Warum Ihr Backup 2026 vielleicht nur noch Altpapier ist

Im März hat eine Steuerkanzlei in Charlottenburg 48 Stunden auf ihre Daten gewartet. Das Backup lag auf einem NAS im Keller – verschlüsselt vom gleichen Ransomware-Angriff, der die Server lahmlegte. Die Cyber-Versicherung zahlte nicht: „Unzureichende Trennung der Backups“ stand im Ablehnungsschreiben. Solche Fälle häufen sich. Ab 2026 wird es noch enger.

Was Versicherer jetzt schon prüfen – und 2026 zur Pflicht machen

Die meisten Policen verlangen heute drei Dinge: regelmäßige Backups, Offline-Speicherung und Testwiederherstellungen. Doch die Feinheiten entscheiden über Anerkennung oder Ablehnung. Hier die aktuellen Knackpunkte, die 2026 Standard werden:

• Immutability: Backups müssen für mindestens 30 Tage unveränderbar sein. Ein einfaches NAS mit Schreibzugriff reicht nicht mehr. Versicherer akzeptieren nur noch Lösungen mit WORM-Funktion (Write Once, Read Many) oder Cloud-Speicher mit Objekt-Lock (z. B. AWS S3 Glacier Deep Archive).
• Geografische Trennung: Lokale Backups im selben Gebäude zählen nicht. Mindestabstand: 20 km. Besser: Zwei Rechenzentren in unterschiedlichen Brandabschnitten oder eine Hybridlösung mit Cloud-Anteil.
• Dokumentierte Wiederherstellungszeiten: Wer keine SLA mit max. 4 Stunden für kritische Systeme nachweisen kann, riskiert Teilablehnungen. Praxisbeispiel: Eine Berliner Zahnarztpraxis verlor 12.000 €, weil die Versicherung nur 50 % der Ausfallkosten übernahm – die Wiederherstellung dauerte 18 Stunden statt der vertraglich vereinbarten 6.
• Ransomware-Resistenz: Backups müssen vor Verschlüsselung geschützt sein. Das bedeutet: Keine dauerhafte Netzwerkverbindung, keine Standard-Protokolle wie SMB. Akzeptiert werden nur Luftschleusen-Lösungen (Air Gap) oder dedizierte Backup-Netzwerke mit separater Authentifizierung.

Die größten Lücken sehen wir bei KMU mit selbst verwalteten Backups. Typische Fehler:

• „Wir haben ein Backup“ – aber nur ein tägliches Inkrement, das im Ernstfall 3 Tage Wiederherstellungszeit bedeutet.
• „Unser IT-Dienstleister macht das“ – doch der Vertrag enthält keine Garantien für Wiederherstellungszeiten.
• „Die Daten liegen in der Cloud“ – aber ohne Versionierung, sodass auch die Cloud-Backups vom Angriff betroffen sind.

Was 2026 wirklich zählt: Die 48-Stunden-Regel

Ab 2026 wird eine neue Klausel in fast allen Policen auftauchen: die 48-Stunden-Regel. Sie besagt, dass ein Unternehmen nachweisen muss, innerhalb von 48 Stunden nach einem Vorfall wieder arbeitsfähig zu sein – zumindest für kritische Prozesse. Wer das nicht schafft, bekommt nur noch Teilzahlungen.

Beispiel aus der Praxis: Ein Berliner Handwerksbetrieb mit 15 Mitarbeitern hatte ein tägliches Backup auf einer externen Festplatte. Als die Ransomware zuschlug, dauerte die Wiederherstellung 5 Tage. Die Versicherung zahlte nur die ersten 48 Stunden Ausfallzeit – der Rest (ca. 8.000 €) ging zu Lasten des Betriebs. Ab 2026 wäre die Ablehnung komplett gewesen.

Was bedeutet das konkret?

• Backups müssen automatisiert laufen – manuelle Prozesse sind zu langsam.
• Wiederherstellungstests müssen quartalsweise dokumentiert werden. Einmal im Jahr reicht nicht mehr.
• Kritische Systeme (z. B. Buchhaltung, Patientendaten) brauchen getrennte Backup-Pfade mit eigenen Wiederherstellungszeiten.

Wie Sie Ihr Backup versicherungsfest machen – ohne IT-Studium

Sie müssen kein Techniker sein, um die Anforderungen zu erfüllen. Diese Schritte reichen für 90 % der KMU:

1. Prüfen Sie Ihre aktuelle Backup-Strategie:
   • Wo liegen die Backups? (Lokal/Cloud/Hybrid)
   • Wie oft werden sie erstellt? (Täglich/Wöchentlich)
   • Wie lange dauert eine Wiederherstellung? (Testen Sie es!)
2. Setzen Sie auf eine Hybridlösung:
   • Lokales Backup (z. B. NAS mit WORM-Funktion) für schnelle Wiederherstellung.
   • Cloud-Backup (z. B. AWS S3 oder Backblaze B2) mit Objekt-Lock für Langzeitspeicherung.
   • Luftschleuse (Air Gap) für kritische Daten – z. B. eine wöchentliche Sicherung auf einer externen Festplatte, die offline gelagert wird.
3. Dokumentieren Sie alles:
   • Backup-Plan (was wird wann gesichert?)
   • Wiederherstellungsprotokolle (wer macht was im Ernstfall?)
   • Testberichte (mindestens quartalsweise).
4. Lassen Sie sich die Lösung von Ihrem IT-Dienstleister bestätigen:
   • Fordern Sie eine schriftliche Bestätigung, dass die Backup-Lösung den aktuellen Versicherungsanforderungen entspricht.
   • Klären Sie, wer im Schadensfall für die Wiederherstellung verantwortlich ist – und wie schnell.

Ein Tipp aus der Praxis: Viele Versicherer bieten kostenlose Checklisten an. Fragen Sie Ihren Makler nach den aktuellen „Backup-Anforderungen für Cyber-Policen“. Die meisten haben eine 2-seitige Übersicht, die Sie Ihrem IT-Dienstleister vorlegen können.

Was passiert, wenn Sie nichts tun?

Die Rechnung kommt im Schadensfall. Typische Szenarien:

• Teilablehnung: Die Versicherung zahlt nur einen Teil der Kosten, weil die Backups nicht den Anforderungen entsprachen. Beispiel: Ein Berliner Architekturbüro erhielt nur 60 % der Ausfallkosten, weil die Wiederherstellung länger als 48 Stunden dauerte.
• Komplette Ablehnung: Wenn Backups fehlen oder unbrauchbar sind, zahlt die Versicherung gar nicht. Beispiel: Eine Praxis in Neukölln verlor 30.000 €, weil die Backups auf demselben Server lagen wie die Originaldaten – und mitverschlüsselt wurden.
• Höhere Prämien: Wer die Anforderungen nicht erfüllt, muss mit Prämienerhöhungen von 20–50 % rechnen. Einige Versicherer kündigen sogar die Police, wenn die Mängel nicht innerhalb von 6 Monaten behoben werden.

Fazit: Backups sind kein IT-Thema, sondern ein existenzielles Risiko. Die Anforderungen werden 2026 so streng sein, dass viele KMU nachrüsten müssen. Wer jetzt handelt, spart sich später Ärger – und Geld.

Wenn Sie unsicher sind, ob Ihre Backups den Anforderungen entsprechen, lassen Sie sie prüfen. Wir bieten eine kostenlose Erstanalyse an – ohne Verpflichtungen, ohne Techniker-Chinesisch. Ein Anruf genügt: 030 / 1234567.