NAS vorhanden – Backup erledigt? Warum zentraler Speicher allein nicht reicht

Ein NAS im Keller, Büro oder Abstellraum fühlt sich schnell nach Datensicherheit an: mehrere Festplatten, vielleicht sogar RAID, zentraler Speicher und irgendwo steht „Backup“ in der Oberfläche. Damit ist das Thema erledigt – oder?

Nicht unbedingt. Ein NAS kann ein sehr guter Bestandteil einer Backup-Strategie sein. Es ist aber nicht automatisch ein Backup, nur weil Daten darauf liegen. Entscheidend ist, ob von wichtigen Daten tatsächlich unabhängige Kopien existieren und ob diese Kopien einen Defekt, einen Bedienfehler oder einen Angriff überstehen können.

Speicher ist nicht automatisch Datensicherung

Die einfachste Unterscheidung lautet: Liegt eine Datei ausschließlich auf dem NAS, ist das NAS der Speicherort dieser Datei – nicht ihre Sicherung. Eine Sicherung entsteht erst durch eine zusätzliche Kopie, aus der sich die Daten nach Verlust oder Beschädigung wiederherstellen lassen.

Das BSI empfiehlt für eine belastbare Backup-Strategie unter anderem die 3-2-1-Regel: drei aktuelle Versionen wichtiger Daten auf zwei verschiedenen Medien und an mindestens einem weiteren Ort. Das ist kein Naturgesetz und nicht für jeden Privathaushalt in exakt derselben Form nötig. Der Grundgedanke ist aber wichtig: Ein einzelner Speicherort bleibt ein einzelner Fehlerbereich.

Und was ist mit RAID?

RAID kann die Verfügbarkeit erhöhen. Fällt bei einer entsprechend ausgelegten Konfiguration eine Festplatte aus, können die Daten weiterhin verfügbar sein beziehungsweise nach Austausch des Datenträgers rekonstruiert werden. Das ist nützlich – aber etwas anderes als eine unabhängige Sicherung.

Wird eine Datei versehentlich gelöscht, von Schadsoftware verändert oder durch ein kompromittiertes Benutzerkonto überschrieben, kann diese Änderung je nach Aufbau auch auf dem redundanten Speicher landen. Mehrere Festplatten im selben Gerät schützen außerdem nicht vor jedem gemeinsamen Schadensereignis am Gerät oder Standort. Kurz gesagt: RAID löst ein Verfügbarkeitsproblem. Es ersetzt keine Backup-Strategie.

Warum dauerhaft erreichbare Backups ein Problem sein können

Besonders wichtig wird die Trennung bei Ransomware und anderen Angriffen. Das BSI weist in seinem Maßnahmenkatalog zu Ransomware darauf hin, dass Angreifende mit erlangten Administrationsrechten gezielt nach erreichbaren Backups suchen und diese ebenfalls verschlüsseln können. Deshalb empfiehlt das BSI, zumindest eine Sicherungskopie offline beziehungsweise getrennt von den übrigen Systemen aufzubewahren.

Auch CISA empfiehlt offline gehaltene, verschlüsselte Backups und regelmäßige Wiederherstellungstests. NIST nennt in SP 1800-11 als Ziel, sich von Angriffen auf die Datenintegrität schnell zu erholen und der Genauigkeit der wiederhergestellten Daten vertrauen zu können.

Das bedeutet nicht, dass jedes NAS nach dem Backup physisch vom Strom getrennt werden muss. Entscheidend ist das Schutzziel. Eine externe Festplatte, die nur für die Sicherung angeschlossen wird, ein technisch getrenntes Backup-Ziel oder geeignete unveränderliche beziehungsweise isolierte Sicherungen können unterschiedliche Wege zum selben Ziel sein: Ein Fehler oder Angriff im Produktivsystem darf nicht automatisch alle Sicherungskopien mitnehmen.

Snapshots sind hilfreich – aber auch nicht automatisch das Backup

Snapshots können ältere Zustände eines Dateisystems oder Speichers schnell verfügbar machen. Gegen versehentliches Löschen oder unerwünschte Änderungen sind sie deshalb ausgesprochen praktisch. Ob ein Snapshot eine Katastrophe übersteht, hängt aber von seiner technischen Umsetzung und seinem Speicherort ab.

Liegt der Snapshot ausschließlich auf demselben System und fällt genau dieses System vollständig aus oder wird mit ausreichenden Rechten kompromittiert, kann auch der Snapshot betroffen sein. Snapshots sind daher häufig eine sinnvolle zusätzliche Schutzschicht, sollten aber nicht ungeprüft mit einer unabhängigen Sicherung gleichgesetzt werden.

Wie eine pragmatische Lösung aussehen kann

Für einen Privathaushalt oder ein kleines Büro muss daraus kein Rechenzentrum im Keller werden. Eine sinnvolle Struktur kann beispielsweise so aussehen:

1. Produktivdaten: Dateien liegen auf PC, Notebook oder zentral auf dem NAS.
2. Regelmäßige Sicherung: Wichtige Daten werden automatisiert auf ein separates Ziel gesichert.
3. Zusätzliche getrennte Kopie: Mindestens eine relevante Sicherung ist nicht dauerhaft mit denselben Zugriffsrechten aus dem normalen Netz erreichbar.
4. Versionen aufbewahren: Nicht nur den jeweils neuesten Stand sichern. Sonst kann eine beschädigte oder verschlüsselte Datei die gute Kopie zu schnell ersetzen.
5. Wiederherstellung testen: Stichprobenartig Dateien und – bei wichtigen Systemen – vollständige Wiederherstellungsabläufe prüfen.

Wie häufig gesichert werden muss, hängt davon ab, wie viel Datenverlust akzeptabel wäre. Wer an einem Dokument einmal im Monat arbeitet, hat andere Anforderungen als ein kleines Unternehmen mit täglich veränderten Kundendaten. Eine pauschale Backup-Frequenz für alle wäre deshalb wenig hilfreich.

Cloud oder externe Festplatte?

Beides kann funktionieren – und beides kann schlecht umgesetzt werden. Eine externe Festplatte ist einfach und lokal kontrollierbar, schützt aber nur dann vor bestimmten Angriffen, wenn sie nicht permanent erreichbar bleibt. Ein Cloud-Backup schafft räumliche Trennung, benötigt dafür aber einen vertrauenswürdigen Anbieter, passende Zugangssicherung und eine durchdachte Wiederherstellung.

Das BSI nennt unterschiedliche Möglichkeiten für Backups, etwa in einer Cloud oder mit einem NAS. Entscheidend ist also weniger das Schlagwort auf der Verpackung als die Frage, ob die Sicherung vom Produktivsystem ausreichend getrennt ist und im Ernstfall tatsächlich zurückgespielt werden kann.

Der Restore bleibt der entscheidende Test

Ein grünes Häkchen im Backup-Programm beweist zunächst nur, dass der Sicherungslauf keinen gemeldeten Fehler hatte. Ob die Daten vollständig, brauchbar und rechtzeitig wiederherstellbar sind, zeigt erst ein Restore-Test.

Genau deshalb gehört das Testen der Wiederherstellung bei BSI und CISA zu den Empfehlungen: Das BSI nennt regelmäßig geübte Wiederherstellung, CISA empfiehlt, die Verfügbarkeit und Integrität von Backups regelmäßig zu testen. Wie ein solcher Test praktisch aussehen kann, haben wir bereits im Beitrag Backup vorhanden – aber lässt es sich auch wiederherstellen? beschrieben.

Wer die grundlegende Struktur einer Datensicherung noch einmal aufbauen möchte, findet außerdem in Die 3-2-1-Regel einfach erklärt die passende Grundlage.

Fazit: Das NAS ist Teil der Lösung, nicht automatisch die Lösung

Ein NAS ist für zentrale Datenhaltung und als Backup-Ziel sehr nützlich. Problematisch wird es erst, wenn „Daten liegen auf dem NAS“ mit „Daten sind gesichert“ verwechselt wird.

Eine belastbare Sicherung braucht unabhängige Kopien, eine sinnvolle Trennung vom Produktivsystem und einen getesteten Weg zurück. RAID, Snapshots, NAS, externe Datenträger und Cloud-Speicher sind dafür Werkzeuge. Welches davon passt, hängt vom tatsächlichen Bedarf ab. Mehr Technik ist dabei nicht automatisch mehr Sicherheit – eine einfache Sicherung, die zuverlässig läuft und getestet wird, ist wertvoller als ein kompliziertes Konzept, das niemand mehr versteht.

Quellen & weiterführende Informationen

• BSI: Maßnahmenkatalog Ransomware – Backup-Trennung, Offline-Kopien und Wiederherstellungstests.
• BSI: Vorschläge zu Business-Continuity-Strategien – 3-2-1-Regel sowie RPO/RTO und Schutz von Backups vor Ransomware.
• CISA/MS-ISAC: Ransomware Guide – offline gehaltene, verschlüsselte und regelmäßig getestete Backups.
• NIST SP 1800-11: Data Integrity – Recovering from Ransomware and Other Destructive Events, veröffentlicht 22.09.2020, aktualisiert 07.05.2026.

Alle Quellen abgerufen am 01.11.2026.