Ein ERP-Backup-Konzept muss mindestens drei Dinge leisten: Kopien aller geschäftskritischen Daten an einem physisch getrennten, vor Ransomware geschützten Ort vorhalten, die Wiederherstellung regelmäßig testen und die gesetzlichen Aufbewahrungsfristen für Buchungsbelege einhalten. Wer sich allein auf die Backup-Funktion des ERP-Anbieters oder Cloud-Hosters verlässt, übernimmt damit meist unbewusst ein Risiko, das eigentlich beim eigenen Unternehmen liegt – bei den meisten Cloud- und SaaS-Verträgen sichert der Anbieter die Infrastruktur, nicht automatisch die Wiederherstellbarkeit einzelner Datensätze nach einem Ransomware-Befall oder Fehlbedienung.
Das Wichtigste in Kürze
- Laut einer 2026 veröffentlichten Omdia-Studie waren 83 Prozent der Unternehmen in den vergangenen zwei Jahren von mindestens einem Ransomware-Angriff betroffen – in vier von fünf Fällen zielten die Angreifer gezielt auf die Backups.
- Die Wiederherstellungsquote sinkt: 2026 konnten nur noch 39 Prozent der betroffenen Unternehmen mindestens 75 Prozent ihrer Daten zurückholen, 2024 waren es noch 57 Prozent; 64 Prozent überschritten ihre geplante Wiederherstellungszeit.
- Die Bitkom-Studie „Wirtschaftsschutz 2026“ (1.003 befragte Unternehmen) beziffert den Gesamtschaden durch Datendiebstahl, Spionage und Sabotage in der deutschen Wirtschaft auf 211 bis 270,8 Milliarden Euro pro Jahr; 57 Prozent der Unternehmen waren von digitaler Sabotage betroffen.
- Seit 1. Januar 2025 gilt für Buchungsbelege nach § 257 Abs. 1 Nr. 4 HGB eine verkürzte Aufbewahrungsfrist von 8 statt 10 Jahren (Viertes Bürokratieentlastungsgesetz) – für Banken, Versicherer und Wertpapierinstitute erst ab 1. Januar 2026.
- Belastbare, öffentlich zugängliche Preisangaben für ERP-Backup- oder Recovery-Module speziell für den deutschen Markt: keine Angabe – die Kosten hängen stark von Datenvolumen, Wiederherstellungszeit-Anforderung und gewähltem Anbieter ab.
Warum Datensicherheit im ERP-System eine eigene Betrachtung braucht
Ein ERP-System bündelt bewusst das, was in vielen Unternehmen sonst über mehrere Insellösungen verteilt ist: Auftragsdaten, Lagerbestände, Kundendaten, Buchhaltung und häufig auch Personaldaten laufen in einer zentralen Datenbank zusammen – der Unterschied zwischen Warenwirtschaft und einem vollständigen ERP-System liegt gerade in dieser Konsolidierung. Genau das macht das ERP-System im Ernstfall zum wertvollsten und zugleich verwundbarsten Ziel im Unternehmen: Fällt die zentrale Datenbank aus oder wird sie verschlüsselt, stehen Einkauf, Lager, Versand und Rechnungsstellung gleichzeitig still. Ein isoliertes Backup-Konzept für „das ERP“ separat von der übrigen IT-Sicherheit zu betrachten, greift deshalb zu kurz – es braucht ein Konzept, das technische Sicherung, Zugriffsschutz und rechtliche Aufbewahrungspflichten zusammen denkt.
Aktuelle Bedrohungslage: Ransomware nimmt gezielt Backups ins Visier
Wie sehr sich die Bedrohungslage in den letzten Jahren verschärft hat, zeigt eine 2026 veröffentlichte Untersuchung des Marktforschungsunternehmens Omdia: Demnach waren 83 Prozent der befragten Unternehmen in den vergangenen zwei Jahren von mindestens einem Ransomware-Angriff betroffen. Besonders relevant für das Thema Backup: In vier von fünf Angriffen nahmen die Täter gezielt die Sicherungskopien selbst ins Visier, um eine Wiederherstellung ohne Lösegeldzahlung zu verhindern. Die Folge lässt sich an der sinkenden Erfolgsquote bei der Datenwiederherstellung ablesen – 2026 konnten nur noch 39 Prozent der betroffenen Unternehmen mindestens 75 Prozent ihrer Daten zurückholen, gegenüber 57 Prozent im Jahr 2024. 64 Prozent der betroffenen Organisationen überschritten zudem ihre vorab definierte Wiederherstellungszeit (Recovery Time Objective). Bemerkenswert: 76 Prozent der Unternehmen gaben zwar an, unveränderliche („immutable“) Backups zu nutzen, doch 83 Prozent davon setzten diese Funktion nur teilweise ein – ein Konfigurationsdetail, das im Ernstfall über Wiederherstellbarkeit oder Totalverlust entscheidet.
Datensicherheit als Wirtschaftsschutz-Thema
Dass Datenverlust längst kein reines IT-Nischenthema mehr ist, unterstreicht die im September 2026 veröffentlichte Studie „Wirtschaftsschutz 2026“ von Bitkom, für die 1.003 deutsche Unternehmen ab 10 Mitarbeitenden und einem Jahresumsatz von mindestens 1 Million Euro befragt wurden. 57 Prozent der Unternehmen waren demnach von digitaler Sabotage betroffen, 45 Prozent von digitalem Datendiebstahl. Der jährliche Gesamtschaden für die deutsche Wirtschaft durch Datendiebstahl, Spionage und Sabotage wird in der Studie mit einer Schadenskorridor-Spanne von 211 bis 270,8 Milliarden Euro beziffert – Cyberangriffe machen davon laut Studie den größten Anteil aus. Für ERP-Betreiber heißt das: Ein Backup-Konzept ist nicht nur eine technische Absicherung gegen Bedienfehler oder Hardware-Ausfälle, sondern Teil des unternehmensweiten Schutzes vor gezielten Angriffen.
Elemente eines tragfähigen ERP-Backup-Konzepts
Die 3-2-1-Regel als Grundprinzip
Als Mindeststandard gilt in der Praxis die 3-2-1-Regel: mindestens drei Kopien der Daten, auf mindestens zwei unterschiedlichen Speichermedien, davon mindestens eine Kopie räumlich getrennt vom Produktivsystem. Für ERP-Datenbanken bedeutet das üblicherweise eine lokale Sicherung für schnelle Wiederherstellung, eine zweite Kopie auf einem anderen Speichersystem und eine externe oder Cloud-Kopie, die im Fall eines Ransomware-Befalls oder eines physischen Schadens am Hauptstandort erreichbar bleibt. Angesichts der oben genannten Zahlen zu gezielt angegriffenen Backups gewinnt dabei zusätzlich eine vierte Eigenschaft an Bedeutung: mindestens eine Kopie sollte unveränderlich (immutable) oder offline (air-gapped) vorgehalten werden, damit sie von Schadsoftware im Netzwerk gar nicht erst erreicht werden kann.
Cloud- versus On-Premise-ERP: Wer sichert eigentlich was?
Bei Cloud-ERP-Systemen übernimmt der Anbieter in der Regel die Sicherung der Infrastruktur – Server, Netzwerk, Betriebssystem. Ob und in welchem Umfang aber auch anwendungsseitige Backups (einzelne Datensätze, Belege, Konfigurationen) im Standardvertrag enthalten sind oder als kostenpflichtiges Zusatzmodul verkauft werden, unterscheidet sich stark je Anbieter und gehört vor Vertragsabschluss in die Klärung. Bei On-Premise-Systemen liegt die vollständige Verantwortung für Backup, Aufbewahrungsort und Wiederherstellungstest beim Unternehmen selbst. Wer beide Welten kombiniert, etwa in einem Hybrid-ERP-Modell, sollte das Backup-Konzept für beide Umgebungen einheitlich dokumentieren, statt sich stillschweigend auf implizite Zuständigkeiten zu verlassen.
Zugriffsschutz und Verschlüsselung
Ein Backup, das mit denselben Zugangsdaten erreichbar ist wie das Produktivsystem, bietet gegen Ransomware kaum zusätzlichen Schutz – Angreifer, die sich Zugriff auf das ERP-System verschaffen, finden dann häufig auch den Weg zur Sicherung. Getrennte Zugangsdaten, Multi-Faktor-Authentifizierung für Backup-Systeme und eine Verschlüsselung der Sicherungen sowohl bei der Übertragung als auch im Ruhezustand gehören deshalb zum Grundschutz.
Regelmäßige Wiederherstellungstests
Ein Backup, das nie zurückgespielt wurde, ist im Ernstfall eine Vermutung, kein verlässlicher Plan. Die oben genannte Omdia-Zahl – nur 39 Prozent Wiederherstellung von mindestens 75 Prozent der Daten – deutet darauf hin, dass viele Unternehmen genau hier Lücken haben. Ein Wiederherstellungstest sollte fester Bestandteil des Konzepts sein, idealerweise mit einer Zeitmessung, die mit der zuvor festgelegten Recovery Time Objective abgeglichen wird.
Gesetzliche Aufbewahrungspflichten für ERP-Daten
Neben der technischen Absicherung gehört zum Backup-Konzept auch die Einhaltung gesetzlicher Aufbewahrungsfristen, denn viele im ERP-System gespeicherte Belege sind steuerlich und handelsrechtlich relevant. Mit dem Vierten Bürokratieentlastungsgesetz wurde die Aufbewahrungsfrist für Buchungsbelege – etwa empfangene Rechnungen, Lieferscheine, Auftragsbestätigungen und Frachtbriefe – nach § 257 Abs. 1 Nr. 4 HGB von 10 auf 8 Jahre verkürzt. Die Regelung gilt seit dem 1. Januar 2025 für Belege, deren bisherige Aufbewahrungsfrist an diesem Stichtag noch nicht abgelaufen war; für beaufsichtigte Finanzinstitute, Versicherungen und Wertpapierunternehmen greift die Verkürzung erst ab dem 1. Januar 2026. Für die Backup-Praxis bedeutet das: Löschkonzepte und Archivierungsfristen im ERP-System sollten regelmäßig mit der aktuellen Rechtslage abgeglichen werden, statt starr an einer einmal eingerichteten 10-Jahres-Regel festzuhalten – auch weil bei einer Datenmigration im Rahmen einer ERP-Einführung genau diese Aufbewahrungsfristen mitgeplant werden müssen, damit keine archivpflichtigen Daten vorzeitig verloren gehen.
Checkliste: Ist das ERP-Backup-Konzept vollständig?
- Existiert mindestens eine Backup-Kopie, die physisch oder logisch vom Produktivnetzwerk getrennt ist (offline oder immutable)?
- Sind die Zugangsdaten für das Backup-System von denen des ERP-Produktivsystems getrennt und zusätzlich mit Multi-Faktor-Authentifizierung geschützt?
- Wurde die Wiederherstellung in den letzten zwölf Monaten mindestens einmal real getestet und die dabei benötigte Zeit dokumentiert?
- Ist im Vertrag mit dem Cloud- oder SaaS-ERP-Anbieter klar geregelt, wer für anwendungsseitige Backups einzelner Datensätze zuständig ist?
- Sind Löschfristen und Archivierung im System an die aktuell gültigen handels- und steuerrechtlichen Aufbewahrungsfristen angepasst?
Was kostet ein ERP-Backup-Konzept?
Belastbare, öffentlich zugängliche Preisangaben speziell für ERP-Backup- und Recovery-Lösungen: keine Angabe – die Kosten hängen von Datenvolumen, gewünschter Wiederherstellungszeit, Anzahl der Kopien und davon ab, ob eine Managed-Backup-Lösung eines Drittanbieters oder eine Eigenlösung zum Einsatz kommt. Als grobe Orientierung für das Gesamtbudget rund um ein ERP-System dienen die allgemeinen Kostenfaktoren eines ERP-Systems, in denen Backup und Datensicherheit meist als Teil der laufenden Betriebskosten auftauchen, selten aber separat ausgewiesen werden. Viele im Anbieter-Verzeichnis gelistete ERP-Anbieter bieten Backup- oder Recovery-Zusatzpakete an, deren Umfang und Preis sich am besten im direkten Angebotsvergleich klären lässt.
Häufige Fragen zu ERP-Datensicherheit und Backup
Reicht das Standard-Backup des Cloud-ERP-Anbieters aus?
Für die reine Infrastruktur meist ja, für anwendungsseitige Wiederherstellung einzelner Datensätze oder Belege oft nicht automatisch – das sollte vertraglich geprüft statt angenommen werden.
Wie oft sollte ein ERP-Backup erstellt werden?
Öffentlich belastbare, allgemeingültige Angaben zur optimalen Backup-Frequenz für ERP-Systeme: keine Angabe – üblich ist eine Orientierung an der maximal tolerierbaren Datenverlustmenge (Recovery Point Objective) des jeweiligen Unternehmens, die je nach Transaktionsvolumen von mehrmals täglich bis wöchentlich reichen kann.
Was bedeutet ein „immutable“ Backup?
Ein unveränderliches Backup kann für einen festgelegten Zeitraum von niemandem – auch nicht von Administratoren oder Schadsoftware mit erbeuteten Zugangsdaten – gelöscht oder verändert werden. Das schützt gezielt gegen die in der Omdia-Studie beschriebenen Angriffe auf Backups selbst.
Müssen ERP-Backups auch aus DSGVO-Sicht besonders behandelt werden?
Da ERP-Systeme häufig personenbezogene Daten von Kunden, Lieferanten oder Mitarbeitenden enthalten, gelten für Backups dieselben Grundsätze wie für die Produktivdaten – etwa Zweckbindung, Zugriffsbeschränkung und fristgerechte Löschung, sobald keine gesetzliche Aufbewahrungspflicht mehr entgegensteht.
Wie hängen Backup-Konzept und ERP-Auswahl zusammen?
Backup- und Recovery-Fähigkeiten lassen sich bereits in der Testphase vor der Kaufentscheidung konkret abfragen und im Idealfall sogar simulieren, statt sie erst nach der Einführung zu klären.
Ein Backup-Konzept, das ausschließlich auf dem Papier existiert oder sich allein auf Zusagen des Cloud-Anbieters stützt, hält einem gezielten Ransomware-Angriff nach aktueller Studienlage in vielen Fällen nicht stand. Wer die Zuständigkeit für Backups vertraglich klärt, mindestens eine unveränderliche Kopie vorhält und die Wiederherstellung regelmäßig testet, reduziert das Risiko spürbar – unabhängig davon, ob das ERP-System in der Cloud, On-Premise oder hybrid betrieben wird.
