Die 3-2-1-Backup-Regel lautet: drei Kopien Ihrer Daten, auf zwei verschiedenen Medientypen, davon eine Kopie an einem externen Standort. Das ist die Kurzantwort. Als Basisstandard bleibt die Regel gültig und wird vom Bundesamt für Sicherheit in der Informationstechnik (BSI) als wirksame Schutzmaßnahme gegen Hardwareausfall und Ransomware empfohlen. Für kritische Daten reicht die klassische Variante heute aber nicht mehr aus. Die Branche empfiehlt die Erweiterung auf 3-2-1-1-0: eine zusätzliche unveränderliche oder physisch isolierte Kopie plus die Anforderung, dass jede Wiederherstellung verifiziert und fehlerfrei ist.
Was Sie sofort tun sollten:
- Klassische 3-2-1-Regel konsequent einrichten, falls noch nicht geschehen
- Backup-Accounts mit eigenen Zugangsdaten und Mehr-Faktor-Authentifizierung absichern
- Mindestens eine Kopie als unveränderliches Backup (Immutable Storage) konfigurieren
- Monatliche Restore-Tests einplanen und dokumentieren
- Mittelfristig auf 3-2-1-1-0 upgraden, sobald Ransomware zum relevanten Bedrohungsmodell gehört
Kernaussage: Wer heute nur drei Kopien anlegt, ohne Unveränderlichkeit und regelmäßige Restore-Tests, hat eine Backup-Strategie auf dem Papier, aber keine verlässliche Wiederherstellungsgarantie.
Inhaltsverzeichnis
- Was genau besagt die 3-2-1-Backup-Regel?
- Welche Risiken mindert die 3-2-1-Regel konkret?
- Moderne Varianten: Wann reicht 3-2-1 nicht mehr aus?
- Welche Speichermedien eignen sich für Ihre 3-2-1-Strategie?
- Schritt für Schritt: So setzen Sie 3-2-1 praktisch um
- Wie testen Sie die Wiederherstellung zuverlässig?
- Häufige Fehler und wie Sie sie vermeiden
- Wie wählen Sie die passende Lösung für Ihre Umgebung?
- Wichtige Erkenntnisse
- Warum die meisten Backup-Strategien an der falschen Stelle scheitern
- Nützliche Quellen und weiterführende Links
Was genau besagt die 3-2-1-Backup-Regel?
Die Regel geht auf den Fotografen und Autor Peter Krogh zurück, der sie in seinem Buch über digitales Asset-Management formuliert hat. Heute ist sie als Basisstandard in der IT-Sicherheit anerkannt, unter anderem referenziert durch NIST und CISA im Kontext von Datensicherungsempfehlungen.
Die drei Ziffern stehen für konkrete Anforderungen:
- 3 Kopien: Das Original plus zwei unabhängige Sicherungskopien. Nicht drei Backups, sondern drei Datenkopien insgesamt.
- 2 Medientypen: Die Kopien müssen auf unterschiedlichen Speichermedien liegen, zum Beispiel eine lokale NAS und eine externe Festplatte oder Cloud-Speicher. Zwei Kopien auf derselben NAS zählen nicht.
- 1 externe Kopie: Mindestens eine Kopie muss räumlich oder logisch vom Primärstandort getrennt sein. Ein Offsite-Backup in einem anderen Gebäude, Rechenzentrum oder einer anderen Cloud-Region erfüllt diese Anforderung.
Ein wichtiger Punkt zur Cloud: Synchronisationsdienste wie OneDrive oder Google Drive sind kein Backup. Cloud-Sync spiegelt Änderungen sofort und überträgt damit auch Löschungen und Ransomware-Verschlüsselungen in Echtzeit. Ein echtes Cloud-Backup muss versionierte Snapshots bieten und über unabhängige Zugangsdaten verfügen.
Versionierung ist dabei kein optionales Extra. Nur wer mehrere Versionen einer Datei aufbewahrt, kann auf einen Zustand vor einer Beschädigung oder Verschlüsselung zurückgreifen. Eine längere Aufbewahrung von Versionen ist für viele Umgebungen sinnvoll.
Welche Risiken mindert die 3-2-1-Regel konkret?
Hardwareausfälle sind der häufigste Grund für Datenverlust. Eine einzelne Festplatte kann jederzeit ausfallen, ohne Vorwarnung. Wer nur eine Kopie hat, verliert alles. Die 3-2-1-Regel eliminiert diesen Single Point of Failure durch Redundanz auf verschiedenen Medien.
Ortsgebundene Katastrophen wie Feuer, Überschwemmung oder Diebstahl treffen alle Geräte an einem Standort gleichzeitig. Die externe Kopie ist genau dafür gedacht. Ohne sie wäre ein Bürobrand gleichbedeutend mit totalem Datenverlust.
Ransomware ist das Szenario, das die klassische Regel am stärksten unter Druck setzt. Angreifer verschlüsseln nicht nur Produktivdaten, sondern suchen gezielt nach erreichbaren Backup-Speichern. Wenn alle drei Kopien über dasselbe Netzwerk oder dieselben Zugangsdaten erreichbar sind, werden sie alle verschlüsselt. Menschliche Fehler, versehentliche Löschungen oder fehlerhafte Software-Updates runden das Risikobild ab.
Medienvielfalt und geografische Trennung reduzieren den sogenannten Blast-Radius eines Angriffs oder Ausfalls. Je weniger Kopien über denselben Angriffsvektor erreichbar sind, desto kleiner ist der mögliche Schaden.
Moderne Varianten: Wann reicht 3-2-1 nicht mehr aus?
Die klassische Regel wurde vor der Ära moderner Ransomware formuliert. Angreifer haben sich angepasst. Deshalb gibt es heute erweiterte Varianten.
| Variante | Kernzusatz | Zielgruppe | Ransomware-Schutz | Komplexität |
|---|---|---|---|---|
| 3-2-1 | Klassische Regel | Privat, KMU | Mittel (wenn Offsite logisch getrennt) | Niedrig |
| 3-2-1-1 | +1 Offline/Air-Gap-Kopie | KMU, Enterprise | Hoch | Mittel |
| 3-2-1-1-0 | +1 Offline/Immutable, 0 Fehler bei Restore-Tests | Enterprise, kritische Infrastruktur | Sehr hoch | Hoch |
| 4-3-2 | 4 Kopien, 3 Medien, 2 externe Standorte | Enterprise, Hochverfügbarkeit | Sehr hoch | Sehr hoch |
Was bedeuten Immutable und Air-Gap konkret?
Ein unveränderliches Backup (Immutable Backup) nutzt Technologien wie Object Lock in S3-kompatiblen Speichern oder WORM-Medien (Write Once, Read Many). Während der festgelegten Aufbewahrungsfrist kann niemand die Daten löschen oder verändern, auch kein Administrator mit vollen Rechten. Unveränderliche Backups sind die aktuell effektivste Abwehr gegen Ransomware, weil sie selbst bei kompromittierter Verwaltung nicht löschbar sind.
Ein Air-Gap-Backup ist physisch vom Netzwerk getrennt. Das klassische Beispiel ist eine rotierende externe Festplatte, die nach dem Backup-Vorgang abgesteckt wird. Tape-Archive erfüllen diese Anforderung ebenfalls.
Die „0“ in 3-2-1-1-0 steht für null Fehler bei verifizierten Restore-Tests. Backups, die nie getestet wurden, sind keine verlässliche Wiederherstellungsgarantie.
Wann sollten Sie auf 3-2-1-1-0 upgraden? Sobald Ransomware zu Ihrem realistischen Bedrohungsmodell gehört, sobald Ausfallzeiten von mehr als wenigen Stunden geschäftskritisch sind oder sobald regulatorische Anforderungen (etwa im Finanz- oder Gesundheitsbereich) kurze RTOs vorschreiben.
Profi-Tipp: Aktivieren Sie Object Lock im Governance-Modus zunächst testweise für einen Teil Ihrer Backups. So können Sie die Funktionsweise prüfen, bevor Sie auf den Compliance-Modus wechseln, der keine Ausnahmen mehr erlaubt.
Welche Speichermedien eignen sich für Ihre 3-2-1-Strategie?
| Medium | Vorteile | Nachteile | Kosten (ca.) | DSGVO-Hinweis |
|---|---|---|---|---|
| Externe HDD/SSD | Günstig, portabel, Air-Gap möglich | Mechanisch anfällig, manuell | Niedrig | Verschlüsselung empfohlen |
| NAS (lokal) | Schnell, automatisierbar, RAID-Option | Gleicher Standort, Ransomware-Risiko bei Netzwerkzugang | Mittel | Datenhaltung im eigenen Haus |
| Tape (LTO) | Sehr günstig pro GB, langlebig, Air-Gap | Langsame Wiederherstellung, Infrastrukturaufwand | Mittel bis hoch (Anschaffung) | Datenhaltung im eigenen Haus |
| Cloud Object Storage | Skalierbar, georedundant, Object Lock verfügbar | Laufende Kosten, Abhängigkeit von Anbieter | Variabel | Regionsauswahl entscheidend |
Für deutsche IT-Umgebungen gilt bei Cloud-Backups: Die DSGVO verlangt, dass personenbezogene Daten entweder in der EU gespeichert oder durch geeignete Garantien geschützt werden. Wählen Sie Cloud-Regionen innerhalb der EU, zum Beispiel Frankfurt oder Amsterdam. Verschlüsselung vor dem Upload mit einem eigenen Schlüssel (Client-Side Encryption) ist dabei keine Option, sondern Pflicht, wenn Sie die Kontrolle über Ihre Daten behalten wollen.
Praktische Kombinationen für verschiedene Umgebungen:
- Heimanwender und kleine Büros: Lokale NAS als primäres Backup, rotierende verschlüsselte externe Festplatte als Air-Gap-Kopie, Cloud-Backup-Dienst als Offsite-Kopie. Rotierende verschlüsselte externe Festplatten plus Cloud-Backup sind eine kosteneffiziente Möglichkeit für Privatanwender und KMU, die 3-2-1-Regel umzusetzen.
- KMU: NAS mit Snapshot-Funktion lokal, S3-kompatibler Cloud-Speicher mit Object Lock als Offsite-Immutable-Kopie, Tape-Archiv für Langzeitaufbewahrung.
- Enterprise: Dediziertes Backup-Speichersystem lokal, georedundante Cloud-Regionen, physisch isoliertes Tape-Archiv an einem zweiten Standort.
Für die Auswahl externer SSDs oder HDDs als lokale Backup-Medien gibt es auf Computery detaillierte Empfehlungen zu Geschwindigkeit und Zuverlässigkeit.
Schritt für Schritt: So setzen Sie 3-2-1 praktisch um
Schritt 1: Inventarisieren und priorisieren
- Datenkategorien erfassen: Welche Daten sind geschäftskritisch, welche nur archivierungspflichtig?
- RPO (Recovery Point Objective) festlegen: Wie viel Datenverlust ist akzeptabel? Eine Stunde, ein Tag?
- RTO (Recovery Time Objective) definieren: Wie lange darf die Wiederherstellung dauern?
- Backup-Frequenz ableiten: Kritische Daten täglich oder stündlich, Archivdaten wöchentlich.
Schritt 2: Konfiguration der drei Kopien
- Lokales Backup: Snapshot-basiertes Backup auf NAS oder dediziertem Backup-Server. Tools wie Veeam oder Acronis bieten agentenbasierte Sicherung für Windows- und Linux-Systeme. Open-Source-Alternativen wie Restic oder Borg eignen sich für kleinere Umgebungen.
- Sekundäres Backup (Offsite): Cloud Object Storage mit aktiviertem Object Lock oder eine rotierende externe Festplatte an einem zweiten Standort. Verschlüsselung vor dem Upload konfigurieren.
- Retention und Versionierung: Mindestens 30 Tage Aufbewahrung, bei Ransomware-Risiko 90 Tage empfohlen.
Schritt 3: Zugangskontrolle absichern
- Separate Backup-Accounts anlegen, die keine Produktiv-Admin-Rechte haben
- Mehr-Faktor-Authentifizierung für alle Backup-Zugänge aktivieren
- Schreibrechte auf das Nötigste beschränken; Restore-Berechtigungen separat und restriktiver vergeben
- DSGVO-konforme Datenschutzpraktiken für Backup-Daten dokumentieren
Schritt 4: Automatisierung und Monitoring einrichten
Automatisierung ist unverzichtbar: Manuelle Backups werden vergessen. Konfigurieren Sie agentenbasierte Backup-Jobs mit zentralem Monitoring, Alerting bei Fehlern und automatischen Integritätsprüfungen. Veeam und Acronis bieten beide ein zentrales Dashboard für genau diesen Zweck. Restic lässt sich mit Cron-Jobs und E-Mail-Alerts automatisieren.
Profi-Tipp: Richten Sie einen dedizierten Monitoring-Alert ein, der nicht nur bei Backup-Fehlern, sondern auch bei ausbleibenden Backups auslöst. Ein Job, der stillschweigend nicht läuft, ist gefährlicher als einer, der mit einer Fehlermeldung abbricht.
Wie testen Sie die Wiederherstellung zuverlässig?
Ein Backup, das nie getestet wurde, ist keine Garantie. Defekte Backups werden ohne Tests erst im Notfall entdeckt, also genau dann, wenn keine Zeit für Fehlersuche bleibt.
Branchenübliche Testzyklen empfehlen regelmäßige Datei-Restores, Anwendungswiederherstellungen und umfassende Failover-Tests, wobei Dauer, Integrität und Erfolgsquote sorgfältig geprüft und dokumentiert werden.
Welche Metriken Sie erfassen sollten:
- Restore-Dauer: Entspricht sie dem definierten RTO?
- Integritätsprüfung: Hash-Vergleich oder Backup-Software-interne Verifikation
- Erfolgsquote: Wie viele Restore-Tests waren fehlerfrei?
- Datenvollständigkeit: Sind alle erwarteten Dateien und Datenbankeinträge vorhanden?
Regelmäßige, dokumentierte Restore-Tests sind oft der Unterschied zwischen funktionierenden Backups und falscher Sicherheit. Testpläne sollten automatisiert und messbar sein. Ergebnisse gehören in ein Offline-Runbook, das auch dann verfügbar ist, wenn die IT-Infrastruktur nicht erreichbar ist. Die „0“ in 3-2-1-1-0 ist kein Marketingversprechen, sondern eine messbare Anforderung: null Fehler bei verifizierten Wiederherstellungen.
Häufige Fehler und wie Sie sie vermeiden
Die größte Schwachstelle moderner Backup-Implementierungen ist die logische Vernetzung aller Kopien. Wenn alle drei Backups über dieselben Zugangsdaten oder dasselbe Netzwerk erreichbar sind, wird die räumliche Trennung wirkungslos. Ransomware verschlüsselt dann alle Kopien gleichzeitig.
Typische Fehler im Überblick:
- Cloud-Sync als Backup missverstehen: OneDrive, Dropbox und ähnliche Dienste synchronisieren Änderungen sofort. Eine Ransomware-Verschlüsselung landet innerhalb von Sekunden auch in der Cloud. Nur versionierte Backup-Dienste mit unabhängigen Zugangsdaten erfüllen die Offsite-Anforderung.
- Gleiche Credentials für Backup und Produktion: Backup-Accounts dürfen nicht dieselben Admin-Zugangsdaten wie Produktivsysteme verwenden. Separate Konten mit minimalen Rechten sind Pflicht.
- Automatisierung ohne Monitoring: Ein Backup-Job, der seit Wochen stillschweigend fehlschlägt, gibt kein Sicherheitsnetz. Alerting bei Fehlern und ausbleibenden Jobs ist kein optionales Extra.
- Keine MFA auf Backup-Zugängen: Besonders bei Cloud-Backups ist Mehr-Faktor-Authentifizierung der einfachste Schutz gegen kompromittierte Zugangsdaten.
- Fehlende Verschlüsselung auf externen Medien: Eine externe Festplatte ohne Verschlüsselung, die gestohlen wird, ist ein Datenschutzvorfall. BitLocker oder VeraCrypt sind hier die Standardlösung.
Wenn Sie nach einem Ransomware-Vorfall auf Ihre Backups angewiesen sind, hilft die Anleitung zum Retten eines virenverseuchten Windows-Computers bei den ersten Schritten.
Wie wählen Sie die passende Lösung für Ihre Umgebung?
Bevor Sie sich für eine Backup-Software oder einen Cloud-Anbieter entscheiden, sollten Sie diese Fragen klären:
- Unterstützt die Lösung unveränderlichen Speicher (Object Lock, WORM)? Für 3-2-1-1-0 ist das keine Option, sondern Voraussetzung.
- Kann die Software Restore-Tests automatisieren und Ergebnisse protokollieren?
- Welche Cloud-Regionen stehen zur Verfügung? Für DSGVO-Konformität müssen EU-Regionen wählbar sein.
- Wie sind Kosten und Komplexität strukturiert? Einfache Tarife für kleine Umgebungen, skalierbare Modelle für Enterprise.
- Wie schnell ist die Wiederherstellung? Entspricht die Restore-Geschwindigkeit Ihrem RTO?
- Sind Backup-Accounts und Produktiv-Accounts vollständig getrennt?
- Gibt es eine Dokumentation zur DSGVO-Konformität des Anbieters?
Veeam und Acronis sind zwei der am weitesten verbreiteten Lösungen für Windows- und Linux-Umgebungen in deutschen KMU und Enterprise-Organisationen. Veeam bietet umfangreiche Unterstützung für Immutable Backups und Object Lock in S3-kompatiblen Speichern sowie ein zentrales Monitoring-Dashboard. Acronis kombiniert Backup-Funktionen mit Ransomware-Erkennung direkt im Agenten. Beide Hersteller dokumentieren die Umsetzung der 3-2-1-Regel und ihrer Erweiterungen ausführlich in ihrer offiziellen Dokumentation.
Führen Sie vor einem Vertragsabschluss einen Proof-of-Concept durch: Backup anlegen, Restore testen, RTO messen, Ergebnis dokumentieren. Kein Anbieter sollte eine Ausnahme von dieser Regel sein.
Wichtige Erkenntnisse
Die 3-2-1-Backup-Regel ist der anerkannte Mindeststandard für Datensicherung. Für Ransomware-Resilienz ist die Erweiterung auf 3-2-1-1-0 mit unveränderlichen Kopien und verifizierten Restore-Tests heute der empfohlene Standard.
| Thema | Details |
|---|---|
| Klassische 3-2-1-Regel | Drei Kopien, zwei Medientypen, eine externe Kopie: sofort umsetzen, BSI-empfohlen. |
| Erweiterung auf 3-2-1-1-0 | Unveränderliche oder Air-Gap-Kopie plus null Fehler bei Restore-Tests für Ransomware-Resilienz. |
| Zugangskontrolle | Separate Backup-Accounts mit MFA und minimalen Rechten sind keine Option, sondern Pflicht. |
| Restore-Tests | Monatliche Datei-Restores, quartalsweise Anwendungswiederherstellungen, jährliche Failover-Tests dokumentieren. |
| DSGVO-Konformität | EU-Regionen für Cloud-Backups wählen, Client-Side Encryption aktivieren, Aufbewahrungsfristen dokumentieren. |
Warum die meisten Backup-Strategien an der falschen Stelle scheitern
Die 3-2-1-Backup-Regel ist technisch einfach zu verstehen. Das eigentliche Problem liegt woanders: Viele Umgebungen haben formal eine Backup-Strategie, aber keine funktionierende Wiederherstellungsstrategie. Der Unterschied ist entscheidend.
Backups werden eingerichtet, Monitoring wird vernachlässigt, Restore-Tests werden aufgeschoben. Dann kommt ein Ransomware-Angriff oder ein Hardwareausfall, und erst in diesem Moment stellt sich heraus, dass der letzte erfolgreiche Restore Monate zurückliegt oder die Backup-Daten beschädigt sind. Das ist kein theoretisches Szenario.
Die Erweiterung auf 3-2-1-1-0 ist kein Luxus für Enterprise-Umgebungen. Für jede Organisation, bei der Datenverlust oder mehrtägige Ausfallzeiten ernsthafte Konsequenzen hätten, ist unveränderlicher Speicher heute die Mindestanforderung. Object Lock in S3-kompatiblen Diensten ist technisch kein großer Aufwand mehr und kostet nur wenig mehr als Standard-Speicher.
Was wirklich unterschätzt wird: die Dokumentation. Ein Offline-Runbook, das beschreibt, wie die Wiederherstellung Schritt für Schritt abläuft, ist im Ernstfall wertvoller als jede Backup-Software. Wenn die IT-Infrastruktur nicht erreichbar ist, brauchen Sie Anweisungen, die ohne Netzwerkzugang funktionieren.
Auf Computery finden Sie weitere Anleitungen zu Datensicherheit, Netzwerkkonfiguration und PC-Optimierung, die Ihnen helfen, Ihre IT-Umgebung Schritt für Schritt abzusichern.
Nützliche Quellen und weiterführende Links
Für die Vertiefung empfehlen sich diese Quellen:
- BSI: IT-Grundschutz und ISO 27001: Offizielle BSI-Seite zu IT-Grundschutz und Zertifizierung; Ausgangspunkt für deutsche Compliance-Anforderungen.
- NIST Cybersecurity Framework: US-amerikanischer Standard mit breiter internationaler Anerkennung; enthält Empfehlungen zu Datensicherung und Wiederherstellung.
- Veeam Blog: 3-2-1-Backup-Regel: Herstellerdokumentation mit Fokus auf moderne Erweiterungen und Ransomware-Resilienz; praxisnah und technisch detailliert.
- NovaBackup: Leitfaden für kleine Unternehmen: Verständliche Einführung in die 3-2-1-Regel mit Praxisbeispielen für KMU; enthält Verweis auf BSI-Empfehlung.
- TechTarget: 3-2-1-Backup-Strategie: Technische Basisdefinition mit Abgrenzung zu verwandten Konzepten; gut als Referenz für Fachbegriffe.
- AvePoint: Cloud-Backup vs. Sync: Erklärt den Unterschied zwischen Synchronisation und echtem Backup; wichtig für die Bewertung von Cloud-Diensten.
- Epta-IT: Unveränderliche Backups: Praxisnahe Erklärung von Immutable Backups und Object Lock; empfehlenswert für die technische Umsetzung.
