Woran Sie erkennen, dass es dieser Fall ist
- Die Datei wurde verschlüsselt. Ihre Dateien sind nicht mehr zugänglich.
- Der Ordner ist leer.
- Die Datei ist beschädigt und kann nicht geöffnet werden.
- Restore job completed with warnings
- Es wurde keine Sicherung für den gewählten Zeitpunkt gefunden.
Zugehörige Fehlercodes
- Bare-Metal-Restore
- Datei-Wiederherstellung
- Wiederherstellungspunkt
- RTO
- RPO
Die schnelle Hilfe, in dieser Reihenfolge
Umfang und Zeitpunkt festlegen
Was fehlt – eine Datei, ein Ordner, eine Datenbank, ein Server? Und ab wann war es falsch? Der Zeitpunkt entscheidet über den Wiederherstellungspunkt: Bei einer Verschlüsselung muss der Stand vor dem ersten verschlüsselten Dokument her, nicht der letzte; die Befehle unten zeigen, wann die Dateien zuletzt geändert wurden.
Damit wissen Sie: Umfang und Wiederherstellungspunkt stehen fest – und sind notiert.
Ziel wählen: nie das Original
Die Wiederherstellung geht in einen eigenen Ordner oder auf ein eigenes Laufwerk, bei Servern in eine Maschine mit anderem Namen in einem isolierten Netz. Was zurückkommt, wird geprüft, bevor es den aktuellen Stand ersetzt. Wer über das Original schreibt, hat danach keinen Rückfall mehr – und erfährt zu spät, dass die Sicherung den Fehler schon enthielt.
Damit wissen Sie: Zielordner angelegt, Platz geprüft.
Nächstgelegene Quelle nehmen
Ist ein Satellit im Haus, kommen Daten aus ihm mit der Geschwindigkeit des lokalen Netzes – Hunderte Gigabyte in einer Stunde. Aus dem Rechenzentrum begrenzt die Internetleitung: 100 GB über 50 MBit/s dauern gut viereinhalb Stunden, rechnerisch. Die Software wählt die Quelle meist selbst; wer es eilig hat, prüft, ob der Satellit den gewünschten Stand noch hat.
Damit wissen Sie: Die Wiederherstellung läuft von der schnellsten verfügbaren Quelle.
Prüfen, dann ersetzen
Anzahl und Größe der Dateien gegen den Stand vor dem Vorfall, Stichproben öffnen, bei Datenbanken den Dienst mit dem zurückgespielten Stand starten lassen. Erst dann die Daten an den alten Platz verschieben – oder die neue Maschine ins Produktivnetz hängen und die alte abschalten.
Damit wissen Sie: Das Zurückgespielte ist vollständig und benutzbar.
Protokollieren
Was, wann, aus welchem Stand, wie lange, Ergebnis – eine Textdatei neben den Daten, zwei Minuten Arbeit. Das ist der Beleg, nach dem Wirtschaftsprüfer und Versicherer fragen, und es ist die gemessene Wiederanlaufzeit für Ihren Notfallplan.
Damit wissen Sie: Ein Rücksicherprotokoll mit Datum – Beleg 2 der Nachweismappe.
Dasselbe in PowerShell
Für alle, die mehr als einen Rechner betreuen
Die Wiederherstellung selbst läuft über die Oberfläche der Sicherungssoftware oder das Portal – nicht über Befehle. Was die Befehle leisten: vorher klären, was fehlt und wohin es soll, und nachher prüfen, dass das Zurückgespielte vollständig und benutzbar ist.
PowerShell mit erweiterten Rechten starten – so geht es
- Windows 11
- Rechtsklick auf das Startsymbol – oder die Tastenkombination Windows + X – und dann Terminal (Administrator) wählen.
- Windows 10
- Dieselbe Tastenkombination, der Eintrag heißt dort Windows PowerShell (Administrator). Steht dort stattdessen die Eingabeaufforderung, lässt sich das in den Taskleisteneinstellungen umstellen – oder Sie nehmen den Weg darunter.
- Auf jedem Windows
- Startmenü öffnen, powershell tippen und den Treffer mit Strg + Umschalt + Eingabe öffnen. Das ist der Weg, der überall funktioniert.
- Woran Sie erkennen, dass es geklappt hat
- In der Titelleiste des Fensters steht Administrator, und die Eingabeaufforderung beginnt in C:\Windows\System32 statt in Ihrem Benutzerordner. Vorher bestätigen Sie die Abfrage der Benutzerkontensteuerung mit Ja.
- Wenn nach Zugangsdaten gefragt wird
- Dann sind Sie auf diesem Rechner kein Administrator. Im Firmennetz ist das der Regelfall und Absicht: Wer täglich mit erhöhten Rechten arbeitet, gibt einer Schadsoftware dieselben Rechte. Der richtige Weg ist die Zuarbeit durch die Administration – nicht das dauerhafte Hochstufen des eigenen Kontos.
Ein Hinweis, der wichtiger ist als er klingt: Führen Sie keinen Befehl aus, dessen Wirkung Sie nicht benennen können – auch keinen von uns. Die Blöcke unten sagen jeweils dazu, was sie tun; die, die etwas verändern, sind gekennzeichnet.
Vorher: Was fehlt, und seit wann?
Bevor etwas zurückgespielt wird, muss klar sein, welche Dateien betroffen sind und ab welchem Zeitpunkt – sonst holt die Wiederherstellung einen Stand, der das Problem schon enthält.
# Zuletzt geänderte Dateien in einem Ordner – zeigt den Zeitpunkt einer Verschlüsselung oder LöschungPS C:\> Get-ChildItem -Path 'D:\Daten\Projekte' -Recurse -File | Sort-Object LastWriteTime -Descending | Select-Object -First 20 FullName, LastWriteTime, Length# Dateien mit fremder Endung – typisch nach VerschlüsselungPS C:\> Get-ChildItem -Path 'D:\Daten' -Recurse -File | Group-Object Extension | Sort-Object Count -Descending | Select-Object -First 15 Name, Count# Schattenkopien des Laufwerks: der schnellste Weg für einzelne Dateien, wenn sie noch da sindPS C:\> vssadmin list shadows /for=D:Wohin: nie über das Original
Die Wiederherstellung geht zuerst in einen eigenen Ordner oder auf ein eigenes Laufwerk. Erst wenn das Zurückgespielte geprüft ist, wird es an den alten Platz verschoben – so bleibt der aktuelle Stand als Rückfall erhalten.
PS C:\> New-Item -ItemType Directory -Path 'D:\Wiederherstellung\2026-10-02' -Force# Platz prüfen: die Wiederherstellung braucht so viel, wie zurückkommt – plus das Original, das noch da istPS C:\> Get-Volume -DriveLetter D | Select-Object DriveLetter, @{ n = 'FreiGB'; e = { [math]::Round($_.SizeRemaining / 1GB, 1) } }, @{ n = 'GesamtGB'; e = { [math]::Round($_.Size / 1GB, 1) } }Nachher: Vollständigkeit und Zustand prüfen
Zurückgespielt heißt nicht benutzbar. Anzahl und Größe gegen den Stand vor dem Vorfall vergleichen, Stichproben öffnen – und bei Datenbanken den Dienst mit dem zurückgespielten Stand starten lassen.
PS C:\> Get-ChildItem -Path 'D:\Wiederherstellung\2026-10-02' -Recurse -File | Measure-Object -Property Length -Sum | Select-Object Count, @{ n = 'GB'; e = { [math]::Round($_.Sum / 1GB, 2) } }# Vergleich zweier Ordnerbäume – was im Original fehlt oder abweichtPS C:\> Compare-Object (Get-ChildItem 'D:\Daten\Projekte' -Recurse -File | Select-Object -ExpandProperty FullName | ForEach-Object { $_.Replace('D:\Daten\Projekte', '') }) (Get-ChildItem 'D:\Wiederherstellung\2026-10-02\Projekte' -Recurse -File | Select-Object -ExpandProperty FullName | ForEach-Object { $_.Replace('D:\Wiederherstellung\2026-10-02\Projekte', '') })# Prüfsumme einer Stichprobe gegen das Protokoll der SicherungPS C:\> Get-FileHash -Algorithm SHA256 -Path 'D:\Wiederherstellung\2026-10-02\Projekte\Angebot-4711.xlsx'Das Protokoll, das aus der Wiederherstellung einen Nachweis macht
Was, wann, wie lange, Ergebnis – in einer Textdatei neben den Daten. Das ist die halbe Seite, nach der ein Prüfer fragt, und sie entsteht in zwei Minuten, wenn man sie sofort schreibt.
PS C:\> $p = 'D:\Wiederherstellung\2026-10-02\Protokoll.txt'PS C:\> "Wiederherstellung $(Get-Date -Format 'yyyy-MM-dd HH:mm')" | Out-File $pPS C:\> "Quelle: Cloud-Sicherung, Stand 2026-10-01 22:00" | Out-File $p -AppendPS C:\> "Umfang: Ordner Projekte, 12.431 Dateien, 38,2 GB" | Out-File $p -AppendPS C:\> "Dauer: 00:47 h; Ergebnis: vollständig, Stichproben geöffnet" | Out-File $p -AppendWie lange dauert die Wiederherstellung wirklich?
Die ehrliche Antwort: Das weiß man erst, wenn man es gemessen hat. Die Rechnung aus Datenmenge und Leitung gibt eine Untergrenze – 1 TB über eine 100-MBit/s-Leitung sind rechnerisch etwa 23 Stunden, über eine Gigabit-Leitung etwa zweieinhalb –, aber dazu kommen das Entpacken, das Schreiben auf den Zieldatenträger und bei Servern das Einrichten der Hardware oder VM.
Deshalb hat der Satellit seinen Platz: Er hält die letzten Sicherungen im eigenen Netz, und von dort kommt ein Server in der Zeit zurück, die das Kopieren über das LAN dauert. Die Kopie im Rechenzentrum ist für den Fall, dass das Haus selbst betroffen ist – Brand, Diebstahl, eine Verschlüsselung, die auch den Satelliten erreicht hat.
Für den Ernstfall gibt es nach Herstellerangabe noch den dritten Weg: die Wiederherstellung in eine virtuelle Maschine im Rechenzentrum unseres Partners TERRA CLOUD. Die Daten müssen dann gar nicht erst über die Leitung – der Server läuft dort an, und die Nutzer verbinden sich über VPN, bis die eigene Hardware wieder steht. Was davon für Ihr Haus gilt, legt die Wiederherstellungsprobe fest, nicht die Hoffnung.
Welchen Stand nehme ich nach einer Verschlüsselung?
Den letzten vor der Verschlüsselung – und der ist älter, als man denkt. Verschlüsselungsangriffe beginnen nicht mit der Verschlüsselung; die Angreifer sind vorher Tage bis Wochen im Netz. Die Dateien zeigen den Zeitpunkt, an dem die Verschlüsselung begann; der Stand davor ist sauber, was die Dateien betrifft.
Ob das System selbst sauber ist, ist eine andere Frage. Ein Server, der aus einer Sicherung von vor zwei Tagen zurückkommt, enthält möglicherweise noch die Werkzeuge, mit denen der Angreifer hineinkam. Deshalb: Daten aus der Sicherung, Betriebssystem neu – oder zumindest eine Prüfung der zurückgespielten Maschine in einem isolierten Netz, bevor sie wieder erreichbar ist. Unsere Seite zur Incident Response beschreibt die Reihenfolge.
Und die Sicherung selbst muss unberührt sein. Das ist der Grund für Unveränderbarkeit: Eine Kopie, die auch mit Administratorrechten nicht gelöscht werden kann, bleibt bestehen, wenn der Angreifer diese Rechte hat. Die Seite zum S3-Archiv mit Object Lock erklärt, wie das funktioniert.
Was ist ein Bare-Metal-Restore, und wann brauche ich ihn?
Die Wiederherstellung eines ganzen Systems – Betriebssystem, Programme, Einstellungen, Daten – auf eine leere Maschine. Gebraucht wird er, wenn die Hardware ausgefallen ist oder das System so beschädigt, dass eine Reparatur länger dauert als der Neuaufbau. Die Sicherungssoftware bringt dafür ein Startmedium mit, von dem die Zielmaschine bootet und sich die Sicherung holt.
Die Fallen liegen in der Hardware: Treiber für Speichercontroller und Netzwerkkarten, die auf der neuen Maschine anders sind; UEFI gegen BIOS; eine Platte, die kleiner ist als die gesicherte. Nach Herstellerangabe ist der Bare-Metal-Restore beim Cloud-Backup unseres Partners automatisiert – was die Fallen nicht beseitigt, aber die Reihenfolge vorgibt.
Für virtuelle Maschinen ist der Weg einfacher: Die VM wird als Ganzes wiederhergestellt, auf demselben oder einem anderen Host, mit derselben virtuellen Hardware. Das ist einer der stillen Gründe, warum Virtualisierung die Wiederherstellung beschleunigt – und warum ein physischer Server, der noch physisch ist, bei der nächsten Erneuerung eine VM werden sollte.
Im Betrieb
Die erste Wiederherstellung darf nicht die im Ernstfall sein.
Alles auf dieser Seite ist einfacher, wenn man es schon einmal getan hat – mit Zeit, ohne Druck, mit einem Protokoll am Ende. Das ist die Wiederherstellungsprobe, und sie ist beim Cloud-Backup im Rechenzentrum unseres Partners TERRA CLOUD nach Herstellerangabe automatisiert: Testwiederherstellung mit Bericht. Bei uns ist das Standard, nicht Zusatz.
Der Bericht beantwortet die zwei Fragen, die ein Prüfer stellt und die eine Geschäftsführung stellen sollte: Kommt das Gesicherte zurück, und wie lange dauert es? Die zweite Antwort ist die Wiederanlaufzeit für den Notfallplan – gemessen, nicht geschätzt.
Wer seine Sicherung selbst betreibt, kann das ebenso: einmal im Quartal einen Server oder einen großen Ordner in eine Testumgebung zurückspielen, Dauer notieren, Ergebnis notieren, abheften. Eine halbe Seite, die aus „wir haben ein Backup“ einen Nachweis macht.
Wann Sie aufhören sollten zu probieren
Einzelne Dateien und Ordner holt jeder Administrator selbst zurück. Die Grenze liegt beim ganzen Server nach einem Angriff: Dort geht es nicht mehr nur um Daten, sondern um die Frage, ob das Zurückgespielte sauber ist – und die beantwortet man nicht allein um drei Uhr nachts. Ab hier gehört die Incident Response dazu.
Häufige Anschlussfragen
Kann ich eine ältere Version einer Datei zurückholen, die ich selbst überschrieben habe?
Ja, aus jedem Sicherungsstand, den die Aufbewahrung noch hält – bei täglicher Sicherung mit 30 Tagen Vorhaltung also jeden Tagesstand des letzten Monats. Schneller geht es oft über die Vorgängerversionen im Windows-Explorer, wenn Schattenkopien auf dem Dateiserver aktiv sind; das ist keine Sicherung, aber für diesen Fall der kürzeste Weg.
Was, wenn der Wiederherstellungspunkt den Fehler schon enthält?
Dann einen älteren nehmen – und zwischen beiden Ständen die Änderungen von Hand nachtragen. Das ist der Grund, warum die Aufbewahrung länger sein muss als die Zeit, die ein Fehler unbemerkt bleiben kann. Eine Verschlüsselung fällt sofort auf; eine falsch importierte Preisliste erst nach drei Wochen.
Die Wiederherstellung meldet „mit Warnungen abgeschlossen“. Fehlt etwas?
Möglicherweise. Die Warnungen nennen Dateien, die nicht zurückgespielt werden konnten – meist Berechtigungen, Pfadlängen oder Dateien, die im Ziel gerade geöffnet waren. Die Liste lesen, die genannten Dateien einzeln holen, dann ist der Lauf vollständig. Ohne diese Prüfung ist er es nicht.
Brauche ich für die Wiederherstellung dieselbe Software-Version?
In der Regel liest eine neuere Version ältere Sicherungen; umgekehrt nicht. Deshalb gehört die Sicherungssoftware selbst zu den Dingen, deren Installationsmedium und Lizenz außerhalb des Servers aufbewahrt werden – ein Punkt, der in Notfallplänen regelmäßig fehlt.
Dazu passt