Das Backup lief jede Nacht durch, und am Morgen nach dem Angriff war es genauso verschlüsselt wie der Server. Die 3-2-1-Backup-Regel soll genau das verhindern: drei Kopien der Daten, auf zwei verschiedenen Speichermedien, eine davon außerhalb des Betriebs. Gegen Angreifer, die heute zuerst die Sicherung suchen, braucht sie zwei Ziffern mehr – Fachleute sprechen deshalb von 3-2-1-1-0.
Was die fünf Ziffern bedeuten, wie ein kleiner Betrieb sie ohne eigenes Rechenzentrum umsetzt und woran man merkt, dass die eigene Sicherung im Ernstfall nicht trägt, steht in diesem Artikel.
Inhaltsverzeichnis
Was bedeutet die 3-2-1-Backup-Regel?
Die 3-2-1-Backup-Regel verlangt drei Kopien der Daten, gespeichert auf zwei unterschiedlichen Medien, von denen eine an einem anderen Ort liegt. Die drei Kopien sind das Original im laufenden Betrieb und zwei Sicherungen. So reicht kein einzelnes Ereignis – ein defekter Datenträger, ein Brand, ein Diebstahl –, um alle Kopien auf einmal zu vernichten.
Bekannt gemacht hat die Regel der Fotograf Peter Krogh in seinem Buch über das Archivieren digitaler Fotos. Seitdem ist sie die Faustregel, auf die sich Hersteller, IT-Dienstleister und Behörden beziehen. Im Betrieb übersetzt sie sich so:
- 3 Kopien: die Daten auf dem Server oder in der Cloud-Anwendung, dazu zwei Sicherungen. Eine einzige Sicherung ist im Ernstfall oft genau die, die gerade nicht funktioniert.
- 2 Medien: zum Beispiel ein Backup-Speicher im Haus und ein Rechenzentrum. Zwei Festplatten im selben Gerät zählen als ein Medium, weil sie gemeinsam ausfallen können.
- 1 Kopie außer Haus: in einem anderen Gebäude oder Rechenzentrum. Das BSI verlangt im IT-Grundschutz, Sicherungen räumlich getrennt von den gesicherten Systemen aufzubewahren, möglichst in einem anderen Brandabschnitt.
Was die Regel nicht ist: eine Spiegelung. Ein RAID-Verbund oder ein Ordner, der mit OneDrive synchronisiert wird, kopiert jede Änderung sofort mit – auch das Löschen und das Verschlüsseln. Das BSI schreibt ausdrücklich, dass Spiegelung keine Datensicherung ersetzt.
Warum reicht 3-2-1 gegen Ransomware nicht mehr?
Weil Angreifer heute zuerst die Sicherung angreifen und erst dann den Server verschlüsseln. Ist der Backup-Speicher aus dem Firmennetz erreichbar oder mit demselben Administratorkonto verwaltet, verschlüsseln oder löschen sie die Sicherungen gleich mit. Drei Kopien helfen dann nicht, wenn alle drei über dasselbe Netz erreichbar sind.
94 %
der von Ransomware getroffenen Unternehmen berichten, dass die Angreifer auch ihre Backups angreifen wollten. Wessen Sicherung dabei kaputtging, zahlte fast doppelt so oft Lösegeld: 67 gegen 36 Prozent. Quelle: Sophos, The Impact of Compromised Backups on Ransomware Outcomes, Befragung von 2.974 Betroffenen in 14 Ländern, 2024
Die Zahl zeigt, wofür die Sicherung im Angriff eigentlich da ist: Sie ist das Druckmittel, das dem Betrieb bleibt. Wer seine Daten aus einer heilen Sicherung zurückholen kann, muss über Lösegeld gar nicht erst nachdenken. Das BSI empfiehlt in seinem Maßnahmenkatalog gegen Ransomware deshalb, mindestens eine Kopie offline vorzuhalten, also so, dass sie vom Firmennetz aus nicht erreichbar ist.
Drei Kopien nützen nichts, wenn der Angreifer alle drei mit demselben Passwort erreicht.
Was bedeutet 3-2-1-1-0?
3-2-1-1-0 ist die 3-2-1-Regel mit zwei Ergänzungen für die Zeit nach Ransomware. Die zusätzliche 1 steht für eine Kopie, die offline oder unveränderbar gespeichert ist. Die 0 steht für null Fehler beim Test der Wiederherstellung: Die Sicherung gilt erst als gut, wenn sie nachweislich zurückgespielt werden konnte.
„Unveränderbar“ (englisch: immutable) heißt, dass eine Sicherung für eine festgelegte Zeit weder geändert noch gelöscht werden kann – auch nicht von einem Administrator, dessen Konto gerade in fremden Händen ist. Das geht über Bänder, die nach dem Sichern aus dem Laufwerk genommen werden, über Datenträger im Tresor oder über Speicher im Rechenzentrum, der Löschen technisch sperrt. Für die meisten kleinen Betriebe ist der dritte Weg der einzige, der ohne tägliche Handarbeit funktioniert.
Die 0 klingt wie eine Formalie, ist aber die Ziffer, an der die meisten Sicherungen scheitern. Ein Backup-Programm meldet „erfolgreich“, wenn es Daten geschrieben hat – nicht, wenn sich daraus ein startfähiger Server bauen lässt. Fehlt eine Datenbank, ein Zertifikat oder das Kennwort für die Verschlüsselung, merkt das niemand, bis es gebraucht wird.
Wie setzt ein kleiner Betrieb die 3-2-1-Regel um?
Ein kleiner Betrieb braucht dafür kein eigenes Rechenzentrum: Eine Sicherung im Haus für die schnelle Wiederherstellung und eine verschlüsselte Sicherung in einem Rechenzentrum mit Löschsperre erfüllen 3-2-1-1 bereits. Wichtiger als die Technik ist, dass die Sicherung getrennt vom übrigen Netz verwaltet wird. Die 0 kommt durch geplante Wiederherstellungstests dazu.
| Daten | Typische Lücke | Was 3-2-1-1-0 daraus macht |
|---|---|---|
| Server und virtuelle Maschinen | Sicherung auf einem NAS im selben Raum, verwaltet mit dem Domänen-Administrator | zweite Kopie im Rechenzentrum, eigene Zugangsdaten mit zweitem Faktor, Löschsperre |
| Arbeitsplatzrechner und Laptops | Dateien liegen nur lokal oder nur im synchronisierten Ordner | Geschäftsdaten zentral ablegen, Geräte mit eigener Sicherung, wo lokal gearbeitet wird |
| Microsoft 365 | Papierkorb und Versionsverlauf gelten als Backup | eigene Sicherung von Postfächern, OneDrive, SharePoint und Teams außerhalb von Microsoft |
| USB-Festplatte | hängt dauerhaft am Server und wird mitverschlüsselt | nur als Offline-Kopie sinnvoll: nach dem Sichern abziehen und getrennt lagern |
Die Microsoft-365-Zeile überrascht viele: Microsoft hält die Plattform am Laufen, für gelöschte oder verschlüsselte Inhalte ist der Kunde selbst zuständig. Warum der Papierkorb dafür nicht reicht, erklärt der Artikel Microsoft 365 Backup: Warum der Papierkorb kein Backup ist.
Praxis-Tipp
Prüfen Sie, mit welchem Konto sich die Backup-Konsole öffnen lässt. Geht das mit demselben Administratorkonto, mit dem auch Server und Postfächer verwaltet werden, fehlt die wichtigste Trennung. Ein eigenes Konto nur für die Sicherung, mit zweitem Faktor und ohne Anmeldung an der Domäne, kostet eine halbe Stunde und nimmt Angreifern den kürzesten Weg zur Sicherung.
HÖLL in Baden-Baden richtet die Datensicherung für Betriebe in Mittelbaden so ein: verschlüsselt außerhalb des Firmennetzes, mit Konzept vorab und Technikern, die fehlgeschlagene Sicherungen sehen, bevor jemand sie braucht. Was dazugehört, zeigt die Seite Datensicherung und Managed Backup von HÖLL.
Wie oft sollte man die Wiederherstellung testen?
Die Wiederherstellung sollte in festen Abständen und nach jeder größeren Änderung getestet werden, etwa nach einem neuen Server, einer neuen Fachanwendung oder einem Umzug in die Cloud. Das BSI macht das im IT-Grundschutz zur Basis-Anforderung: Es muss regelmäßig getestet werden, ob gesicherte Daten einwandfrei und in angemessener Zeit zurückgespielt werden können. Für die meisten kleinen Betriebe ist ein Test je Quartal ein guter Rhythmus.
Zu einem echten Test gehört ein ganzer Server. Er zeigt, ob der Server mit seinen Anwendungen wieder startet, wie lange das dauert und ob jemand weiß, wo Kennwörter und Schlüssel liegen. Das Ergebnis gehört aufgeschrieben – es ist das, was eine Cyberversicherung oder ein Prüfer später sehen will. Wer unter NIS2 fällt, muss Datensicherung und Wiederherstellung ohnehin nachweisen; was das bedeutet, steht im Artikel NIS2: Sind Sie betroffen?
Ein Wiederherstellungstest ist auch die beste Vorbereitung auf den Tag, an dem es ernst wird. Was in den ersten Stunden nach einem Angriff zu tun ist, beschreibt der IT-Notfallplan für die ersten 24 Stunden. Wie Datensicherung, Virenschutz und Firewall bei HÖLL zusammenspielen, zeigen die IT-Lösungen von HÖLL.
Checkliste: Die eigene Datensicherung nach 3-2-1-1-0 prüfen
In dieser Reihenfolge
- Aufschreiben, welche Daten gesichert werden: Server, virtuelle Maschinen, Arbeitsplätze, Microsoft 365, Fachanwendungen
- Zählen, wie viele Kopien es von jedem Bereich gibt und wo sie liegen
- Prüfen, ob mindestens eine Kopie in einem anderen Gebäude oder Rechenzentrum liegt
- Prüfen, ob eine Kopie offline oder mit Löschsperre gespeichert ist
- Backup-Konsole mit eigenem Konto und zweitem Faktor absichern, getrennt vom Domänen-Administrator
- Festlegen, wer fehlgeschlagene Sicherungen bemerkt und bis wann reagiert wird
- Einen ganzen Server testweise wiederherstellen und Dauer und Ergebnis notieren
- Kennwörter und Schlüssel für die Sicherung so ablegen, dass sie auch ohne Server erreichbar sind
Fazit
Die 3-2-1-Backup-Regel schützt gegen Defekte, Brand und Diebstahl: drei Kopien, zwei Medien, eine außer Haus. Gegen Ransomware braucht sie die beiden Ergänzungen aus 3-2-1-1-0 – eine Kopie, die vom Firmennetz aus nicht verändert werden kann, und einen Wiederherstellungstest ohne Fehler. Wer heute nur eine Ziffer nachrüstet, sollte mit der 0 anfangen: Erst der Test zeigt, ob die übrigen vier überhaupt funktionieren.
Quellen
- BSI – IT-Grundschutz-Kompendium, Baustein CON.3 Datensicherungskonzept (CON.3.A12 räumlich getrennte Aufbewahrung, CON.3.A15 regelmäßiges Testen): bsi.bund.de
- BSI – Umsetzungshinweise zum Baustein CON.3 (Spiegelung ersetzt keine Datensicherung): bsi.bund.de
- BSI – Maßnahmenkatalog Ransomware (mindestens eine Offline-Kopie): bsi.bund.de
- Sophos – The Impact of Compromised Backups on Ransomware Outcomes (2024, 2.974 Befragte in 14 Ländern): sophos.com
- ComputerWeekly – Mit der 3-2-1-1-0-Backup-Regel moderne Anforderungen erfüllen: computerweekly.com
Stand: 5. November 2026.
Häufige Fragen
Zählt die Cloud als Kopie außer Haus?
Ja, wenn die Sicherung in einem anderen Rechenzentrum liegt als die gesicherten Daten. Ein mit OneDrive synchronisierter Ordner zählt nicht, weil er Löschungen und Verschlüsselungen sofort übernimmt.
Ist ein NAS eine Datensicherung?
Ein NAS kann eine der Sicherungskopien sein, aber nicht die einzige. Liegt es im selben Raum wie der Server und ist es aus dem Firmennetz erreichbar, kann es bei Brand oder Ransomware zusammen mit dem Server verloren gehen.
Ist RAID ein Backup?
Nein. RAID schützt vor dem Ausfall einer einzelnen Festplatte, kopiert aber jedes Löschen und jedes Verschlüsseln sofort auf alle Platten mit. Das BSI stellt klar, dass Spiegelung keine Datensicherung ersetzt.
Was ist ein unveränderbares Backup?
Eine Sicherung, die für eine festgelegte Zeit weder geändert noch gelöscht werden kann, auch nicht mit Administratorrechten. Sie schützt davor, dass Angreifer mit einem gekaperten Konto die Sicherungen vernichten.
Gilt die 3-2-1-Regel auch für Microsoft 365?
Ja. Microsoft betreibt die Plattform, für die Inhalte ist der Kunde zuständig. Postfächer, OneDrive, SharePoint und Teams brauchen deshalb eine eigene Sicherung außerhalb von Microsoft.
