Bei Datenrettungen sehe ich immer dasselbe Muster: Es gab ein Backup – aber es lag auf derselben Festplatte, war Monate alt oder wurde von der Ransomware gleich mitverschlüsselt. Die 3-2-1-Regel (auch als 3-2-1-Prinzip bekannt) ist ein einfacher Standard, der genau diese Fälle verhindert. Sie ist für ein Zwei-Personen-Büro genauso umsetzbar wie für ein Unternehmen mit fünfzig Mitarbeitenden.
Was die 3-2-1-Regel besagt
Das 3-2-1-Prinzip trennt Ihre Daten so auf, dass kein einzelner Ausfall – weder eine defekte Festplatte noch ein Brand, ein Wasserschaden oder ein Verschlüsselungstrojaner – alle Bestände gleichzeitig vernichten kann.
- 3 Kopien Ihrer Daten: der produktive Datenbestand plus mindestens zwei unabhängige Sicherungen.
- 2 verschiedene Medientypen: zum Beispiel ein lokales NAS-System im Büro und ein getrennter Cloud-Speicher – nicht zweimal dasselbe NAS-Modell und nicht zwei Partitionen auf derselben Festplatte.
- 1 Kopie außer Haus: räumlich getrennt vom Büro und idealerweise offline oder technisch unveränderbar (Immutable Backup).
Sie möchten das in Ihrer Firma angehen?
Schreiben Sie mir kurz oder rufen Sie an. Ich melde mich werktags innerhalb von 24 Stunden.
Warum eine Kopie offline oder unveränderbar sein muss (3-2-1-1-0)
Als die 3-2-1-Regel entstand, ging es vor allem um kaputte Festplatten und Schäden im Serverraum. Heute ist die größte Gefahr eine andere: Moderne Ransomware sucht im Netzwerk aktiv nach erreichbaren Sicherungen – Netzlaufwerke, offene NAS-Freigaben, dauerhaft angesteckte USB-Platten und sogar Cloud-Synchronisationen – und verschlüsselt oder löscht sie, bevor der eigentliche Angriff überhaupt sichtbar wird.
Deshalb wird die klassische Regel in der IT-Sicherheit heute oft zur 3-2-1-1-0-Regel erweitert: Mindestens 1 Kopie muss komplett offline (Air-Gap) oder durch Objektsperren technisch unveränderbar (Immutable Storage, WORM) gespeichert sein, sodass selbst ein gestohlenes Administratorkonto sie vor Ablauf der Aufbewahrungsfrist nicht löschen kann. Und die 0 steht für null ungeprüfte Fehler bei der automatischen Backup-Kontrolle und beim Wiederherstellungstest.
Warum Microsoft 365, OneDrive und ein RAID kein Backup sind
Zwei Missverständnisse begegnen mir in kleinen Unternehmen fast jede Woche. Erstens: Ein RAID-Verbund im Server oder NAS spiegelt Festplatten zwar in Echtzeit, schützt aber nur vor dem Ausfall einer einzelnen Platte. Löscht jemand versehentlich einen Projektordner oder verschlüsselt Schadsoftware die Daten, wird genau dieser Schaden sofort auf alle Platten im RAID übertragen.
Zweitens: Cloud-Dienste wie Microsoft 365, OneDrive, SharePoint oder Google Workspace synchronisieren Dateien, ersetzen aber keine eigenständige Datensicherung. Werden Konten übernommen, Postfächer geleert oder Dateien überschrieben und die Aufbewahrungsfrist des Papierkorbs läuft ab, sind die Daten weg. Auch bei einer sauberen Einrichtung von Microsoft 365 und Entra ID gehört deshalb immer ein unabhängiges Backup für E-Mails, SharePoint und OneDrive dazu.
Vier Fehler, an denen Backups im Ernstfall scheitern
- Die dauerhaft angesteckte USB-Festplatte: Sie hängt als Laufwerk am Server, wird nie gewechselt und im Angriffsfall genauso mitverschlüsselt wie das Arbeitslaufwerk.
- Stille Fehler ohne Überwachung: Die Sicherung bricht seit drei Monaten wegen eines vollen Laufwerks oder eines abgelaufenen Passworts ab, aber niemand bekommt eine E-Mail.
- Nur Dateien statt ganzer Systeme gesichert: Die Dokumente sind zwar da, aber nach einem Serverausfall dauert es Tage, bis Betriebssystem, Datenbanken und Fachsoftware wieder eingerichtet sind.
- Zugangsdaten auf dem ausgefallenen System: Der Verschlüsselungsschlüssel für das Cloud-Backup liegt ausschließlich in einer Textdatei auf genau dem Server, der gerade nicht mehr startet.
Der Punkt, den fast alle vergessen: Wiederherstellung testen
Ein Backup ist erst dann ein Backup, wenn die Wiederherstellung nachweislich funktioniert. Auch rechtlich ist das keine Kür: Art. 32 DSGVO verlangt ausdrücklich die Fähigkeit, personenbezogene Daten nach einem Zwischenfall rasch wiederherzustellen, sowie ein Verfahren, um die Wirksamkeit der Schutzmaßnahmen regelmäßig zu überprüfen (mehr dazu im Beitrag zur IT-Sicherheit für Kanzleien).
Spielen Sie deshalb mindestens quartalsweise eine Stichprobe durch und einmal im Jahr einen kompletten Ernstfall: Wie lange dauert es, bis Buchhaltung, E-Mail und Fachsoftware wieder laufen? Fehlt ein Datenbank-Dump oder ein Lizenzschlüssel? Und weiß noch jemand im Team, wo die Notfall-Zugangsdaten liegen? Einen schnellen Überblick über den Stand Ihrer gesamten Absicherung gibt Ihnen der kostenlose IT-Sicherheits-Check.
Konkreter Aufbau für ein Büro mit 5 bis 30 Arbeitsplätzen
Für kleine Unternehmen hat sich ein dreistufiger Aufbau bewährt, der ohne eigene IT-Abteilung zuverlässig im Hintergrund läuft:
- Stufe 1 – Arbeitsdaten: Server, Notebooks und Microsoft 365 (Exchange, SharePoint, OneDrive) als produktive Umgebung mit verschlüsselten Datenträgern.
- Stufe 2 – Lokale Schnellwiederherstellung: Ein dediziertes NAS im Büro zieht täglich automatische Sicherungen und komplette System-Images – mit einem eigenen Backup-Konto, auf das normale Arbeitsplatzrechner keinen Schreibzugriff haben.
- Stufe 3 – Unveränderbare Außer-Haus-Kopie: Ein verschlüsseltes Cloud-Backup überträgt die Sicherungsstände täglich zu einem Rechenzentrum in der EU, geschützt durch Object Lock (unveränderbar für z. B. 30 Tage), ergänzt durch eine tägliche Statusmeldung.
Datensicherung ist kein Produkt, das man einmal kauft, sondern ein Prozess mit klaren Zuständigkeiten. Ich richte 3-2-1-Backups für KMU ein – inklusive Automatisierung, unveränderbarer Außer-Haus-Kopie und dokumentiertem Wiederherstellungsplan – und überwache die Sicherungen auf Wunsch laufend im Rahmen der IT-Betreuung für kleine Firmen.