SaaS-Backup: Daten aus gemieteten Fachanwendungen sichern

© KI-generiert (TenMedia)

SaaS-Backup: was der Anbieter sichert und was nicht

Software as a Service, kurz SaaS, heißt, dass ein Unternehmen eine Anwendung mietet, die im Browser läuft, während Server und Datenbank beim Anbieter stehen.

Ein SaaS-Backup ist eine regelmäßige Sicherungskopie der eigenen Daten aus einer gemieteten Cloud-Anwendung, die außerhalb der Infrastruktur des Anbieters liegt und sich in einen arbeitsfähigen Zustand zurückspielen lässt. Es schützt vor Bedienfehlern, vor Angriffen über übernommene Benutzerkonten und vor dem Wegfall des Anbieters. Die Sicherungen, die ein Anbieter für seine Plattform anlegt, dienen in der Regel dem Wiederanlauf der gesamten Plattform und nicht dem Stand eines einzelnen Kunden.

Was steht im SaaS-Vertrag zur Datensicherung?

Vor dem Abschluss wird diese Frage selten gestellt. Laut Cloud Report 2026 von Bitkom Research achten nur 37 Prozent der Unternehmen, die Cloud-Dienste nutzen oder planen, bei der Auswahl auf eine einfache Wechselmöglichkeit. Wie die eigenen Daten wieder herauskommen, steht bei der Mehrheit also nicht auf der Liste. Der Nutzungsvertrag lohnt deshalb einen zweiten Blick, bevor ein Vorfall ihn erzwingt. Vier Fragen klären dort das Wesentliche:

❓ Wie lange bewahrt der Anbieter seine Sicherungen auf?
❓ Lassen sich gelöschte Daten beim SaaS-Anbieter wiederherstellen?
❓ Wie schnell geschieht das, und zu welchem Preis?
❓ In welchem Format gibt er die Daten heraus?

Was die DSGVO als Maßstab vorgibt

Für personenbezogene Daten setzt die Datenschutz-Grundverordnung den Maßstab. Art. 32 Abs. 1 lit. c DSGVO verlangt die Fähigkeit, die Verfügbarkeit der Daten nach einem physischen oder technischen Zwischenfall rasch wiederherzustellen. Diese Pflicht trifft den Betrieb als Verantwortlichen, auch wenn der SaaS-Anbieter die Server betreibt. Ob die zugesagte Sicherung das leistet, zeigt erst eine Probe, und was in eine solche Probe gehört, unterscheidet sich bei gemieteter Software von lokalen Systemen. Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO regelt außerdem die Rückgabe oder Löschung der Daten nach Vertragsende. Eine Wiederherstellungszeit schreibt er nicht vor. Sie gehört mit einem festen Wert in ein Service Level Agreement.

Microsoft 365 ist der bekannte Fall, nicht der typische

Für Microsoft 365 ist die Shared Responsibility zwischen Anbieter und Kunde ausführlich beschrieben. Die Microsoft-365-Backup-Kosten lassen sich bei Herstellern vergleichen, ebenso Angebote für Salesforce Backup, Google Workspace Backup und HubSpot Backup. Solche fertigen Backup-Lösungen decken große Plattformen ab. Eine Backup-Software für Branchensoftware wie die Pflegedokumentation eines regionalen Anbieters findet sich darunter in der Regel nicht. Die SaaS-Datensicherung dieser Fachanwendungen bleibt Aufgabe des Betriebs. Der Mietvertrag für die Software ändert daran nur etwas, wenn er die Wiederherstellung einzelner Kundenstände ausdrücklich zusagt. Die eigene Sicherung folgt demselben Grundsatz wie jede Datensicherung für Unternehmen, nach dem mindestens eine Kopie getrennt vom Original liegt.

Warum weder Export noch SaaS-Vertrag ein Backup ersetzt

Datenexport, Wechselrecht und SaaS-Backup werden leicht verwechselt, obwohl sie zu verschiedenen Zeitpunkten greifen. Der Export liefert eine Momentaufnahme auf Anforderung, das Wechselrecht gilt zum Vertragsende. Nur die laufende Sicherung erlaubt es, einen früheren Stand arbeitsfähig zurückzuholen. Die Übersicht zeigt, wann jeder Weg greift und ob sich danach weiterarbeiten lässt.

Ersetzt das Wechselrecht aus dem Data Act ein SaaS-Backup?

Nein, denn es regelt den Ausstieg und nicht den Alltag. Seit dem 12. September 2025 verpflichtet der Data Act SaaS-Anbieter, die Daten beim Wechsel in einem strukturierten, gängigen und maschinenlesbaren Format herauszugeben. Laut Bundesnetzagentur hat der Anbieter nach der Ankündigung höchstens zwei Monate Vorbereitungszeit. Der Wechsel dauert im Regelfall höchstens 30 Kalendertage, danach bleiben die Daten mindestens 30 Kalendertage abrufbar. Ab dem 12. Januar 2027 fallen keine Wechselentgelte mehr an. Wer den Cloud-Anbieter wechseln will, hat damit einen Fahrplan. Gelöschte Einträge von vor drei Wochen bringt das Wechselrecht nicht zurück, weil es erst mit der Kündigung greift und den Stand dieses Tages liefert.

Was ein Export verliert

Der eingebaute Export in SaaS-Anwendungen liefert meist eine Tabelle je Datenart, etwa als CSV-Datei. Eine lesbare Datei ist so in Minuten erstellt. Zum Zurückspielen taugt sie nur, wenn sie auch das enthält, was die Anwendung arbeitsfähig macht.

Verknüpfungen, Anhänge und Historie

Eine Pflegedokumentation besteht aus Klienten, Einsätzen, Berichten und Dokumenten, die aufeinander verweisen. Im Export erscheinen diese Verweise als interne Nummern ohne Bedeutung außerhalb der Anwendung. Anhänge können ganz fehlen oder als lose Dateien ohne Zuordnung vorliegen, und frühere Fassungen eines Eintrags kennt die Datei nicht. Die Änderungshistorie muss gesondert gesichert werden, wenn sie für eine Prüfung gebraucht wird.

Benutzer, Rollen und Berechtigungen

Ebenso wenig steht in einer Exportdatei, wer in der Anwendung was sehen und ändern darf. Nach einer Wiederherstellung müssen Benutzerkonten, Rollen und Freigaben deshalb von Hand neu angelegt werden. Bis dahin arbeitet entweder niemand, oder alle sehen alles, und bei Gesundheits- oder Personaldaten kann das zweite bereits ein Datenschutzvorfall sein.

SaaS-Backup für Fachanwendungen ohne fertiges Werkzeug

Für Fachanwendungen ohne fertiges Werkzeug entsteht die Sicherung als kleine eigene Software. Sie holt die Daten automatisiert über die Schnittstelle des Anbieters ab, legt sie außerhalb seiner Infrastruktur ab und bewahrt mehrere Stände auf. Das Backup von Software as a Service wird damit zur Entwicklungs- und Betriebsaufgabe. Ein gemieteter Dienst für Backup as a Service ändert daran nur etwas, wenn er die betreffende Anwendung anbinden kann.

Datenabzug über die Schnittstelle des Anbieters

Eine Programmierschnittstelle, kurz API, erlaubt anderen Programmen, Daten einer Anwendung zu lesen und zu schreiben. Bietet die Anwendung eine, lassen sich SaaS-Daten über die API sichern, ohne dass jemand von Hand exportiert. Ein Abrufdienst holt darüber jede Nacht alle Datensätze samt Anhängen ab und speichert sie verschlüsselt bei einem zweiten Anbieter oder auf eigener Infrastruktur. Der Aufwand liegt in der Schnittstellenentwicklung, weil jede API eigene Grenzen hat, etwa eine Höchstzahl an Abfragen pro Minute. Bei großen Beständen bestimmt sie, wie oft eine Vollsicherung möglich ist. Der Abrufdienst muss auch zurückschreiben können, sonst bleibt die Sicherung ein Archiv. SaaS-Backup und Wiederherstellung laufen deshalb über dieselbe Schnittstelle, nur in umgekehrter Richtung. Fehlt eine API, bleibt der automatisierte Export mit allen seinen Lücken.

Was gehört in einen Wiederherstellungstest für SaaS-Daten?

Die Sicherung von SaaS-Daten wird vor allem für einzelne Dateien gebraucht. Beim Backup-Hersteller Keepit sind 90 Prozent aller Wiederherstellungen Downloads einzelner Dateien, so dessen Annual Data Report 2026 über die Nutzung der eigenen Kundschaft im Jahr 2025. Identitätssysteme, also die Dienste für Anmeldung und Berechtigungen, werden dort viermal seltener in Wiederherstellungstests einbezogen als Produktivitätsanwendungen. Für eine Fachanwendung mit Microsoft-Anmeldung gehört deshalb ein Entra ID Backup in denselben Test. Rhythmus und Ablauf folgen dem Disaster Recovery Test der übrigen Systeme, hinzu kommen diese Prüfpunkte:

• ein Datensatz mit allen Anhängen und Verweisen
• Benutzerkonten, Rollen und Freigaben
• Anmeldung über den Identitätsdienst
• fachliche Prüfung durch die Fachabteilung
• gemessene Dauer bis zur Arbeitsfähigkeit

Wohin die Wiederherstellung zurückspielt

In der laufenden Anwendung kann die API neue interne Nummern vergeben, sodass Verweise neu geknüpft werden müssen. Ein Testmandant eignet sich für die Probe, kostet aber je nach Vertrag extra. Soll der Betrieb den Cloud-Anbieter wechseln, wird aus der Wiederherstellung eine Datenmigration, und ohne Entra ID Backup fehlen dort die Anmeldungen.

Vor Vertragsabschluss prüfen, was sich sichern lässt

Am günstigsten wird die Sicherung, wenn die Anwendung schon vor der Unterschrift darauf geprüft wird. Grundlage sind Unterlagen, die ein SaaS-Anbieter ohne großen Aufwand vorlegen kann, etwa die Schnittstellendokumentation und, sofern vorhanden, der Prüfbericht nach dem Kriterienkatalog C5 des BSI. Lücken machen eine Anwendung nicht unbrauchbar, nur aufwendiger zu sichern.

Merkmale einer Anwendung, die sich sichern lässt

Stehen mehrere SaaS-Anwendungen für einen Zweck zur Wahl, lassen sich diese Punkte beim Anbieter abfragen, und die Antworten gehören schriftlich in den SaaS-Vertrag. Jeder fehlende Punkt erhöht den Aufwand für das eigene SaaS-Backup:

• API mit Lese- und Schreibzugriff auf alle Daten
• dokumentiertes Datenmodell mit Verweisen
• Export inklusive Benutzer und Rollen
• Aufbewahrungsdauer der Anbietersicherungen im Vertrag
• Wiederherstellungszeit mit festem Wert
• C5-Prüfbericht oder vergleichbares Testat

Software Escrow sichert den Code, nicht die Daten

Gegen den Wegfall des Anbieters sehen manche Verträge Software Escrow vor, also die Hinterlegung des Quellcodes bei einer neutralen Stelle. Die Kundendaten erfasst Software Escrow nicht, denn sie liegen in der Datenbank des Anbieters und nicht im Quellcode. Die eigene Kopie ist der einzige Schutz, der nicht vom Anbieter abhängt.

Womit der Aufwand für eine eigene Sicherung wächst

Für SaaS-Backup und Wiederherstellung fällt einmalig die Anbindung an die Schnittstelle an, laufend kommen Speicher, Überwachung und regelmäßige Tests hinzu. TenMedia verkauft dafür kein Backup-Produkt und keinen Sicherungsdienst für Microsoft 365. Das Team entwickelt den Datenabzug aus gemieteten Fachanwendungen über deren Schnittstelle, führt die Daten bei einem Wechsel in ein eigenes oder neues System zurück und betreibt eigene SaaS-Anwendungen mit regelmäßig getesteter Wiederherstellung. Bei der ausfallsicheren SaaS-Plattform HitchDesk greifen alle Clients über eine REST-API auf dieselben Daten zu, und genau an dieser Voraussetzung setzt ein SaaS-Backup später an.