Was ist Endpoint-Backup, und warum ist es für hybrides Arbeiten wichtig?

Was ist Endpoint-Backup, und was deckt es ab?

Endpoint-Backup schützt die Daten, die auf dem Gerät selbst liegen: Benutzerordner, lokal gespeicherte Anwendungsdateien und alles, was noch nicht hochgeladen wurde. Es füllt die Lücke, die Server- und SaaS-Backups lassen.

Ein Vertriebsleiter baut im Flugzeug eine Präsentation und speichert sie auf dem Desktop. Eine Buchhalterin lädt ERP-Exporte für eine Offline-Analyse herunter. Wird der Laptop morgen in einem Café gestohlen, ist die Arbeit weg: Weder das Microsoft-365-Backup noch das Server-Backup hat sie je gesehen. Deshalb gehören Endgeräte neben Servern und SaaS in Ihren Plan für Backup as a Service.

Sie brauchen beide Ebenen. Keine ersetzt die andere.

Reicht die OneDrive-Synchronisierung als Backup für Laptops?

Sie hilft, reicht allein aber nicht aus. Die Synchronisierung erfasst nur ausgewählte Ordner, kann unbemerkt stehen bleiben und kopiert Schäden genauso zuverlässig in die Cloud wie Arbeit.

In der Dokumentation zu Known Folder Move erklärt Microsoft, dass Desktop, Dokumente, Bilder, Screenshots und Eigene Aufnahmen nach OneDrive umgeleitet werden. Dateien dort zu speichern „sichert die Daten Ihrer Benutzer in der Cloud“ (Übersetzung). Das sollten Sie einschalten. Drei Lücken bleiben trotzdem:

• Umfang. Dateien an anderen Orten der Festplatte und viele Ordner mit Anwendungsdaten werden nicht umgeleitet.
• Stille Ausfälle. Ein pausierter oder abgemeldeter Client kann tagelang zurückfallen, ohne dass der Benutzer es merkt.
• Replizierte Schäden. Verschlüsselt Ransomware einen synchronisierten Ordner, überschreiben die verschlüsselten Versionen die guten in OneDrive. Der Versionsverlauf hilft, aber Tausende Dateien zurückzusetzen dauert lange.

Hinzu kommt ein Single Point of Failure: Die synchronisierte Kopie liegt im selben Microsoft-365-Tenant wie alles andere. Dieses Risiko erklären wir in Sichert Microsoft 365 meine Daten? Auch Microsofts eigene Seite „Shared responsibility in the cloud“ nennt Endgeräte, also Laptops, Desktops und Mobilgeräte, als Verantwortung, die immer bei Ihnen bleibt.

Welche Risiken entstehen durch Laptops in hybriden Teams?

Drei Risiken stechen heraus: Diebstahl oder Verlust, Ransomware, die auf dem Gerät beginnt, und private Geräte, auf denen sich Arbeits- und Privatdaten mischen.

Diebstahl und Verlust

Ein verlorener Laptop ist ein Hardwareproblem und, wenn er personenbezogene Daten enthielt, möglicherweise eine Datenpanne. Art. 33 DSGVO verlangt, die Datenschutzaufsichtsbehörde innerhalb von 72 Stunden zu informieren, nachdem Ihnen eine Verletzung bekannt wurde, die voraussichtlich zu einem Risiko führt. Nach Art. 34 Abs. 3 Buchst. a DSGVO müssen Sie die Betroffenen unter Umständen nicht benachrichtigen, wenn die Daten unzugänglich gemacht wurden, zum Beispiel durch Verschlüsselung. Festplattenverschlüsselung und ein Backup machen aus einem Diebstahl eine Ersatzbeschaffung.

Ransomware

Laut dem Data Breach Investigations Report 2025 von Verizon war Ransomware an 44 % der untersuchten Datenpannen beteiligt, bei kleinen und mittleren Unternehmen an 88 %. Oft beginnt der Angriff auf einem Endgerät, und lokale Dateien gehören zu den Ersten, die Ransomware verschlüsselt.

Bring your own device (BYOD)

In der Zusammenfassung des DBIR 2025 heißt es sinngemäß: 46 % der kompromittierten Systeme, in deren kompromittierten Daten sich Unternehmenszugangsdaten fanden, waren nicht verwaltet und enthielten sowohl private als auch geschäftliche Zugangsdaten. Verizon führt das auf BYOD-Programme oder auf Firmengeräte zurück, die außerhalb der Richtlinien genutzt werden. Nicht verwaltete Geräte lassen sich schwerer schützen, überwachen und sichern.

Wie gehen Sie mit BYOD-Geräten um?

Halten Sie Unternehmensdaten an Orten, die Sie kontrollieren, und sichern Sie auf privaten Geräten nur Arbeitsdaten. Wer den gesamten privaten Laptop eines Mitarbeiters sichert, schafft eigene Datenschutzprobleme.

1. Verwaltete Geräte für sensible Rollen bevorzugen. Finanzen, Personal, Recht und Geschäftsleitung gehen mit den sensibelsten Daten um und sind am meisten unterwegs.
2. Arbeit auf privaten Geräten abtrennen. Nutzen Sie verwaltete Arbeitsprofile oder reinen Browserzugriff, damit Unternehmensdaten in synchronisierten, gesicherten Ablagen bleiben.
3. Backup-Umfang begrenzen. Auf einem privaten Gerät sichern Sie nur definierte Arbeitsordner, im Sinne des Grundsatzes der Datenminimierung nach Art. 5 Abs. 1 Buchst. c DSGVO.
4. Mitarbeitende informieren. Erklären Sie, dass das Backup Arbeitsdateien schützt, keine privaten Fotos. Transparenz verhindert das Gefühl, überwacht zu werden.

Was gehört in eine Richtlinie für Endpoint-Backup?

Eine einseitige Richtlinie, die Umfang, Häufigkeit, Aufbewahrung, Sicherheit und Tests festlegt. Prüfer und Versicherer wollen sie sehen, und sie hält die Erwartungen aller auf einer Linie.

Der RPO beschreibt, wie viel Arbeit Sie höchstens verlieren dürfen (maximaler Datenverlust), der RTO, wie lange Sie höchstens ohne sie auskommen (maximale Ausfallzeit). Unser Ratgeber zu RTO und RPO zeigt, wie Sie beides festlegen. Für Einrichtungen im Anwendungsbereich von NIS2 nennt Art. 21 Abs. 2 Buchst. c als Maßnahme die Aufrechterhaltung des Betriebs, etwa Backup-Management und Wiederherstellung nach einem Notfall (in Deutschland über § 30 BSIG umgesetzt). Laptops, die Geschäftsdaten verarbeiten, gehören zu den Systemen, die davon erfasst werden.

Wie führen Sie Endpoint-Backup ein?

Beginnen Sie mit den am stärksten gefährdeten Benutzern, automatisieren Sie alles und belegen Sie mit Test-Wiederherstellungen, dass es funktioniert. Benutzer sollten nichts tun müssen.

1. Pilotgruppe wählen. Geschäftsleitung, Finanzen und Mitarbeitende auf Reisen tragen die wertvollsten Daten.
2. Agenten zentral ausrollen. Nutzen Sie Ihre Geräteverwaltung oder RMM-Tools, damit Installation und Richtlinie einheitlich sind.
3. Kopien außerhalb des Geräts und unveränderlich speichern. Folgen Sie der 3-2-1-1-0-Regel, damit Malware auf dem Laptop das Backup nicht erreichen kann.
4. Verpasste Backups überwachen. Ein Gerät, das sich eine Woche nicht gemeldet hat, ist ein stilles Risiko.
5. Wiederherstellungen testen. Stellen Sie jedes Quartal eine Stichprobe von Geräten auf neuer Hardware wieder her und halten Sie das Ergebnis fest. Lesen Sie dazu Woran erkennen Sie, ob Ihr Backup wirklich funktioniert?

Mindtime Endpoint-Backup speichert Kopien ausschließlich in unseren eigenen Tier-III-Rechenzentren in Deutschland und den Niederlanden, unter EU-Recht. Daten werden bei der Übertragung mit AES-256 verschlüsselt. Backups sind mit Object Lock unveränderlich, dazu gibt es eine Air-Gap-Kopie, also eine Kopie ohne Verbindung zu Ihrem Netzwerk. Die Backups werden auf Malware gescannt, und jeder Backup-Job wird automatisch geprüft und rund um die Uhr überwacht. MSPs verwalten alle Kunden in einer mandantenfähigen Konsole und können das Backup mit unserer EDR / RMM Platform kombinieren, um Endgeräte selbst auf Bedrohungen zu überwachen.

Ihre nächsten Schritte

Hybrides Arbeiten hat Geschäftsdaten auf Hunderte Laptops verteilt, und die meisten Backup-Pläne enden am Serverraum und am Cloud-Tenant. Die Lücke lässt sich gut schließen: mit automatischen, verschlüsselten, unveränderlichen Endpoint-Kopien außerhalb des Geräts, geregelt in einer kurzen Richtlinie und belegt durch Test-Wiederherstellungen.

Beginnen Sie mit einer Frage: Wenn Ransomware am Montag fünfzig Laptops im Homeoffice träfe, woraus würden Sie wiederherstellen, und wie lange würde das dauern? Prüfen Sie dann, wie sich Endgeräte in Ihr Konzept mit Backup as a Service einfügen.

Vereinbaren Sie eine kostenlose 15-minütige Demo, dann zeigen wir Ihnen die Wiederherstellung eines Endgeräts auf einem Ersatz-Laptop.

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung.