Definition: Was ist die 3-2-1-Backup-Regel?
Die 3-2-1-Backup-Regel definiert ein Mindestmaß an Redundanz für Datensicherungen: drei Kopien der Daten (Original plus zwei Backups), gespeichert auf mindestens zwei verschiedenen Medientypen, wobei eine Kopie außerhalb des primären Standorts liegt. Das Prinzip entstand in den 1980er Jahren für Tape-Libraries und bildet bis heute das Fundament jedes professionellen Backup-Konzepts. Die Regel ist über 40 Jahre alt, doch 2026 wichtiger denn je.
Konkret bedeutet das: Eine Erstkopie verbleibt auf dem Produktionssystem oder einem lokalen NAS, eine zweite auf einem anderen Medium – etwa Band, RDX oder Object Storage – und eine dritte an einem physisch getrennten Ort, beispielsweise in einem Rechenzentrum oder per Cloud-Object-Lock. Diese Struktur schützt gegen Hardwaredefekte, Brände, Diebstahl und versehentliches Löschen.
Wichtig ist die Abgrenzung: Snapshots sind keine Backups im Sinne der Regel, da sie auf demselben Speichersystem liegen und bei einem Ausfall des Arrays ebenfalls verloren gehen. Replikation allein erfüllt das Offsite-Kriterium, nicht aber die Anforderung an zwei unterschiedliche Medientypen. Die Hauptursachen für Datenverlust im Mittelstand sind laut Fachbeiträgen keine gezielten Hacks, sondern Bedienfehler, defekte Laufwerke, verlorene Endgeräte und Verschlüsselungstrojaner.
Wie funktioniert die 3-2-1-Regel in der Praxis?
- Primärdaten identifizieren. Erfassen Sie alle systemkritischen Bestände: Dateiserver, virtuelle Maschinen, Datenbanken und Konfigurationsdaten. Eine aktuelle Asset-Liste verhindert blinde Flecken im Backup-Job.
- Erstes Backup auf lokalem Datenträger ablegen. Schreiben Sie die initiale Kopie auf ein NAS oder SAN im selben Rechenzentrum. Die schnelle Disk-basierte Sicherung ermöglicht kurze Rückstellfenster (RTO) bei Einzelverlusten.
- Zweite Kopie auf separatem Medientyp erzeugen. Nutzen Sie dafür Tape, RDX-Wechselmedien oder einen Cloud-Object-Storage. Der Medienbruch schützt vor systematischen Fehlern der primären Storage-Plattform.
- Offsite-Kopie physisch oder logisch trennen. Lagern Sie Bandkassetten an einem zweiten Standort aus oder replizieren Sie in eine geographisch getrennte Cloud-Region. Nur echte räumliche Distanz übersteht Brand, Wasser oder Sabotage vor Ort.
- Zeitplan und Retention nach GFS-Schema festlegen. Tägliche inkrementelle, wöchentliche differentielle und monatliche Vollbackups (Grandfather-Father-Son) balancieren Speicherbedarf und Wiederherstellbarkeit. Bewahren Sie Monatsstände mindestens zwölf Monate auf.
- Verantwortung und Dokumentation verbindlich regeln. Benennen Sie einen Backup-Owner, definieren Sie Prüftermine für Restore-Tests und protokollieren Sie jeden Job-Lauf. Aktuelle Leitfäden fordern zudem unveränderliche Kopien und Null-Fehler-Tests als neuen Mindeststandard.
Konkrete Tools für KMU decken alle drei Ebenen ab. Veeam Backup & Replication oder Proxmox Backup Server sichern on-premises. TrueNAS liefert den lokalen Storage mit ZFS-Snapshots. Backblaze B2, Wasabi, Storj oder AWS S3 übernehmen das Offsite-Target mit Object Lock. Der neue Mindeststandard 3-2-1-1-0 ergänzt dieses Setup um unveränderliche Kopien und verifizierte Restores. Cyber-Versicherer und die NIS-2-Richtlinie fordern dies zunehmend.
Warum die klassische 3-2-1-Regel 2026 nicht mehr ausreicht
Die klassische Formel — drei Kopien, zwei Medientypen, ein Offsite-Standort — stammt aus einer Zeit, in der Ransomware noch keine Backup-Repositorys systematisch jagte. Heute durchsuchen Verschlüsselungstrojaner das Netz gezielt nach Veeam-Servern, NAS-Filern und Cloud-Gateways. Sie löschen Snapshots, deaktivieren Backup-Jobs und verschlüsseln Offsite-Kopien, sobald ein kompromittiertes Admin-Konto Zugriff gewährt. Ein logisches Air-Gap per VLAN-Trennung schützt nicht mehr, wenn Angreifer die Verwaltungszugänge beherrschen.
Laut Analysen von Bavaria Informatics und bero IT hat sich die Backup-Infrastruktur zum primären Angriffsziel entwickelt. Wer nur auf räumliche Trennung setzt, verliert im Ernstfall die letzte saubere Kopie.
Der neue Mindeststandard heißt 3-2-1-1-0: eine unveränderliche Kopie (Immutability) plus null unverifizierte Restores. Cyber-Versicherer und die NIS-2-Richtlinie fordern den Nachweis, dass Backups nicht manipulierbar sind und regelmäßig getestet werden. S3 Object Lock, Wasabi oder Backblaze B2 liefern WORM-Speicher ohne Tape-Hardware. Getrennte Admin-Konten, Just-in-Time-Zugriffe und automatisierte Restore-Tests in isolierten VLANs gehören désormais zur Pflichtausstattung. Wer 2026 noch auf das reine 3-2-1 vertraut, spielt russisches Roulette mit der Existenz des Unternehmens.
Die 3-2-1-1-0-Erweiterung: Immutable Copy & Zero Unverified Restores
Die klassische 3-2-1-Regel stößt an ihre Grenzen, wenn Angreifer die Backup-Infrastruktur selbst kompromittieren. Die Erweiterung auf 3-2-1-1-0 schließt diese Lücke durch zwei zusätzliche Anforderungen, die 2026 zum Mindeststandard für Cyber-Versicherer und NIS-2-Betroffene avancieren.
Die erste Ziffer +1 steht für eine unveränderliche Kopie (Immutable Backup). Sie basiert auf WORM-Prinzipien (Write Once, Read Many) und lässt sich technisch über S3 Object Lock, Object Lock auf S3-kompatiblen Speichern oder dedizierte WORM-Appliances realisieren. Einmal geschrieben, kann diese Kopie für die definierte Retention-Periode weder gelöscht noch verschlüsselt werden – auch nicht durch Administratoren mit höchsten Rechten. Cloud-Anbieter wie Backblaze B2, Wasabi oder Storj machen diese Funktion KMU mittlerweile ohne Tape-Library zugänglich.
Die zweite Ziffer +0 fordert null unverifizierte Restores. Ein Backup, das nie getestet wurde, ist nur Hoffnung. Automatisierte Test-Restores in isolierten Umgebungen – etwa wöchentlich in einem separaten VLAN oder einer Sandbox – liefern den Nachweis, dass Daten tatsächlich lesbar und konsistent sind. Die Protokollierung dieser Tests dient Auditoren und Versicherern als Evidenz. Praxisleitfäden für KMU empfehlen, Restore-Skripte in die CI/CD-Pipeline oder das Monitoring einzubinden.
Technische Umsetzungsoptionen für die Immutable-Kopie:
- Cloud Object Lock: S3 Object Lock (AWS, Backblaze, Wasabi, Storj) – kosteneffizient, keine Hardware-Investition.
- On-Prem WORM-Appliance: Spezialisierte Storage-Systeme mit hardwarebasiertem WORM – für höchste Compliance-Anforderungen.
- Tape (LTO): Physischer Air-Gap, unveränderlich nach Auswurf – bewährt für Langzeitarchivierung.
Die Kombination aus Unveränderlichkeit und verifiziertem Restore hebt die Backup-Strategie vom reinen Datenspiegel auf ein belastbares Recovery-Instrument. Wer beide Ziffern ignoriert, riskiert nicht nur Bußgelder, sondern den Totalverlust im Ernstfall.
Typische Umsetzungslücken bei KMU und wie sie geschlossen werden
Viele mittelständische Unternehmen glauben, die 3-2-1-Regel erfüllt zu haben, weil Daten auf zwei Festplatten und ein externes NAS repliziert werden. In der Praxis klaffen dabei oft fünf Lücken, die Ransomware gezielt ausnutzt. Eine Analyse typischer Backup-Strategien im KMU-Umfeld zeigt: Der zweite Medientyp fehlt häufig komplett – Disk-to-Disk allein zählt nicht als zwei Medien. Wer nur auf rotierende Festplatten setzt, hat bei Controller-Defekt oder Firmware-Bug keinen physisch getrennten Träger.
Zweite Lücke: Die Offsite-Kopie liegt auf einem zweiten NAS im selben Brandabschnitt oder sogar im selben Rack. Ohne Air-Gap oder Immutability (S3 Object Lock, WORM) verschlüsselt der Angreifer auch dieses Ziel mit. Gegenmaßnahme: Cloud-Object-Storage mit aktiviertem Object Lock als unveränderliches Ziel einbinden – kostengünstig über Backblaze B2, Wasabi oder Storj realisierbar.
Dritte Lücke: Restore-Tests finden nicht statt. „Vertrauen statt Prüfen“ führt im Ernstfall zu korrupten Images, fehlenden Treibern oder zu langen RTOs. Ein Praxisbericht zu funktionierenden Backups empfiehlt wöchentliche automatisierte Test-Restores in isoliertem VLAN, dokumentiert mit Protokoll für Auditor und Cyber-Versicherer.
Vierte Lücke: Microsoft 365, Google Workspace oder Salesforce-Daten liegen außerhalb der 3-2-1-Kette. SaaS-Anbieter sichern nur Plattform-Verfügbarkeit, nicht Kundendaten vor Löschung oder Ransomware. Separate Backup-Lösungen (Veeam Backup for M365, Alcion, Keepit) in die Strategie aufnehmen.
Fünfte Lücke: Identische Admin-Konten für Produktions- und Backup-Infrastruktur. Kompromittiert ein Angreifer das Domänen-Admin-Konto, kontrolliert er auch das Backup. Trennung erzwingen: dedizierte Backup-Admin-Rollen, getrennte MFA-Token, keine Vertrauensstellung zwischen Produktions- und Backup-AD.
Priorisierung nach Risiko: 1. Immutability/Offsite (Ransomware-Schutz), 2. Restore-Tests (Wiederherstellbarkeit), 3. Getrennte Accounts (Laterale Bewegung verhindern), 4. Zweiter Medientyp (Hardware-Fehler), 5. SaaS-Abdeckung (Compliance).
Praxis-Setups: On-Prem-Infrastruktur plus Cloud-Object-Lock für KMU
Drei Referenzarchitekturen decken typische KMU-Szenarien ab, ohne auf einzelne Hersteller zu verzichten. Variante A setzt auf Veeam Backup & Replication auf Windows- oder Linux-Servern im eigenen Rechenzentrum. Das Repository schreibt auf ein S3-kompatibles Cloud-Target – etwa Backblaze B2, Wasabi, Storj oder AWS S3 – mit aktiviertem Object Lock. Damit erfüllt die Kopie die Immutable-Anforderung der 3-2-1-1-0-Regel, ohne dass ein Bandlaufwerk angeschafft werden muss. Lizenzkosten für Veeam fallen als OpEx an, Cloud-Speicher wird nach Volumen abgerechnet. Ein separater Management-Host für die Backup-Software trennt die Administrationsdomäne vom Produktionsnetz.
Variante B nutzt den Open-Source-Stack Proxmox Backup Server zusammen mit TrueNAS. ZFS-Snapshots und Replication sichern die erste Ebene auf lokalem Storage. Für das unveränderliche Offsite-Tier schiebt ein S3-Client wie Restic oder Rclone die Daten in die Cloud. Keine Lizenzgebühren, nur Hardware- und Cloud-Kosten – CapEx für Server und Disks, OpEx für Object Storage. Die Trennung der Backup-User-Konten von den Domänen-Admins härtet die Infrastruktur gegen Kompromittierung.
Variante C bleibt beim physischen Band: LTO-9-Laufwerke und -Medien liefern echten Air-Gap und WORM-Eigenschaften. Als zweites Offsite-Ziel dient ein Cloud-Bucket mit Object Lock. Hohe Anschaffungskosten für Library und Bänder (CapEx) stehen geringen laufenden Cloud-Gebühren (OpEx) gegenüber. Ein Praxis-Guide für 2026 empfiehlt, Restore-Tests für alle drei Stufen quartalsweise zu automatisieren und die Protokolle revisionssicher zu archivieren.
Microsoft 365 und SaaS-Daten in die 3-2-1-1-0-Strategie einbeziehen
Ein häufiger Blindspot: Daten in Microsoft 365 (Exchange, OneDrive, Teams, SharePoint) liegen zwar in der Microsoft-Cloud, doch das Shared-Responsibility-Modell macht deutlich: Microsoft sichert die Infrastruktur, der Kunde verantwortet die Daten. Die Standard-Retention von 14 bis 30 Tagen ersetzt kein echtes Backup – gelöschte Postfächer, versehentlich überschriebene Dateien oder Ransomware-Verschlüsselung bleiben ungeschützt.
Lösung: Eine dedizierte SaaS-Backup-Lösung (etwa Veeam Backup for Microsoft 365, Alcion, Keepit oder AvePoint) schreibt die Daten in ein eigenes S3-kompatibles Target mit Object Lock. Damit erfüllt die Kopie die „1 immutable“-Anforderung der 3-2-1-1-0-Regel. Gleiches gilt für Salesforce, Google Workspace oder Cloud-ERP-Systeme – auch hier übernimmt der Anbieter nur Plattform-Verfügbarkeit, nicht Datenwiederherstellung nach Nutzerfehler oder Angriff.
Konfigurationsbeispiel: Separater Backup-Job pro SaaS-Mandant, eigene Retention-Policy (z. B. 7 Jahre für Compliance), eigener Immutable-Bucket (S3 Object Lock, Backblaze B2, Wasabi, Storj). Admin-Konten für Backup und Produktion strikt trennen, MFA erzwingen. Regelmäßige Restore-Tests in isoliertem VLAN dokumentieren den „0 unverifizierte Restores“-Nachweis für Auditor und Cyber-Versicherer. Weitere Details zur Strategie finden sich bei SentinelOne.
Automatisierte Restore-Tests und Compliance-Nachweise für Auditoren
Die Null in der 3-2-1-1-0-Regel verlangt: keine unverifizierten Restores. Wer Backups nur schreibt, aber nie liest, trägt ein blindes Risiko. Skriptierte Test-Restores schließen diese Lücke. Werkzeuge wie PowerShell, Veeam SureBackup oder der Verify-Befehl von Proxmox Backup Server prüfen wöchentlich in einem isolierten VLAN, ob ein Wiederherstellen gelingt. Prüfkriterien sind Boot-Erfolg, Datenkonsistenz per Checksum, Applikationsstart mit Datenbank-Check und die gemessene RTO.
Ergebnisse landen automatisiert im Dokumentations-Tool – Confluence, IT-Doku oder PDF-Report – mit Zeitstempel, Hash und Prüfer-Kennung. Dieser Nachweis genügt Cyberversicherern, NIS-2-Audits und ISO-27001-Prüfern. Fällt ein Test durch, erzeugt das System ein Ticket im ITSM und eskaliert an den Verantwortlichen. Regelmäßige Restore-Tests verwandeln die Backup-Strategie von einer Hoffnung in ein beweisbares Asset.
Ein KMU mit 50 Beschäftigten richtet einen wöchentlichen Test-Restore in ein separates VLAN ein. Es vergleicht den Hash der wiederhergestellten Dateien mit dem Original. Die Kopie liegt auf einem S3-kompatiblen Cloud-Bucket mit Object Lock, zum Beispiel bei Backblaze B2, Wasabi oder Storj. Der BSI IT-Grundschutz Baustein SYS.1.5 fordert Datensicherung und Wiederherstellung als zentrale Anforderungen.
Unternehmen, die diesen Zyklus automatisieren, reduzieren manuellen Aufwand und schaffen revisionssichere Spuren. Dokumentierte Testläufe werden zum zentralen Compliance-Artefakt. Wer die Null ernst nimmt, schläft ruhiger – und besteht Audits ohne Nachbesserung.
Beispiele aus der Praxis: Drei KMU-Szenarien im Vergleich
Ein Fertigungsbetrieb mit 120 Beschäftigten setzt auf Veeam on-premises an einem NAS als primäres Ziel. Die zweite Kopie wandert per Backblaze B2 Object Lock in die Cloud – 30 Tage unveränderbar. Wöchentliche SureBackup-Tests im isolierten VLAN liefern den Nachweis für den Cyberversicherer, der die Prämie um 15 Prozent senkt. Lesson Learned: Automatisierte Restore-Prüfungen sind der Hebel für Versicherungsrabatte.
Eine Kreativagentur mit 35 Mitarbeitenden verzichtet auf Lizenzkosten. Proxmox Backup Server sichert VMs und Container auf TrueNAS per ZFS-Replikation an einen zweiten Standort. Wasabi S3 Object Lock mit 90-tägiger Unveränderbarkeit bildet das Offsite-Ziel. RPO liegt bei vier Stunden. Lesson Learned: Open-Source-Stacks erfüllen 3-2-1-1-0, wenn Replication und Object Lock sauber konfiguriert sind.
Eine Handelsgesellschaft mit 200 Köpfen kombiniert Veeam mit einer LTO-9-Bibliothek als immutable Air-Gap. AWS S3 Glacier Deep Archive deckt langfristige Compliance-Anforderungen ab. Microsoft-365-Daten sichert Keepit separat. Der NIS-2-Audit verlief ohne Beanstandung. Lesson Learned: SaaS-Daten brauchen eigene Backup-Linien, Tape bleibt für rechtssichere Langzeitarchivierung relevant. Detaillierte Architekturhinweise zeigen, wie hybride Pfade ohne Medienbruch gelingen.