Backup Strategie für KMU: 3-2-1-Regel richtig umsetzen

Eine Backup Strategie legt fest, welche Daten wie oft, auf welchen Medien und wie lange gesichert werden – und wie sie im Ernstfall zurückkommen.

Der letzte Halbsatz ist der entscheidende. In der Praxis scheitern Wiederherstellungen selten daran, dass gar keine Sicherung existiert. Sie scheitern daran, dass die einzige Kopie im selben Raum stand, dass die Aufbewahrungsdauer zu kurz war oder dass niemand je geprüft hat, wie lange ein vollständiger Wiederanlauf tatsächlich dauert.

Genau dagegen gibt es eine seit Jahrzehnten bewährte Faustregel: die 3-2-1-Regel. Sie ist einfach genug, um sie sich zu merken, und robust genug, um die häufigsten Ausfallszenarien abzudecken.

Dieser Artikel erklärt die Regel, ihre moderne Erweiterung, die verschiedenen Sicherungsarten und Medien – und zeigt, wie sich daraus ein Konzept ergibt, das im Ernstfall trägt.

Inhaltsverzeichnis

• Was eine Backup Strategie leisten muss
• Die 3-2-1-Regel erklärt
• Die Erweiterung: 3-2-1-1-0
• Sicherungsarten: Voll, differenziell, inkrementell
• Medien im Vergleich
• Was gesichert werden muss und wie oft
• Zuständigkeiten und Kontrolle festlegen
• Wiederherstellung testen
• Fazit
• FAQ zur Backup Strategie

Was eine Backup Strategie leisten muss

Eine Sicherung ist kein Selbstzweck. Sie muss zwei Fragen beantworten, die vor jeder technischen Entscheidung stehen:

1. Wie viel Arbeit dürfen wir verlieren? Die Antwort bestimmt die Sicherungshäufigkeit. Ist ein Tag vertretbar, genügt eine nächtliche Sicherung. Bei laufenden Buchungen sind mehrere Läufe pro Tag nötig.
2. Wie lange darf der Wiederanlauf dauern? Die Antwort bestimmt Speicherort und Verfahren. Ein Server, ohne den niemand arbeiten kann, braucht eine schnelle lokale Kopie – ein Archivlaufwerk nicht.

Diese beiden Zielwerte werden häufig als RPO und RTO bezeichnet. RPO beschreibt, wie viel Datenverlust maximal akzeptabel ist. RTO beschreibt, wie schnell ein System nach einem Ausfall wieder verfügbar sein muss. Eine gute Backup Strategie übersetzt diese Werte in konkrete Sicherungsintervalle, Speicherorte und Wiederherstellungsabläufe.

Diese Werte sollten je System festgelegt und schriftlich festgehalten werden. Sie bestimmen Kosten und Aufwand stärker als jede Produktentscheidung.

Backup Strategie erstellen: die wichtigsten Schritte

Eine Backup Strategie entsteht nicht mit der Auswahl einer Software, sondern mit einer klaren Reihenfolge:

1. Kritische Systeme und Daten erfassen
2. je System festlegen, wie viel Datenverlust vertretbar ist
3. je System festlegen, wie lange die Wiederherstellung dauern darf
4. geeignete Sicherungsarten und Speicherziele auswählen
5. Aufbewahrungsfristen und Auslagerung definieren
6. Schutz vor Löschung, Ransomware und Fehlbedienung einplanen
7. Wiederherstellung regelmäßig testen und dokumentieren

Erst danach ist sinnvoll entscheidbar, ob eine lokale Sicherung, Cloud Backup, Microsoft 365 Backup, Proxmox Backup oder eine übergreifende Lösung wie Veeam benötigt wird.

Ebenso wichtig ist eine saubere Abgrenzung, weil drei Dinge regelmäßig verwechselt werden:

Ein Cloud-Speicher ist kein Backup. Wird eine Datei gelöscht oder verschlüsselt, überträgt die Synchronisation diese Änderung zuverlässig – ohne echte Versionierung ist das Original auch dort verloren. Welche gesetzlichen Anforderungen die Archivierung stellt, behandelt der Beitrag zur Mail Archivierung.

Die 3-2-1-Regel erklärt

Die Regel beschreibt ein Minimum, das gegen die häufigsten Ausfallszenarien schützt:

• 3 Kopien der Daten insgesamt – das Original und zwei Sicherungen
• 2 verschiedene Medien oder Speichersysteme
• 1 Kopie außer Haus, räumlich getrennt vom Original

Jede Zahl hat einen konkreten Grund.

Drei Kopien schützen vor dem Fall, dass eine Sicherung selbst beschädigt ist. Fällt das Original aus und die einzige Sicherung lässt sich nicht lesen, ist alles verloren. Eine zweite Sicherung macht diesen Fall beherrschbar.

Zwei Medien schützen vor systematischen Fehlern. Liegen beide Sicherungen auf baugleichen Festplatten desselben Herstellers aus derselben Lieferung, treffen Serienfehler beide gleichzeitig. Auch ein fehlerhaftes Update der Sicherungssoftware wirkt auf alle gleich gespeicherten Sicherungen.

Eine Kopie außer Haus ist der wichtigste Punkt und wird am häufigsten weggelassen. Sie schützt vor allem, was den Standort trifft: Brand, Wasserschaden, Einbruch, Stromschaden – und vor Verschlüsselungstrojanern, die gezielt nach erreichbaren Sicherungslaufwerken suchen.

Ein häufiges Missverständnis: Eine externe Festplatte, die dauerhaft am Server angesteckt bleibt, erfüllt keinen dieser Punkte wirklich. Sie steht im selben Raum, hängt am selben System und ist für Schadsoftware genauso erreichbar wie das Original.

Die Erweiterung: 3-2-1-1-0

Weil sich die Bedrohungslage verändert hat, wurde die Regel um zwei Stellen erweitert:

• 1 Kopie offline oder unveränderbar – nicht dauerhaft beschreibbar
• 0 Fehler bei der Überprüfung der Sicherungen

Die vierte Stelle ist die Antwort auf Ransomware. Moderne Angriffe verweilen oft Wochen unbemerkt im Netzwerk und löschen gezielt Sicherungen, bevor sie verschlüsseln. Eine Kopie, die auch mit Administratorrechten nicht gelöscht werden kann, überlebt das.

Praktisch umsetzen lässt sich das auf zwei Wegen: entweder physisch getrennt – ein Datenträger, der nach dem Lauf abgesteckt und weggeschlossen wird – oder technisch unveränderbar, indem der Speicher Sicherungen für einen festgelegten Zeitraum vor Löschung schützt.

Die fünfte Stelle verlangt, dass Sicherungen regelmäßig auf Lesbarkeit geprüft werden. Eine defekte Sicherung, die erst im Ernstfall auffällt, ist keine Sicherung. Manche Systeme erledigen das automatisch; wo nicht, gehört die Prüfung in den Betriebsablauf.

Den Gesamtzusammenhang mit den übrigen Schutzebenen beschreibt der Beitrag zum Ransomware Schutz.

Für kleine und mittlere Unternehmen ohne eigene IT-Abteilung liegt die Schwierigkeit selten in der Regel selbst, sondern im laufenden Betrieb. FIGULI CONSULTING plant Backup-Konzepte für Unternehmen, richtet passende Backup-Lösungen wie Veeam ein, überwacht die Sicherungsläufe und prüft in festen Abständen, ob sich die Daten tatsächlich zurückholen lassen.

Backup-Konzept mit FIGULI planen

Sicherungsarten: Voll, differenziell, inkrementell

Die Wahl der Sicherungsart bestimmt, wie lange ein Lauf dauert, wie viel Speicher er belegt und wie schnell die Wiederherstellung geht.

Der praktische Unterschied zeigt sich im Ernstfall. Bei inkrementeller Sicherung braucht die Wiederherstellung die vollständige Kette – fehlt ein Glied, sind auch alle nachfolgenden Stände unbrauchbar. Bei differenzieller Sicherung genügen zwei Elemente: die Vollsicherung und der letzte differenzielle Stand.

Bewährt hat sich in vielen Betrieben eine Kombination: eine wöchentliche Vollsicherung mit täglichen inkrementellen Läufen dazwischen. Das hält die nächtlichen Läufe kurz und begrenzt zugleich die Länge der Kette auf eine Woche.

Moderne Lösungen arbeiten häufig nach dem Prinzip einmal voll, danach dauerhaft inkrementell: Nach der ersten Vollsicherung werden nur noch Änderungen übertragen und im Hintergrund zu einem jeweils aktuellen Vollstand zusammengeführt. Das verbindet kurze Laufzeiten mit einfacher Wiederherstellung.

Medien im Vergleich

Für die meisten KMU ist eine Kombination aus Netzwerkspeicher und Cloud der pragmatischste Weg: der Netzwerkspeicher für die schnelle Wiederherstellung im Alltag, die Cloud als Kopie außer Haus.

Externe Festplatten im Wechsel sind eine gültige Umsetzung der Auslagerung – aber nur, wenn der Wechsel tatsächlich stattfindet. In der Praxis ist das der häufigste Schwachpunkt, weil er von einer Person abhängt und im Urlaub oder bei Krankheit ausfällt.

Wie sich die Auslagerung in die Cloud konkret umsetzen lässt, beschreibt der Beitrag zum Cloud Backup.

Was gesichert werden muss und wie oft

Die Auswahl folgt nicht der Datenmenge, sondern der Frage: Ohne welche Daten steht der Betrieb still?

Typischerweise gehören dazu:

• Dateiserver und Netzwerkspeicher mit der laufenden Arbeitsablage
• Virtuelle Maschinen samt Konfiguration
• Datenbanken von Warenwirtschaft, Buchhaltung und Branchensoftware
• Microsoft 365 mit Postfächern, Dateien und Teams-Inhalten
• Konfigurationen von Firewall, Netzwerk und Servern
• Notebooks von Personen, die viel unterwegs arbeiten

Die letzten beiden Punkte werden am häufigsten vergessen. Eine Firewall-Konfiguration ist klein, ihre Rekonstruktion kostet aber Tage.

Zwei Sonderfälle verdienen eigene Aufmerksamkeit: Microsoft 365 wird von Microsoft nicht im Sinne einer Datensicherung geschützt – die

Verantwortung für die Inhalte bleibt beim Kunden, siehe dazu den Beitrag zum Microsoft 365 Backup. Und bei virtualisierten Umgebungen gelten eigene Anforderungen, die der Beitrag zum Proxmox Backup behandelt.

Aufbewahrung sinnvoll staffeln

Der Gedanke dahinter: Die Aufbewahrung muss länger reichen als die Zeit, bis ein Problem entdeckt wird. Fällt eine Datenbankbeschädigung erst nach drei Wochen auf, nützen vierzehn tägliche Stände nichts – sie enthalten den Fehler bereits. Genau dafür existieren die wöchentlichen und monatlichen Stände.

Praxisnahe Hinweise zur Datensicherung bietet die österreichische Behördenseite onlinesicherheit.gv.at, einen umfassenderen Überblick das IT-Sicherheitshandbuch für KMU der Wirtschaftskammer.

Zuständigkeiten und Kontrolle festlegen

Eine Backup Strategie funktioniert nur, wenn klar ist, wer sie im Alltag betreibt. Deshalb sollte schriftlich festgelegt werden, wer Sicherungsläufe kontrolliert, wer Fehlermeldungen erhält, wer Wiederherstellungstests durchführt und wer im Ernstfall entscheidet, welche Systeme zuerst zurückkommen.

Besonders kritisch sind Benachrichtigungen. Ein Backup-System, das Fehler an ein ungelesenes Postfach sendet, schützt das Unternehmen praktisch nicht. Sinnvoll sind klare Eskalationswege: Fehler müssen bemerkt, bewertet und behoben werden, bevor die Sicherung im Ernstfall gebraucht wird.



Für KMU ohne eigene IT-Abteilung ist dieser laufende Betrieb oft schwieriger als die technische Einrichtung. Genau hier entsteht der größte Unterschied zwischen einer vorhandenen Sicherung und einer belastbaren Backup Strategie.

Wiederherstellung testen

Eine Sicherung, aus der noch nie etwas zurückgeholt wurde, ist eine Annahme, kein Backup.

In der Praxis scheitern Wiederherstellungen selten am Fehlen von Daten. Häufiger sind: Ein wichtiges System war nie im Sicherungsauftrag enthalten. Die Sicherung lief seit Monaten auf Fehler, ohne dass jemand die Meldungen las. Der Vorgang dauert dreimal so lange wie angenommen. Oder es weiß niemand, in welcher Reihenfolge Systeme zurückkommen müssen.



Ein tragfähiger Testrhythmus:

• monatlich eine einzelne Datei zurückholen
• jährlich ein vollständiges System wiederherstellen
• jedes Mal Dauer und Ergebnis protokollieren

Der Vergleich der tatsächlichen Dauer mit dem geplanten Zielwert ist dabei der eigentliche Erkenntnisgewinn. Er weicht regelmäßig erheblich ab – und nur wer das vorher weiß, kann im Ernstfall realistisch kommunizieren.

Ebenso wichtig ist eine festgelegte Reihenfolge des Wiederanlaufs: Welches System muss zuerst laufen, damit überhaupt gearbeitet werden kann?

Diese Reihenfolge gehört auf Papier, nicht in eine Datei auf dem ausgefallenen Server.

Und schließlich: Jemand muss die Fehlermeldungen tatsächlich sehen. Ein Sicherungssystem, dessen Warnungen in einem ungelesenen Postfach landen, existiert praktisch nicht.

Fazit

Die 3-2-1-Regel ist deshalb so langlebig, weil sie einfach ist: drei Kopien, zwei Medien, eine außer Haus. Sie deckt die häufigsten Ausfallszenarien ab, ohne dass man dafür ein Konzept lesen muss.

Ergänzt um die beiden modernen Stellen – eine unveränderbare Kopie und die regelmäßige Prüfung auf Fehler – hält sie auch der heutigen Bedrohungslage stand, in der Angreifer gezielt Sicherungen löschen, bevor sie verschlüsseln.

Der wichtigste Schritt bleibt aber der unspektakulärste: die Wiederherstellung tatsächlich zu testen. Nicht die Frage „Haben wir ein Backup?" entscheidet im Ernstfall, sondern „Wie lange dauert es, bis wir wieder arbeiten?" – und diese Antwort kennt nur, wer sie einmal gemessen hat.

FIGULI CONSULTING unterstützt KMU dabei, ein passendes Backup-Konzept zu entwickeln, den Betrieb zu überwachen und Wiederherstellungen planbar zu machen.

Backup Strategie mit FIGULI besprechen

FAQ zur Backup Strategie

Was besagt die 3-2-1-Regel?

Drei Kopien der Daten – das Original und zwei Sicherungen – auf zwei verschiedenen Medien oder Speichersystemen, wobei eine Kopie räumlich getrennt außer Haus liegt. Damit sind die häufigsten Ausfallszenarien abgedeckt: defekte Sicherung, systematischer Medienfehler und Schäden am Standort.

Was bedeutet 3-2-1-1-0?

Eine Erweiterung der klassischen Regel. Die vierte Stelle steht für eine offline oder unveränderbar gespeicherte Kopie, die auch mit Administratorrechten nicht gelöscht werden kann. Die fünfte Stelle verlangt, dass Sicherungen regelmäßig auf Lesbarkeit geprüft werden und dabei fehlerfrei sind.

Was unterscheidet Voll-, differenzielle und inkrementelle Sicherung?

Die Vollsicherung erfasst alle Daten. Die differenzielle Sicherung erfasst alle Änderungen seit der letzten Vollsicherung, die inkrementelle nur die Änderungen seit dem letzten Lauf. Inkrementell ist am sparsamsten, benötigt zur Wiederherstellung aber die vollständige Kette aller Läufe.

Ist ein Cloud-Speicher wie OneDrive eine Backup Strategie?

Nein. Cloud-Speicher gleichen Daten zwischen Geräten ab und übertragen dabei auch Löschungen und Verschlüsselungen. Ohne echte Versionierung und einen kontrollierten Wiederherstellungsprozess handelt es sich um Synchronisation, nicht um eine Sicherung.

Wie lange sollten Sicherungen aufbewahrt werden?

Bewährt hat sich eine Staffelung: tägliche Stände ein bis zwei Wochen, wöchentliche vier bis sechs Wochen, monatliche sechs bis zwölf Monate. Entscheidend ist, dass die Aufbewahrung länger reicht als die Zeit, bis ein schleichendes Problem entdeckt wird.

Wie oft sollte die Wiederherstellung getestet werden?

Monatlich eine einzelne Datei, jährlich ein vollständiges System – jeweils mit Protokoll über Dauer und Ergebnis. Erfolgreiche Sicherungsmeldungen allein sind kein Nachweis der Wiederherstellbarkeit.

Genügt eine externe Festplatte am Server?

Nein. Eine dauerhaft angeschlossene Festplatte steht am selben Standort, hängt am selben System und ist für Schadsoftware ebenso erreichbar wie das Original. Sie erfüllt weder die Anforderung der räumlichen Trennung noch die einer unveränderbaren Kopie.

Was gehört in eine Backup Strategie?

Eine Backup Strategie sollte festlegen, welche Daten und Systeme gesichert werden, wie oft Sicherungen laufen, wo sie gespeichert werden, wie lange sie aufbewahrt werden, wer die Sicherung überwacht und wie die Wiederherstellung getestet wird. Wichtig sind außerdem Schutz vor Ransomware, eine Kopie außer Haus und klare Zuständigkeiten im Ernstfall.

Hinweis:
Dieser Beitrag bietet allgemeine Informationen zur Datensicherung in Unternehmen. Welche Sicherungsarten, Intervalle und Aufbewahrungszeiträume im Einzelfall geeignet sind, hängt von Systemlandschaft, Datenmenge, Verfügbarkeitsanforderungen und rechtlichen Aufbewahrungspflichten ab und sollte fachlich geprüft werden.