Es ist einer der beruhigendsten Sätze im Mittelstand.
„Backup haben wir.“
Er fällt in Gesprächen über IT-Risiken. In Versicherungsgesprächen. Bei Audits. Wenn jemand fragt ob die Daten sicher sind.
Und meistens stimmt er sogar.
Irgendwo laufen Sicherungen. Irgendwo werden Daten kopiert. Statusmeldungen sind grün.
Was selten gefragt wird: Wann wurde das letzte Mal getestet ob diese Sicherungen im Ernstfall tatsächlich funktionieren?
Nicht ob sie laufen. Ob sie tragen.
Das ist ein anderer Satz. Und er hat eine andere Antwort.
Ein Backup beantwortet eine Frage: Sind die Daten gespeichert?
Resilienz beantwortet eine andere: Wie lange sind wir handlungsunfähig — und welche Systeme müssen zuerst wieder laufen?
Das sind nicht dieselbe Frage. Und die zweite wird selten gestellt.
Ein Unternehmen das täglich sichert, hat ein Backup. Es hat damit noch keine Resilienz. Denn Resilienz bedeutet nicht dass Daten vorhanden sind — sondern dass kritische Prozesse unter realen Bedingungen wiederhergestellt werden können. Vollständig. In einer akzeptablen Zeit. Von jemandem der weiß wie.
Die entscheidenden Fragen sind nicht technisch:
— Wie lange dauert eine vollständige Wiederherstellung?
— Welche Systeme haben Priorität
— und in welcher Reihenfolge werden sie wiederhergestellt?
— Wer führt das durch
— und kann er es auch ohne den üblichen Ansprechpartner?
Wer diese Fragen nicht beantworten kann, hat ein Backup. Aber noch kein belastbares Bild seiner Wiederherstellungsfähigkeit.
Backup ist Datensicherung. Resilienz ist Handlungsfähigkeit. Beides ist nicht dasselbe.
Ein Backup das nie getestet wurde ist keine Absicherung. Es ist eine Annahme.
Das klingt hart. Es ist nur präzise.
Eine Annahme kann richtig sein. Sie kann falsch sein. Solange sie nicht geprüft wird, weiß niemand welches von beidem zutrifft.
Und im Ernstfall — wenn Systeme ausgefallen sind, wenn Zeitdruck herrscht, wenn Kunden warten und Prozesse stillstehen — ist der falsche Moment um herauszufinden dass die Annahme falsch war.
Ein getestetes Backup ist ein anderes Ding. Es hat eine bekannte Wiederherstellungszeit. Es hat einen dokumentierten Ablauf. Es hat jemanden der weiß was zu tun ist.
Das ist kein höherer Standard. Das ist der Mindeststandard für eine Absicherung die ihren Namen verdient.
Wer nicht weiß ob sein Backup trägt, hat keine Absicherung. Er hat eine Hoffnung.
Vier Fragen. Keine Technik. Aber jede davon zeigt ob ein Backup im Ernstfall trägt — oder nur auf dem Papier existiert.
Wann wurde die letzte vollständige Wiederherstellung getestet?
Nicht die letzte Sicherung. Die letzte Wiederherstellung — vollständig, unter realen Bedingungen, mit dem Ergebnis dass alle kritischen Systeme wieder liefen. Wer keine konkrete Antwort hat, hat keine getestete Absicherung. Er hat eine laufende Sicherung. Das ist nicht dasselbe.
Wie lange hat sie gedauert?
Wiederherstellungszeit ist keine technische Kennzahl. Sie ist eine unternehmerische. Wer nicht weiß wie lange seine Systeme im Ernstfall ausfallen würden, kann die Konsequenzen nicht einschätzen — nicht für den Betrieb, nicht für Kunden, nicht für laufende Verträge.
Wer führt die Wiederherstellung durch — wenn der übliche Ansprechpartner nicht erreichbar ist?
Im Ernstfall ist selten alles verfügbar was normalerweise verfügbar ist. Wenn die Antwort auf diese Frage unklar ist, ist die Absicherung personenabhängig. Und Personenabhängigkeit ist kein Backup-Konzept.
Welche Systeme haben Priorität — und in welcher Reihenfolge werden sie wiederhergestellt?
Nicht alle Systeme sind gleich kritisch. Wer keine Prioritätenliste hat, stellt im Ernstfall alles gleichzeitig wieder her — oder das Falsche zuerst. Beides kostet Zeit die der Betrieb nicht hat.
Wer keine konkrete Antwort hat, hat sie nicht geprüft.
Das ist keine Geschichte über Fahrlässigkeit.
Es ist eine Geschichte über funktionierende Systeme — und was sie unsichtbar machen.
Solange Backups laufen, gibt es keinen Anlass sie zu testen. Die Statusmeldungen sind grün. Der Dienstleister hat nichts gemeldet. Es ist nie etwas passiert.
Und Tests kosten. Zeit. Aufwand. Manchmal kurze Unterbrechungen im Betrieb. In einem Alltag der ohnehin zu voll ist, ist das kein priorisiertes Thema.
Dazu kommt ein stillerer Grund: Ein Test könnte zeigen dass etwas nicht funktioniert. Und solange niemand testet, muss niemand damit umgehen.
Das ist kein Vorwurf. Es ist eine strukturelle Realität.
Funktionierende Systeme erzeugen Vertrauen. Vertrauen erzeugt Gewissheit. Und Gewissheit die nicht geprüft wurde ist eine Annahme — auch wenn sie sich wie eine Tatsache anfühlt.
Der Ernstfall testet. Die Frage ist nur ob man vorher getestet hat — oder ob der Ernstfall der erste Test ist.
Der erste Schritt ist kein neues Backup-System.
Er ist eine ehrliche Antwort auf vier Fragen.
Wann wurde zuletzt getestet. Wie lange hat es gedauert. Wer kann es durchführen. Was hat Priorität.
Wer diese Fragen beantworten kann, weiß wo er steht. Wer es nicht kann, weiß jetzt was fehlt — nicht als Vorwurf, sondern als Ausgangspunkt.
Denn ein fehlendes Bild ist kein dauerhafter Zustand. Es ist ein lösbares Problem.
Der Unterschied zwischen einem Backup das trägt und einem das es nicht tut, liegt selten in der Technologie. Er liegt im Wissen darüber — ob es dokumentiert ist, ob es getestet wurde, ob jemand weiß was zu tun ist wenn es darauf ankommt.
Absicherung beginnt nicht mit einem System. Sie beginnt mit einem ehrlichen Blick auf das was vorhanden ist.
„Backup haben wir.“
Es ist einer der beruhigendsten Sätze im Mittelstand. Und einer der am wenigsten geprüften.
Nicht weil er falsch ist. Sondern weil er eine Frage beantwortet die niemand gestellt hat — und die eigentliche Frage offen lässt.
Die eigentliche Frage ist nicht ob Daten gesichert sind. Sie ist ob der Betrieb im Ernstfall wiederherstellbar ist. Vollständig. In akzeptabler Zeit. Von jemandem der weiß was zu tun ist.
Wer das mit Ja beantworten kann, hat eine Absicherung.
Wer es nicht weiß, hat einen beruhigenden Satz.