Die 3-2-1-Backup-Regel für kleine Unternehmen

Fast jedes Unternehmen hat irgendeine Form von Datensicherung. Ob sie im Ernstfall tatsächlich hilft, zeigt sich leider oft erst, wenn es zu spät ist: Die externe Festplatte war seit Monaten nicht mehr angeschlossen, das Backup lag auf demselben Server wie die Originaldaten oder wurde bei einem Ransomware-Angriff gleich mitverschlüsselt.

Die gute Nachricht: Eine belastbare Backup-Strategie ist auch für kleine Unternehmen machbar und muss nicht teuer sein. Die bewährte Grundlage dafür ist die 3-2-1-Regel.

Die 3-2-1-Regel einfach erklärt

Die Regel lässt sich in drei Zahlen zusammenfassen:

• 3 Kopien Ihrer Daten: die Originaldaten plus mindestens zwei Sicherungen.
• 2 unterschiedliche Speichermedien oder Systeme: zum Beispiel ein NAS im Büro und ein separater Backup-Speicher – damit ein einzelner Defekt nicht alle Kopien trifft.
• 1 Kopie an einem anderen Ort: außer Haus, etwa in einem zweiten Gebäude oder bei einem vertrauenswürdigen Speicheranbieter in Deutschland. So überstehen Ihre Daten auch Brand, Wasserschaden oder Diebstahl.

Die Idee dahinter: Kein einzelnes Ereignis darf dazu führen, dass alle Kopien gleichzeitig verloren gehen.

Warum die klassische Regel heute nicht mehr reicht

Die 3-2-1-Regel stammt aus einer Zeit, in der vor allem Hardwaredefekte und menschliche Fehler die größte Gefahr waren. Heute kommt eine weitere Bedrohung hinzu: Ransomware. Diese Schadsoftware verschlüsselt Daten und fordert Lösegeld. Moderne Angreifer suchen dabei gezielt nach Backups, um sie ebenfalls zu verschlüsseln oder zu löschen – denn ohne funktionierendes Backup steigt der Druck, zu zahlen.

Alles, was dauerhaft und mit Schreibrechten mit dem Firmennetz verbunden ist, kann im Ernstfall betroffen sein. Deshalb wird die Regel heute häufig zu 3-2-1-1-0 erweitert:

• 1 Kopie offline oder unveränderlich: Mindestens eine Sicherung ist entweder physisch vom Netz getrennt oder so gespeichert, dass sie für einen festgelegten Zeitraum nicht verändert oder gelöscht werden kann – auch nicht mit Administratorrechten.
• 0 Fehler bei der Prüfung: Backups werden regelmäßig überprüft und Wiederherstellungen getestet.

Offline und unveränderlich: Was heißt das konkret?

Für kleine Unternehmen gibt es mehrere praktikable Wege:

• Wechseldatenträger im Rotationsprinzip: Externe Festplatten werden abwechselnd verwendet und außerhalb der Sicherung vom Netz getrennt aufbewahrt, idealerweise eine davon außer Haus. Das ist günstig, erfordert aber Disziplin.
• Unveränderliche Backups (Immutable Storage): Viele Backup-Lösungen und Speicherdienste bieten die Möglichkeit, Sicherungen für eine bestimmte Zeit gegen Löschen und Überschreiben zu sperren.
• Getrennte Zugangsdaten: Das Backup-System sollte eigene Zugangsdaten haben, die nicht im normalen Firmennetz verwendet werden. Ein Angreifer, der ein Benutzerkonto übernimmt, darf nicht automatisch auch Zugriff auf die Sicherungen bekommen.
• Verschlüsselung: Backups außer Haus sollten immer verschlüsselt sein. Den Schlüssel bewahren Sie sicher und getrennt auf – ohne ihn ist auch das beste Backup wertlos.

Was gehört ins Backup?

Oft wird nur an die Dateiablage gedacht. Vollständig wird eine Sicherung aber erst, wenn auch diese Bereiche berücksichtigt sind:

• Datenbanken von Fachanwendungen, etwa Warenwirtschaft, Praxis- oder Kanzleisoftware
• E-Mail-Postfächer, auch bei Cloud-Diensten – viele Anbieter sichern nicht in dem Umfang, den man erwartet
• Konfigurationen von Servern, Firewall und Netzwerkgeräten
• Daten auf Laptops, die nicht regelmäßig im Büro sind

Wiederherstellung testen – der wichtigste Schritt

Ein Backup, dessen Wiederherstellung nie geprüft wurde, ist eher eine Hoffnung als eine Sicherung. Planen Sie daher regelmäßige Tests ein:

• Einzelne Dateien zurückholen: Funktioniert das schnell und ohne Hilfe?
• Ein komplettes System wiederherstellen: Zum Beispiel einen Server auf Testhardware oder in einer virtuellen Umgebung.
• Zeit messen: Wie lange dauert es, bis Ihr Team wieder arbeiten kann? Ist das für Ihren Betrieb akzeptabel?

Zwei Fragen helfen bei der Planung: Wie viele Daten dürfen im schlimmsten Fall verloren gehen – die Arbeit einer Stunde, eines Tages, einer Woche? Und wie lange darf ein System ausfallen? Daraus ergibt sich, wie oft gesichert werden muss und wie schnell die Wiederherstellung funktionieren sollte.

Ein Notfallplan auf Papier

Wenn die IT ausgefallen ist, nützt ein Notfallplan, der nur auf dem Server liegt, wenig. Halten Sie die wichtigsten Informationen auch ausgedruckt bereit: Wer wird informiert? Wo liegen die Backups? Wie lauten die Schritte zur Wiederherstellung? Welche Kontaktdaten von Dienstleistern und Ansprechpersonen werden gebraucht?

Checkliste: Ihre Backup-Strategie

• Es gibt mindestens drei Kopien aller wichtigen Daten.
• Die Kopien liegen auf mindestens zwei unterschiedlichen Systemen.
• Mindestens eine Kopie befindet sich außer Haus.
• Mindestens eine Kopie ist offline oder unveränderlich gespeichert.
• Das Backup-System hat eigene, getrennte Zugangsdaten.
• Datenbanken, Postfächer und Konfigurationen werden mitgesichert.
• Backups außer Haus sind verschlüsselt, der Schlüssel ist sicher hinterlegt.
• Wiederherstellungen werden regelmäßig getestet und dokumentiert.
• Ein ausgedruckter Notfallplan ist vorhanden und bekannt.

Sie möchten wissen, ob Ihr Backup im Ernstfall wirklich trägt? Wir prüfen Ihre bestehende Sicherung, bauen sie bei Bedarf nach der 3-2-1-Regel aus und üben die Wiederherstellung gemeinsam mit Ihnen: Backup & Notfallplanung.