt bestehen
Das ist aus unserer Sicht einer der wichtigsten Punkte in dieser Debatte: Wer Backup auslagert, lagert Verantwortung nicht automatisch mit aus. Die Shared-Responsibility-Modelle von AWS und Microsoft machen genau das deutlich.[6][7] Ein Dienstleister übernimmt klar definierte operative Leistungen. Die Verantwortung für Schutzbedarf, Priorisierung, Governance, Datenklassifikation und viele Compliance-Fragen bleibt dennoch beim Unternehmen.
Wenn diese Trennung intern nicht sauber verstanden wird, entstehen falsche Erwartungen. Dann wird aus einem Managed Service schnell die Hoffnung, dass sich „jemand komplett kümmert“. Genau das sollte man vor einer Entscheidung nüchtern trennen: operative Entlastung, während die Verantwortung beim Unternehmen bleibt.
Compliance macht das Thema verbindlich
Spätestens regulatorisch wird deutlich, warum diese Unterscheidung wichtig ist. Die DSGVO verlangt die Fähigkeit zur Wiederherstellung der Verfügbarkeit und des Zugangs zu personenbezogenen Daten sowie Verfahren zur regelmäßigen Überprüfung und Bewertung von Sicherheitsmaßnahmen.[8] NIS2 nennt ausdrücklich Backup-Management, Disaster Recovery und Krisenmanagement als Bestandteile des Risikomanagements.[9] DORA fordert für Finanzunternehmen unter anderem Backup-Policies, Wiederherstellungsverfahren und ICT-Business-Continuity-Regelungen.[10]
Damit ist Backup nicht nur ein Technikthema. Es ist ein Governance-Thema. Wer den Betrieb auslagert, muss trotzdem steuern, prüfen und nachweisen können.
Eigenbetrieb oder Managed Service: Wo liegt Ihre operative Belastungsgrenze?
Ein Eigenbetrieb passt aus unserer Erfahrung dann gut, wenn intern genügend Tiefe vorhanden ist, um Backup und Recovery nicht nur technisch aufzusetzen, sondern auch diszipliniert zu betreiben. Dazu gehören Monitoring, Testpraxis, Dokumentation und klare Verantwortlichkeiten.
Managed Backup passt besser, wenn genau diese Betriebsdisziplin zwar erforderlich ist, intern aber nicht mit der nötigen Konstanz abgebildet werden kann. Das gilt besonders dann, wenn Teams stark ausgelastet sind, Reaktionszeiten wichtig sind oder Backup zuverlässig funktionieren muss, ohne intern jeden Tag neu priorisiert zu werden.
Fazit: Tragfähige Entscheidung hängt von Faktoren im Unternehmen ab
Managed Backup ist nicht per se besser. Eine eigene Backup-Lösung ist aber auch nicht per se souveräner. Tragfähig ist die Entscheidung, die zur personellen Realität, Betriebsreife und den jeweiligen Recovery-Anforderungen passt. Wer intern stark genug aufgestellt ist, kann mit Eigenbetrieb sehr gezielt und kontrolliert arbeiten. Wer merkt, dass genau dieser operative Unterbau im Alltag nicht stabil genug ist, sollte Managed Backup nüchtern als Betriebsmodell prüfen — nicht als Marketingversprechen.
Daher sollte man die Entscheidung nie rein an der Auswahl des Tools festmachen. Ausschlaggebend ist die Frage, welches Modell das eigene Unternehmen dauerhaft sauber betreiben, testen und im Ernstfall verteidigen kann.
Health Check
Wenn Sie wissen möchten, wie belastbar Ihre aktuelle Backup- und Recovery-Organisation wirklich ist, unterstützen wir Sie gerne mit einem Health Check Ihrer bestehenden Umgebung. Und wenn Sie prüfen möchten, ob ein Managed-Ansatz oder ein individuelles Service-Konzept besser zu Ihren Ressourcen und Anforderungen passt, sprechen wir gerne strukturiert mit Ihnen darüber — ohne Standardantworten, sondern entlang Ihrer tatsächlichen Betriebsrealität.
Quellen
[1] CISA; MS-ISAC: „Ransomware Guide“, 2023. Verfügbar unter: https://www.cisa.gov/stopransomware/ransomware-guide
[2] NIST: „Contingency Planning Guide for Federal Information Systems (SP 800-34 Rev. 1)”, 2010. Verfügbar unter: https://csrc.nist.gov/pubs/sp/800/34/r1/final
[3] NIST: „Guide for Cybersecurity Event Recovery (SP 800-184)”, 2016. Verfügbar unter: https://csrc.nist.gov/pubs/sp/800/184/final
[4] ISC2: „2025 Cybersecurity Workforce Study”, 2025. Verfügbar unter: https://www.isc2.org/Insights/2025/12/2025-ISC2-Cybersecurity-Workforce-Study
[5] ENISA: „ENISA Threat Landscape 2024″, 2024. Verfügbar unter: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2024
[6] Amazon Web Services: „Shared Responsibility Model“. Verfügbar unter: https://aws.amazon.com/compliance/shared-responsibility-model/
[7] Microsoft Learn: „Shared responsibility in the cloud“. Verfügbar unter: https://learn.microsoft.com/en-us/azure/security/fundamentals/shared-responsibility
[8] Europäische Union: Verordnung (EU) 2016/679 (DSGVO), Art. 32, 2016. Verfügbar unter: https://eur-lex.europa.eu/eli/reg/2016/679/oj
[9] Europäische Union: Richtlinie (EU) 2022/2555 (NIS2), Art. 21, 2022. Verfügbar unter: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
[10] Europäische Union: Verordnung (EU) 2022/2554 (DORA), 2022. Verfügbar unter: https://eur-lex.europa.eu/eli/reg/2022/2554/oj
AUTOR: Matthias Mrugalla
Matthias Mrugalla, Head of Managed Solutions bei Empalis, bringt seine Erfahrung als langjähriger Consultant sowie technischer Projektleiter mit Schwerpunkt Sicherung von virtuellen Systemen mit IBM Storage Protect und Veeam ein.