cybersicher.info Die Cyber-Fachberatung der W&K Wirtschaftsberatung
Erstgespräch buchen

← Zurück zum Blog

Backup vorhanden, Kanzlei trotzdem still: So prüfst du die Wiederherstellung

Tino Weissenrieder
Tino Weissenrieder

· Kanzleien & Steuerberatung

Eine erfolgreiche Datensicherung beweist noch nicht, dass deine Steuerkanzlei nach einem Ausfall wieder arbeiten kann. Dafür musst du prüfen, ob sich Daten, Anwendungen und Zugänge in der benötigten Reihenfolge wiederherstellen lassen. Ein sinnvoller Test endet deshalb bei einem nutzbaren Arbeitsablauf, nicht bei der Meldung „Datei zurückgespielt“.

Welche Arbeit soll zuerst wieder möglich sein?

Beginne mit einer konkreten Tätigkeit. Das kann die Bearbeitung einer Lohnabrechnung, der Zugriff auf eine digitale Mandantenakte oder die Vorbereitung einer fristgebundenen Erklärung sein. Welche Tätigkeit Vorrang hat, hängt von deiner Kanzlei und der jeweiligen Situation ab.

Schreibe für diesen Arbeitsablauf auf, was benötigt wird: Anwendung, Datenbestand, Anmeldung, Berechtigungen, gegebenenfalls eine Schnittstelle und eine zuständige Person. So wird sichtbar, warum ein vorhandener Sicherungssatz allein nicht genügt.

Lege anschließend zwei Ziele fest. Bis wann muss diese Arbeit nach einem Ausfall spätestens wieder möglich sein? Und wie viel neu entstandene Arbeit dürftest du im ungünstigsten Fall verlieren und nachtragen müssen? Gemessen wird das am Alter der zurückgeholten Daten, also an der Zeit seit der letzten nutzbaren Sicherung. Das BSI nennt diese beiden Größen geforderte Wiederanlaufzeit (Recovery Time Objective, RTO) und maximal zulässigen Datenverlust (Recovery Point Objective, RPO).

Die Wiederanlaufzeit muss kürzer sein als die Zeit, die deine Kanzlei einen Ausfall dieser Arbeit höchstens verkraften kann. Denn bis jemand den Ausfall bemerkt und die Wiederherstellung anstößt, vergeht bereits Zeit.

Diese Ziele sind Planungsgrößen. Sie sind noch kein Nachweis, dass deine Technik sie tatsächlich erreicht. Das zeigt erst ein Test.

Eine Übersicht über alle Speicherorte verhindert blinde Flecken

In einer Kanzlei liegen nicht zwangsläufig alle Informationen am selben Ort. Neben Anwendungen in einem Rechenzentrum können lokale Dateien, E-Mails, gescannte Belege, Vorlagen und Daten anderer Fachprogramme benötigt werden.

Ein konkreter Anlass für eine erneute Bestandsaufnahme ist DATEV Steuern Onlinedaten. Mit den DATEV-Programmen 20.0 vom August 2026 steht in den Steuerprogrammen ein neuer Datenpfad bereit, über den die Steuerbestände in der DATEV-Cloud gespeichert werden. Die Steuerprogramme selbst kannst du weiterhin lokal nutzen. Umgestellt wird je Steuerbestand, entweder einzeln über einen Umstellungsdialog oder für mehrere Bestände gesammelt über den Mandanten-Manager. Bestände, die nicht umgestellt sind oder bei denen Voraussetzungen fehlen, bleiben nach Angaben von DATEV auf dem bisherigen Datenpfad.

Prüfe deshalb mit deinem IT-Dienstleister den tatsächlichen Stand. Welche Bestände sind schon umgezogen? DATEV zeigt das nach eigener Angabe in der Geschäftsfeldübersicht des DATEV Arbeitsplatzes und im Mandanten-Manager. Welche Daten bleiben lokal? Wer sichert welchen Teil und wer kann ihn zurückholen? Die Herstellerinformation ersetzt diesen Abgleich mit deiner eigenen Umgebung nicht.

Eine einfache Übersicht reicht als Ausgangspunkt: Arbeitsablauf, Speicherort, Sicherungsverantwortlicher und Wiederherstellungsweg. Ergänze ein Prüfdatum. Eine nicht zugeordnete Datenquelle ist ein konkreter Arbeitsauftrag für die nächste Abstimmung. Welche Aufgaben bei einer Cloud-Lösung ohnehin bei der Kanzlei bleiben, beschreibt mein Beitrag zur Cloud-Sicherheit bei DATEV.

Sicherung und Wiederherstellung müssen zusammenpassen

Das BSI behandelt Datensicherung und Wiederherstellung gemeinsam im Baustein CON.3 „Datensicherungskonzept“ des IT-Grundschutzes. Zu den Basis-Anforderungen gehört dort, regelmäßig zu testen, ob sich gesicherte Daten einwandfrei und in angemessener Zeit zurückspielen lassen. Die vom Baustein geforderten Datensicherungspläne beschreiben unter anderem, in welcher Reihenfolge Systeme und Anwendungen wiederhergestellt werden.

Der Ransomware-Leitfaden der US-Cybersicherheitsbehörde CISA, den sie unter anderem mit FBI und NSA herausgegeben hat, empfiehlt zudem offline aufbewahrte, verschlüsselte Sicherungen sowie regelmäßige Prüfungen ihrer Verfügbarkeit und Integrität. Hintergrund ist, dass Angreifer auch erreichbare Sicherungen angreifen können.

Für deine Kanzlei bedeutet das: Lass dir erklären, wie eine Sicherung geschützt ist, wenn ein administratives Konto übernommen wird. Frage außerdem, wo die zum Wiederherstellen notwendigen Schlüssel, Installationsinformationen und Zugangsdaten verfügbar sind. Ein Wiederherstellungsplan hilft wenig, wenn er ausschließlich auf dem ausgefallenen System liegt.

Welche technische Lösung passt, sollte dein IT-Dienstleister anhand der IT deiner Kanzlei festlegen. Der Test soll anschließend zeigen, ob diese Lösung den vereinbarten Arbeitsablauf unterstützt.

So bereitest du einen überschaubaren Test vor

Die folgende Vorgehensweise ist ein praktischer Vorschlag für die Abstimmung zwischen Kanzleileitung und IT-Dienstleister. Sie ist keine Anleitung, produktive Systeme eigenständig zurückzusetzen.

Wähle zunächst einen begrenzten, aber wichtigen Arbeitsablauf. Vereinbare ein Zeitfenster, die beteiligten Personen und ein eindeutiges Testziel. Zum Beispiel: Ein festgelegter Datenstand lässt sich in einer getrennten Testumgebung öffnen und mit den vorgesehenen Berechtigungen bearbeiten.

Kläre vorab mit deinem Dienstleister, welche Testdaten verwendet werden dürfen und wie sie geschützt werden. Reale Mandantendaten gehören nicht unkontrolliert auf private Geräte oder in eine beliebige Testumgebung. Auch nach Ende des Tests muss klar sein, wie mit Testkopien umgegangen wird.

Bestimme außerdem, wann der Versuch abgebrochen wird und wer darüber entscheidet. Ein geplanter Test darf nicht unbemerkt den laufenden Kanzleibetrieb beeinträchtigen.

Prüfe mehr als die reine Rücksicherung

Lass den Dienstleister den vereinbarten Sicherungsstand wiederherstellen. Anschließend prüft eine fachlich zuständige Person aus der Kanzlei, ob die benötigten Informationen tatsächlich nutzbar sind.

Lässt sich die Anwendung öffnen? Ist der richtige Bearbeitungsstand vorhanden? Funktionieren Anmeldung und Berechtigungen? Kann der ausgewählte Arbeitsschritt ohne unerwartete Zusatzhilfe abgeschlossen werden?

Dabei können unterschiedliche Ergebnisse entstehen. Die Technik hat vielleicht erfolgreich Daten zurückgespielt, aber eine fehlende Schnittstelle verhindert die Bearbeitung. Oder der Zugriff funktioniert, doch der Sicherungsstand ist für die geplante Aufgabe zu alt. Beides gehört in das Ergebnis.

Miss auch die Wartezeiten

Die Dauer des Kopiervorgangs ist nur ein Teil der Ausfallzeit. Für deine Planung zählt ebenso, wann der zuständige Dienstleister erreichbar war, wann die notwendigen Zugänge vorlagen und wann die fachliche Prüfung beendet wurde. Vergleiche die gesamte Zeit bis zur nutzbaren Arbeit mit der vorher festgelegten Wiederanlaufzeit.

Trenne im Protokoll die gemessene technische Dauer von organisatorischen Verzögerungen. So lässt sich später gezielt entscheiden, ob beispielsweise ein Zugriff, eine Zuständigkeit oder die Sicherung selbst verbessert werden muss.

Ein kleiner Test mit einem klar begrenzten Ergebnis

Das folgende Beispiel ist frei erfunden: Eine Steuerkanzlei möchte eine ausgewählte digitale Mandantenakte aus der Sicherung wiederherstellen. Der IT-Dienstleister benötigt dafür 45 Minuten. Die fachliche Prüfung beginnt jedoch erst zwei Stunden später, weil die zuständige Vertretung keinen Zugang zur Testumgebung hat.

Die Daten sind vorhanden, der Ablauf ist trotzdem noch nicht ausreichend vorbereitet. Die Kanzlei ergänzt die Vertretungsregel und wiederholt den Test.

Auch ein danach erfolgreicher Versuch beweist nur die Wiederherstellung dieses ausgewählten Arbeitsablaufs unter den getesteten Bedingungen. Er belegt noch keinen vollständigen Wiederanlauf aller Kanzleisysteme. Weitere wichtige Abläufe brauchen eigene Prüfungen.

Was du für Versicherungsantrag und Vertrag dokumentieren solltest

Der unverbindliche Muster-Fragebogen des GDV zur Risikoerfassung bei Cyberversicherungen fragt unter anderem nach Datensicherung und regelmäßigen Tests der Datenwiederherstellung. Einzelne Versicherer können andere oder zusätzliche Fragen stellen.

Beantworte deshalb die konkrete Frage anhand des tatsächlichen Zustands. Ein alter Test einzelner Dateien sollte nicht als aktueller Nachweis einer vollständigen Systemwiederherstellung dargestellt werden. Wenn dein Dienstleister die Antwort liefert, lass dir Umfang und Datum erläutern.

In den unverbindlichen GDV-Musterbedingungen ist die regelmäßige Prüfung des Sicherungs- und Wiederherstellungsprozesses nach einem festgelegten Turnus außerdem eine Obliegenheit, also eine vertragliche Pflicht vor dem Versicherungsfall. Wird sie vorsätzlich oder grob fahrlässig verletzt, kann die Leistung dort ganz oder teilweise entfallen, grundsätzlich aber nur, wenn die Verletzung für den Versicherungsfall oder den Leistungsumfang ursächlich war. Ob dein Vertrag eine solche Pflicht enthält und wie sie formuliert ist, steht in deinen Bedingungen.

Auch die Versicherungsleistung ist gesondert zu prüfen. Die GDV-Musterbedingungen sehen beispielsweise Regelungen für die Wiederherstellung von Daten und für Betriebsunterbrechungen vor. Dabei gelten definierte Auslöser, Leistungsgrenzen und weitere Voraussetzungen. Ein realer Vertrag kann davon abweichen.

Frage im Vergleich deshalb konkret nach versicherten Wiederherstellungskosten, zeitlicher Selbstbeteiligung und Haftzeit. Die zeitliche Selbstbeteiligung ist der vereinbarte Teil der Ausfallzeit, den du selbst trägst. Die Haftzeit ist der vereinbarte Zeitraum, für den ein versicherter Unterbrechungsschaden höchstens ersetzt wird. Sie ist keine Zusage, dass die Kanzlei innerhalb dieser Zeit wieder funktioniert. Welche Bausteine für Kanzleien wichtig sein können, beschreibe ich auf der Seite Cyberversicherung für Steuerberater und Kanzleien.

Was ein gutes Testprotokoll festhält

  • Datum, Beteiligte und verantwortlicher Dienstleister.
  • Geprüfter Arbeitsablauf und ausgewählter Sicherungsstand.
  • Testumgebung und Schutz der verwendeten Daten.
  • Gemessene Dauer bis zur technisch und fachlich bestätigten Nutzbarkeit.
  • Fehler, fehlende Zugänge und sonstige Einschränkungen.
  • Verantwortliche Person und Termin für jede notwendige Nachprüfung.

Was eine Rücksicherung nicht rückgängig macht

Ein Backup löst nicht jedes Problem eines Cyberangriffs. Wurden Daten vorher kopiert oder veröffentlicht, macht eine erfolgreiche Rücksicherung diesen Vorgang nicht rückgängig. Auch der CISA-Leitfaden behandelt neben der Verschlüsselung die Erpressung mit zuvor abgeflossenen Daten, teils ganz ohne Verschlüsselung. Was in einem solchen Fall zu klären ist, beschreibt mein Beitrag zum Vorgehen nach einem Cyberangriff.

Technik und Versicherung gemeinsam durchsprechen

Als Versicherungsmakler und TÜV-zertifizierter Fachberater für Cyber-Risiken unterstütze ich dich dabei, die Angaben zu deiner Datensicherung und die Versicherungsbedingungen zusammenzubringen. Die Angebote werden marktweit verglichen. Den technischen Wiederherstellungstest übernimmt dein IT-Dienstleister. Bei Bedarf kann meine Vernetzung in der IT-Sicherheitsbranche helfen, passende Ansprechpartner zu finden.

Wenn du den Stand deiner Kanzlei und die offenen Vertragsfragen einordnen möchtest, vereinbare ein kostenloses Erstgespräch.

Allgemeine Information, keine Rechts- oder IT-Sicherheitsberatung und keine Deckungszusage. Maßgeblich sind der konkrete Versicherungsvertrag und der Einzelfall.

Quellen und weiterführende Informationen

Stand: 19.10.2026. Die Quellen belegen die Angaben zu Datensicherung, Wiederanlaufzielen, DATEV Steuern Onlinedaten und den GDV-Mustern. Über den Leistungsumfang eines konkreten Versicherungsvertrags sagen sie nichts aus.

Kostenloses Erstgespräch buchen

← Zurück zum Blog