Disaster Recovery Mittelstand: Warum Resilienz 2026 zur Chefsache wird

Donnerstagmorgen, 6:42 Uhr. Im Mittelstand klingelt die Bereitschaft eines IT-Verantwortlichen. Die ERP-Datenbank reagiert nicht mehr, die Produktionsmaschinen blinken rot, im Posteingang liegt eine Lösegeldforderung. Was nach Hollywood-Skript klingt, ist 2026 Geschäftsrealität: Laut Sophos State of Ransomware 2025 zahlen mittelständische Unternehmen mit 100–250 Mitarbeitenden im Schnitt 638.536 US-Dollar allein für die Wiederherstellung — ohne Lösegeld, ohne Reputationsverlust, ohne Produktionsstillstand.

Disaster Recovery (DR) ist damit kein IT-Projekt mehr, sondern eine Frage der Unternehmensresilienz. Wer keinen erprobten Wiederanlaufplan hat, riskiert nicht nur Umsatzausfall, sondern auch die persönliche Haftung der Geschäftsführung — seit der NIS2-Richtlinie wörtlich. Die ersten 72 Stunden nach einem Vorfall entscheiden über den Fortbestand von Prozessen, Reputation und Kundenbeziehungen.

NIS2 macht Disaster Recovery zur Pflicht

Seit Mai 2026 prüft das Bundesamt für Sicherheit in der Informationstechnik (BSI) aktiv die Umsetzung der NIS2-Richtlinie. Artikel 21 verlangt von betroffenen Unternehmen unter anderem ein dokumentiertes Business-Continuity- und Krisenmanagement, Backup-Strategien sowie nachvollziehbare Verfahren zur Wiederherstellung nach einem Sicherheitsvorfall. Die nationale Umsetzung über das BSI-Gesetz (§ 30) konkretisiert die Anforderungen für „besonders wichtige“ und „wichtige“ Einrichtungen.

Betroffen sind in Deutschland rund 29.500 Unternehmen — darunter weit mehr Mittelständler als ursprünglich angenommen. Maßgeblich sind 50 Mitarbeitende oder 10 Millionen Euro Jahresumsatz in einem der 18 NIS2-Sektoren (Energie, Wasser, Abfallwirtschaft, Lebensmittel, produzierendes Gewerbe, digitale Infrastruktur und weitere). Die BSI-Registrierungsfrist ist seit dem 6. März 2026 abgelaufen — Nachzügler stehen damit unter erhöhter Aufmerksamkeit.

Wichtig zu wissen: NIS2 schreibt keine konkreten RTO- oder RPO-Werte vor. Stattdessen verlangt die Richtlinie einen risikobasierten Ansatz. Jede Organisation definiert die Wiederherstellungsziele anhand einer Business-Impact-Analyse für ihre kritischen Geschäftsprozesse. Genau hier scheitern viele Mittelständler — sie haben Backups, aber keine getestete Wiederanlauf-Strategie. Disaster Recovery Mittelstand bedeutet damit heute mehr als nur die Sicherungskopie auf einem zweiten Server.

RTO und RPO: Die zwei wichtigsten Hebel im Mittelstand

Zwei Kennzahlen entscheiden über jede Recovery-Strategie:

• RTO (Recovery Time Objective): Wie viel Zeit darf bis zur Wiederherstellung vergehen?
• RPO (Recovery Point Objective): Welcher Datenverlust ist hinnehmbar — gemessen in Zeit seit dem letzten konsistenten Backup?

Ein Beispiel macht den Unterschied klar: Wenn das ERP-System um 14:00 Uhr ausfällt, das letzte Backup um 8:00 Uhr lief und die Wiederherstellung bis 18:00 Uhr abgeschlossen ist, beträgt der RPO sechs Stunden (Datenverlust) und der RTO vier Stunden (Wiederanlaufzeit). Beide Werte müssen vor der Entscheidung über Backup-Technologie, Replikationsfrequenz und Recovery-Plattform festgelegt werden — niemals danach. Wer zuerst die Technik kauft und dann die Ziele festlegt, hat fast immer die falsche Lösung im Haus. Ausführliche Definitionen liefert der Veeam-Leitfaden zu RTO und RPO.

Im Mittelstand hat sich eine Klassifizierung in vier Tiers bewährt. Die folgende Tabelle zeigt typische Zielwerte, wie wir sie in Disaster Recovery Mittelstand Projekten als Richtschnur nutzen:

Diese Werte sind Richtwerte. Ein Wasserversorger mit Leitstellen-Pflichten braucht für die Steuerungs-IT einen RTO im Minutenbereich, ein Chemiebetrieb für seine Laborautomatisierung wenige Stunden, ein klassischer Produktionsbetrieb häufig nur 24 Stunden für nicht-kritische Verwaltungsprozesse. Die Business-Impact-Analyse legt die Tier-Zuordnung fest — nicht das IT-Bauchgefühl.

Disaster Recovery Mittelstand in 7 wichtigen Schritten umsetzen

Der folgende Sieben-Schritte-Aufbau hat sich in unseren Projekten als robuste Reihenfolge bewährt und deckt zugleich die NIS2-relevanten Pflichten ab.

1. Asset-Inventur und Business-Impact-Analyse

Bevor irgendetwas geplant wird, braucht es eine vollständige Liste aller geschäftskritischen Systeme, Daten, Schnittstellen und Abhängigkeiten. Welcher Prozess kostet wie viel Geld pro Stunde Ausfall? Welche Daten unterliegen welcher Aufbewahrungspflicht? Welche externen Dienstleister sind im Recovery-Pfad? Wer diese Fragen nicht schriftlich beantworten kann, plant Disaster Recovery im Blindflug.

2. RTO und RPO je Geschäftsfunktion definieren

Auf Basis der BIA werden Wiederherstellungsziele pro System festgelegt. Mit ihnen steht und fällt die spätere Technologie-Auswahl: Ein RPO von 15 Minuten verlangt kontinuierliche Replikation, ein RPO von 24 Stunden lässt klassische Nacht-Backups zu. Die Werte werden in einem RACI-Modell mit Verantwortlichkeiten hinterlegt und mindestens jährlich überprüft — bei jeder größeren Änderung an der IT-Landschaft sowieso.

3. Immutable, georedundante Backups einrichten

Backups, die ein Angreifer mit gestohlenen Admin-Rechten löschen oder verschlüsseln kann, sind keine Backups. Stand 2026 gilt: mindestens eine Kopie immutable (nicht überschreibbar), mindestens eine Kopie offsite (anderer Brandabschnitt und anderes Stromnetz, idealerweise anderes Rechenzentrum), regelmäßige Wiederherstellungs-Tests. Warum die klassische 3-2-1-Regel allein nicht mehr ausreicht, haben wir im Beitrag Immutable Backups: 5 kritische Fehler der 3-2-1-Regel zusammengefasst.

4. Recovery-Runbooks mit klaren Verantwortlichkeiten

Ein DR-Plan, der nur im Kopf des Senior-Admins lebt, ist kein Plan. Runbooks dokumentieren Schritt für Schritt, wer im Ernstfall was tut — vom Aktivieren der Krisenleitung über das Isolieren betroffener Segmente bis zur Wiederinbetriebnahme. Zugriff darauf muss auch dann gewährleistet sein, wenn die eigene Infrastruktur down ist — Stichwort Notfall-Druckversion im Tresor oder gesicherter Cloud-Speicher außerhalb der eigenen Domäne.

5. Mindestens jährlich vollständige Recovery-Tests

Pläne, die nie geprobt wurden, scheitern im Ernstfall. Wir empfehlen mindestens einen vollständigen Restore-Test pro Jahr — besser ist ein vierteljährlicher Rhythmus, abwechselnd Tabletop-Übung, Wiederherstellung in der Sandbox und Live-Failover. Die Sophos-Studie zeigt: Organisationen, die regelmäßig testen, sind im Median deutlich schneller wieder produktiv. 53 Prozent der befragten Unternehmen waren binnen einer Woche zurück im Geschäft — Tendenz steigend bei denen, die ihre Runbooks pflegen.

6. Externe Recovery-Partner und Forensik vorqualifizieren

Im Krisenfall ist nicht die Zeit, drei Forensik-Dienstleister parallel anzurufen und Verträge zu verhandeln. Mittelständler sollten vor dem Ernstfall einen Incident-Response-Retainer abschließen und einen Recovery-Partner kennen, der bei Datenwiederherstellung, Forensik und Kommunikation mit dem BSI unterstützt. Eine fundierte IT-Security-Beratung liefert genau diese Eskalationspfade — inklusive Vorabklärung, wer wann welche Hotline anruft.

7. Kommunikations- und Eskalationspläne festlegen

Die NIS2-Pflicht zur Erstmeldung binnen 24 Stunden lässt sich nur einhalten, wenn klar geregelt ist, wer an wen meldet — und mit welchem Inhalt. Hinzu kommen interne Kommunikation an Mitarbeitende, externe Kommunikation an Kunden und Lieferanten, gegebenenfalls Behörden, plus die Datenschutz-Meldung an die DSGVO-Aufsicht. Vorbereitete Textbausteine, ein Krisen-Telefonbuch und ein Pressestatement-Entwurf sparen im Ernstfall die Stunden, die später über Reputation entscheiden.

Recovery-Checkliste: Sind Sie für den Ernstfall vorbereitet?

Beantworten Sie die folgenden Fragen ehrlich. Jedes „Nein“ markiert eine offene Flanke in Ihrem Disaster Recovery Mittelstand Konzept:

• Existiert eine schriftlich dokumentierte Liste aller geschäftskritischen Systeme inklusive Abhängigkeiten?
• Gibt es definierte RTO- und RPO-Werte je System — und sind diese von der Geschäftsführung abgesegnet?
• Liegt mindestens eine Backup-Kopie immutable und offsite, getrennt von der Produktiv-Domäne?
• Wurde im letzten Jahr nachweislich eine vollständige Wiederherstellung getestet — nicht nur ein Datei-Restore?
• Ist das Recovery-Runbook auch ohne Zugriff auf die eigene IT erreichbar (Print, Offline-Cloud, Tresor)?
• Ist ein externer Incident-Response- und Forensik-Partner per Retainer beauftragt und der Vertrag aktuell?
• Sind Eskalationspfade und die 24-Stunden-Meldewege an das BSI dokumentiert und mindestens einmal geübt?

Fazit: Resilienz wird zur Führungsaufgabe

Disaster Recovery Mittelstand ist 2026 keine Frage des „Ob“, sondern der Reife. NIS2 zieht Geschäftsführer in die persönliche Verantwortung, die Bedrohungslage zwingt jedes Unternehmen mit nennenswerter IT-Abhängigkeit dazu, Wiederherstellung als eigene Disziplin zu betreiben. Wer jetzt strukturell investiert — in Business-Impact-Analyse, in RTO/RPO-Klassifizierung, in immutable Backups und in getestete Runbooks — gewinnt nicht nur Compliance, sondern Wettbewerbsfähigkeit. Im Ernstfall entscheiden 72 Stunden über Fortbestand oder Insolvenz. Wer diese Stunden vorbereitet, gewinnt sie. Wer improvisiert, verliert sie.