myveeam.cloud Logo
Angebot einholen

Ratgeber

Wiederherstellung testen - funktioniert Ihr Backup im Ernstfall?

Ein grüner Backup-Job beweist nicht, dass Sie Ihre Daten zurückbekommen. So planen, automatisieren und dokumentieren Sie Wiederherstellungstests - mit Testplan, Veeam-Funktionen und Protokollvorlage.

Lennart von myveeam.cloud · Veröffentlicht am 6. Oktober 2026 · 10 Min. Lesezeit

Ob Ihr Backup im Ernstfall funktioniert, beweist nur eine tatsächliche Wiederherstellung - nicht der grüne Status des Backup-Jobs. Prüfen Sie deshalb gestuft: automatisiert mit Integritätsprüfungen und Starttests (bei Veeam etwa Health Check und SureBackup) und zusätzlich mit geplanten Tests von der einzelnen Datei bis zum kompletten Notfall-Durchlauf. Messen Sie dabei, ob Datenstand und Dauer Ihre Vorgaben für RPO und RTO einhalten, und dokumentieren Sie das Ergebnis.

Dieser Ratgeber zeigt, was BSI, DSGVO und NIS-2 verlangen, welche Tests für kleine und mittlere Unternehmen sinnvoll sind und was Veeam Backup & Replication 13 automatisieren kann. Am Ende finden Sie eine Vorlage für Ihr Testprotokoll.

Warum heißt „Job erfolgreich“ nicht „wiederherstellbar“?

Ein erfolgreicher Backup-Job sagt nur, dass Daten gelesen und gespeichert wurden. Ob das System startet, ob Anwendungen konsistent sind und ob die Wiederherstellung in akzeptabler Zeit gelingt, zeigt er nicht. Das BSI beschreibt genau diese Gefährdung im Baustein CON.3: Regelmäßige Sicherungen gewährleisten nicht automatisch, dass sich die Daten auch wiederherstellen lassen.

Typische Gründe, warum eine Wiederherstellung trotz grüner Jobs scheitert:

  • Sicherungsdaten sind auf dem Speicher unbemerkt beschädigt.
  • Neue Server oder zusätzliche Laufwerke wurden nie in den Job aufgenommen.
  • Die anwendungskonsistente Sicherung schlug fehl, der Job endete je nach Einstellung trotzdem nur mit einer Warnung.
  • Das System startet, aber ohne Active Directory und DNS kann sich niemand anmelden.
  • Das Passwort für verschlüsselte Backups liegt nur auf dem ausgefallenen Server.

Wie groß die Lücke zwischen Erwartung und Ergebnis sein kann, zeigt der Veeam Data Trust and Resilience Report 2026 (14.04.2026, über 900 Befragte): 90 % der Organisationen trauen sich eine Wiederherstellung nach einem Cyberangriff zu, doch nur 28 % der Ransomware-Betroffenen haben ihre Daten vollständig zurückbekommen - im Schnitt waren es 72 %. Laut Veeam hatten es Angreifer bei 89 % der Ransomware-Vorfälle auch auf die Backup-Repositories abgesehen.

Veeam erweitert die 3-2-1-Regel deshalb zu 3-2-1-1-0: Die „0“ steht für null Fehler bei der Wiederherstellung, belegt durch automatisierte Prüfungen und regelmäßige Tests. Das ist eine Herstellerempfehlung, keine Norm. Wie Sie die räumlich getrennte Kopie aufbauen, lesen Sie im Ratgeber Offsite-Backup für KMU.

Was verlangen BSI, DSGVO und NIS-2?

Der IT-Grundschutz-Baustein CON.3 Datensicherungskonzept (Edition 2023) macht den Test zur Basis-Anforderung. Nach CON.3.A15 „MUSS regelmäßig getestet werden, ob die Datensicherungen wie gewünscht funktionieren, vor allem, ob gesicherte Daten einwandfrei und in angemessener Zeit zurückgespielt werden können“. Es zählt also ausdrücklich auch die Zeit. Die Datensicherungspläne sollen zudem die Wiederherstellungsreihenfolge festhalten (A4), das Konzept die RPO je IT-System nennen und die Wiederherstellungsinformationen auch bei Ausfall der Sicherungssysteme verfügbar sein (A6).

Das Bayerische Landesamt für Sicherheit in der Informationstechnik (LSI) empfiehlt in seinem Leitfaden LSI-Info T#01, der sich vorrangig an Kommunen richtet, die Wiederherstellung mindestens jährlich auf einem Testsystem zu prüfen - und bezieht die Dokumentationspflicht ausdrücklich auf Recovery-Tests.

Die DSGVO verlangt in Art. 32 Abs. 1 lit. c die Fähigkeit, die Verfügbarkeit personenbezogener Daten nach einem Zwischenfall rasch wiederherzustellen, und in lit. d ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der Maßnahmen. Ein dokumentierter Wiederherstellungstest ist dafür ein naheliegender Beleg.

Für Unternehmen, die unter NIS-2 fallen, nennt § 30 BSIG ausdrücklich Backup-Management, Wiederherstellung nach einem Notfall und die Bewertung der Wirksamkeit der Maßnahmen. Mehr dazu im Artikel NIS-2 und Datensicherung.

Hinweis: Dieser Artikel gibt einen fachlichen Überblick und ersetzt keine Rechtsberatung.

RPO und RTO - woran messen Sie den Test?

Ohne Zielwerte gibt es kein Erfolgskriterium. Legen Sie gemeinsam mit den Fachabteilungen für jedes wichtige System zwei Werte fest:

  • RPO (Recovery Point Objective): wie viel Datenverlust höchstens tolerierbar ist. Bei 24 Stunden kann eine nächtliche Sicherung genügen, bei vier Stunden nicht.
  • RTO (Recovery Time Objective): wie lange es höchstens dauern darf, bis das System wieder nutzbar ist.

Beim Test messen Sie beides: Welcher Wiederherstellungspunkt stand tatsächlich bereit, und wie lange dauerte es von der Entscheidung bis zur Freigabe durch die Fachabteilung? Die reine Kopierzeit ist nur ein Teil davon - Ersatzhardware bereitstellen, Zugangsdaten finden und abhängige Dienste starten kosten ebenfalls Zeit.

Besonders wichtig ist die Messung bei der Offsite- oder Cloud-Kopie. Ein Rechenbeispiel: 2 TB über eine Leitung mit 100 Mbit/s zu übertragen, dauert rein rechnerisch rund 44 Stunden, bei voller Auslastung und ohne Overhead. Mit 1 Gbit/s wären es rund 4,5 Stunden. Ob das zu Ihrer RTO passt, zeigt nur ein Test über Ihre tatsächliche Leitung.

Was sollten Sie testen - und wie oft?

Die Häufigkeiten in der Tabelle sind Vorschläge für typische KMU-Umgebungen, keine Norm - richten Sie sie an Ihrer Risikobewertung und Ihren RTO-Vorgaben aus.

TestartHäufigkeit (Vorschlag)Erfolgskriterium
Einzelne Dateien und Ordnermonatlich als StichprobeDatei aus dem gewünschten Stand lässt sich öffnen, Berechtigungen stimmen
Komplette VM oder Serverautomatisiert wöchentlich, manuell vierteljährlich je kritischem SystemSystem startet im isolierten Netz, Dienste laufen, Anmeldung funktioniert
Anwendungen (Active Directory, SQL Server, Exchange)vierteljährlichAnmeldung und Namensauflösung funktionieren, Datenbanken konsistent (z. B. DBCC CHECKDB ohne Fehler), Postfächer erreichbar
Physischer Server (Bare-Metal)halbjährlich und nach HardwaretauschStart vom Wiederherstellungsmedium (bei Veeam: Veeam Recovery Media), System läuft auf Ersatzhardware oder als VM
Offsite- oder Cloud-Kopiemindestens jährlich, besser halbjährlichZugriff ohne Produktivumgebung, Entschlüsselung klappt, Dauer passt zur RTO
Microsoft-365-ElementevierteljährlichE-Mail, OneDrive-Datei, SharePoint-Bibliothek und Teams-Inhalt wiederhergestellt
Kompletter Notfall-DurchlaufjährlichAblauf laut Notfallhandbuch, RPO und RTO eingehalten, Fachabteilung bestätigt Arbeitsfähigkeit

Testen Sie zusätzlich nach Migrationen, größeren Updates oder einem Wechsel des Hypervisors. Für einzelne Objekte aus Active Directory, SQL Server und Exchange bietet Veeam eigene Explorer. Wie Sie Microsoft 365 sichern, beschreiben wir unter Veeam Backup für Microsoft 365.

Wie automatisieren Sie die Prüfung mit Veeam?

Veeam Backup & Replication 13 (aktuell Version 13.1.1, Build 13.1.1.18 vom 13.08.2026) bringt mehrere Prüfmechanismen mit, die sich ergänzen.

Health Check: Veeam speichert beim Sichern Prüfsummen und vergleicht sie beim Health Check für den jeweils letzten Wiederherstellungspunkt erneut. Standardmäßig läuft er am letzten Samstag im Monat um 5:00 Uhr. Beschädigte Blöcke holt ein Wiederholungslauf erneut von der Quelle; auf unveränderbaren Linux-Repositories ist keine Reparatur möglich, dort ist ein neues aktives Vollbackup nötig. Den Health Check gibt es auch für Backup-Copy-Jobs, also auch für Kopien im Cloud Repository.

SureBackup arbeitet in zwei Modi:

  • Full recoverability testing: Veeam startet die Maschinen direkt aus der Sicherung in einem isolierten virtuellen Labor, zusammen mit einer Anwendungsgruppe (etwa Domänencontroller und DNS), und prüft Heartbeat, Ping und Anwendungen per Testskript. Vordefinierte Rollen gibt es unter anderem für DNS, Domänencontroller, Mailserver, SQL Server und Webserver. Optional prüft Veeam die Sicherungsdatei per CRC und scannt sie mit Veeam Threat Hunter, Antivirensoftware oder YARA-Regeln auf Schadcode. Der Bericht kommt per E-Mail; auf Wunsch testet der Job zufällig ausgewählte Maschinen.
  • Backup verification and content scan only: Integritätsprüfung und Malware-Scan ohne virtuelles Labor.

Den Starttest im Labor gibt es für VMware vSphere und Microsoft Hyper-V; Agent-Backups physischer Server lassen sich dort als VM starten. Für Proxmox VE, Nutanix AHV und XCP-ng/XenServer dokumentiert Veeam in Version 13.1 nur den zweiten Modus. Backups aus Backup-Copy-Jobs und aus Cloud Repositories lassen sich nicht mit SureBackup verknüpfen. Zudem hängt die Funktion von der Lizenz-Edition ab; ohne sie bleibt die manuelle Prüfung per Instant Recovery in einem isolierten Netz.

Secure Restore: Vor einer Wiederherstellung kann Veeam die Daten auf Schadcode scannen und bei einem Fund abbrechen oder die VM mit deaktivierten Netzwerkadaptern wiederherstellen. Spielen Sie das einmal im Ransomware-Szenario durch.

Was SureBackup nicht ersetzt

SureBackup belegt, dass ein System aus der Sicherung startet und definierte Dienste antworten. Nicht belegt ist damit:

  • dass die Fachabteilung mit dem System arbeiten kann und externe Abhängigkeiten wie Lizenzserver, Schnittstellen oder Mehr-Faktor-Anmeldung funktionieren,
  • dass die Wiederherstellung in die Produktion in der geplanten Zeit gelingt, denn im Labor laufen die Maschinen direkt vom Backup-Speicher,
  • dass Zugangsdaten und Notfallhandbuch im Ernstfall greifbar sind,
  • dass die Offsite- oder Cloud-Kopie wiederherstellbar ist.

Organisatorisches - was gehört ins Notfallhandbuch?

Planen Sie den Ernstfall so, dass er auch ohne die Person funktioniert, die das System eingerichtet hat.

Wiederherstellungsreihenfolge: Ein typisches Muster:

  1. Netzwerk, Firewall, Virtualisierungshosts und Zugriff auf die Sicherungen
  2. Active Directory und DNS, gegebenenfalls DHCP
  3. Datenbanken und Dateiserver
  4. Fachanwendungen, E-Mail und Terminalserver
  5. Clients und nachgelagerte Systeme

Zuständigkeiten: Wer ruft den Notfall aus, wer wählt den Wiederherstellungspunkt (bei Ransomware einen Stand vor der Kompromittierung), wer gibt Systeme frei, wer informiert Geschäftsführung, Belegschaft und gegebenenfalls Behörden? Benennen Sie Vertretungen.

Zugangsdaten offline: Notfall-Administratorkonten, Passwörter für verschlüsselte Backups und die Konfigurationssicherung, Lizenzschlüssel, Provider-Zugänge und Kontaktdaten von Dienstleistern gehören zusätzlich in eine gesicherte Offline-Ablage, etwa versiegelt im Tresor. Das BSI warnt ausdrücklich davor, Wiederherstellungsinformationen nur digital vorzuhalten. Bei Veeam enthält nur eine verschlüsselte Konfigurationssicherung die gespeicherten Zugangsdaten und Schlüssel - testen Sie auch deren Wiederherstellung auf einem neuen Backup-Server.

Nachweis: Dokumentieren Sie jeden Test, auch fehlgeschlagene, und bewahren Sie die Protokolle zusätzlich außerhalb der IT-Umgebung auf.

Vorlage - was gehört in ein Testprotokoll?

  • Datum, Testleitung und Beteiligte (IT, Fachabteilung, Dienstleister)
  • Testgegenstand, Testart und Quelle der Sicherung (lokal, Offsite, Cloud)
  • verwendeter Wiederherstellungspunkt mit Datum und Uhrzeit
  • Zielwerte für RPO und RTO
  • gemessene Zeiten: Start, Ende der Datenübertragung, System betriebsbereit, Freigabe
  • Ergebnis: bestanden, teilweise bestanden oder nicht bestanden
  • Probleme und Abweichungen vom Notfallhandbuch
  • Maßnahmen mit Verantwortlichen und Termin
  • Bestätigung, dass Testsysteme isoliert waren und entfernt wurden
  • Unterschrift und Ablageort

Häufige Fragen

Wie oft muss ich die Wiederherstellung testen?

Eine feste gesetzliche Frequenz gibt es nicht. Das BSI verlangt „regelmäßig“, das LSI Bayern empfiehlt mindestens jährlich. Sinnvoll sind laufende automatisierte Prüfungen plus manuelle Tests, gestaffelt nach Bedeutung des Systems.

Reicht ein SureBackup-Bericht als Nachweis?

Er ist ein guter technischer Beleg, ersetzt aber nicht den dokumentierten Test mit der Fachabteilung, die Messung der echten Wiederherstellungszeit und den Test der Offsite-Kopie.

Wie teste ich, ohne den laufenden Betrieb zu stören?

Stellen Sie Systeme in ein isoliertes Netz wieder her, damit doppelte Rechnernamen, IP-Adressen oder ein zweiter Domänencontroller keine Konflikte verursachen. SureBackup erledigt das über das virtuelle Labor.

Wie teste ich die Cloud-Kopie, ohne alles herunterzuladen?

Stellen Sie einzelne Dateien und mindestens ein repräsentatives System aus der Cloud-Kopie wieder her, messen Sie den Durchsatz und rechnen Sie auf Ihr Gesamtvolumen hoch. Nicht jede Wiederherstellungsart ist direkt aus einem Cloud Repository verfügbar: Instant VM Recovery wird auf Mandantenseite laut Veeam-Dokumentation nicht für alle Plattformen unterstützt.

Fazit

Ein Backup ist erst dann etwas wert, wenn die Wiederherstellung nachweislich funktioniert. Legen Sie RPO und RTO je System fest, automatisieren Sie, was sich automatisieren lässt, und planen Sie die übrigen Tests fest ein - einschließlich der Offsite-Kopie und eines jährlichen Notfall-Durchlaufs. Dokumentieren Sie jedes Ergebnis und schließen Sie gefundene Lücken. So schaffen Sie eine belastbare Grundlage für IT-Grundschutz, DSGVO und gegebenenfalls NIS-2.

Mit Veeam Cloud Connect übertragen Sie Ihre Backup-Kopien verschlüsselt in unser Cloud Repository in einem nach ISO/IEC 27001 zertifizierten Rechenzentrum in Deutschland; zusätzliche Verschlüsselung mit eigenem Schlüssel, Unveränderbarkeit und Insider Protection sind möglich, einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO stellen wir. In der kostenlosen Testphase (bis zu 30 Tage, sie endet jeweils zum Monatsende) können Sie auch die Wiederherstellung aus dem Cloud Repository ausprobieren und die Übertragungszeit über Ihre Leitung messen. Mit dem Veeam Managed Service überwachen wir Ihre Backup-Server bei Ihnen vor Ort, mit individuell vereinbarten Reaktionszeiten. Fragen beantworten wir unter hello@myveeam.cloud oder +49 8106 928 9493.

Quellen

Weitere Ratgeber