Die 3-2-1-Regel: Wie Sie Firmendaten wirklich sicher sichern
Fast jeder Betrieb sichert irgendwie. Die entscheidende Frage ist nicht, ob gesichert wird, sondern ob sich die Daten im Ernstfall auch zurückholen lassen.
Die 3-2-1-Regel ist der etablierte Mindeststandard für Datensicherung: drei Kopien Ihrer Daten, gespeichert auf zwei unterschiedlichen Medientypen, davon eine Kopie an einem anderen physischen Ort. Wer diese Regel einhält, übersteht die drei häufigsten Verlustszenarien: Hardwaredefekt, versehentliches Löschen und Verschlüsselung durch Schadsoftware.
Die Regel ist alt und wird trotzdem regelmäßig gebrochen, meist an derselben Stelle: bei der Kopie an einem anderen Ort.
Was die drei Zahlen bedeuten
Drei Kopien
Gemeint sind die Originaldaten plus zwei Sicherungen. Nicht zwei Sicherungen desselben Datenstands, die morgens und abends auf dieselbe Platte laufen, sondern zwei voneinander unabhängige Kopien. Der Grund ist schlichte Wahrscheinlichkeit: Dass ein Speichermedium ausfällt, ist normal. Dass zwei gleichzeitig ausfallen, ist selten.
Zwei verschiedene Medientypen
Etwa eine Sicherung auf einem NAS im Haus und eine in der Cloud. Oder Festplatte und Bandlaufwerk. Der Sinn: Unterschiedliche Technologien fallen aus unterschiedlichen Gründen aus. Zwei baugleiche Festplatten aus derselben Charge haben eine unangenehme Neigung, ungefähr gleichzeitig ihren Dienst einzustellen.
Eine Kopie außer Haus
Der Punkt, an dem es in der Praxis scheitert. Eine Sicherung im selben Serverraum wie das Original schützt nicht gegen Feuer, Wasserschaden, Einbruch und auch nicht gegen Ransomware, wenn das Sicherungsmedium dauerhaft verbunden ist.
Der häufigste Fehler in kleinen Betrieben: eine externe Festplatte, die permanent am Server hängt. Verschlüsselt Ransomware den Server, verschlüsselt sie die Platte gleich mit. Eine dauerhaft verbundene Sicherung ist im Ransomware-Fall keine Sicherung.
Warum die Regel um eine Null erweitert wurde
In den letzten Jahren hat sich eine Erweiterung durchgesetzt: 3-2-1-1-0. Die zusätzliche Eins steht für eine Kopie, die unveränderlich ist, also nachträglich nicht überschrieben oder gelöscht werden kann, auch nicht von jemandem mit Administratorrechten. Fachbegriff: Immutable Backup oder Air-Gap.
Der Hintergrund ist unangenehm konkret: Moderne Ransomware sucht gezielt nach Sicherungen und löscht sie, bevor sie die eigentlichen Daten verschlüsselt. Wer den Angreifer aussperren will, braucht eine Kopie, die technisch nicht löschbar ist.
Die Null steht für null Fehler bei der Wiederherstellung, geprüft durch regelmäßige Tests. Und das ist der Punkt, an dem die meisten Sicherungskonzepte in der Praxis auffliegen.
Der Test, den fast niemand macht
Eine Sicherung, die noch nie zurückgespielt wurde, ist eine Vermutung. Typische Fehler, die erst beim Test auffallen:
- Der Sicherungsjob läuft seit Monaten mit Fehler durch, gemeldet wird das an eine E-Mail-Adresse, die niemand liest.
- Gesichert werden nur die Dateiablagen, nicht aber die Datenbank der Warenwirtschaft, die liegt woanders.
- Die Sicherung ist vollständig, aber die Wiederherstellung würde vier Tage dauern. Für den Betrieb ist das ein Totalausfall.
- Das Wiederherstellungspasswort kennt nur der Mitarbeiter, der seit einem Jahr nicht mehr im Haus ist.
Sinnvoller Rhythmus: einmal im Quartal eine echte Wiederherstellung, mindestens stichprobenhaft. Einmal im Jahr ein vollständiger Test mit Zeitmessung. Beides schriftlich festhalten, im Schadensfall ist das gegenüber Versicherung und Aufsichtsbehörden Gold wert.
Zwei Kennzahlen, die Sie festlegen sollten
| Kennzahl | Was sie bedeutet | Beispiel |
|---|---|---|
| RPO (Recovery Point Objective) | Wie viel Datenverlust ist maximal verkraftbar? | 4 Stunden = Sicherung mindestens alle 4 Stunden |
| RTO (Recovery Time Objective) | Wie lange darf die Wiederherstellung dauern? | 8 Stunden = Betrieb muss am selben Tag weiterlaufen |
Diese beiden Zahlen bestimmen fast alles Weitere: wie oft gesichert wird, welche Technik nötig ist und was das Ganze kostet. Sie sollten von der Geschäftsführung kommen, nicht von der IT, es ist eine betriebswirtschaftliche Entscheidung, keine technische.
Was in der Praxis funktioniert
Ein bewährter Aufbau für einen mittelständischen Betrieb:
- Original auf dem Server oder in Microsoft 365.
- Lokale Sicherung auf ein NAS im Haus, mehrmals täglich. Schnell wiederherstellbar bei versehentlichem Löschen, dem mit Abstand häufigsten Fall.
- Cloud-Sicherung in ein deutsches Rechenzentrum, täglich, mit Unveränderlichkeit für einen definierten Zeitraum. Deckt Feuer, Diebstahl und Ransomware ab.
Wichtig für Microsoft-365-Nutzer: Microsoft sichert Ihre Daten nicht in dem Sinne, wie viele es annehmen. Der Konzern sorgt für die Verfügbarkeit der Plattform, nicht für die Wiederherstellung eines Postfachs, das vor acht Monaten gelöscht wurde. Eine eigene Sicherung von Exchange, SharePoint und OneDrive ist deshalb kein Luxus, sondern gehört dazu.
Was der Gesetzgeber verlangt
Die DSGVO fordert in Artikel 32 ausdrücklich die Fähigkeit, „die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen“. Ebenso verlangt sie ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit, also genau die Wiederherstellungstests.
Für Betriebe im Anwendungsbereich von NIS-2 kommt Backup-Management als eine der zehn Pflichtmaßnahmen hinzu. Und die handelsrechtlichen Aufbewahrungsfristen von sechs beziehungsweise zehn Jahren gelten für digitale Unterlagen genauso wie für Papier.
Fünf Fragen für die eigene Standortbestimmung
- Wissen Sie ohne nachzusehen, ob die Sicherung letzte Nacht durchgelaufen ist?
- Liegt eine Kopie außer Haus, die nicht dauerhaft mit dem Netzwerk verbunden ist?
- Wann wurde zuletzt eine Wiederherstellung getestet und von wem?
- Sind Microsoft 365 und Fachanwendungen mit im Sicherungsumfang?
- Weiß mehr als eine Person, wie die Wiederherstellung abläuft?
Fünf mal Ja: Sie sind gut aufgestellt. Zwei oder mehr Nein: Es gibt Handlungsbedarf, und zwar bevor etwas passiert, nicht danach.
Häufige Fragen
Was ist die 3-2-1-Regel bei der Datensicherung?
Die 3-2-1-Regel verlangt drei Kopien der Daten, gespeichert auf zwei unterschiedlichen Medientypen, wovon eine Kopie an einem anderen physischen Ort liegt. Sie ist der etablierte Mindeststandard für Datensicherung in Unternehmen.
Reicht eine externe Festplatte als Backup?
Nein. Eine dauerhaft am Server angeschlossene externe Festplatte wird bei einem Ransomware-Angriff mitverschlüsselt und schützt auch nicht vor Feuer oder Diebstahl. Nötig ist zusätzlich eine Kopie außer Haus, idealerweise unveränderlich gespeichert.
Wie oft sollte man ein Backup testen?
Empfohlen ist eine stichprobenhafte Wiederherstellung einmal pro Quartal und ein vollständiger Test mit Zeitmessung einmal im Jahr. Ergebnisse sollten dokumentiert werden, da die DSGVO eine regelmäßige Überprüfung der Wirksamkeit verlangt.
Sichert Microsoft 365 meine Daten automatisch?
Nicht im Sinne einer Datensicherung. Microsoft sorgt für die Verfügbarkeit der Plattform, übernimmt aber keine langfristige Wiederherstellung gelöschter Inhalte. Für Exchange, SharePoint und OneDrive ist eine eigene Sicherung erforderlich.
Was bedeutet 3-2-1-1-0?
Eine Erweiterung der 3-2-1-Regel. Die zusätzliche Eins steht für eine unveränderliche Kopie, die auch von Administratoren nicht gelöscht werden kann. Die Null steht für null Fehler bei der Wiederherstellung, nachgewiesen durch regelmäßige Tests.
