Ratgeber · Backup-Strategie
Die 3-2-1-1-0-Regel einfach erklärt
Kurz gesagt: Halten Sie drei Kopien Ihrer Daten auf zwei verschiedenen Medien, eine davon außer Haus und eine unveränderbar – und prüfen Sie, dass sich alle ohne Fehler wiederherstellen lassen. Die Regel erweitert die bekannte 3-2-1-Regel, die auch das BSI empfiehlt, um den Schutz vor Ransomware und um die geprüfte Wiederherstellung.
Die fünf Ziffern
| Ziffer | Bedeutung | Wogegen sie schützt |
|---|---|---|
| 3 Kopien | Die Originaldaten und mindestens zwei Sicherungen | Ausfall einer einzelnen Sicherung |
| 2 Medien | Mindestens zwei verschiedene Speicherarten, etwa Platte im Server und NAS oder Backup-Server | Fehler, die eine ganze Geräteklasse treffen |
| 1 außer Haus | Eine Kopie an einem anderen Ort | Brand, Wasser, Diebstahl, Überspannung |
| 1 unveränderbar | Eine Kopie offline oder gegen Ändern und Löschen gesperrt | Ransomware und Angreifer mit Administratorrechten |
| 0 Fehler | Geprüft wiederherstellbar | Sicherungen, die im Ernstfall nicht funktionieren |
Warum 3-2-1 heute nicht mehr reicht
Die 3-2-1-Regel stammt aus einer Zeit, in der Hardwaredefekte und Unfälle die größten Risiken waren. Heute gehen Angreifer gezielt auf die Sicherungen los: Bevor eine Ransomware die Daten verschlüsselt, löscht oder verschlüsselt sie, was sie an Sicherungen erreicht. Eine Kopie außer Haus hilft dann nur, wenn der Angreifer sie nicht mit denselben Zugangsdaten löschen kann. Deshalb die zusätzliche 1 für eine unveränderbare Kopie.
Die 0 steht für die Erfahrung vieler Ernstfälle: Sicherungen, die jahrelang „erfolgreich“ gemeldet wurden, ließen sich nicht zurückspielen – weil eine Platte fehlte, ein Dienst nicht startete oder der Schlüssel verloren war. Erst ein Test zeigt, ob eine Sicherung etwas taugt.
Ein Beispiel aus der Praxis
Ein Unternehmen mit einem Hyper-V-Host, einem Dateiserver und Microsoft 365 setzt die Regel so um:
- Kopie 1: jede Nacht auf ein NAS im Serverraum – für schnelle Wiederherstellungen im Alltag.
- Kopie 2: im selben Lauf auf einen Backup-Server mit WORM-Sperre in einem anderen Brandabschnitt oder an einem zweiten Standort – unveränderbar für 30 Tage.
- Außer Haus: der Backup-Server spiegelt nachts an einen zweiten Backup-Server außer Haus oder in einen Cloud-Speicher in Deutschland; zusätzlich wöchentlich ein Export auf eine USB-Platte, die im Safe liegt.
- Null Fehler: jeden Samstag werden drei zufällig gewählte Sicherungen zur Probe wiederhergestellt, die Dateisysteme geprüft und die VMs in einer abgeschotteten Umgebung gestartet.
Festgehalten wird das im Datensicherungskonzept – zusammen mit Aufbewahrung, Zuständigkeiten und dem Ort des Schlüssels.
Der häufigste Fehler: mehrere Läufe statt einem
Viele Umgebungen erfüllen die Regel mit mehreren getrennten Sicherungen – eine lokale, eine zweite in die Cloud, später ein Kopierjob. Das kostet Zeit im Sicherungsfenster, belastet die Systeme mehrfach und führt zu Kopien mit unterschiedlichem Stand. Besser ist ein Lauf, der die Quelle einmal liest und alle Ziele gleichzeitig beschreibt.
Wie AegisGrid die Regel umsetzt
AegisGrid liest die Quelle einmal und schreibt in einem Lauf an bis zu acht Ziele: USB-Platte, NAS, Backup-Server im Haus mit WORM-Sperre, Backup-Server außer Haus oder den Cloud-Speicher. Jedes Ziel bekommt nur, was ihm noch fehlt. Für die 0 prüft der Backup-Server alle gespeicherten Daten und stellt Sicherungen automatisch zur Probe wieder her. Jede Kopie auf einem Backup-Server, jede Prüfung und jedes Prüf-Restore steht im signierten Nachweis-Protokoll.
Häufige Fragen zur 3-2-1-1-0-Regel
Zählt die Cloud als „außer Haus“?
Ja, wenn die Kopie in einem anderen Gebäude liegt und nicht mit denselben Zugangsdaten gelöscht werden kann wie die lokalen Sicherungen. Ein zweiter eigener Standort erfüllt den Punkt genauso.
Reicht eine USB-Platte als unveränderbare Kopie?
Ja, solange sie nach der Sicherung vom Netz getrennt und sicher aufbewahrt wird – dann kann kein Angreifer sie erreichen. Bequemer ist ein WORM-Speicher, der Sicherungen automatisch bis zu einem festen Datum gegen Löschen sperrt.
Ist die 3-2-1-1-0-Regel eine gesetzliche Pflicht?
Nein, sie ist eine bewährte Empfehlung aus der Praxis. Gesetze wie NIS2 und die DSGVO verlangen eine funktionierende Sicherung und Wiederherstellung; die Regel ist ein guter Weg, das zu erreichen. Mehr dazu im Artikel NIS2 und Datensicherung.
3-2-1-1-0 in einem Lauf
Im Pilotprojekt setzen wir die Regel mit Ihnen an Ihren eigenen Systemen um.