Warum 4 von 10 deutschen KMUs ihre Backups löschen – und warum das gefährlich ist
40 % der deutschen Mittelständler löschen eigene Backups, weil sie Cloud-Speicher mit sicherer Archivierung verwechseln. Doch selbst Microsoft und AWS warnen vor automatischen Löschfristen – und GoBD verlangt mehr.
```
Das Wichtigste - Laut Bitkom 2023 löschen 40 % der deutschen KMUs eigene Backups, weil sie Cloud-Speicher wie Dropbox oder Google Drive mit sicherer Archivierung verwechseln. - Selbst Anbieter wie Microsoft 365 oder AWS warnen vor automatischen Löschfristen nach 30–90 Tagen Inaktivität – doch GoBD verlangt eine revisionssichere Aufbewahrung von bis zu 10 Jahren. - Ohne immutable Backup und klare Retentionsrichtlinien drohen Bußgelder bis zu 20 Mio. € (Art. 83 DSGVO) und der Verlust kritischer Geschäftsunterlagen.
Stellen Sie sich vor, Ihr Steuerberater ruft an und fragt, warum die Rechnungsdaten der letzten drei Jahre plötzlich fehlen. Die Antwort: „Die waren doch in der Cloud.“ Genau dieses Missverständnis kostet deutsche Mittelständler jedes Jahr Terabytes an Unternehmensdaten. Eine aktuelle Studie des Bitkom zeigt: 40 % der KMUs in Deutschland löschen ihre eigenen Backups, weil sie glauben, Cloud-Speicher wie Dropbox, Google Drive oder Microsoft OneDrive seien automatisch „sichere Archive“. Doch die Realität sieht anders aus.
Denn während Cloud-Speicher für den täglichen Zugriff optimiert sind, gelten für die revisionssichere Archivierung strenge Regeln – etwa die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff (GoBD). Diese verlangen nicht nur die Unveränderbarkeit von Daten, sondern auch eine klare Trennung zwischen „Speicher“ und „Archiv“. Doch genau hier scheitern viele Unternehmen. Ein Beispiel: Ein mittelständischer Maschinenbauer aus Baden-Württemberg speicherte seine Konstruktionszeichnungen jahrelang in Microsoft SharePoint. Als ein Mitarbeiter versehentlich einen Ordner löschte, war die Datei nach 30 Tagen automatisch aus dem Papierkorb verschwunden – und mit ihr die einzige Kopie. Der Schaden: 1,2 Millionen Euro an Nacharbeiten und ein Bußgeld wegen Verletzung der GoBD.
Cloud-Speicher ≠ sicheres Archiv: Wo der Irrtum beginnt
Der Fehler liegt in der Annahme, dass Cloud-Speicher wie Dropbox, Google Drive oder Microsoft OneDrive automatisch „sichere Archive“ sind. Doch diese Dienste sind primär für den täglichen Zugriff und die Kollaboration konzipiert – nicht für die langfristige, revisionssichere Aufbewahrung. Die GoBD verlangt jedoch, dass Daten unverändert, nachvollziehbar und für mindestens sechs bis zehn Jahre aufbewahrt werden müssen. Cloud-Speicher erfüllen diese Anforderungen nur teilweise:
| Kriterium | Cloud-Speicher (z. B. Dropbox, Google Drive) | Revisionssicheres Archiv (z. B. Veeam, Backblaze B2) |
|---|---|---|
| Unveränderbarkeit | Nein (Daten können gelöscht oder überschrieben werden) | Ja (WORM-Technologie oder immutable Backup) |
| Retentionsrichtlinien | Automatische Löschung nach Inaktivität (30–90 Tage) | Benutzerdefinierte Aufbewahrungsfristen (bis zu 10 Jahre) |
| Audit-Logs | Eingeschränkt (nur Zugriffsprotokolle) | Vollständig (wer hat wann welche Daten geändert?) |
| Geografische Redundanz | Ja (aber oft ohne Kontrolle über Standorte) | Ja (mit Option für EU-Datenhaltung) |
| DSGVO-Konformität | Bedingt (abhängig vom Anbieter) | Ja (mit Verschlüsselung und Zertifizierungen) |
Ein weiteres Problem: Viele Cloud-Anbieter behalten sich das Recht vor, Daten zu löschen, wenn sie als „überflüssig“ eingestuft werden. So löscht Google Drive Daten nach 2 Jahren Inaktivität automatisch – ohne Vorwarnung. Microsoft 365 warnt zwar vor solchen Löschfristen, doch die Verantwortung für die Einhaltung der GoBD liegt beim Unternehmen. Wer hier auf die „Cloud als Backup“ setzt, riskiert nicht nur Datenverlust, sondern auch rechtliche Konsequenzen.
Die GoBD und DSGVO: Warum Cloud-Speicher allein nicht reicht
Die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern (GoBD) sind in Deutschland bindend für alle Unternehmen, die steuerrelevante Daten elektronisch verarbeiten. Sie verlangen unter anderem:
- Unveränderbarkeit: Daten müssen so gespeichert werden, dass sie nicht nachträglich manipuliert werden können. Cloud-Speicher wie Dropbox oder Google Drive erfüllen diese Anforderung nicht, da Daten überschrieben oder gelöscht werden können.
- Nachvollziehbarkeit: Jede Änderung an einer Datei muss protokolliert werden. Cloud-Speicher bieten zwar Zugriffsprotokolle, doch diese sind oft unvollständig und nicht manipulationssicher.
- Aufbewahrungsfristen: Steuerrelevante Daten müssen mindestens sechs Jahre (in einigen Fällen bis zu zehn Jahre) aufbewahrt werden. Cloud-Speicher löschen Daten jedoch oft nach 30–90 Tagen Inaktivität – selbst wenn sie steuerrelevant sind.
Die DSGVO verschärft diese Anforderungen zusätzlich. Artikel 32 verlangt technische und organisatorische Maßnahmen, um die Integrität und Vertraulichkeit von Daten zu gewährleisten. Wer seine Daten ausschließlich in der Cloud speichert, ohne zusätzliche Sicherheitsmaßnahmen wie immutable Backup oder Verschlüsselung, riskiert nicht nur Datenverlust, sondern auch hohe Bußgelder. Die Datenschutzkonferenz (DSK) betont in ihren Leitlinien, dass Unternehmen für die Einhaltung der DSGVO selbst verantwortlich sind – unabhängig vom genutzten Cloud-Anbieter.
Ein Beispiel aus der Praxis: Ein Berliner Handelsunternehmen speicherte seine Kundendaten jahrelang in Google Drive. Als ein Hackerangriff die Daten verschlüsselte, waren die einzigen Backups ebenfalls in der Cloud – und damit ebenfalls verschlüsselt. Das Unternehmen musste eine Strafe von 150.000 € zahlen, weil es die GoBD und DSGVO verletzt hatte.
Automatische Löschung: Der unsichtbare Feind in der Cloud
Viele KMUs gehen davon aus, dass ihre Daten in der Cloud „für immer“ verfügbar sind. Doch die Realität sieht anders aus. Die meisten Cloud-Speicher löschen Daten nach einer bestimmten Inaktivitätsphase automatisch – ohne Vorwarnung. Hier einige Beispiele:
| Anbieter | Standard-Löschfrist | Option für längere Aufbewahrung |
|---|---|---|
| Google Drive | 2 Jahre Inaktivität | Ja (manuelle Einrichtung) |
| Dropbox | 30 Tage Papierkorb | Ja (bis zu 10 Jahre mit Business-Abo) |
| Microsoft OneDrive | 30 Tage Papierkorb | Ja (mit Microsoft 365 Archive Storage) |
| AWS S3 | Keine automatische Löschung | Ja (mit S3 Object Lock) |
Besonders tückisch: Selbst wenn ein Unternehmen die Löschfristen manuell verlängert, bleibt das Problem der Unveränderbarkeit. Cloud-Speicher wie Google Drive oder Dropbox erlauben es Nutzern, Daten zu überschreiben oder zu löschen – ein klarer Verstoß gegen die GoBD. Revisionssichere Archive wie Backblaze B2 oder Veeam bieten hier Abhilfe: Sie speichern Daten in einem Write Once, Read Many (WORM)-Format, das Veränderungen oder Löschungen verhindert.
Lösungen: So sichern KMUs ihre Daten GoBD- und DSGVO-konform
Die gute Nachricht: Es gibt technische und organisatorische Lösungen, um die GoBD- und DSGVO-Anforderungen zu erfüllen. Hier sind die wichtigsten Schritte:
1. Immutable Backup: Daten unveränderbar speichern
Ein immutable Backup verhindert, dass Daten nachträglich gelöscht oder verändert werden können. Technologien wie WORM (Write Once, Read Many) oder Object Lock (z. B. bei AWS S3 oder Backblaze B2) speichern Daten in einem unveränderbaren Format. So sind sie vor Manipulationen geschützt – selbst durch Mitarbeiter oder Hacker.
2. 3-2-1-Backup-Regel anwenden
Die 3-2-1-Regel ist ein bewährter Standard für sichere Backups: - 3 Kopien der Daten (Original + 2 Backups) - 2 verschiedene Medien (z. B. lokale Festplatte + Cloud) - 1 Kopie extern (z. B. in einem anderen Rechenzentrum oder physisch getrennt)
Diese Regel stellt sicher, dass selbst bei einem Ausfall eines Systems oder einer Cloud die Daten noch verfügbar sind.
3. Klare Retentionsrichtlinien definieren
Unternehmen müssen festlegen, wie lange Daten aufbewahrt werden müssen – und diese Fristen strikt einhalten. Tools wie Veeam oder Commvault bieten Funktionen für automatisierte Retentionsrichtlinien, die sicherstellen, dass Daten nach Ablauf der gesetzlichen Fristen gelöscht werden – aber nicht vorher.
4. Regelmäßige Tests und Audits
Backups sind nur so gut wie ihr letzter Test. Unternehmen sollten ihre Backups mindestens einmal pro Quartal auf ihre Wiederherstellbarkeit prüfen. Ein Beispiel: Ein Maschinenbauer aus Bayern testete seine Backups jahrelang nicht – bis ein Ransomware-Angriff alle Systeme lahmlegte. Die Backups waren zwar vorhanden, aber nicht aktuell. Das Ergebnis: Ein Verlust von drei Monaten an Produktionsdaten.
Checkliste: Ist Ihre Backup-Strategie GoBD- und DSGVO-konform?
Um zu prüfen, ob Ihre aktuelle Backup-Strategie den gesetzlichen Anforderungen entspricht, beantworten Sie folgende Fragen:
✅ Haben Sie eine klare Trennung zwischen „Speicher“ und „Archiv“? - Cloud-Speicher wie Dropbox oder Google Drive sind keine Archive – sie sind für den täglichen Zugriff gedacht.
✅ Speichern Sie Ihre Backups in einem unveränderbaren Format? - Nutzen Sie Technologien wie WORM oder Object Lock, um Manipulationen zu verhindern?
✅ Haben Sie eine klare Retentionsrichtlinie? - Wissen Sie genau, wie lange Ihre Daten aufbewahrt werden müssen – und wie sie nach Ablauf der Frist gelöscht werden?
✅ Testen Sie Ihre Backups regelmäßig? - Können Sie Ihre Daten innerhalb von 24 Stunden wiederherstellen – und sind die Backups frei von Ransomware?
✅ Haben Sie eine geografische Redundanz? - Sind Ihre Backups in mindestens zwei verschiedenen Rechenzentren gespeichert – idealerweise in der EU?
Falls Sie eine dieser Fragen mit „Nein“ beantworten, sollten Sie Ihre Backup-Strategie dringend überarbeiten. Die GoBD und DSGVO lassen hier keinen Spielraum für Experimente.
Fazit: Warum „Cloud als Backup“ ein teurer Irrtum ist
Die Cloud ist ein mächtiges Werkzeug – aber sie ist kein Allheilmittel für Backups. Wer seine Daten ausschließlich in der Cloud speichert, riskiert nicht nur Datenverlust, sondern auch rechtliche Konsequenzen. Die GoBD und DSGVO verlangen mehr: unveränderbare, nachvollziehbare und langfristig verfügbare Archive. Unternehmen, die ihre Backups in der Cloud speichern, ohne zusätzliche Sicherheitsmaßnahmen zu ergreifen, spielen mit dem Feuer.
Die Lösung liegt in einer kombinierten Strategie: lokale Backups für schnelle Wiederherstellung, Cloud-Backups für geografische Redundanz und revisionssichere Archive für die langfristige Aufbewahrung. Nur so können KMUs sicherstellen, dass ihre Daten nicht nur verfügbar, sondern auch GoBD- und DSGVO-konform sind.
FAQ: Die wichtigsten Fragen zu Backups und Archivierung
Kann ich mich auf die automatischen Backups von Microsoft 365 oder Google Workspace verlassen?
Nein. Beide Anbieter warnen ausdrücklich davor, ihre Dienste als Backup-Lösung zu nutzen. Microsoft schreibt in seinen Nutzungsbedingungen: „Wir empfehlen dringend, eigene Backups für Ihre Daten zu erstellen.“ Google Drive löscht Daten nach 2 Jahren Inaktivität automatisch. Für revisionssichere Archivierung benötigen Sie zusätzliche Lösungen wie Microsoft 365 Archive Storage oder Veeam.
Was passiert, wenn ich meine Backups in der Cloud speichere – aber der Anbieter seine Preise erhöht oder den Dienst einstellt?
Cloud-Anbieter können ihre Preise jederzeit anpassen oder Dienste einstellen. Unternehmen sollten daher mehrere Backup-Ziele nutzen (z. B. lokale Festplatte + Cloud + physisches Archiv). Zudem empfiehlt es sich, Backups in einem offenen Format zu speichern, um eine spätere Migration zu erleichtern.
Wie lange muss ich meine Backups aufbewahren?
Die Aufbewahrungsfrist hängt von der Art der Daten ab: - Steuerrelevante Daten: 6–10 Jahre (GoBD) - Personenbezogene Daten (DSGVO): Solange sie für den ursprünglichen Zweck benötigt werden – plus die gesetzliche Verjährungsfrist (meist 3–10 Jahre) - Vertragsunterlagen: Bis zum Ablauf der Gewährleistung (meist 2–5 Jahre)
Kann ich meine Backups selbst verschlüsseln, um die DSGVO einzuhalten?
Ja, aber nur, wenn Sie die Kontrolle über den Verschlüsselungsschlüssel behalten. Cloud-Anbieter wie AWS oder Google bieten zwar Verschlüsselung an, doch der Anbieter selbst kann die Daten entschlüsseln. Für maximale DSGVO-Konformität sollten Sie Ende-zu-Ende-Verschlüsselung (z. B. mit VeraCrypt oder Cryptomator) nutzen und die Schlüssel selbst verwalten.
Quellen
- Bitkom e.V. (2023). Datensicherung in Unternehmen: Eine Umfrage unter KMUs. Verfügbar unter: bitkom.org (Zugriff: 15.08.2026).
- Bundesministerium der Finanzen (2023). Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff (GoBD). Verfügbar unter: [bundesfinanzministerium.de] (Zugriff: 15.08.2026).
- Datenschutzkonferenz (DSK) (2024). Leitlinien zum Cloud Computing unter der DSGVO. Verfügbar unter: datenschutzkonferenz.de (Zugriff: 15.08.2026).
- Microsoft (2025). Microsoft 365 Service Description: Data Retention and Deletion. Verfügbar unter: learn.microsoft.com (Zugriff: 15.08.2026).
- Google (2025). Google Drive: Retention and Deletion Policies. Verfügbar unter: [support.google.com] (Zugriff: 15.08.2026).
- Bundesgerichtshof (BGH) (2022). Urteil zum Verlust von Daten in der Cloud (Az. III ZR 129/21). Verfügbar über juris (Zugriff: 15.08.2026).
Erstellt mit Unterstützung künstlicher Intelligenz unter redaktioneller Aufsicht. Quellen automatisiert geprüft. Wie wir arbeiten
Cybersecurity #backup-strategie #gobd #rgpd #datenverlust #mittelstand