Klären Sie mit Ihrer internen IT oder Ihrem Dienstleister nicht nur, ob Backups erstellt werden, sondern auch, wer eine Wiederherstellung übernimmt und wie Sie deren Ergebnis gemeinsam prüfen. Nehmen Sie dafür zuerst einen wichtigen Geschäftsprozess in den Blick. So wird aus der Frage nach einer vorhandenen Sicherung eine konkrete Vorbereitung auf einen Ausfall.
Eine Sicherung beantwortet nicht jede Notfallfrage
Das Bundesamt für Cybersicherheit BACS nennt tägliche Backups als eine der grundlegenden Schutzmassnahmen für Unternehmen. Gleichzeitig weist es darauf hin, dass Ransomware auch Datensicherungen betreffen kann. Eine vorhandene Sicherung sollte deshalb nicht mit einer umfassenden Notfallvorsorge gleichgesetzt werden.
Für die praktische Planung hilft es, drei getrennte Aufgaben zu betrachten: Daten sichern, Verantwortung zuordnen und die Wiederherstellung erproben. Keine dieser Aufgaben ersetzt die anderen. Ein Test macht dabei aus einer Annahme eine überprüfbare Frage: Lässt sich der ausgewählte Arbeitsablauf mit den wiederhergestellten Daten tatsächlich ausführen?
| Aufgabe | Leitfrage für Ihr KMU | Was Sie dazu festhalten sollten |
|---|---|---|
| Sicherung | Welche Daten und Systeme werden gesichert? | Den vereinbarten Umfang der Sicherung |
| Zuständigkeit | Wer veranlasst und begleitet die Wiederherstellung? | Verantwortliche Personen und beteiligte Dienstleister |
| Wiederherstellungstest | Was soll nach der Wiederherstellung funktionieren? | Testumfang, Prüfkriterien und Ergebnis |
Diese Tabelle ist eine Arbeitsgrundlage für Ihr Gespräch mit der IT, kein technischer Nachweis. Lassen Sie unklare Angaben ausdrücklich offen, statt sie als erledigt zu behandeln.
Der Geschäftsprozess bestimmt den Umfang der Vorsorge
Die Cybersicherheits- und Resilienzmethode des BACS beginnt bei den wichtigen Tätigkeiten sowie Geschäfts- und Produktionsprozessen. Erst danach werden die dafür benötigten Informatikmittel und deren Schutzbedarf betrachtet. Für Ihr KMU bedeutet das: Beginnen Sie nicht bei einem einzelnen Backup-Produkt, sondern bei der Arbeit, die weitergehen muss.
Fragen Sie beispielsweise, welche Informationen und Anwendungen Ihr Team für die Bearbeitung eines Kundenauftrags benötigt. Ordnen Sie diesen Ablauf den beteiligten Systemen und Dienstleistern zu. Berücksichtigen Sie dabei Abhängigkeiten zwischen Systemen, auf die auch die BACS-Methode ausdrücklich hinweist.
WordPress kann ein wichtiger Bestandteil dieses Ablaufs sein, muss aber nicht dessen Mittelpunkt bilden. Beziehen Sie deshalb auch andere betriebliche Anwendungen und Daten in Ihre Planung ein. Eine ergänzende Entscheidungshilfe bietet der Beitrag IT-Ausfall im KMU: Was muss zuerst wieder funktionieren?.
Zuständigkeiten gehören vor dem Ausfall geklärt
Das BACS betont das Zusammenspiel technischer und organisatorischer Massnahmen sowie die Zusammenarbeit mit IT-Dienstleistern und Cloud-Anbietern. Übersetzen Sie diesen Grundsatz in klar zugeordnete Verantwortlichkeiten. Die Aussage, ein externer Anbieter kümmere sich darum, lässt noch offen, wer im konkreten Fall welche Entscheidung trifft.
Klären Sie für den ausgewählten Ablauf insbesondere:
- Wer kann den Umfang der vorhandenen Sicherung erklären?
- Wer koordiniert die Wiederherstellung mit den beteiligten Anbietern?
- Wer prüft aus fachlicher Sicht, ob wieder gearbeitet werden kann?
- Wer informiert Mitarbeitende und gegebenenfalls weitere Betroffene?
Wenn Sie organisatorische Lücken zunächst einordnen möchten, bietet der kostenlose Cyber-Check für KMU eine antwortbasierte Selbsteinschätzung mit Sofortergebnis und ohne Login. Er ist keine technische Prüfung und keine Phishing-Simulation. Das Ergebnis dient der allgemeinen Orientierung ohne Gewähr und ersetzt keinen Wiederherstellungstest.
Ein überschaubarer Test liefert konkrete Klärungspunkte
Aus dem prozessorientierten Ansatz lässt sich ein praktischer Einstieg ableiten: Testen Sie zunächst einen klar begrenzten, wichtigen Ablauf. Die folgende Liste ist eine redaktionelle Arbeitshilfe, kein vom BACS vorgegebenes Testverfahren. Stimmen Sie die technische Durchführung mit den zuständigen Fachpersonen ab.
- Testziel festlegen: Beschreiben Sie, welcher Arbeitsablauf nach der Wiederherstellung möglich sein soll. Formulieren Sie beobachtbare Prüfkriterien statt eines allgemeinen Ziels wie «alles funktioniert».
- Umfang abgrenzen: Halten Sie fest, welche Daten, Anwendungen und Abhängigkeiten zum Test gehören. Benennen Sie auch, was ausdrücklich nicht geprüft wird.
- Beteiligte bestimmen: Vereinbaren Sie, wer die technische Durchführung übernimmt und wer das Ergebnis fachlich beurteilt.
- Wiederherstellung erproben: Lassen Sie den vereinbarten Umfang durch die zuständigen Fachpersonen wiederherstellen und prüfen Sie den ausgewählten Ablauf gemeinsam.
- Ergebnis dokumentieren: Notieren Sie, was funktioniert hat, welche Fragen offenbleiben und wer die notwendigen Verbesserungen übernimmt.
Bezeichnen Sie einen begrenzten Test nicht als Nachweis für den gesamten Betrieb. Nutzen Sie seine Ergebnisse vielmehr, um Ihre Vorsorge schrittweise zu verbessern. Das passt zum prioritätsgesteuerten und wiederholenden Vorgehen, das die BACS-Methode als praktikable Möglichkeit beschreibt.
Was bedeutet das für Ihr KMU?
Behandeln Sie Backup, Verantwortung und Wiederherstellung als zusammengehörige, aber getrennt zu prüfende Aufgaben. Ein personalisierbarer Cyber-Notfallplan als PDF von WPKarma, einem Angebot der onlineKarma AG, kann die Vorbereitung ergänzen; er kostet einmalig CHF 89.– zzgl. MwSt. und garantiert keine Wiederherstellung.
Ihr nächster sinnvoller Schritt: Vereinbaren Sie mit Ihrer IT einen begrenzten Wiederherstellungstest für einen wichtigen Geschäftsprozess, einschliesslich Zuständigkeit und schriftlicher Auswertung.