Die 3-2-1-Regel hilft zu verhindern, dass ein Vorfall, ein Fehler oder Ransomware alle Kopien eines Unternehmens zerstört. Ihr Wert hängt jedoch von Isolierung, Aufbewahrung und Wiederherstellungstests ab.
Redaktion: Cybersécurité Solution.
Dokumentarische Zusammenfassung auf Grundlage institutioneller Quellen und der im Artikel zitierten offiziellen Dokumentationen. Unsere redaktionelle Methodik einsehen.
Redaktionelle Überprüfung: 24. August 2026. Dieser Inhalt dient der Information und stellt keine individuelle technische Beratung dar.
Diese Seite enthält allgemeine Informationen aus offiziellen Veröffentlichungen. Cybersécurité Solution führt keine technischen Eingriffe durch und erteilt keine individuelle Beratung. Jede Umgebung muss von einer kompetenten Fachperson entsprechend ihres Kontexts geprüft werden.
Backup wird oft als automatischer, beruhigender Vorgang dargestellt: eine Software kopiert Dateien, eine Anzeige bleibt grün, und das Unternehmen betrachtet das Thema als erledigt. Vorfälle zeigen jedoch regelmäßig, dass eine Kopie unvollständig, beschädigt, für Angreifende zugänglich oder innerhalb der nötigen Frist nicht wiederherstellbar sein kann.
Die 3-2-1-Regel liefert ein einfaches Prinzip: mindestens drei Exemplare der Daten aufbewahren, auf zwei verschiedenen Speicherarten oder Umgebungen, mit einer Kopie außerhalb des Hauptstandorts. Sie bezeichnet weder ein Produkt noch eine universelle Architektur. Sie dient als Rahmen, damit nicht ein einziger Ausfall oder eine einzige Kompromittierung alle Kopien gleichzeitig trifft.
Für ein KMU geht es nicht darum, absolut alles auf dieselbe Weise zu sichern. Buchhaltungsdateien, Kundendatenbank, Produktionsdokumente und technische Konfigurationen haben unterschiedliche Anforderungen an Häufigkeit, Aufbewahrung und Wiederherstellungsfrist. Eine sinnvolle Strategie beginnt daher bei den wiederherzustellenden Tätigkeiten.
Dieser Ratgeber erklärt die 3-2-1-Logik, häufige Fehler und Fragen für Gespräche mit einem Dienstleister. Er liefert keine individuelle Konfiguration: Die Wahl von Speichermedien, Verschlüsselung und Aufbewahrungsdauer muss an Daten, Verträge und Pflichten der Organisation angepasst werden.
Die Arbeitsdatei bildet eine erste Kopie; zwei weitere Backups verringern das Risiko, dass ein einzelner Fehler oder Ausfall jede Wiederherstellungsmöglichkeit zunichtemacht. Die Kopien müssen tatsächlich getrennt sein, nicht mehrere Versionen im selben kompromittierten Speicherbereich.
Vielfalt begrenzt gemeinsame Ausfälle. Eine lokale Kopie und eine Kopie in einem Cloud-Dienst können diesem Prinzip entsprechen, sofern Zugangsdaten, Rechte und Löschmechanismen verhindern, dass ein einziger Vorfall beides erreicht.
Eine an anderer Stelle gelagerte Kopie schützt vor einem physischen Schadensfall und bestimmten lokalen Vorfällen. Gegenüber Ransomware ist die logische Isolierung ebenso wichtig: Ein dauerhaft verbundenes Backup mit identischen Administratorrechten kann zusammen mit den Produktionsdaten verschlüsselt oder gelöscht werden.
Synchronisierung überträgt Änderungen schnell zwischen mehreren Geräten. Das ist praktisch für die Arbeit, kann aber auch eine Löschung oder Verschlüsselung verbreiten. Archivierung bewahrt Dokumente langfristig für rechtliche oder betriebliche Zwecke auf. Backup zielt auf die Wiederherstellung nach Verlust, Fehler oder Vorfall ab.
Ein und derselbe Dienst kann mehrere Funktionen kombinieren, die Ziele bleiben jedoch unterschiedlich. Ein Unternehmen mit auf drei Rechnern synchronisierten Dateien hat nicht zwangsläufig drei Backups: Wird eine Löschung überall übertragen, bleibt keine unabhängige Kopie erhalten.
Die Strategie beginnt mit einer einfachen Bestandsaufnahme: Welche Daten ermöglichen Rechnungsstellung, Produktion, Auslieferung, Kommunikation oder die Einhaltung gesetzlicher Pflichten? Wo werden sie gespeichert? Wer verwaltet sie? Wie lange kann der Betrieb ohne sie funktionieren?
Die Antworten führen zu zwei in der Kontinuitätsplanung gebräuchlichen Kennzahlen: der Datenmenge, deren Verlust zwischen zwei Kopien akzeptiert wird, und der maximal gewünschten Zeit zur Wiederaufnahme einer Funktion. Ohne diese Bezugspunkte wird die Backup-Häufigkeit zufällig gewählt, und die Wiederherstellungsfähigkeit bleibt unbekannt.
Backups sind bei einem Angriff ein vorrangiges Ziel. Ein einziges Administratorkonto, das sowohl für die Produktion als auch für die Kopien genutzt wird, erhöht das Risiko. Rechtetrennung, Multi-Faktor-Authentifizierung, Protokollierung und Unveränderlichkeitsmechanismen (Immutability) können unbefugte Löschung oder Änderung begrenzen.
Der Dienstleister kann erklären, wer Löschrechte besitzt, wie Zugänge beim Ausscheiden von Mitarbeitenden entzogen werden und welche Warnmeldungen bei Fehlschlägen oder ungewöhnlichem Datenvolumen existieren. Eine über dieselbe kompromittierte Mailbox erreichbare Konsole wie andere Dienste verdient besondere Aufmerksamkeit.
Ein Wiederherstellungstest prüft, ob Dateien lesbar sind, Rechte korrekt wiederhergestellt werden und die Dokumentation einer berechtigten Person den Vorgang ermöglicht. Er kann je nach Risikoniveau ein Dokument, ein Postfach, eine Datenbank oder eine vollständige Anwendung betreffen.
Die Testhäufigkeit hängt von Kritikalität und technischen Änderungen ab. Eine Migration, ein Dienstleisterwechsel oder eine neue Anwendung rechtfertigen oft einen zusätzlichen Test. Der Bericht sollte Datum, Umfang, benötigte Zeit und aufgetretene Auffälligkeiten festhalten.
Diese Punkte sollten in Vertragsunterlagen oder einer verständlichen technischen Beschreibung stehen. Ein allgemeines Versprechen „sicheres Backup" erlaubt weder die tatsächliche Abdeckung noch die jeweiligen Verantwortlichkeiten zu bewerten.
Die Backup-Häufigkeit sollte von einer geschäftlichen Frage ausgehen: Wie viele Stunden oder Tage Arbeit kann das Unternehmen tatsächlich verlieren? Rechnungs-, Bestell- oder Produktionsdaten können eine andere Häufigkeit erfordern als Dokumentenarchive. Diese Entscheidung sollte dokumentiert werden, statt aus einer Standardeinstellung des Anbieters abgeleitet zu sein.
Die Nutzung einer Cloud-Anwendung bedeutet nicht automatisch ein den Unternehmensanforderungen entsprechendes Backup. Zu prüfen sind Aufbewahrung, Wiederherstellungsmöglichkeiten, endgültige Löschungen, Exporte und Wiederherstellung bei Verlust des Zugangs zum Hauptkonto.
Über die Speicherkapazität hinaus sollte der Vertrag Verantwortlichkeiten, Wiederherstellungsfristen, Speicherort und Datenschutz, Reversibilität, Löschung bei Vertragsende sowie verfügbaren Support im Vorfall festlegen.
Wenn Ihr Bedarf anschließend eine externe Leistung erfordert, können Sie an einen Fachpartner vermittelt werden.
Jedes Unternehmen hat ein anderes Umfeld, andere Verträge und Rahmenbedingungen. Sie können Ihren Bedarf sachlich beschreiben, ohne Passwort oder sensible Daten zu übermitteln. Mit Ihrer Zustimmung können Ihre Kontaktdaten an einen unabhängigen Partner weitergegeben werden, der allein für seine Analyse, seine Preise und die vorgeschlagenen weiteren Schritte verantwortlich bleibt.
Zum FormularDie 3-2-1-Regel bleibt ein nützlicher Bezugspunkt, weil sie zum Nachdenken über Vielfalt und Isolierung der Kopien zwingt. Sie ersetzt jedoch weder Bestandsaufnahme noch Zugriffsverwaltung noch Tests. Eine Strategie, die die Zahlen einhält, aber die Wiederherstellung ignoriert, kann ein falsches Sicherheitsgefühl vermitteln.
Für ein kleines Unternehmen zeigt sich Reife an einfachen Nachweisen: einer Liste prioritärer Daten, einer wirklich isolierten Kopie, verfolgten Warnmeldungen und einem dokumentierten Test. Diese Elemente zeigen nicht nur, ob Daten kopiert werden, sondern ob der Betrieb tatsächlich wieder aufgenommen werden kann.
Nicht zwangsläufig. Synchronisierung kann Löschungen und Änderungen ebenfalls übertragen. Zu prüfen sind unabhängige Versionen, die Aufbewahrungsdauer und die Wiederherstellungsfähigkeit.
Sie kann Teil der Strategie sein, aber eine dauerhaft angeschlossene Festplatte bleibt anfällig für Defekte, Diebstahl und Ransomware. Lagerung, Rotation und Tests müssen organisiert sein.
Es gibt keine universelle Häufigkeit. Sie hängt von der Kritikalität, der Änderungsgeschwindigkeit und den Pflichten des Unternehmens ab. Tests müssen regelmäßig genug sein, um einen Fehler vor einer Krise zu erkennen.
Die DSGVO verlangt dem Risiko angemessene Sicherheitsmaßnahmen, schreibt aber nicht diese konkrete Regel vor. Die 3-2-1-Methode ist ein anerkannter Weg, Resilienz und Verfügbarkeit von Daten zu organisieren.
Diese öffentlichen Quellen dienten zur Überprüfung und Einordnung der dargestellten Informationen.
Links geprüft am 24. August 2026.