Datensicherung für Produktionsbetriebe in Stuttgart und Baden-Württemberg

Das Wichtigste auf einen Blick

• Datensicherung kleiner Betriebe in Stuttgart und Baden-Württemberg muss Konstruktion und Fertigung getrennt betrachten, weil CAD-Daten selten, aber unersetzlich sind und Produktionsdaten ständig wachsen.
• Automobilzulieferer und Maschinenbauzulieferer verlangen Wiederanlaufzeiten im Stundenbereich, nicht in Tagen.
• Ohne getesteten Notfallplan bleibt jede Sicherung eine Behauptung.
• Das Lieferkettengesetz und OEM-Audits erzeugen Nachweispflichten, die die IT liefern muss.
• Förderung für Betriebsnetze und Digitalisierung ist verfügbar, wird aber selten abgerufen.

Warum Datensicherung in Stuttgart und Baden-Württemberg kritisch ist

Zwischen Esslingen, Ludwigsburg und Böblingen sitzen Tausende Zulieferbetriebe mit 20 bis 200 Mitarbeitern. Sie fertigen im Takt großer OEM-Werke. Fällt die IT dort einen Tag aus, steht nicht nur ein Büro still, sondern eine Lieferkette.

Die Betriebe sind klein, aber ihre Datenmengen sind es nicht. Eine Konstruktionsabteilung mit 15 Arbeitsplätzen produziert jährlich mehrere Terabyte an CAD-Modellen, Zeichnungen und Revisionen. Hinzu kommen Maschinendaten, Prüfprotokolle und Auftragsdateien.

Gleichzeitig fehlt in vielen Häusern eine eigene IT-Abteilung. Ein Systemadministrator betreut 80 Arbeitsplätze, Server, Netzwerk und Telefonanlage. Für Sicherungskonzepte bleibt die Zeit, die übrig ist, und die ist knapp.

Die Region verstärkt den Druck zusätzlich. In Baden-Württemberg ist die Fertigungstiefe hoch, die Lieferbeziehungen sind kurz, und ein Ausfall bei einem Zulieferer wirkt innerhalb von Stunden auf die Endmontage. Ausfallsicherheit ist hier kein IT-Thema, sondern ein Vertragsthema.

Dazu kommt der Fachkräftemangel. Wer einen erfahrenen Administrator findet, bindet ihn an Projekte, nicht an Routine. Datensicherung muss deshalb weitgehend ohne Handarbeit funktionieren.

Anforderungen von Automobil- und Maschinenbauzulieferern

Automobilzulieferer arbeiten mit Wiederanlaufzeiten, die in Lieferverträgen stehen. Üblich sind wenige Stunden für produktionskritische Systeme und ein Arbeitstag für Büroanwendungen. Wer diese Zeiten nicht zusagt, verliert Aufträge.

Maschinenbauzulieferer haben andere Schwerpunkte. Dort zählen Ersatzteilzeichnungen über Jahrzehnte. Ein Modell aus 1998 muss noch lesbar sein, wenn ein Kunde ein Bauteil nachbestellt. Die Aufbewahrungsfristen reichen damit weit über übliche IT-Lebenszyklen hinaus.

Beide Gruppen teilen drei harte Anforderungen. Erstens: Wiederherstellung muss regelmäßig geübt werden, nicht nur dokumentiert. Zweitens: Sicherungen müssen gegen Ransomware isoliert sein, mindestens eine Kopie offline oder unveränderlich. Drittens: Der Zugriff muss protokolliert werden, weil Audits sonst nicht bestanden werden.

Das Bundesamt für Sicherheit in der Informationstechnik liefert dafür die methodische Grundlage. Die BSI-Publikationen zu Grundschutz und IT-Sicherheitsgesetz beschreiben, wie Betriebe Schutzbedarf ermitteln und Maßnahmen nachweisen. Für kleine Häuser ist das der pragmatischste Einstieg, weil die Bausteine direkt auf Server, Netze und Anwendungen verweisen.

Ein Punkt wird häufig übersehen: Die Sicherung selbst ist ein Angriffsziel. Wer Sicherungsserver mit denselben Administrator-Konten betreibt wie die Produktion, verliert im Ernstfall beides. Trennung von Rechten und Netzen ist Pflicht, nicht Kür.

Ausfallsichere Konzepte für Konstruktion und Fertigung

Ausfallsichere Backup-Konzepte für Konstruktion und Fertigung folgen der 3-2-1-Regel, aber mit regionaler Ergänzung. Drei Kopien, zwei Medien, eine davon außerhalb des Standorts. In Baden-Württemberg heißt das praktisch: ein Band oder ein unveränderliches Repository im Haus, ein verschlüsseltes Ziel bei einem deutschen Anbieter und eine Kopie an einem zweiten Standort, falls vorhanden.

Für Konstruktionsdaten gilt eine andere Logik als für Fertigungsdaten. CAD-Modelle ändern sich sprunghaft, wenn eine Revision freigegeben wird. Fertigungsdaten wachsen kontinuierlich aus Maschinen und Prüfständen. Wer beides in einen Sicherungsjob wirft, verschwendet Speicher und Zeit.

Bewährt hat sich die Trennung in drei Klassen:

1. Gold: PLM-Datenbank, freigegebene Zeichnungen, Stücklisten. Sicherung stündlich, Aufbewahrung Jahre, Wiederanlauf unter vier Stunden.
2. Silber: Auftrags-, Buchhaltungs- und Personaldateien. Sicherung täglich, Aufbewahrung Monate, Wiederanlauf unter einem Arbeitstag.
3. Bronze: Maschinenlogs, Messreihen, Zwischenstände. Sicherung täglich, Aufbewahrung Wochen, Wiederanlauf unkritisch.

Diese Klassifizierung senkt die Kosten erheblich, weil Bronze auf günstigen, langsamen Speicher darf. Sie macht außerdem im Audit sofort sichtbar, warum welche Daten wie oft gesichert werden.

Ein Praxisbeispiel: Ein Betrieb mit 60 Mitarbeitern in der Nähe von Stuttgart fuhr jahrelang ein nächtliches Vollbackup auf ein NAS im selben Raum. Nach einem Wasserschaden im Serverraum waren Produktion und Sicherung gleichzeitig weg. Die Wiederherstellung dauerte neun Tage, zwei OEM-Kunden stellten die Belieferung infrage.

Danach wurde die Sicherung auf einen zweiten Brandabschnitt und einen deutschen Cloud-Anbieter verteilt, die Wiederanlaufzeit sank auf sechs Stunden.

Speicherarchitekturen für CAD, PLM und Produktionsdaten

Die Speicherarchitektur entscheidet, ob Sicherung überhaupt schnell genug läuft. Wer CAD-Daten von einem einzelnen NAS mit vier Festplatten liest, sichert über Nacht mehrere Terabyte und schafft es nicht.

Für Konstruktion ist ein schnelles Primärsystem mit All-Flash-Speicher sinnvoll, angebunden über 10-Gigabit-Ethernet. Darauf liegt das PLM-System, das die Metadaten und Rechte verwaltet. Die eigentlichen CAD-Dateien können auf kostengünstigerem Speicher liegen, solange die Latenz für das Öffnen großer Baugruppen stimmt.

Für Fertigungsdaten reicht häufig ein Hybridsystem. Maschinen schreiben kontinuierlich kleine Datensätze, die selten gelesen werden. Ein Speicher mit schneller Schreibebene und günstiger Kapazitätsebene passt dort besser als reines Flash.

Für die Sicherungskopie außerhalb des Standorts sind drei Varianten üblich:

Variante	Wiederanlaufzeit	Kosten	Eignung
Unveränderliches Repository beim deutschen Anbieter	2 bis 8 Stunden	mittel, monatlich	Standard für Gold und Silber
Bandarchiv im Bankschließfach oder bei einem Dienstleister	1 bis 3 Tage	niedrig, einmalig	Langzeitarchiv für Zeichnungen
Zweiter Standort mit eigener Hardware	unter 1 Stunde	hoch	nur bei mehreren Werken

Wichtig ist die Verschlüsselung auf dem Transportweg und im Ziel. Geschäftsgeheimnisse, also Konstruktionsdaten und Rezepturen, fallen unter das Gesetz über den Schutz von Geschäftsgeheimnissen. Eine unverschlüsselte Kopie bei einem Anbieter ohne Auftragsverarbeitungsvertrag ist ein Rechtsrisiko, kein Spareffekt.

Bei der Auswahl deutscher Anbieter lohnt der Blick auf Rechenzentrumsstandorte in Frankfurt oder München. Kurze Wege senken die Latenz und erleichtern die Dokumentation gegenüber Datenschutzaufsichtsbehörden der Länder.

Notfall- und Wiederanlaufpläne für Produktionsbetriebe

Ein Notfallplan beschreibt, wer wann was tut. Er passt auf zwei Seiten, wenn er ehrlich ist. Alles darüber wird im Ernstfall nicht gelesen.

Die folgenden Schritte haben sich in kleineren Betrieben bewährt:

1. Kritische Systeme auflisten und je System eine maximal tolerierbare Ausfallzeit festlegen.
2. Wiederherstellungsreihenfolge bestimmen. Netzwerk, Identitätsverwaltung und Speicher zuerst, danach PLM, dann ERP, zuletzt Büroanwendungen.
3. Verantwortliche benennen, mit Vertretung. Eine Person allein ist ein Ausfallrisiko.
4. Kontaktwege festlegen, die ohne die eigene IT funktionieren. Telefonliste auf Papier, nicht im Mailarchiv.
5. Wiederherstellung mindestens zweimal jährlich üben, mit Protokoll und Zeitmessung.

Der letzte Punkt trennt Konzepte von Papier. Wer nie getestet hat, weiß nicht, ob das Sicherungsband lesbar ist oder ob die Wiederherstellung der PLM-Datenbank acht oder achtzig Stunden dauert.

Für die Übung reicht ein Testsystem, auf dem eine echte Datenbank zurückgespielt wird. Entscheidend ist die gemessene Zeit bis zur Arbeitsfähigkeit, nicht die Zahl der wiederhergestellten Dateien.

Ein weiterer Baustein ist der Umgang mit Erpressungssoftware. Wenn ein Befall erkannt wird, muss die Sicherung sofort vom Netz getrennt werden. Unveränderliche Kopien erledigen das technisch, weil sie nicht überschrieben werden können. Wer nur auf Bänder setzt, muss das Wechseln der Medien organisieren, auch nachts.

Lieferketten-Compliance und Nachweispflichten gegenüber OEMs

Seit dem Lieferkettengesetz müssen größere Unternehmen ihre Lieferanten prüfen. Kleine Zulieferer spüren das über Fragebögen und Audits, auch wenn sie selbst nicht unmittelbar betroffen sind. Die Teilliste L der Gesetzestexte führt das Lieferkettengesetz und weitere Compliance-Pflichten, die Betriebe einordnen müssen.

In der Praxis fragen OEMs nach vier Dingen. Erstens: Wie oft wird gesichert, und wo liegen die Kopien? Zweitens: Wie lange dauert die Wiederherstellung, und wann wurde sie zuletzt getestet? Drittens: Wer hat Zugriff auf Sicherungen? Viertens: Wie wird mit Vorfällen umgegangen?

Wer diese Fragen nicht schriftlich beantworten kann, verliert Punkte im Lieferantenbewertungssystem. Das kann teurer sein als die Sicherungslösung selbst.

Ein Sicherungsnachweis muss nicht kompliziert sein. Ein Protokoll über die letzten zwölf Monate, eine Liste der Sicherungsziele, ein Übungsbericht mit Datum und Dauer sowie eine kurze Beschreibung der Zugriffsrechte genügen in den meisten Audits.

Ergänzend lohnt der Blick auf Ressourcenschonung in der Produktion. Wer Speicher und Sicherung effizient plant, reduziert auch den Energieverbrauch im Serverraum. Das Umweltbundesamt beschreibt Ansätze für ressourcenschonende Produktion und Konsum, die sich auf Rechenzentrumsflächen übertragen lassen.

Für die Finanzierung solcher Vorhaben gibt es Förderprogramme. Die KfW-Förderung für Innovation und Digitalisierung ist eine mögliche Finanzierungsquelle für Betriebsnetze und angrenzende IT-Investitionen. Anträge brauchen eine nachvollziehbare Projektbeschreibung, weshalb sich die Erstellung eines Sicherungskonzepts doppelt auszahlt.

Umsetzungsbeispiel eines Zulieferers aus der Region

Ein Maschinenbauzulieferer mit 85 Mitarbeitern im Raum Stuttgart fertigt Sondermaschinen für die Automobilindustrie. Die IT bestand aus zwei Servern, einem NAS und einer täglichen Kopie auf eine externe Festplatte, die im Büro lag.

Der Auslöser war kein Angriff, sondern ein Stromausfall. Nach einem Trafoschaden lief die Produktion zwei Tage nicht an, weil die Auftragsverwaltung nicht verfügbar war. Der Schaden lag im sechsstelligen Bereich.

Die Umsetzung erfolgte in vier Schritten über fünf Monate:

1. Bestandsaufnahme. Alle Systeme, Datenmengen und Abhängigkeiten wurden erfasst. Ergebnis: 14 Terabyte, davon 9 Terabyte CAD und PLM.
2. Klassifizierung nach Gold, Silber und Bronze, mit Wiederanlaufzeiten je Klasse.
3. Neuaufbau der Speicher- und Sicherungsarchitektur. All-Flash für PLM, Hybrid für Fertigungsdaten, unveränderliches Repository bei einem deutschen Anbieter, Band für die Langzeitarchivierung.
4. Übung und Dokumentation. Zwei Wiederherstellungstests, ein Auditbericht für zwei OEM-Kunden.

Das Ergebnis nach einem Jahr: Die Wiederanlaufzeit für das PLM-System sank von geschätzten drei Tagen auf unter vier Stunden. Die monatlichen Kosten stiegen um etwa 900 Euro. Dem standen zwei gehaltene Rahmenverträge gegenüber.

Bemerkenswert war ein Nebeneffekt. Weil die Daten endlich klassifiziert waren, konnte der Betrieb alte Fertigungsdaten löschen. Das senkte die Sicherungsmenge um 20 Prozent und machte die verbleibenden Kopien übersichtlicher.

Häufige Fragen

Wie oft sollte ein kleiner Produktionsbetrieb seine Datensicherung testen? Mindestens zweimal jährlich, mit gemessener Wiederherstellungszeit. Ein Test ohne Zeitmessung sagt wenig über die tatsächliche Ausfallsicherheit aus.

Reicht ein NAS im Serverraum als einzige Sicherung? Nein. Bei Brand, Wasser oder Diebstahl sind Produktion und Sicherung gleichzeitig betroffen. Mindestens eine Kopie muss räumlich getrennt und unveränderlich sein.

Müssen Zulieferer gegenüber OEMs ein Sicherungskonzept vorlegen? Häufig ja, im Rahmen von Audits und Lieferantenbewertungen. Ein kurzes Protokoll über Sicherungsziele, Testläufe und Zugriffsrechte genügt meist.

Welche Rolle spielt das Lieferkettengesetz für kleine Betriebe? Sie sind meist nicht direkt verpflichtet, spüren die Anforderungen aber über Fragebögen ihrer Kunden. Die Teilliste L der Gesetzestexte hilft bei der Einordnung.

Lohnt sich Förderung für eine neue Speicher- und Sicherungsarchitektur? In vielen Fällen ja. Die KfW fördert Innovation und Digitalisierung, wenn das Vorhaben nachvollziehbar beschrieben ist. Ein Sicherungskonzept ist dafür eine gute Grundlage.