Die 3-2-1-Backup-Regel: Datensicherung, die im Ernstfall wirklich hält

Ein zuverlässiges 3-2-1-Backup ist die Grundlage jeder ernsthaften Datensicherung im Mittelstand. Die Regel klingt zunächst technisch, folgt aber einem einfachen Gedanken: Daten sind erst dann sicher, wenn ihr Verlust an mehreren Stellen gleichzeitig unwahrscheinlich wird. Gerade in kleinen und mittleren Unternehmen mit 10 bis 100 Mitarbeitern entscheidet eine durchdachte Backup-Strategie darüber, ob ein Serverausfall, ein Ransomware-Angriff oder ein versehentliches Löschen zur kurzen Störung oder zum existenzbedrohenden Datenverlust wird.

Was die 3-2-1-Regel konkret bedeutet

Die 3-2-1-Backup-Regel lässt sich in drei klaren Zahlen zusammenfassen. Sie bilden zusammen ein Sicherheitsnetz, das einzelne Fehlerquellen zuverlässig auffängt.

• 3 Kopien Ihrer Daten: das Original im laufenden Betrieb plus mindestens zwei Sicherungen. So bleibt selbst dann eine Kopie erhalten, wenn zwei unabhängige Fehler zusammentreffen.
• 2 verschiedene Medien: die Sicherungen liegen auf zwei unterschiedlichen Speichertypen, etwa auf einem NAS und in einem Cloud-Speicher. Fällt eine Technik aus, ist die andere nicht betroffen.
• 1 externe Kopie: mindestens eine Sicherung wird außer Haus aufbewahrt, räumlich getrennt vom Firmenstandort. Ein Brand, Wasserschaden oder Einbruch trifft dann nicht alle Kopien zugleich.

Der Wert der Regel liegt in dieser bewussten Redundanz. Wer alle Sicherungen im selben Serverraum lagert, hat streng genommen kein 3-2-1-Backup, sondern nur mehrere Kopien am selben Risikoort.

Warum die klassische Regel gegen Ransomware erweitert werden muss

Die 3-2-1-Regel stammt aus einer Zeit, in der vor allem Hardwaredefekte und lokale Katastrophen das Hauptrisiko waren. Heute ist Ransomware die größere Gefahr. Moderne Schadsoftware sucht gezielt nach erreichbaren Sicherungen und verschlüsselt sie mit, bevor sie sich zeigt. Ein Backup, das dauerhaft im Netzwerk eingebunden ist, bietet dann keinen Schutz mehr.

Deshalb hat sich die Erweiterung zu einer 3-2-1-1-0-Logik etabliert: eine der Kopien sollte unveränderbar (immutable) oder offline sein, und die Wiederherstellung muss fehlerfrei funktionieren. Unveränderbare Sicherungen lassen sich für einen definierten Zeitraum weder überschreiben noch löschen, auch nicht durch ein kompromittiertes Administratorkonto. Offline-Kopien sind physisch vom Netzwerk getrennt und für Angreifer schlicht nicht erreichbar. Wie ernst diese Bedrohungslage ist, zeigt unser Beitrag zum Thema Ransomware im Mittelstand.

Backups regelmäßig testen statt blind vertrauen

Ein Backup, das nie geprüft wurde, ist im Zweifel kein Backup, sondern eine Hoffnung. In der Praxis scheitern Wiederherstellungen häufig an unbemerkten Fehlern: unvollständige Sicherungssätze, defekte Datenträger oder Sicherungsjobs, die seit Wochen stillschweigend abgebrochen sind. Wer den Ernstfall nicht geübt hat, merkt genau dann von diesen Lücken, wenn es zu spät ist.

Für eine belastbare Datensicherung empfehlen wir daher feste Routinen:

• Regelmäßige Testwiederherstellungen einzelner Dateien und ganzer Systeme, nicht nur ein Blick auf die Erfolgsmeldung.
• Überwachung der Sicherungsjobs mit aktiver Benachrichtigung bei Fehlern.
• Dokumentierte Wiederanlaufzeiten, damit klar ist, wie lange eine vollständige Wiederherstellung tatsächlich dauert.
• Prüfung, ob wirklich alle geschäftskritischen Daten und Systeme erfasst sind.

Wer diese Aufgaben nicht dauerhaft intern abbilden kann, ist mit einem Managed Backup gut beraten. Dabei übernimmt ein IT-Dienstleister Einrichtung, Überwachung und regelmäßige Tests der Sicherungen, sodass die Verantwortung nicht an einer einzelnen Person im Unternehmen hängt.

Microsoft 365 braucht ein eigenes Backup

Ein weit verbreiteter Irrtum betrifft die Cloud. Viele Unternehmen gehen davon aus, dass Daten in Microsoft 365 automatisch gesichert sind. Microsoft sorgt zwar für die Verfügbarkeit der Infrastruktur, ist aber nach dem Prinzip der geteilten Verantwortung nicht für die Sicherung Ihrer Inhalte zuständig. Versehentlich gelöschte E-Mails, überschriebene Dokumente oder durch einen Angriff verschlüsselte Postfächer sind nach Ablauf kurzer Aufbewahrungsfristen unwiederbringlich verloren.

Damit gilt die 3-2-1-Backup-Regel ausdrücklich auch für Cloud-Dienste. Exchange Online, SharePoint, OneDrive und Teams gehören in eine eigenständige, unabhängige Sicherung. Wie das konkret aussieht, erläutern wir im Beitrag zum Microsoft 365 Backup.

Häufige Fragen

Reicht ein tägliches Backup auf ein NAS aus?

Ein NAS ist ein guter Baustein, erfüllt allein aber nicht die 3-2-1-Regel. Es fehlt die externe, räumlich getrennte Kopie und in der Regel auch der Schutz vor Ransomware. Sinnvoll ist die Kombination aus lokaler Sicherung für schnelle Wiederherstellung und einer zusätzlichen externen oder unveränderbaren Kopie.

Wie oft sollte ein Backup wiederhergestellt und getestet werden?

Als Richtwert sollten geschäftskritische Systeme mindestens vierteljährlich testweise wiederhergestellt werden, wichtige Dateien möglichst häufiger. Entscheidend ist, den Test fest einzuplanen und zu dokumentieren, statt ihn erst im Ernstfall durchzuführen.

Ist ein 3-2-1-Backup auch für kleine Unternehmen mit wenigen Mitarbeitern sinnvoll?

Ja. Der Aufwand skaliert mit der Datenmenge, das Prinzip bleibt gleich. Gerade kleinere Unternehmen ohne eigene IT-Abteilung profitieren von einer klaren, automatisierten Sicherungsstrategie, weil ein Datenverlust hier oft besonders schwer aufzufangen ist.

Sie möchten wissen, ob Ihre aktuelle Datensicherung im Ernstfall wirklich hält? In einem kostenlosen IT-Sicherheitscheck prüfen wir Ihre Backup-Strategie und zeigen konkrete Verbesserungen auf.