Datensicherung kleiner Betriebe: Fertigungs-IT in BW

Datensicherung ist ein Kernelement der Computerinfrastruktur in Unternehmen. Sie verbindet Server, Speichersysteme, Netze und Anwendungen zu einem wiederherstellbaren Ganzen.

Der folgende Beitrag betrachtet Produktionsbetriebe in Stuttgart und Baden-Württemberg als Beispiel. Die beschriebenen Anforderungen an CAD, PLM, Fertigungsdaten und Audits gelten sinngemäß für viele Unternehmen, die ihre IT-Infrastruktur ausfallsicher aufstellen wollen.

So dient die regionale Perspektive als konkreter Fall für die allgemeine Planung von Unternehmens-IT.

Das Wichtigste auf einen Blick

Warum Datensicherung in Stuttgart und Baden-Württemberg kritisch ist

Zwischen Esslingen, Ludwigsburg und Böblingen sitzen Tausende Zulieferbetriebe mit 20 bis 200 Mitarbeitern. Sie fertigen im Takt großer OEM-Werke. Fällt die IT dort einen Tag aus, steht nicht nur ein Büro still, sondern eine Lieferkette.

Die Betriebe sind klein, aber ihre Datenmengen sind es nicht. Eine Konstruktionsabteilung mit 15 Arbeitsplätzen produziert jährlich mehrere Terabyte an CAD-Modellen, Zeichnungen und Revisionen. Hinzu kommen Maschinendaten, Prüfprotokolle und Auftragsdateien.

Gleichzeitig fehlt in vielen Häusern eine eigene IT-Abteilung. Ein Systemadministrator betreut 80 Arbeitsplätze, Server, Netzwerk und Telefonanlage. Für Sicherungskonzepte bleibt die Zeit, die übrig ist, und die ist knapp.

Die Region verstärkt den Druck zusätzlich. In Baden-Württemberg ist die Fertigungstiefe hoch, die Lieferbeziehungen sind kurz, und ein Ausfall bei einem Zulieferer wirkt innerhalb von Stunden auf die Endmontage. Ausfallsicherheit ist hier kein IT-Thema, sondern ein Vertragsthema.

Dazu kommt der Fachkräftemangel. Wer einen erfahrenen Administrator findet, bindet ihn an Projekte, nicht an Routine. Datensicherung muss deshalb weitgehend ohne Handarbeit funktionieren.

Anforderungen von Automobil- und Maschinenbauzulieferern

Automobilzulieferer arbeiten mit Wiederanlaufzeiten, die in Lieferverträgen stehen. Üblich sind wenige Stunden für produktionskritische Systeme und ein Arbeitstag für Büroanwendungen. Wer diese Zeiten nicht zusagt, verliert Aufträge.

Maschinenbauzulieferer haben andere Schwerpunkte. Dort zählen Ersatzteilzeichnungen über Jahrzehnte. Ein Modell aus 1998 muss noch lesbar sein, wenn ein Kunde ein Bauteil nachbestellt. Die Aufbewahrungspflicht ist von der Datensicherung zu unterscheiden: Für steuerlich relevante Unterlagen gelten § 147 AO, für Handelsbücher und Geschäftsbriefe § 257 HGB; die GoBD konkretisieren Anforderungen an die elektronische Buchführung. Ein Backup ersetzt kein revisionsgerechtes Archiv.

Beide Gruppen teilen drei harte Anforderungen. Erstens: Wiederherstellung muss regelmäßig geübt werden, nicht nur dokumentiert. Zweitens: Sicherungen müssen gegen Ransomware isoliert sein, mindestens eine Kopie offline oder unveränderlich. Drittens: Der Zugriff muss protokolliert werden, weil Audits sonst nicht bestanden werden.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bietet mit dem IT-Grundschutz eine methodische Grundlage. Für Sicherungskonzepte ist insbesondere der Baustein CON.3 „Datensicherungskonzept“ einschlägig; Betriebe können damit Schutzbedarf, Maßnahmen und Nachweise strukturiert prüfen. Ob zusätzliche gesetzliche Anforderungen gelten, hängt von Branche und Einordnung des Betriebs ab.

Ein Punkt wird häufig übersehen: Die Sicherung selbst ist ein Angriffsziel. Wer Sicherungsserver mit denselben Administrator-Konten betreibt wie die Produktion, verliert im Ernstfall beides. Trennung von Rechten und Netzen ist Pflicht, nicht Kür.

Ausfallsichere Konzepte für Konstruktion und Fertigung

Ausfallsichere Backup-Konzepte für Konstruktion und Fertigung folgen der 3-2-1-Regel, aber mit regionaler Ergänzung. Drei Kopien, zwei Medien, eine davon außerhalb des Standorts. In Baden-Württemberg heißt das praktisch: ein Band oder ein unveränderliches Repository im Haus, ein verschlüsseltes Ziel bei einem deutschen Anbieter und eine Kopie an einem zweiten Standort, falls vorhanden.

Als Beispiele für zu prüfende Backup-Software kommen Veeam Backup & Replication und Acronis Cyber Protect infrage. Als in Deutschland ansässige Anbieter können IONOS und noris network in die Vorauswahl kommen; prüfen Sie für den konkreten Dienst den Speicherort, die Unveränderbarkeit und den Auftragsverarbeitungsvertrag. Die Nennung ist keine Empfehlung für ein bestimmtes Produkt oder einen Anbieter.

Für Konstruktionsdaten gilt eine andere Logik als für Fertigungsdaten. CAD-Modelle ändern sich sprunghaft, wenn eine Revision freigegeben wird. Fertigungsdaten wachsen kontinuierlich aus Maschinen und Prüfständen. Wer beides in einen Sicherungsjob wirft, verschwendet Speicher und Zeit.

Bewährt hat sich die Trennung in drei Klassen:

Diese Klassifizierung senkt die Kosten erheblich, weil Bronze auf günstigen, langsamen Speicher darf. Sie macht außerdem im Audit sofort sichtbar, warum welche Daten wie oft gesichert werden.

Ein Praxisbeispiel: Ein Betrieb mit 60 Mitarbeitern in der Nähe von Stuttgart fuhr jahrelang ein nächtliches Vollbackup auf ein NAS im selben Raum. Nach einem Wasserschaden im Serverraum waren Produktion und Sicherung gleichzeitig weg. Die Wiederherstellung dauerte neun Tage, zwei OEM-Kunden stellten die Belieferung infrage.

Danach wurde die Sicherung auf einen zweiten Brandabschnitt und einen deutschen Cloud-Anbieter verteilt, die Wiederanlaufzeit sank auf sechs Stunden.

Speicherarchitekturen für CAD, PLM und Produktionsdaten

Die Speicherarchitektur entscheidet, ob Sicherung überhaupt schnell genug läuft. Wer CAD-Daten von einem einzelnen NAS mit vier Festplatten liest, sichert über Nacht mehrere Terabyte und schafft es nicht.

Für Konstruktion ist ein schnelles Primärsystem mit All-Flash-Speicher sinnvoll, angebunden über 10-Gigabit-Ethernet. Darauf liegt das PLM-System, das die Metadaten und Rechte verwaltet. Die eigentlichen CAD-Dateien können auf kostengünstigerem Speicher liegen, solange die Latenz für das Öffnen großer Baugruppen stimmt. Als Beispiele für NAS-Systeme kommen Lösungen von Synology infrage; für All-Flash- und Hybrid-Storage lassen sich Produktlinien von NetApp, Dell Technologies oder HPE prüfen. Entscheidend sind die konkreten Anforderungen an Durchsatz, Wiederherstellung und Schutz vor Veränderungen, nicht die Marke allein.

Für Fertigungsdaten reicht häufig ein Hybridsystem. Maschinen schreiben kontinuierlich kleine Datensätze, die selten gelesen werden. Ein Speicher mit schneller Schreibebene und günstiger Kapazitätsebene passt dort besser als reines Flash.

Für die Sicherungskopie außerhalb des Standorts sind drei Varianten üblich:

Wichtig ist die Verschlüsselung auf dem Transportweg und im Ziel. Geschäftsgeheimnisse, also Konstruktionsdaten und Rezepturen, fallen unter das Gesetz über den Schutz von Geschäftsgeheimnissen. Eine unverschlüsselte Kopie bei einem Anbieter ohne Auftragsverarbeitungsvertrag ist ein Rechtsrisiko, kein Spareffekt.

Bei der Auswahl deutscher Anbieter lohnt der Blick auf Rechenzentrumsstandorte in Frankfurt oder München. Kurze Wege senken die Latenz und erleichtern die Dokumentation gegenüber Datenschutzaufsichtsbehörden der Länder.

Notfall- und Wiederanlaufpläne für Produktionsbetriebe

Ein Notfallplan beschreibt, wer wann was tut. Er passt auf zwei Seiten, wenn er ehrlich ist. Alles darüber wird im Ernstfall nicht gelesen.

Die folgenden Schritte haben sich in kleineren Betrieben bewährt:

Der letzte Punkt trennt Konzepte von Papier. Wer nie getestet hat, weiß nicht, ob das Sicherungsband lesbar ist oder ob die Wiederherstellung der PLM-Datenbank acht oder achtzig Stunden dauert.

Für die Übung reicht ein Testsystem, auf dem eine echte Datenbank zurückgespielt wird. Entscheidend ist die gemessene Zeit bis zur Arbeitsfähigkeit, nicht die Zahl der wiederhergestellten Dateien.

Ein weiterer Baustein ist der Umgang mit Erpressungssoftware. Wenn ein Befall erkannt wird, muss die Sicherung sofort vom Netz getrennt werden. Unveränderliche Kopien erledigen das technisch, weil sie nicht überschrieben werden können. Wer nur auf Bänder setzt, muss das Wechseln der Medien organisieren, auch nachts.

Lieferketten-Compliance und Nachweispflichten gegenüber OEMs

Das Lieferkettensorgfaltspflichtengesetz (LkSG) verpflichtet Unternehmen in seinem gesetzlichen Anwendungsbereich; kleinere Zulieferer können Anforderungen ihrer Kunden über Fragebögen und Verträge spüren. In der Automobilindustrie kommen je nach Kundenbeziehung außerdem TISAX-Bewertungen auf Basis des VDA ISA sowie Anforderungen aus IATF 16949 vor. Das sind keine einheitlichen gesetzlichen Pflichten jedes kleinen Zulieferers. Welche Nachweise verlangt werden, ergibt sich aus Vertrag und Audit.

In der Praxis fragen OEMs nach vier Dingen. Erstens: Wie oft wird gesichert, und wo liegen die Kopien? Zweitens: Wie lange dauert die Wiederherstellung, und wann wurde sie zuletzt getestet? Drittens: Wer hat Zugriff auf Sicherungen? Viertens: Wie wird mit Vorfällen umgegangen?

Wer diese Fragen nicht schriftlich beantworten kann, verliert Punkte im Lieferantenbewertungssystem. Das kann teurer sein als die Sicherungslösung selbst.

Ein Sicherungsnachweis muss nicht kompliziert sein. Ein Protokoll über die letzten zwölf Monate, eine Liste der Sicherungsziele, ein Übungsbericht mit Datum und Dauer sowie eine kurze Beschreibung der Zugriffsrechte genügen in den meisten Audits.

Auch beim Sicherungskonzept sollte der Ressourcenbedarf berücksichtigt werden: unnötige Kopien und dauerhaft vorgehaltene Daten erhöhen den Speicherbedarf. Das Umweltbundesamt beschreibt Ansätze für ressourcenschonende Produktion; auf die Datensicherung übertragen heißt das, Aufbewahrungsumfang und Speicherklassen bewusst zu planen.

Als regionaler Förderweg gibt es die Innovationsgutscheine Baden-Württemberg 2025; der Antrag wird bei der L-Bank gestellt. Das Programm fördert Innovationen und ist keine pauschale Förderung für jede Erneuerung einer Backup-Architektur.

Umsetzungsbeispiel eines Zulieferers aus der Region

Ein Maschinenbauzulieferer mit 85 Mitarbeitern im Raum Stuttgart fertigt Sondermaschinen für die Automobilindustrie. Die IT bestand aus zwei Servern, einem NAS und einer täglichen Kopie auf eine externe Festplatte, die im Büro lag.

Der Auslöser war kein Angriff, sondern ein Stromausfall. Nach einem Trafoschaden lief die Produktion zwei Tage nicht an, weil die Auftragsverwaltung nicht verfügbar war. Der Schaden lag im sechsstelligen Bereich.

Die Umsetzung erfolgte in vier Schritten über fünf Monate:

Das Ergebnis nach einem Jahr: Die Wiederanlaufzeit für das PLM-System sank von geschätzten drei Tagen auf unter vier Stunden. Die monatlichen Kosten stiegen um etwa 900 Euro. Dem standen zwei gehaltene Rahmenverträge gegenüber.

Bemerkenswert war ein Nebeneffekt. Weil die Daten endlich klassifiziert waren, konnte der Betrieb alte Fertigungsdaten löschen. Das senkte die Sicherungsmenge um 20 Prozent und machte die verbleibenden Kopien übersichtlicher.

Häufige Fragen