Eine durchdachte Backup-Strategie ist die letzte Verteidigungslinie, wenn alles andere versagt. Ransomware verschlüsselt Server, eine Festplatte fällt aus, ein Mitarbeiter löscht versehentlich einen ganzen Projektordner. In all diesen Fällen entscheidet nur eines darüber, wie schnell dein Unternehmen wieder arbeitsfähig ist: ob es eine funktionierende Sicherung gibt.
Viele Unternehmen sichern zwar Daten, aber nicht systematisch. Das Backup liegt auf einem Netzlaufwerk im selben Raum wie der Server, wird nie getestet und ist für Angreifer genauso erreichbar wie die Originaldaten. Im Ernstfall zeigt sich dann, dass die Sicherung unvollständig, veraltet oder ebenfalls verschlüsselt ist.
Die 3-2-1-1-0-Regel bietet einen einfachen, bewährten Rahmen, um solche Lücken zu schließen. Dieser Ratgeber erklärt dir jede Ziffer und zeigt, wie du die Regel auch mit begrenztem Budget umsetzt.
Inhaltsverzeichnis
Was ist die 3-2-1-1-0-Regel für die Backup-Strategie?
Die 3-2-1-1-0-Regel ist ein Leitprinzip für eine robuste Backup-Strategie: Du hältst drei Kopien deiner Daten vor, auf zwei unterschiedlichen Speichermedien. Eine Kopie liegt an einem externen Standort, eine weitere ist offline oder unveränderbar gespeichert. Die Null steht für null Fehler bei der regelmäßigen Überprüfung der Wiederherstellung.
Die Regel ist eine Weiterentwicklung der klassischen 3-2-1-Regel, die seit vielen Jahren als Grundregel der Datensicherung gilt. Die beiden zusätzlichen Ziffern reagieren auf eine veränderte Bedrohungslage. Moderne Ransomware sucht gezielt nach erreichbaren Sicherungen, um sie vor der Verschlüsselung der Produktivsysteme zu löschen oder ebenfalls zu verschlüsseln.
Wichtig: Die Regel ist kein Gesetz und keine Norm, sondern eine Faustregel. Sie hilft dir, typische Schwachstellen zu vermeiden. Wie du sie konkret umsetzt, hängt von Datenmenge, Budget und Risikobereitschaft ab.
Die fünf Ziffern der Backup-Strategie im Detail
Jede Ziffer adressiert ein bestimmtes Risiko. Erst zusammen ergeben sie eine Backup-Strategie, die auch schwere Vorfälle übersteht.
3 Kopien: Original plus zwei Sicherungen
Neben den Produktivdaten existieren mindestens zwei weitere Kopien. Fällt eine Sicherung aus oder ist beschädigt, bleibt immer noch eine zweite. Die Wahrscheinlichkeit, dass alle drei Kopien gleichzeitig unbrauchbar werden, sinkt deutlich, solange sie unabhängig voneinander gespeichert sind.
2 unterschiedliche Medien
Die Kopien sollten auf mindestens zwei verschiedenen Speichertypen liegen, etwa auf einem Netzwerkspeicher und auf Band, oder auf lokalen Festplatten und in einem Cloud-Speicher. So schützt du dich vor Fehlern, die einen bestimmten Medientyp oder ein bestimmtes System betreffen, zum Beispiel einer fehlerhaften Firmware-Version.
Genauso wichtig wie der Medientyp ist die logische Trennung. Zwei Kopien auf unterschiedlichen Geräten nützen wenig, wenn beide mit denselben Zugangsdaten verwaltet werden. Ein Angreifer, der diese Zugangsdaten erbeutet, erreicht dann beide Sicherungen gleichzeitig. Achte deshalb auf getrennte Konten und, wo möglich, getrennte Verwaltungsoberflächen.
1 Kopie außer Haus
Mindestens eine Sicherung liegt an einem anderen Standort. Brand, Wasserschaden oder Einbruch zerstören sonst Original und Backup gleichzeitig. Der externe Standort kann ein zweites Büro, ein Rechenzentrum oder ein Cloud-Speicher sein.
1 Kopie offline oder unveränderbar
Diese Ziffer ist der wichtigste Schutz gegen Ransomware. Eine Kopie muss entweder physisch vom Netz getrennt sein, man spricht von einem Air Gap, oder sie muss technisch unveränderbar gespeichert sein. Unveränderbar bedeutet, dass Daten für einen definierten Zeitraum weder gelöscht noch überschrieben werden können, auch nicht mit Administratorrechten.
Viele Cloud-Speicher und moderne Backup-Systeme bieten dafür Funktionen wie Objektsperren oder Write-Once-Read-Many-Speicher. Klassische Lösungen sind Bänder oder externe Festplatten, die nach der Sicherung abgezogen und sicher verwahrt werden.
0 Fehler bei der Wiederherstellung
Ein Backup ist nur so gut wie seine Wiederherstellung. Die Null fordert, dass Sicherungen regelmäßig geprüft werden und dabei keine Fehler auftreten. Dazu gehören automatische Integritätsprüfungen und echte Wiederherstellungstests, bei denen du Daten tatsächlich zurückspielst und auf Vollständigkeit kontrollierst.
Warum eine Backup-Strategie heute unverzichtbar ist
Datenverlust ist kein theoretisches Risiko. Hardware fällt aus, Software hat Fehler, Menschen machen Fehler. Hinzu kommt die professionalisierte Cyberkriminalität, die gezielt Unternehmen erpresst. Eine belastbare Backup-Strategie ist deshalb ein zentraler Bestandteil der Informationssicherheit und wird auch vom Bundesamt für Sicherheit in der Informationstechnik als Basismaßnahme empfohlen.
Auch rechtlich spielt Datensicherung eine Rolle. Die DSGVO verlangt angemessene technische Maßnahmen, um die Verfügbarkeit personenbezogener Daten nach einem Zwischenfall rasch wiederherzustellen. Für steuerlich relevante Unterlagen gelten zudem Aufbewahrungspflichten. Kläre die konkreten Anforderungen für dein Unternehmen mit deiner Steuer- und Rechtsberatung.
Nicht zuletzt fragen Cyberversicherer und Geschäftspartner zunehmend nach dem Sicherungskonzept. Eine dokumentierte Backup-Strategie mit regelmäßigen Tests kann deine Position in solchen Gesprächen stärken.
RPO und RTO: Die Anforderungen klären
Bevor du Technik auswählst, beantwortest du zwei Fragen. Sie bestimmen, wie oft du sicherst und wie schnell die Wiederherstellung funktionieren muss.
- Recovery Point Objective (RPO): Wie viel Datenverlust ist maximal akzeptabel? Bei einem RPO von 24 Stunden reicht eine tägliche Sicherung, bei einem RPO von einer Stunde brauchst du stündliche Sicherungen oder eine Replikation.
- Recovery Time Objective (RTO): Wie lange darf ein System maximal ausfallen? Ein kurzes RTO erfordert schnelle Medien, vorbereitete Ersatzsysteme und eingeübte Abläufe.
Lege RPO und RTO nicht pauschal fest, sondern pro System. Die Warenwirtschaft oder das ERP-System braucht meist strengere Werte als ein Archiv mit abgeschlossenen Projekten. Diese Priorisierung hilft dir, Budget gezielt dort einzusetzen, wo ein Ausfall am teuersten wäre.
Beispielrechnung: Wenn ein Ausfall der Auftragsabwicklung pro Stunde einen spürbaren Umsatzverlust verursacht, lohnt sich eine schnellere Wiederherstellungslösung eher als für ein selten genutztes Archiv. Setze für deine Kalkulation die eigenen Zahlen ein.
Backup-Strategie in 6 Schritten umsetzen
Mit einem klaren Vorgehen setzt du die 3-2-1-1-0-Regel auch in kleinen Teams um. Die folgenden Schritte bauen aufeinander auf.
- Daten und Systeme erfassen: Liste alle Server, Datenbanken, Cloud-Dienste und Endgeräte auf, deren Daten gesichert werden müssen. Vergiss Software-as-a-Service-Anwendungen nicht.
- Prioritäten festlegen: Bestimme für jedes System RPO und RTO und ordne es einer Schutzklasse zu.
- Architektur entwerfen: Lege fest, wo die drei Kopien liegen, welche zwei Medientypen du nutzt, wo der externe Standort ist und wie die Offline- oder unveränderbare Kopie entsteht.
- Technik auswählen und einrichten: Wähle Backup-Software und Speicherziele, richte Zeitpläne, Verschlüsselung und Aufbewahrungsfristen ein.
- Zugänge absichern: Trenne Backup-Administration von der normalen Domänenverwaltung und schütze sie mit Mehr-Faktor-Authentifizierung.
- Testen und dokumentieren: Plane regelmäßige Wiederherstellungstests und halte Ergebnisse, Verantwortliche und Abläufe schriftlich fest.
Endgeräte und mobiles Arbeiten
Mit hybrider Arbeit liegen wichtige Daten nicht mehr nur auf zentralen Servern. Notebooks im Homeoffice, Smartphones und lokale Ordner enthalten oft Entwürfe, Notizen und Dateien, die nirgendwo sonst existieren. Eine Backup-Strategie sollte deshalb klären, wie diese Daten erfasst werden.
Der einfachste Weg ist eine klare Regel: Geschäftsdaten werden in zentralen, gesicherten Ablagen gespeichert, nicht lokal. Ergänzend können Endpoint-Backups lokale Ordner automatisch sichern, sobald das Gerät mit dem Internet verbunden ist.
Ein Beispiel für eine schlanke Umsetzung
Für ein kleines Unternehmen kann eine Umsetzung so aussehen: Die Produktivdaten liegen auf dem Server. Eine erste Sicherung läuft jede Nacht auf einen lokalen Backup-Speicher, der schnelle Wiederherstellungen ermöglicht. Eine zweite Kopie wird verschlüsselt in einen Cloud-Speicher mit aktivierter Unveränderbarkeit übertragen.
Damit sind drei Kopien, zwei Medientypen, ein externer Standort und eine unveränderbare Kopie abgedeckt. Fehlt nur noch die Null: ein monatlicher Test, bei dem ausgewählte Dateien und einmal im Quartal ein komplettes System zurückgespielt werden.
Behalte bei Cloud-Speichern die laufenden Kosten im Blick. Aufbewahrungsfristen, Speicherklassen und Abrufgebühren beeinflussen die Rechnung erheblich. Hinweise dazu findest du in unserem Ratgeber Cloud-Kosten senken mit 12 Hebeln.
Die Backup-Strategie gegen Ransomware absichern
Angreifer kennen die gängigen Backup-Lösungen. Sie versuchen, Zugangsdaten zur Backup-Verwaltung zu stehlen, Aufbewahrungsfristen zu verkürzen oder Sicherungen zu löschen, bevor sie zuschlagen. Deine Backup-Strategie muss deshalb selbst gut geschützt sein.
- Eigene Konten für die Backup-Verwaltung, die nicht Teil der normalen Benutzerverwaltung sind.
- Mehr-Faktor-Authentifizierung für alle administrativen Zugänge zum Backup-System.
- Unveränderbare Aufbewahrung, die sich auch mit Administratorrechten nicht vorzeitig aufheben lässt.
- Überwachung und Alarme bei ungewöhnlichen Löschungen oder Konfigurationsänderungen.
- Verschlüsselung der Sicherungen, damit gestohlene Kopien nicht lesbar sind.
Datensicherung ist ein Baustein eines umfassenderen Sicherheitskonzepts. Wie du die übrigen Grundlagen in kurzer Zeit aufbaust, beschreibt unser Ratgeber Cybersecurity für KMU: Grundschutz in 30 Tagen.
Cloud-Anwendungen nicht vergessen
Viele Unternehmen gehen davon aus, dass Daten in Software-as-a-Service-Anwendungen automatisch gesichert sind. Die Anbieter sorgen zwar für die Verfügbarkeit ihrer Plattform, die Verantwortung für versehentlich gelöschte oder manipulierte Inhalte liegt aber häufig beim Kunden. Prüfe die Vertragsbedingungen und ergänze bei Bedarf eine eigene Sicherung für E-Mail, Dateiablage und Kollaborationstools.
Aufbewahrung, Versionen und Löschfristen
Eine Backup-Strategie beantwortet nicht nur die Frage, wo Kopien liegen, sondern auch, wie lange sie aufbewahrt werden. Viele Angriffe bleiben über Tage oder Wochen unentdeckt. Wenn deine ältesten Sicherungen nur wenige Tage zurückreichen, enthalten womöglich alle bereits manipulierte oder verschlüsselte Daten.
Bewährt hat sich ein gestaffeltes Modell mit mehreren Generationen, häufig als Großvater-Vater-Sohn-Prinzip bezeichnet.
- Tägliche Sicherungen, die einige Wochen aufbewahrt werden.
- Wöchentliche Sicherungen, die mehrere Monate verfügbar bleiben.
- Monatliche oder jährliche Sicherungen für langfristige Anforderungen.
Gleichzeitig musst du Löschpflichten beachten. Die DSGVO verlangt, personenbezogene Daten nicht länger als nötig zu speichern. Das gilt grundsätzlich auch für Sicherungen. Lege deshalb in Abstimmung mit deiner Datenschutzberatung fest, wie lange welche Daten in Backups verbleiben und wie Löschanfragen behandelt werden.
Testen, dokumentieren, verbessern
Die Null der Regel ist der Teil, der in der Praxis am häufigsten vernachlässigt wird. Dabei zeigen erst Tests, ob deine Backup-Strategie im Ernstfall funktioniert. Plane sie fest im Kalender ein und weise klare Verantwortliche zu.
Unterscheide zwischen verschiedenen Testarten. Automatische Prüfsummen erkennen beschädigte Dateien. Stichprobenartige Wiederherstellungen einzelner Dateien zeigen, ob der Alltag funktioniert. Vollständige Wiederherstellungen ganzer Systeme in einer isolierten Umgebung zeigen, ob dein RTO realistisch ist.
Benenne für die Backup-Strategie eine verantwortliche Person und eine Vertretung. Sie überwachen die täglichen Berichte der Backup-Software, reagieren auf Fehlermeldungen und organisieren die Tests. Ohne diese klare Zuständigkeit bleiben Warnungen oft wochenlang unbeachtet.
Dokumentiere das Ergebnis jedes Tests und die benötigte Zeit. Halte außerdem einen Wiederherstellungsplan bereit, der beschreibt, in welcher Reihenfolge Systeme zurückgespielt werden und wer welche Aufgabe übernimmt. Bewahre ihn auch in Papierform auf, denn im Ernstfall ist das Netzwerk womöglich nicht erreichbar.
Fazit: Eine gute Backup-Strategie ist einfach und getestet
Die 3-2-1-1-0-Regel macht eine Backup-Strategie greifbar: drei Kopien, zwei Medien, eine extern, eine offline oder unveränderbar, null Fehler bei der Prüfung. Diese Struktur schützt vor Hardwaredefekten, menschlichen Fehlern, Katastrophen und Ransomware gleichermaßen.
Entscheidend ist nicht die teuerste Technik, sondern die konsequente Umsetzung. Kläre RPO und RTO für deine wichtigsten Systeme, sichere die Backup-Verwaltung ab und teste regelmäßig. Erst ein erfolgreicher Wiederherstellungstest macht aus einer Sicherung ein echtes Sicherheitsnetz.
Starte mit einer ehrlichen Bestandsaufnahme: Welche Kopien existieren heute, wo liegen sie und wann wurde zuletzt eine Wiederherstellung getestet? Die Antworten zeigen dir, welche Ziffer deiner Backup-Strategie noch fehlt.
Häufige Fragen zu Backup-Strategie
Was ist der Unterschied zwischen der 3-2-1-Regel und der 3-2-1-1-0-Regel?
Die klassische 3-2-1-Regel fordert drei Kopien auf zwei Medientypen, davon eine außer Haus. Die 3-2-1-1-0-Regel ergänzt eine Kopie, die offline oder unveränderbar gespeichert ist, um Ransomware-Angriffen standzuhalten. Die abschließende Null verlangt, dass Sicherungen regelmäßig geprüft werden und Wiederherstellungstests ohne Fehler verlaufen.
Wie oft sollte ich meine Backup-Strategie testen?
Eine feste Vorgabe gibt es nicht, doch regelmäßige Tests sind entscheidend. Bewährt haben sich automatische Integritätsprüfungen nach jeder Sicherung, monatliche Stichproben mit einzelnen Dateien und mindestens jährlich, besser quartalsweise, die vollständige Wiederherstellung wichtiger Systeme. Kritische Systeme mit kurzem RTO solltest du häufiger testen als weniger wichtige Daten.
Welche Medien eignen sich für eine Offline-Kopie?
Klassisch eignen sich Bänder und externe Festplatten, die nach der Sicherung vom Netz getrennt und sicher verwahrt werden. Alternativ bieten viele Cloud-Speicher und Backup-Appliances unveränderbare Speicherbereiche, in denen Daten für eine festgelegte Zeit nicht gelöscht werden können. Wichtig ist, dass Angreifer mit gestohlenen Zugangsdaten diese Kopie nicht verändern können.
Warum reicht eine Synchronisation in die Cloud nicht als Backup-Strategie?
Eine Synchronisation spiegelt Änderungen sofort. Werden Dateien gelöscht oder von Ransomware verschlüsselt, landen diese Änderungen auch in der Cloud-Kopie. Ein echtes Backup bewahrt dagegen ältere Versionen über definierte Zeiträume auf. Eine Backup-Strategie braucht deshalb Versionierung, getrennte Zugänge und mindestens eine unveränderbare oder offline gespeicherte Kopie.
Wann sollten kleine Unternehmen externe Hilfe für die Datensicherung holen?
Externe Unterstützung lohnt sich, wenn intern Know-how oder Zeit fehlt, wenn viele unterschiedliche Systeme gesichert werden müssen oder wenn kurze Wiederherstellungszeiten gefordert sind. IT-Dienstleister können Konzept, Einrichtung und Überwachung übernehmen. Die Verantwortung für die Festlegung von Prioritäten und die Kontrolle der Testergebnisse bleibt aber im Unternehmen.
