Backup-Konzept für Schweizer KMU: Aufbewahrung, Tests und Nachweise

Warum «Backup haben» noch kein Konzept ist

In einem KMU sind Daten mehr als Dateien: Aufträge, Rechnungen, Konstruktionen, Gesprächsverläufe, Know-how. Gehen sie verloren oder bleiben tagelang unverfügbar, steht das Geschäft. Ein wirksamer Backup-Service beantwortet daher nicht nur, ob gesichert wird, sondern wie schnell und vollständig die Arbeitsfähigkeit nach einem Vorfall zurückkehrt.

Viele Betriebe sichern, doch ohne klare Zielgrössen. Entscheidend sind das Recovery Time Objective (RTO) – die maximale Ausfallzeit eines Systems – und das Recovery Point Objective (RPO) – der verkraftbare Datenverlust in Minuten oder Stunden. Ein Konzept richtet sich nach diesen Werten, nicht nach pauschalen Zeitplänen.

Laut Cyberstudie 2024 schätzen 68 Prozent der befragten IT-Dienstleister das Risiko für Cyberangriffe auf Schweizer KMU als gross oder sehr gross ein. Wer sichert, aber weder Wiederanlauf noch Aufbewahrung noch Löschung regelt, hat darauf keine Antwort, sondern nur eine technische Einzellösung.

Zuerst klären: was muss zuerst zurückkommen?

Am Anfang steht eine Inventarliste des Geschäftskritischen: klassische Serverlandschaften und Virtualisierung, Datenbanken, Fileservices, branchenspezifische Anwendungen, Microsoft-365-Dienste wie Postfächer, OneDrive, SharePoint und Teams sowie lokal bearbeitete Dateien auf Notebooks und Workstations. NAS-Systeme und Archivspeicher gehören ebenfalls dazu. Daraus entsteht die Reihenfolge: Was muss zuerst laufen, wenn mehrere Systeme gleichzeitig ausfallen?

Diese Reihenfolge wird pro System mit RTO und RPO hinterlegt. Für die Anwendung, welche die Auftragserfassung trägt, gelten andere tolerierte Ausfallzeiten und Datenverluste als für einen Archivserver. Die Werte sind Führungsgrössen: Sie bestimmen Technik und Aufwand, nicht umgekehrt.

Zum Schutzbedarf gehören Ersatzarbeitsplätze. Die schnellste Datenwiederherstellung nützt nichts, wenn nach einem Ausfall niemand arbeiten kann. Zu klären ist daher, wo Ersatzarbeitsplätze gebraucht werden und welcher Wiederanlaufpfad unter Druck tatsächlich funktioniert – nicht jener, der nur in ruhiger Planung schlüssig wirkt.

Aufbewahrungsfristen als Rahmen für die Sicherung

Art. 958f OR verlangt die zehnjährige Aufbewahrung von Geschäftsbüchern, Buchungsbelegen, Geschäftsbericht und Revisionsbericht. Die Frist beginnt mit Ablauf des Geschäftsjahres. Geschäftsbericht und Revisionsbericht sind schriftlich und unterzeichnet aufzubewahren.

Geschäftsbücher und Buchungsbelege dürfen auf Papier, elektronisch oder in vergleichbarer Weise aufbewahrt werden, sofern die Übereinstimmung mit den zugrunde liegenden Geschäftsvorfällen und Sachverhalten gewährleistet ist und sie jederzeit wieder lesbar gemacht werden können. Die Einzelheiten regelt der Bundesrat in der Geschäftsbücherverordnung (GeBüV).

Buchführungspflichtig sind Einzelfirmen, Personengesellschaften, juristische Personen sowie Vereine und Stiftungen (Art. 957 OR). Neben dem OR gelten weitere Vorschriften, unter anderem im Strafrecht, im Mehrwertsteuergesetz und der Mehrwertsteuerverordnung, im Zollgesetz, in den Steuergesetzen, im Datenschutzgesetz, in der Handelsregisterverordnung und bei den Sozialversicherungen; für Versicherungen, Banken und Pensionskassen gelten zusätzliche Regeln.

Laut einer KMU-Übersicht sind zusätzlich Kassenbücher, Inventare und Lohnlisten sowie Korrespondenz und Verträge zehn Jahre aufzubewahren; die Frist beginnt mit dem Ende des Geschäftsjahres, in dem das Dokument erstellt wurde.

Auch nach einer Liquidation bleibt die Pflicht: Die Geschäftsbücher einer gelöschten Gesellschaft sind zehn Jahre an einem sicheren Ort aufzubewahren. Diesen Ort bezeichnen die Liquidatoren; können sie sich nicht einigen, das Handelsregisteramt (Art. 747 OR).

Für das Backup heisst das: Aufbewahrung ist nicht dasselbe wie Sicherung. Die Datensicherung dient der Wiederherstellung nach einem Vorfall, die Aufbewahrung der Nachvollziehbarkeit über zehn Jahre. Das Sicherungskonzept muss Versionen über lange Zeiträume halten, die Übereinstimmung mit den Geschäftsvorfällen gewährleisten und nach Ablauf der Frist eine geordnete Löschung erlauben. Elektronische Aufbewahrungssysteme müssen Daten vor Verlust, Zerstörung und unberechtigtem Zugriff schützen; eine regelmässige Datensicherung ist dafür unerlässlich.

Aufbewahrungsfristen nach Schweizer Gesetz: Vergleich von Dokumentenarten

Datenschutz und Löschlogik im Backup mitdenken

Das revidierte Datenschutzgesetz (DSG) ist seit 1. September 2023 in Kraft. Es schützt Personendaten natürlicher Personen, etwa von Kundinnen und Kunden, Mitarbeitenden, Bewerbenden und Ansprechpartnern bei Geschäftspartnern; Daten juristischer Personen fallen nicht mehr darunter. In praktisch jedem KMU werden täglich solche Personendaten bearbeitet.

Privacy by Design und Default verlangt, Datenschutz bei Auswahl und Konfiguration von Systemen mitzudenken: Datensparsamkeit, Berechtigungen, Protokollierung, sichere Standardeinstellungen sowie eine Lösch- und Aufbewahrungslogik. Hinzu kommen Informationspflichten und Betroffenenrechte: Prozesse für Auskunft, Berichtigung und Löschung müssen stehen, bevor die erste Anfrage eintrifft. Datenschutzverletzungen sind meldepflichtig.

Der praktische Konflikt liegt in der Versionierung. Wird ein Datensatz im Produktivsystem gelöscht, verschwindet er nicht automatisch aus den Sicherungskopien; eine unveränderliche Ablage erschwert nachträgliche Löschung zusätzlich. KMU müssen daher festlegen, wie sie Aufbewahrungspflichten und Löschansprüche abwägen, wer abwägt und wie eine Löschung über alle Kopien einschliesslich Archivkopien nachvollziehbar dokumentiert wird.

Mehrfachkopien, unveränderliche Ablagen und Trennung

Die verbreitete 3-2-1-Regel wird in der Praxis um zwei Elemente zu 3-2-1-1-0 ergänzt. Geschäftskritische Informationen liegen mindestens dreifach vor, auf zwei unterschiedlichen Speichersystemen, mit einer Kopie ausserhalb des Firmenstandorts. Das zweite «1» steht für eine unveränderliche Sicherung (immutable) mit Air-Gap-Charakter, logisch oder physisch getrennt, damit Angreifer oder Fehlkonfigurationen sie nicht nachträglich manipulieren. Die Null ist ein Qualitätsziel: null Fehler in den letzten Wiederherstellungstests.

Unveränderliche Repositories verhindern, dass Ransomware die Sicherungen «mitnimmt». Sie ersetzen jedoch nicht den Schutz der Backup-Infrastruktur selbst. Diese gehört zur kritischen Infrastruktur: Übertragung ins Backup-Ziel und Ablage werden verschlüsselt, Zugriffe erfolgen nach Least Privilege und werden protokolliert.

Der Umfang folgt aus dem priorisierten Inventar: Erfasst wird, was dort als geschäftskritisch gilt – einschliesslich Dienste, bei denen einzelne Elemente oder Postfächer wiederhergestellt werden müssen. Systeme mit besonderen Eigenheiten sind zu berücksichtigen, ohne Sonderwege zu schaffen; Ziel bleibt eine einheitliche, nachvollziehbare Wiederherstellungslogik.

Vorteile und Herausforderungen bei unveränderlichen Backups (Immutable Backups)

Wiederherstellen üben statt nur sichern

Ein Testplan hält fest, welche Systeme und Datenbestände getestet werden, in welcher Kadenz, mit welchen Erfolgskriterien und wer das Ergebnis abnimmt. Geprüft wird nicht nur die Rücksicherung ganzer Server, sondern auch die granulare Wiederherstellung einzelner Postfächer, Dateien oder SharePoint- und Teams-Inhalte – gerade diese Wiederherstellung ist im Ernstfall häufig gefragt.

Ein gescheiterter Test ist ein verwertbares Resultat: Er zeigt, welches Dokument, welche Abhängigkeit oder welche Berechtigung fehlt. Entscheidend ist, dass die Fehlerbehebung schriftlich festgehalten und der Test wiederholt wird.

Nachweise, die einer Prüfung standhalten

Ein Nachweisbündel für Steuerprüfung, Revision oder Kundenanfrage enthält den Sicherungsplan mit den erfassten Systemen und die definierten RTO und RPO pro System. Hinzu kommen Testprotokolle mit Datum, geprüften Datenbeständen, Ergebnis und Abnahme, dokumentierte Fehlerbehebungen, die Zuständigkeiten sowie die Aufbewahrungs- und Löschregeln.

Soweit Unterlagen unter die gesetzlichen Aufbewahrungspflichten fallen – insbesondere Geschäftsbücher und Buchungsbelege –, sind sie zehn Jahre ab Ablauf des Geschäftsjahres aufzubewahren. Aufbewahrungspflichtige Unterlagen sind vor Verlust, Zerstörung und unberechtigtem Zugriff zu schützen, in eigenen Archivräumen oder bei einem spezialisierten Archivierungsdienstleister.

Die Nichteinhaltung der Aufbewahrungspflichten kann Bussen, Probleme bei Steuerprüfungen, Nachzahlungen und strafrechtliche Konsequenzen nach sich ziehen. Nachweise sollten deshalb nicht als IT-Dokumentation beim Administrator enden, sondern nachvollziehbar und versioniert geführt werden.

Prüfliste: Nachweise für Steuerprüfung oder Revision

Verantwortung, Pflege und Grenzen des Konzepts

Das Konzept braucht Namen: Wer stösst die Sicherung an, wer prüft die Protokolle, wer führt die Wiederherstellungstests durch, wer nimmt sie ab, wer entscheidet über Löschungen. Bei aufbewahrungspflichtigen Unterlagen endet die Delegation: Die Organisation und Ausgestaltung des Rechnungswesens bleibt nach Art. 716a Abs. 1 Ziff. 3 OR unentziehbare Aufgabe des Verwaltungsrats.

Das Konzept ist lebendig zu halten. Neue Systeme, ein zusätzlicher Standort, eine ausgelagerte Anwendung oder der Wechsel eines Cloud-Dienstes verändern Schutzbedarf und Wiederanlaufpfade. Jede solche Änderung muss in Sicherungsplan, RTO und RPO sowie Testplan nachgeführt werden, sonst beschreibt die Dokumentation eine Umgebung, die es nicht mehr gibt.

An Grenzen stösst ein KMU dort, wo Systemvielfalt, Datenmengen und Nachweispflichten den eigenen Aufwand übersteigen oder wo im Ernstfall niemand verfügbar ist, der die Wiederherstellung tatsächlich fahren kann. Anbieter decken diese Lücke unter anderem mit Assessments – etwa Backup- oder Disaster-Recovery-Assessments – sowie mit Managed-Backup-Diensten ab. Die Entscheidung bleibt eine Konzeptfrage: Ein Dienstleister kann Betrieb und Nachweise liefern, nicht aber festlegen, welche Systeme zuerst zurückkommen müssen und wie lange ein Ausfall tolerierbar ist.

Schritte zur Erstellung eines wirksamen Backup-Konzepts für Schweizer KMU