Backup-3-2-1-Regel erklärt: So schützen KMU ihre Daten wirklich
Definition
Die 3-2-1-Regel schreibt vor, Daten in mindestens drei Kopien vorzuhalten: das Original plus zwei Backups. Diese Kopien müssen auf zwei unterschiedlichen Medientypen ruhen – etwa eine lokale NAS und ein Cloud-Objektspeicher oder ein Bandlaufwerk und eine Wechselfestplatte. Eine der Kopien liegt räumlich getrennt offsite, also in einem zweiten Brandabschnitt, einem Rechenzentrum oder der Cloud. Ziel ist es, Single Points of Failure in der Backup-Infrastruktur auszuschließen.
Formuliert hat die Regel der Fotograf Peter Krogh im Jahr 2009. Er suchte eine technologieneutrale Faustformel, die gegen Hardwaredefekte, Bedienfehler, Feuer, Diebstahl und später auch gegen Ransomware schützt. Da keine bestimmte Hard- oder Software vorgeschrieben ist, lässt sich das Schema auf NAS, Band, Cloud, RDX-Wechseldatenträger oder Object Storage mit Immutability anwenden.
Die klassische Definition findet sich beispielsweise bei UCAR Solutions und wird im Computer-Weekly-Glossar herstellerneutral erläutert. Beide Quellen betonen, dass der Medienbruch – also unterschiedliche Speichertechnologien – korrelierte Ausfallrisiken wie Chargendefekte oder Firmware-Bugs bricht. Wer zwei Backups auf baugleichen Festplatten hält, verletzt den Kern der Regel.
Wie funktioniert die 3-2-1-Regel?
Die Regel gliedert sich in fünf aufeinander aufbauende Schritte. Erstens legen Sie das Original – also die Produktionsdaten – an und erzeugen zwei unabhängige Backup-Kopien. Typische Wege: ein lokaler NAS per Backup-Software und ein Cloud-Agent, der in einen Object Store schreibt. Zweitens wählen Sie zwei technologisch unterschiedliche Medientypen. Eine Festplatte (NAS oder USB) kombiniert mit Magnetband (LTO) oder Cloud-Object-Storage (S3) bricht gemeinsame Ausfallrisiken wie Chargendefekte oder Firmware-Bugs. Drittens lagern Sie eine Kopie physisch oder logisch offsite: in einem zweiten Brandabschnitt, einem externen Rechenzentrum oder per Cloud in einer anderen Verfügbarkeitszone. IONOS beschreibt diese Offsite-Varianten praxisnah.
Viertens automatisieren Sie den Backup-Job, verschlüsseln die Daten bereits clientseitig mit AES-256 und prüfen täglich die Job-Logs auf Fehler. Fünftens führen Sie quartalsweise einen vollständigen Restore-Test durch und dokumentieren das Ergebnis als RTO- und RPO-Nachweis. Biteno fasst die Schritte kompakt zusammen. Wer diese Kette konsequent durchzieht, reduziert das Risiko, dass ein einzelner Ausfall – sei es Hardwaredefekt, Ransomware oder Bedienfehler – alle Kopien gleichzeitig unbrauchbar macht.
Erweiterung zur 3-2-1-1-0-Regel
Die klassische 3-2-1-Regel genügt 2026 nicht mehr. Moderne Ransomware durchsucht Netzwerke systematisch nach angeschlossenen Backups – NAS-Snapshots, Cloud-Sync-Ziele und Shadow Copies verschlüsselt oder löscht sie gezielt. Eine bloße Offsite-Kopie im selben Zugriffsbereich bietet keinen Schutz mehr, solange sie online erreichbar bleibt.
Die Erweiterung 3-2-1-1-0 schließt diese Lücke. Das zusätzliche +1 fordert eine immutable oder physisch getrennte Kopie, die technisch nicht veränderbar ist. Realisiert wird das durch S3 Object Lock (WORM) in Object-Storages wie Wasabi oder Backblaze B2, durch air-gapped Bandlaufwerke, durch RDX-Wechslermedien im Safe oder durch dedizierte Hardware-Immutability-Appliances. Die Null (+0) steht für null Fehler bei regelmäßigen, automatisierten Restore-Tests – beispielsweise mit Veeam SureBackup oder Commvault Metallic. Damit wird die Wiederherstellbarkeit kontinuierlich nachgewiesen, nicht nur angenommen.
Hersteller wie Veeam, Acronis und Commvault sowie Fachmedien propagieren diesen Standard als neue Baseline für Cyber-Resilienz. Regulatorische Vorgaben wie NIS-2 und DORA machen nachweisbare Backup- und Restore-Prozesse zur Pflicht. Ohne unveränderbare Kopie und validierten Restore bleibt jede Strategie ein theoretisches Konstrukt, das im Ernstfall versagt.
Medienbruch: Warum unterschiedliche Speichermedien entscheidend sind
Zwei Backups auf demselben Medientyp teilen korrelierte Ausfallrisiken. Identische USB-Festplatten derselben Charge, zwei NAS-Geräte gleichen Modells oder ein RAID-Verbund mit baugleichen Laufwerken fallen oft gemeinsam aus — durch Chargendefekte, Firmware-Bugs, alterungsbedingte Verschleißerscheinungen oder ein Brandereignis, das beide Datenträger gleichzeitig vernichtet. Ein echter Medienbruch durchbricht diese Korrelation, indem er technologisch unterschiedliche Speicherprinzipien kombiniert.
Bewährt hat sich die Paarung lokaler, festplattenbasierter Systeme — NAS, Server, wechselnde USB- oder RDX-Laufwerke — mit Cloud-Object-Storage. Anbieter wie Wasabi, Backblaze B2, AWS S3 Glacier oder Azure Immutable Blob bieten S3 Object Lock als kostengünstige, unveränderbare Alternative zum eigenen Bandlaufwerk. Magnetband (LTO-9) bleibt für größte Datenmengen und langfristige Archivierung relevant, erfordert aber eigene Hardware und Betriebskompetenz.
Die Diversifikation der Technologie-Stacks ist der wirksamste Hebel gegen gemeinsame Schadensszenarien: Dateisystem gegenüber Object Store, Online-Betrieb gegenüber Offline-/Air-Gap-Kopie, Eigenbetrieb gegenüber Managed Service. Ransomware, die aktiv angeschlossene Backups und Shadow Copies verschlüsselt, scheitert an einer immutable Offsite-Kopie, die technologisch und organisatorisch getrennt ist. Wer Medientypen mischt, zwingt Angreifer und Hardwarefehler, gleich mehrere Barrieren zu überwinden — statt eine einzige Schwachstelle auszunutzen.
SaaS-Daten selbst sichern: Microsoft 365 & Co.
Ein verbreiteter Irrtum gefährdet KMU-Daten: Microsoft 365, Google Workspace oder Salesforce sichern Kundendaten nicht automatisch langfristig. Die Anbieter garantieren lediglich Infrastruktur-Resilienz – also Hochverfügbarkeit der Plattform. Backup-Retention bei Nutzerfehlern, böswilligem Löschen oder Ransomware in der SaaS-Umgebung fällt nicht in ihren Verantwortungsbereich. Das Shared-Responsibility-Modell legt die Datensicherung eindeutig in die Hände des Kunden.
KMU müssen Postfächer, OneDrive, SharePoint und Teams explizit in die 3-2-1-1-0-Strategie einbinden. Dedizierte SaaS-Backup-Lösungen wie Veeam Backup for Microsoft 365, AvePoint, Keepit oder Dropsuite replizieren die Daten in einen eigenen, unveränderlichen Cloud-Object-Store. Ohne eigenes SaaS-Backup droht nach Ablauf der kurzen Papierkorb-Frist – standardmäßig 30 bis 93 Tage – dauerhafter Datenverlust. Eine aktuelle Analyse zeigt, dass viele Unternehmen diese Lücke unterschätzen. Der Ursprung der 3-2-1-Regel betont bereits, dass externe, unveränderliche Kopien essenziell sind – auch für Cloud-Daten.
Backup versus Archivierung: Zwei unterschiedliche Schutzziele
Backup und Archivierung verfolgen grundlegend verschiedene Ziele. Ein Backup dient der schnellen operationellen Wiederherstellung nach Störungen – die Kennzahlen RTO und RPO bestimmen den Takt. Aktualität und Speed stehen im Vordergrund. Daten liegen dedupliziert, komprimiert und oft in herstellerspezifischen Formaten vor.
Archivierung hingegen erfüllt gesetzliche Aufbewahrungspflichten nach GoBD, Abgabenordnung, DSGVO und branchenspezifischen Regularien. Sie verlangt revisionssichere, unveränderbare Langzeitspeicherung über sechs bis zehn Jahre und länger. Die Daten bleiben im Originalformat – etwa PDF/A oder E-Mail nach RFC 822 – angereichert mit Metadaten und Suchindex.
Beide Disziplinen erfordern getrennte Speicherziele, eigene Retention-Policies und abgestufte Zugriffsrechte. Wer ein Backup als Archiv missbraucht, riskiert Compliance-Verstöße durch fehlende Unveränderbarkeit und unzureichende Nachweisbarkeit. Umgekehrt scheitert ein Archiv als Backup an den geforderten RTO- und RPO-Werten – die Wiederherstellung dauert schlicht zu lange. Eine saubere Trennung beider Welten ist daher keine Option, sondern Pflicht.
Praktische Umsetzung: Schritt-für-Schritt für KMU
Beginnen Sie mit einer Datenklassifizierung. Ermitteln Sie Kronejuwelen – ERP, CRM, Finanzbuchhaltung, Konstruktionsdaten, E-Mail-Systeme – die hohe RPO- und RTO-Ansprüche stellen. Nur wer den Wert kennt, schützt passgenau.
Wählen Sie Medientypen mit echtem Medienbruch. Lokal eignet sich ein NAS oder Backup-Server, ergänzt durch wöchentlich rotierende USB-Festplatten oder RDX-Kartuschen; eine Kopie verbleibt offline im Tresor. Extern bieten Cloud-Object-Storages mit S3 Object Lock (Immutability 30 bis 90 Tage) oder Managed-Backup-Services mit Air-Gap-Option räumliche Trennung und Unveränderbarkeit.
Konfigurieren Sie Backup-Jobs deterministisch: täglich inkrementell, wöchentlich voll. Verschlüsseln Sie clientseitig mit AES-256 und eigenem Key-Management – der Anbieter darf keinen Zugriff auf den Schlüssel haben.
Implementieren Sie Monitoring mit Alerting über E-Mail, Teams oder Syslog. Warnhinweise bei Job-Fehlern, Kapazitätsgrenzen und fehlenden Immutable-Flags müssen sofort bei der verantwortlichen Person landen.
Planen Sie vierteljährliche Restore-Tests: zufällige Dateien, komplette VMs, Datenbank-Point-in-Time-Recovery, SaaS-Postfächer. Dokumentieren Sie Dauer, Vollständigkeit und zuständige Person. Ein Nachweis funktionierender Wiederherstellung wird zunehmend von Cyber-Versicherern und Auditoren gefordert.
Integrieren Sie die Ergebnisse in den IT-Sicherheitsbericht für Geschäftsführung und Versicherer. So wird Backup vom Operativen zum Governance-Thema. Ein strukturierter Leitfaden hilft, die Schritte verbindlich im Betrieb zu verankern.
Häufige Umsetzungsfehler und Gegenmaßnahmen
Viele KMU glauben, ein einzelner Backup-Job auf dem lokalen NAS reiche aus. Fehler 1: Keine Redundanz. Fällt das NAS aus, sind Daten weg. Gegenmaßnahme: Zwei unabhängige Backup-Jobs auf unterschiedliche Ziele – etwa NAS und Cloud.
Fehler 2: Beide Kopien liegen im selben Brandabschnitt oder Netzwerksegment. Ein Feuer oder ein lateral bewegender Angreifer vernichtet alles. Gegenmaßnahme: Echte Offsite-Kopie in der Cloud, in einem zweiten Gebäude oder per Band offsite lagern. Der Schweizer Anbieter Cloudpartner betont, dass räumliche Trennung nicht verhandelbar ist.
Fehler 3: Fehlende Immutable-Kopie. Ransomware verschlüsselt NAS und Cloud-Sync simultan. Gegenmaßnahme: S3 Object Lock, WORM-Band oder Air-Gap-Wechselmedien nutzen.
Fehler 4: Backup unverschlüsselt oder Key liegt auf demselben Server. Gegenmaßnahme: Clientseitige Verschlüsselung mit externem Key-Management – HSM oder Password-Manager.
Fehler 5: Restore nie getestet. Der Job läuft „grün“, doch VHDX ist korrupt, Treiber fehlen, Zertifikate abgelaufen. Gegenmaßnahme: Automatisierte Restore-Tests via SureBackup oder Metallic, ergänzt durch quartalsweise manuelle Fire-Drills.
Fehler 6: SaaS-Daten (M365) bleiben ungesichert. Microsoft sichert Infrastruktur, nicht Nutzerdaten. Gegenmaßnahme: Dediziertes SaaS-Backup in eigene Immutable-Cloud. Auch giar.digital warnt vor diesem blinden Fleck.
Fehler 7: Keine Dokumentation. Im Ernstfall herrscht Panik. Gegenmaßnahme: Einseitiges Runbook pro kritischem System – Zugänge, Mount-Pfade, Reihenfolge, Ansprechpartner. Netaccess empfiehlt, diese Blätter physisch griffbereit zu halten.
Regulatorische Anforderungen: NIS-2, GoBD, DSGVO
Die EU-Richtlinie NIS-2 verpflichtet seit ihrer nationalen Umsetzung 2024 wesentliche und wichtige Einrichtungen zu angemessenen Maßnahmen für die Sicherheit von Netz- und Informationssystemen. Dazu zählen nachweisbare Backup- und Restore-Prozesse. Für den Finanzsektor fordert DORA (Digital Operational Resilience Act) regelmäßig getestete Wiederherstellungsverfahren. Die GoBD und die Abgabenordnung schreiben revisionssichere, unveränderbare Aufbewahrung steuerrelevanter Daten über zehn Jahre vor. Artikel 32 DSGVO verlangt die „Wiederherstellung der Verfügbarkeit und des Zugangs zu personenbezogenen Daten bei einem körperlichen oder technischen Zwischenfall zeitnah“.
Auditoren interpretieren die 3-2-1-1-0-Regel zunehmend als Compliance-Baseline – etwa im Rahmen von ISO 27001, TISAX oder dem BSI-Grundschutz (Bausteine SYS.1.2.3, ORP.4). Fehlende Restore-Test-Nachweise führen bei Zertifizierungsaudits zu Abweichungen (Major/Minor Findings) und können den Versicherungsschutz in Cyber-Policen gefährden. Die Dokumentation der Tests – Datum, Scope, Dauer, Ergebnis, Unterschrift – ist somit Pflicht, nicht Kür. Ein praxisnaher Leitfaden zur Umsetzung für KMU liefert ManagedIT, während Swiss IT Management die regulatorische Einbettung der Strategie beleuchtet.
Beispiele aus der Praxis
Ein 50-köpfiger Maschinenbauer sichert CAD-Daten, ERP und E-Mail lokal per Veeam Backup & Replication auf NAS. Wöchentlich wandert ein RDX-Medium in den Tresor – offline und unveränderbar. Extern läuft Veeam Cloud Connect zu einem Managed Service Provider mit Wasabi S3 Object Lock (30 Tage Immutability). Microsoft 365 landet per Veeam Backup for Microsoft 365 im selben Wasabi-Bucket. Quartalsweise prüft das Team zufällige SolidWorks-Dateien, die komplette SQL-Datenbank und das Postfach der Geschäftsführung.
Eine 12-Personen-Steuerkanzlei setzt auf NovaBACKUP mit täglich rotierenden USB-Wechselfestplatten, davon eine dauerhaft offline. Die externe Ebene übernimmt Acronis Cyber Protect Cloud mit aktivierter Immutability im Acronis Cloud Storage. Für Microsoft 365 kommt Keepit mit eigenem immutable Store zum Einsatz. Monatlicher Test: Wiederherstellung der DATEV-Datenbank und eines Mandanten-Dokuments aus dem Archiv.
Ein 200-köpfiger Logistiker nutzt Commvault Metallic auf HyperScale X Appliance (Snapshots plus Dedupe). Die Cloud-Ebene stellt Commvault Metallic Cloud mit Air-Gap Vault und siebentägiger Immutability. SaaS-Schutz liefert AvePoint Cloud Backup für M365 und Teams. Automatisierte tägliche SureBackup-Tests und ein monatlicher Full-DR-Test im isolierten VLAN runden das Konzept ab. Weitere Details zur Einordnung finden sich bei Hainke.