Backup nach der 3-2-1-Regel: Was sie bedeutet und wie KMU sie wirklich umsetzen

Das Wichtigste in 30 Sekunden

Die 3-2-1-Regel ist die kürzeste brauchbare Antwort auf die Frage, wie ein Backup aussehen muss, damit es im Ernstfall trägt: drei Kopien der Daten, auf zwei unterschiedlichen Speichermedien, davon eine außer Haus. Wer sein Backup nach dieser Regel aufbaut, überlebt damit die drei Ereignisse, die in der Praxis am häufigsten Daten vernichten: den Defekt eines Datenträgers, den Ausfall eines kompletten Systems und den Verlust des Standorts durch Brand, Wasser oder Einbruch.

Was die Regel nicht mitliefert, ist der Teil, an dem es in der Praxis am häufigsten klemmt: der Nachweis, dass sich aus diesen Kopien auch tatsächlich etwas zurückholen lässt. In vielen Betrieben läuft eine Sicherung seit Jahren zuverlässig durch, ohne dass je jemand versucht hätte, sie zurückzuspielen.

Dieser Artikel erklärt, was hinter jeder der drei Ziffern steckt, welche Denkfehler die Regel im Alltag aushebeln, was die neuere Erweiterung 3-2-1-1-0 ergänzt und wie ein realistischer Aufbau in einem mittelständischen Betrieb aussieht.

Was die 3-2-1-Regel beim Backup bedeutet

Die Regel stammt ursprünglich aus der Fotografie. Der amerikanische Fotograf Peter Krogh formulierte sie Mitte der 2000er Jahre in seinem Standardwerk zur digitalen Bildverwaltung, weil er ein wiederkehrendes Muster beobachtete: Kollegen verloren ihre Archive nicht durch exotische Katastrophen, sondern durch eine kaputte Festplatte, auf der zufällig alles lag. Seitdem hat die Regel den Weg in Behördenempfehlungen und Versicherungsfragebögen gefunden, unter anderem, weil sie sich in einem Satz erklären lässt.

Dahinter steckt eine simple Risikoverteilung. Jede Ziffer deckt eine andere Art von Ausfall ab.

Ziffer	Was gemeint ist	Welches Risiko sie abdeckt	Typischer Fehler in der Praxis
3 Kopien	Das Original plus zwei voneinander unabhängige Sicherungen	Ausfall eines einzelnen Datenträgers, versehentliches Löschen, defekte Datei	Die zweite Sicherung wird als “brauchen wir eigentlich nicht” gespart
2 Medien	Zwei verschiedene Speichertechniken oder Systeme, nicht zweimal dasselbe	Ein systematischer Fehler, der ein ganzes Medium oder eine ganze Bauserie trifft	Zwei Festplatten desselben Typs aus derselben Lieferung
1 außer Haus	Eine Kopie an einem anderen Ort, idealerweise nicht dauerhaft verbunden	Brand, Wasserschaden, Einbruch, Ransomware im eigenen Netz	Die “externe” Platte liegt im Nachbarraum am selben Switch

Drei Kopien klingt großzügig, bis man nachrechnet. Das Original zählt mit. Es bleiben also zwei Sicherungen, und wenn eine davon gerade wegen eines Fehlers erneuert wird oder ein Wiederherstellungsversuch scheitert, hängt alles an einer einzigen. Die zweite Sicherung ist genau dafür da: als Puffer für den Tag, an dem die erste Ärger macht.

Zwei Medien ist der Punkt, der am häufigsten missverstanden wird. Gemeint ist nicht “zwei Geräte”, sondern zwei unterschiedliche Fehlerquellen. Zwei baugleiche Festplatten aus derselben Charge altern ähnlich und fallen gern zeitnah aus; eine fehlerhafte Firmware betrifft beide gleichzeitig. Auch zwei virtuelle Maschinen auf demselben Hypervisor sind ein Medium, so sehr sie sich in der Verwaltungsoberfläche nach zwei Systemen anfühlen.

Eine Kopie außer Haus war lange als Schutz vor Feuer und Wasser gedacht. Diese Begründung gilt weiterhin, sie hat nur eine zweite bekommen: Ransomware bewegt sich durch das Netz, in dem sie gelandet ist. Alles, was von einem befallenen Rechner aus erreichbar ist, gehört ab diesem Moment zum Angriffsziel. Die Kopie außer Haus ist damit weniger eine Frage der Entfernung in Metern als eine der Erreichbarkeit.

Die vier Denkfehler, an denen gute Backups scheitern

Betriebe, die überhaupt kein Backup haben, sind selten geworden. Häufiger ist der Fall, dass eine Sicherung existiert, seit Jahren läuft und im Ernstfall trotzdem nicht hilft. Vier Muster tauchen dabei immer wieder auf.

1. Das Backup hängt im selben Netz

Der Klassiker: Eine Netzwerkfreigabe auf dem NAS, dauerhaft eingebunden, mit Schreibrechten für den Dienst, der die Sicherung schreibt. Technisch tadellos, betrieblich bequem, im Ransomware-Fall wertlos. Erpressersoftware sucht heute gezielt nach erreichbaren Freigaben, Schattenkopien und Sicherungsverzeichnissen und nimmt sie sich zuerst vor, weil ein Opfer ohne Rückweg deutlich eher zahlt. So läuft das inzwischen standardmäßig ab, Phase für Phase nachzulesen in unserem Artikel zum Cyberangriff auf Unternehmen.

Die Faustregel dazu ist unbequem, aber klar: Wenn ein Angreifer mit den Rechten eines Administrators dein Backup löschen kann, dann kann er es auch. Der Schutz liegt in der Trennung, nicht im Vertrauen darauf, dass es niemand versucht.

2. Niemand hat je zurückgespielt

Eine Sicherung, die nie getestet wurde, ist eine Vermutung mit Zeitstempel. Die Liste der Gründe, warum ein Rückspielversuch im Ernstfall scheitert, ist lang und ziemlich unspektakulär: Die Datenbank wurde im laufenden Betrieb kopiert und ist deshalb inkonsistent. Ein Verzeichnis war seit einem Serverumzug gar nicht mehr im Sicherungsauftrag. Das Archiv ist verschlüsselt und der Schlüssel liegt in einem Passwortmanager, der auf dem verschlüsselten Server lief. Die Sicherung ist vollständig, aber die Rückholung über die vorhandene Leitung dauert elf Tage.

Keiner dieser Punkte fällt beim Sichern auf. Alle fallen beim Zurückholen auf.

3. Synchronisation wird mit Sicherung verwechselt

Ein Cloud-Ordner, der Dateien zwischen Geräten abgleicht, ist ein Komfortwerkzeug. Er repliziert jede Änderung, auch die unerwünschten: gelöscht ist überall gelöscht, verschlüsselt ist überall verschlüsselt, und zwar in Sekunden. Viele Anbieter halten zwar frühere Versionen vor, oft nur 30 Tage und nicht für alle Dateitypen zuverlässig. Als alleinige Absicherung reicht das nicht.

4. Nur der letzte Stand existiert

Wenn jede Nacht die Sicherung von gestern überschrieben wird, existiert genau ein Stand. Das genügt für eine gelöschte Datei, die heute vermisst wird. Es genügt nicht für die Fälle, die im Alltag teuer werden: eine Verschlüsselung, die drei Wochen unbemerkt lief, eine fehlerhafte Buchung, die erst beim Monatsabschluss auffällt, eine schleichend defekte Datei, die seit Monaten unbrauchbar ist. Versionierung über mehrere Wochen ist der Unterschied zwischen “wir holen den Stand von vor der Verschlüsselung” und “wir haben den Schaden sauber gesichert”.

Speichermedien im Vergleich: was wofür taugt

Die Regel schreibt keine Technik vor, und das ist ihre Stärke. Trotzdem hilft ein nüchterner Blick darauf, welche Medien welche Aufgabe übernehmen können. Die folgende Einordnung beschreibt den typischen Einsatz im Mittelstand, Stand 2026.

Medium	Kosten	Offline möglich?	Widerstand gegen Ransomware	Typischer Einsatz
Externe Festplatte	sehr niedrig	ja, wenn sie nach dem Lauf abgezogen wird	hoch im abgezogenen Zustand, sonst gering	Kleinstbetriebe, zusätzliche Handkopie, Rotation über mehrere Platten
NAS im Haus	niedrig bis mittel	nein, dauerhaft im Netz	gering bis mittel, je nach Rechtetrennung und Snapshot-Funktion	Schnelle erste Wiederherstellung, kurze Rückholzeiten
Cloud-Backup	laufende Gebühr, nach Volumen	technisch nein, praktisch getrennt	mittel bis hoch, mit Unveränderbarkeit und eigenem Konto hoch	Die Kopie außer Haus, Schutz vor Standortverlust
Bandlaufwerk (LTO)	hohe Anschaffung, sehr niedrige Medienkosten	ja, das Band liegt im Schrank	sehr hoch, ein liegendes Band ist nicht erreichbar	Große Datenmengen, lange Aufbewahrung, Archiv
Objektspeicher mit Unveränderbarkeit	mittel	nein, aber schreibgeschützt	sehr hoch, gesetzte Sperrfrist gilt auch für Administratoren	Moderne Alternative zum Band, wenn kein eigener Schrank gewünscht ist

Für die meisten Betriebe mit einem oder zwei Servern ergibt sich daraus eine unspektakuläre Kombination: eine schnelle lokale Sicherung für den Alltag, dazu eine verschlüsselte Kopie bei einem Anbieter außer Haus, die unveränderbar abgelegt wird. Wer größere Datenmengen bewegt oder gesetzliche Aufbewahrungsfristen über viele Jahre erfüllen muss, findet in Bändern nach wie vor das günstigste Medium pro Terabyte.

3-2-1-1-0: die Erweiterung, die Ransomware nötig gemacht hat

Die klassische Regel entstand in einer Zeit, in der die Hauptgegner Hardwaredefekte und Missgeschicke waren. Beide sind geblieben, dazugekommen ist ein Angreifer, der aktiv nach Sicherungen sucht. Darauf antwortet die erweiterte Fassung 3-2-1-1-0:

• 3 Kopien
• 2 verschiedene Medien
• 1 Kopie außer Haus
• 1 Kopie offline oder unveränderbar
• 0 Fehler beim Wiederherstellungstest

Die zusätzliche 1 verlangt eine Kopie, an die auch jemand mit gültigen Administratorrechten nicht herankommt. Dafür gibt es zwei bewährte Wege. Der eine ist physisch: ein Band im Schrank, eine Platte im Tresor, ein Datenträger, der nach dem Lauf abgezogen wird. Diese Lücke zwischen Kopie und Netz wird Air Gap genannt, und sie ist so wirksam wie simpel. Der andere Weg ist logisch: Objektspeicher mit einer Sperrfrist, innerhalb derer eine geschriebene Datei nicht mehr verändert oder gelöscht werden kann. Der Anbieter setzt die Regel durch, unabhängig davon, welche Rechte ein Konto hat.

Die 0 ist die eigentliche Neuerung, obwohl sie technisch am wenigsten fordert. Sie verschiebt die Definition von “Backup ist erledigt”: Nicht der erfolgreiche Sicherungslauf zählt, sondern die nachweislich fehlerfreie Rückspielung. Damit rückt der Test von der Wunschliste in den Betriebsablauf, und genau dort gehört er hin.

Umsetzung im Mittelstand: ein Aufbau, der durchhält

Zwischen der Regel und dem laufenden Betrieb liegen ein paar Entscheidungen, die im Haus getroffen werden müssen. Die folgende Reihenfolge hat sich bewährt.

1. Klären, was überhaupt geschäftskritisch ist. Nicht alles verdient dieselbe Sorgfalt. Die Warenwirtschaft, die Buchhaltung, die Kundendatenbank, die Fertigungsdaten und die Postfächer stehen in einer anderen Klasse als das Archiv alter Angebotsentwürfe. Eine ehrliche Liste, sortiert nach der Frage “wie lange können wir ohne das arbeiten”, ist die Grundlage für alles Weitere. Diese Liste überschneidet sich stark mit dem Systeminventar, das auch für den Umgang mit einer IT-Sicherheitslücke unverzichtbar ist. Wer eines von beiden pflegt, hat das andere fast geschenkt.

2. Zwei Zahlen festlegen. In der Fachsprache heißen sie RPO und RTO, dahinter stecken zwei sehr alltägliche Fragen. Wie viele Stunden Arbeit dürfen im schlimmsten Fall verloren gehen? Das bestimmt, wie oft gesichert wird. Und wie lange darf es dauern, bis wieder gearbeitet werden kann? Das bestimmt, wie die Sicherung abgelegt sein muss. Ein Betrieb, der einen Tagesverlust verkraftet, aber nach vier Stunden wieder produzieren muss, braucht einen anderen Aufbau als eine Kanzlei mit umgekehrter Gewichtung. Diese beiden Zahlen sind eine Entscheidung der Geschäftsführung, keine der IT.

3. Die Ebenen bauen. Aus den beiden Zahlen ergibt sich der Rest fast von selbst. Ein üblicher Aufbau für einen Betrieb mit eigenem Server: stündliche oder tägliche Sicherung auf ein lokales System für schnelle Rückgriffe, tägliche verschlüsselte Übertragung zu einem Anbieter außer Haus, dort unveränderbar für 30 bis 90 Tage, dazu ein monatlicher Stand, der länger aufbewahrt wird. Wenn der Server bei einem Dienstleister läuft, gehört diese Kette in den Vertrag, mit klarer Angabe, was gesichert wird, wie oft, wie lange, und wer den Test verantwortet. Bei unserem Managed Hosting ist genau das Teil des Betriebs und keine Zusatzleistung, an die jemand denken muss.

4. Verschlüsseln, und den Schlüssel getrennt aufbewahren. Jede Sicherung, die das Haus verlässt, gehört verschlüsselt. Der Schlüssel darf dabei nicht ausschließlich auf den Systemen liegen, die er im Ernstfall retten soll. Ein ausgedruckter Wiederherstellungsschlüssel im Tresor wirkt altmodisch und hat schon viele Wiederanläufe gerettet.

5. Zugänge trennen. Das Konto, mit dem die Sicherung geschrieben wird, sollte nichts löschen dürfen. Der Zugang zur auswärtigen Kopie sollte andere Zugangsdaten nutzen als die Domänenverwaltung, abgesichert mit einem zweiten Faktor. Diese Trennung kostet einen Nachmittag Einrichtung und entscheidet darüber, ob ein kompromittiertes Administratorkonto die Sicherungen mitnimmt.

6. Aufschreiben, wie der Wiederanlauf abläuft. Eine Seite genügt: Wo liegen die Kopien, wer hat Zugriff, in welcher Reihenfolge werden Systeme hochgefahren, welche Telefonnummern werden gebraucht. Diese Seite gehört ausgedruckt neben den Serverschrank, denn im Ernstfall ist das Intranet der erste Ort, der nicht mehr erreichbar ist.

Wie oft testen, und was ein Test beweisen muss

Ein Wiederherstellungstest beantwortet drei Fragen: Lässt sich die Kopie öffnen? Sind die Daten inhaltlich brauchbar? Und wie lange hat es gedauert? Die dritte Frage wird gern übersehen und ist im Ernstfall die wichtigste, denn eine Rückholung, die vier Tage dauert, ist betrieblich etwas völlig anderes als eine, die vier Stunden braucht.

Testart	Rhythmus	Was geprüft wird
Automatische Laufkontrolle	täglich	Ist der Sicherungsauftrag durchgelaufen, Volumen plausibel, Fehler gemeldet?
Stichprobe	monatlich	Eine Datei, ein Postfach, eine Tabelle zurückholen und den Inhalt ansehen
Vollständige Wiederherstellung	quartalsweise	Ein komplettes System auf Ersatzhardware oder in einer Testumgebung hochziehen, Zeit stoppen
Notfallübung	jährlich	Der dokumentierte Ablauf wird durchgespielt, inklusive der Frage, wer wen anruft

Die vollständige Wiederherstellung ist der Punkt, an dem die meisten Betriebe zögern, weil sie Aufwand bedeutet. Ein Vormittag pro Quartal reicht in aller Regel aus, wenn man vorher festlegt, welches System getestet wird. Wichtig ist die Protokollierung: Datum, geprüftes System, Dauer, aufgetretene Fehler, Unterschrift. Dieses Protokoll ist auch das Dokument, nach dem eine Cyberversicherung oder ein Auditor fragt, und die Frage kommt zuverlässig.

Aufbewahrung und Versionierung: wie lange ist lange genug?

Hier laufen zwei Themen durcheinander, die getrennt gehören.

Das Backup dient dem Wiederanlauf. Es hält eine überschaubare Zeitspanne vor, in mehreren Ständen, damit man auf einen Zeitpunkt vor dem Schaden zurückgehen kann. Bewährt hat sich das Grandfather-Father-Son-Schema (GFS): tägliche Stände für zwei bis vier Wochen, wöchentliche für zwei bis drei Monate, monatliche für ein Jahr. Der Grund für die längeren Fristen ist die Erfahrung, dass Schäden verspätet auffallen. Angreifer sitzen oft Wochen im System, bevor sie zuschlagen, und eine schleichend defekte Datei fällt selten am selben Tag auf.

Das Archiv dient der Nachweispflicht. Buchhaltungsunterlagen, Rechnungen, Jahresabschlüsse und Geschäftskorrespondenz unterliegen steuerlichen und handelsrechtlichen Aufbewahrungsfristen von sechs bis zehn Jahren, mit Anforderungen an Unveränderbarkeit und Lesbarkeit. Ein rotierendes Backup erfüllt das nicht, weil es alte Stände planmäßig überschreibt. Für diese Aufgabe braucht es einen eigenen, unveränderbar abgelegten Bestand, und zwar in einem Format, das in sieben Jahren noch geöffnet werden kann.

Wer beides in einen Topf wirft, bekommt am Ende beides schlecht: ein aufgeblähtes Backup mit langen Rückholzeiten und ein Archiv, dem die Nachweisqualität fehlt.

Was die Regel nicht leistet

Der Ehrlichkeit halber gehört das auch dazu. Die 3-2-1-Regel ist eine Struktur für Kopien, mehr nicht. Sie sagt nichts darüber, ob die richtigen Daten gesichert werden, und das ist eine erstaunlich häufige Lücke: Die Fachanwendung wird gesichert, ihre Konfigurationsdateien nicht. Der Server ist im Sicherungsauftrag, die Postfächer im Cloud-Dienst nicht, weil dort ja “alles automatisch” liegt. Die virtuelle Maschine wird als Ganzes gesichert, aber die darin laufende Datenbank inkonsistent, weil sie während des Kopiervorgangs weiterschrieb.

Ebenso wenig ersetzt ein Backup die Arbeit daran, dass es gar nicht erst gebraucht wird. Aktuelle Software, minimale Rechte, getrennte Netze und ein Blick von außen auf die eigene Angriffsfläche verhindern einen großen Teil der Vorfälle, gegen die man sonst zurückspielen müsste. Was von außen erreichbar ist und wo eine einzelne Schwachstelle genügen würde, beantwortet ein Security-Audit mit konkreten Befunden statt mit Vermutungen.

Fazit: Die Regel ist der Anfang, der Test ist der Beweis

Drei Kopien, zwei Medien, eine außer Haus: Diese drei Ziffern sind in zwanzig Jahren nicht aus der Mode gekommen, weil sie ein echtes Problem sauber zerlegen. Ergänzt um eine unveränderbare Kopie und einen bestandenen Wiederherstellungstest ergeben sie ein Konzept, das den realistischen Bedrohungen des Betriebsalltags standhält, von der ausgefallenen Platte bis zur Verschlüsselung durch einen Angreifer.

Die Umsetzung ist dabei selten die eigentliche Hürde. Der Aufwand liegt im Beschließen, im Zuständigmachen und im Wiederholen: Jemand muss sagen, wie viel Datenverlust vertretbar ist, jemand muss den Test in den Kalender schreiben, und jemand muss ihn tatsächlich durchführen, auch im Quartal, in dem viel anderes ansteht. Betriebe, die nach einem Vorfall unbeschadet weiterarbeiten, haben diese unauffällige Routine meist schon Jahre vorher eingeführt, lange bevor sie gebraucht wurde.

Wenn du nach diesem Artikel nur einen Punkt mitnimmst, dann diesen: Spiel eine Sicherung zurück, bevor du sie brauchst. Alles andere an der 3-2-1-Regel ist eine Frage der Einrichtung. Nur der Test verwandelt eine Vermutung in Gewissheit.