Die 3-2-1-1-0-Regel: Warum ein Backup allein kein Schutz vor modernen Bedrohungen ist.

• Die typische Situation: Viele kleine und mittlere Betriebe verlassen sich auf eine nächtliche Datensicherung, die automatisiert auf ein lokales NAS-System schreibt.
• Das Problem: Dieses Speicherziel befindet sich im selben physischen Raum, nutzt dieselbe Netzwerkinfrastruktur und ist oft über identische administrative Zugangsdaten erreichbar.
• Das Risiko: Damit schützt das System zwar vor versehentlich gelöschten Dateien, versagt jedoch bei echten Katastrophen. Höhere Gewalt oder hochentwickelte Ransomware kompromittieren Originaldaten und Netzsicherungen zeitgleich. Ohne automatisierte und fehlerfreie Validierung bleibt jede Wiederherstellung ein unkalkulierbares Glücksspiel.

Die klassische 3-2-1-Regel, die unter anderem das BSI empfiehlt, wurde grundlegend erweitert, um als moderner Praxisstandard wirksam gegen Cyberangriffe zu schützen. Geprägt hat die Erweiterung der Backup-Hersteller Veeam:

• 3 Kopien der Daten: Die primären Produktionsdaten sowie mindestens zwei unabhängige Backup-Kopien.
• 2 unterschiedliche Medien: Speicherung auf verschiedenen Medientypen (z. B. lokaler Flash-Speicher/NAS und separates Object-Storage-Repository).
• 1 Kopie außer Haus (Offsite): Eine räumlich getrennte Sicherung, beispielsweise in einem externen Rechenzentrum oder einer sicheren Cloud-Umgebung.
• 1 Kopie offline oder unveränderbar (Immutable / Air-Gapped, physische Trennung): Mindestens eine Sicherung muss vom Firmennetzwerk getrennt (Air-Gap) oder durch technische Schreib- oder Zugriffssperren gegen nachträgliche Änderungen geschützt sein.
• 0 Fehler: Die Null steht für: keine Fehler beim Test-Restore. Automatisierte Integritätsprüfungen und regelmäßige Funktionstests zeigen vorab, dass sich die Backups im Ernstfall einspielen lassen.

• Gezielte Sabotage: Moderne Erpressertrojaner verschlüsseln längst nicht mehr nur die Server. Sie infizieren das Netzwerk im Hintergrund und zerstören gezielt zuerst alle erreichbaren Online-Sicherungen.
• Das Sicherheitsrisiko: Jedes Backup, das logisch mit dem produktiven Netzwerk verbunden ist, kann im Angriffsfall kompromittiert werden.
• Die Lösung: Die „1“ und die „0“, die zur 3-2-1-Regel hinzukommen, unterbrechen diese Angriffskette. Offline- oder Immutable-Speicher (die zusätzliche 1) schützen wirksam, weil Ransomware sie vom Firmennetz aus nicht verändern kann. Die geprüfte Wiederherstellung (die 0) sorgt dafür, dass verdeckt eingeschleuste Schadsoftware oder unbemerkt korrupte Datenstrukturen vor dem Ernstfall auffallen.

Die technologische Umsetzung erfordert im Vorfeld die präzise Definition von Geschäftsrisiken:

• RTO (Recovery Time Objective): Wie schnell müssen die Systeme nach einem Totalausfall fehlerfrei laufen (Ziel: Richtung 0 Stunden)?
• RPO (Recovery Point Objective): Wie viel Datenverlust ist verkraftbar (z. B. Echtzeitsicherung vs. tägliches Backup)?

Praxis-Szenario als Beispiel:

• Veeam Data Platform steuert die Architektur, setzt die 3-2-1-1-0-Logik um und prüft mit automatisierten SureBackup-Tests, ob sich die Sicherungen fehlerfrei wiederherstellen lassen.
• NAS-Systeme dienen als schnelles, lokales Erstziel (On-Site-Backup).
• Immutable Object Storage (z. B. via Cloud oder dedizierte Backup-Appliances) realisiert die unveränderbare, netzwerkisolierte Zusatzkopie.
• Veeam sichert komplementär Endpunkte sowie Microsoft-365-Cloud-Workloads ab.

Wichtigster Faktor: Der Verzicht auf manuelle Stichproben. Die Null-Fehler-Vorgabe wird durch automatisierte Sandbox-Wiederherstellungen im Hintergrund umgesetzt, die den Restore täglich oder wöchentlich prüfen.

Ein Backup, dessen Wiederherstellung nie geprobt wurde, ist eine Hoffnung, kein Konzept.

Klassische Stolpersteine bei Risikoanalysen, die das neue Modell gezielt adressiert:

• Mangelnde Isolation: Backups hängen permanent im selben Netz und besitzen keine logische oder physische Trennung (fehlender Air-Gap).
• Blindes Vertrauen: Die Backup-Jobs werden als „erfolgreich“ markiert, es erfolgt jedoch kein kontinuierlicher Bit-für-Bit-Integritätstest (höheres Fehler-Risiko).
• Fehlende Unveränderbarkeit: Daten können mit kompromittierten Admin-Rechten gelöscht oder überschrieben werden.
• Die Cloud-Sicherungsfalle: SaaS-Lösungen (wie Microsoft 365) werden ohne eigenständige, unveränderliche Drittanbieter-Backups betrieben.
• Defizitäre Test-Infrastruktur: Es existiert keine isolierte Testumgebung (Sandbox), um Wiederherstellungen gefahrlos und regelmäßig zu überprüfen.

Widerstandsfähige Datensicherung braucht alle Bausteine: Erst die Kombination aus räumlicher Trennung, unveränderbaren Immutable- oder Offline-Medien und der geprüften Wiederherstellung macht die Datensicherung von einem reinen IT-Prozess zu einer echten Lebensversicherung für Ihr Unternehmen. Jedes einzelne Glied der 3-2-1-1-0-Kette kann im Ernstfall über den Fortbestand des Betriebs entscheiden.

Mehr zu unserem Vorgehen steht unter Backup & IT-Sicherheit, den Rest klären wir im Erstgespräch.