Datensicherung im Unternehmen: die 3-2-1-Regel erklärt

Ein Backup fällt niemandem auf, solange alles läuft. Es liegt im Hintergrund, kostet ein bisschen Speicherplatz und macht keine Schlagzeilen. Erst wenn ein Laptop gestohlen wird, eine Festplatte den Geist aufgibt oder Ransomware ein System verschlüsselt, wird sichtbar, ob wirklich eine funktionierende Sicherung existiert oder nur die Annahme, dass irgendwo schon eine Kopie liegt.

Genau das ist das Problem bei vielen kleinen und mittleren Unternehmen. Es gibt keine böse Absicht, keine Nachlässigkeit im klassischen Sinn. Es gibt einfach kein System dahinter. Eine Datei liegt am PC vom Chef, eine zweite auf einer externen Festplatte in der Schublade, eine dritte irgendwo in einer Cloud, die vor drei Jahren mal eingerichtet wurde. Niemand kann mit Sicherheit sagen, was davon aktuell ist und was im Ernstfall wirklich zurückgeholt werden kann.

Die 3-2-1-Regel ist keine neue Erfindung, aber sie ist bis heute der verständlichste Rahmen, um Datensicherung im Unternehmen sauber aufzubauen. In diesem Artikel bekommen Sie die Regel erklärt, die häufigsten Irrtümer dazu und einen praktischen Weg, wie ein KMU ohne eigenes IT-Team das Thema in den Griff bekommt.

Die 3-2-1-Regel verständlich erklärt

Die Regel lässt sich in einem Satz zusammenfassen: drei Kopien Ihrer Daten, auf zwei unterschiedlichen Speicherarten, davon eine Kopie außer Haus.

Aufgeschlüsselt bedeutet das:

• Drei Kopien: die Originaldaten plus mindestens zwei Sicherungen. Nicht eine Sicherung, zwei.
• Zwei Speicherarten: zum Beispiel die Festplatte im PC und ein NAS im Netzwerk, oder ein NAS und eine Cloud. Der Punkt dahinter: fällt eine Technologie oder ein Hersteller aus (ein bestimmter Festplattentyp, ein Cloud-Anbieter), sind Sie nicht komplett ohne Daten da.
• Eine Kopie außer Haus: mindestens eine Sicherung liegt physisch an einem anderen Standort als das Original. Das schützt vor allem, was das gesamte Gebäude betrifft: Brand, Wasserschaden, Einbruch, Diebstahl der gesamten Hardware.

Der Grund, warum diese Regel seit Jahren Bestand hat, ist einfach: Sie deckt die drei häufigsten Ursachen für Datenverlust gleichzeitig ab. Hardware-Defekt, menschlicher Fehler und Katastrophen am Standort. Kein einzelnes Sicherungssystem allein schafft das.

Wichtig zu wissen: Moderne Ransomware sucht inzwischen gezielt nach Backups und versucht, sie vor der eigentlichen Verschlüsselung zu zerstören oder unbrauchbar zu machen. Laut dem Veeam Ransomware Trends Report 2025 waren bereits 89 Prozent der betroffenen Unternehmen mit gezielten Angriffen auf ihre Backup-Systeme konfrontiert. Das heißt: die klassische 3-2-1-Regel ist die Basis, aber sie sollte um unveränderliche oder isolierte Sicherungen ergänzt werden, auf die ein Angreifer mit gestohlenen Admin-Zugangsdaten keinen Zugriff hat. Dazu gleich mehr.

Drei Irrtümer, die im Ernstfall teuer werden

In Gesprächen mit Unternehmern höre ich regelmäßig die gleichen drei Annahmen, die sich als Trugschluss herausstellen, sobald wirklich etwas passiert.

RAID ist kein Backup. Ein RAID-Verbund im NAS oder Server schützt vor dem Ausfall einzelner Festplatten. Fällt eine Platte aus, läuft das System auf den restlichen Platten weiter, während die defekte getauscht wird. Das ist Verfügbarkeit. Löschen Sie versehentlich einen Ordner, verschlüsselt Ransomware das System oder wird das Gerät gestohlen, sind alle Platten im RAID gleichzeitig betroffen. RAID ersetzt kein Backup, es ergänzt es höchstens.

Cloud-Sync ist kein Backup. Dropbox, OneDrive oder Google Drive synchronisieren Dateien zwischen Geräten. Löschen Sie eine Datei lokal, verschwindet sie in der Regel auch in der Cloud, spätestens nach Ablauf der Papierkorb- oder Versionsfrist. Wird ein Dokument verschlüsselt oder überschrieben, wird genau diese fehlerhafte Version synchronisiert. Sync-Dienste sind praktisch für Zusammenarbeit, aber sie ersetzen keine echte, versionierte Sicherung mit klarer Aufbewahrungslogik.

Eine USB-Platte im selben Gebäude ist keine Offsite-Kopie. Viele Unternehmen haben tatsächlich eine zweite Kopie, aber sie liegt im gleichen Serverraum, im gleichen Büro oder maximal im Nachbarraum. Bei Brand, Wasserschaden oder Einbruch ist damit auch diese Kopie weg. Der Punkt „außer Haus" in der 3-2-1-Regel ist kein Bonus, sondern der Teil, der beim Totalschaden am Standort den Unterschied macht.

So setzt ein KMU die 3-2-1-Regel praktisch um

Die Theorie ist das eine, der Alltag ohne eigenes IT-Team das andere. So sieht eine praktikable Umsetzung für ein Unternehmen mit 5 bis 30 Mitarbeitern aus, die läuft, ohne dass jemand täglich daran denken muss.

Unser Synology-Setup als zentraler Speicher (Kopie 1). Ein Synology-NAS als Firmenspeicher im Büro wird zum zentralen Ablageort für alle Firmendaten, mit klaren Berechtigungen pro Team und Person. Das NAS selbst mit seinem RAID-Verbund ist bereits die erste technische Absicherung gegen einen einzelnen Festplattendefekt.

Active Backup for Business für alle PCs und Server. Statt manuell Ordner zu kopieren, sichert Active Backup for Business automatisch und im Hintergrund alle Firmenrechner, Server und virtuellen Maschinen komplett aufs NAS. Das Tool arbeitet mit block-basierten inkrementellen Sicherungen, das heißt nach der ersten vollständigen Sicherung werden nur noch Änderungen übertragen. Das spart Zeit und Speicherplatz. Ein großer Vorteil für KMU: Active Backup for Business ist lizenzkostenfrei, es kommt bei kompatiblen Synology NAS-Geräten einfach mit. Fällt ein Rechner aus, stellen Sie ihn aus dem Backup wieder her, statt ihn tagelang neu aufzusetzen.

Synology C2 Cloud als Offsite-Kopie (Kopie 2, außer Haus). Damit die 3-2-1-Regel wirklich vollständig ist, braucht es eine dritte Kopie außerhalb des Gebäudes. Dafür lässt sich das NAS zusätzlich verschlüsselt in die Synology C2 Cloud sichern. Damit übersteht Ihre Sicherung auch den Fall, dass am Standort selbst etwas passiert, Brand, Wasserschaden, Diebstahl der gesamten Hardware. Alternativ ist auch ein zweites NAS an einem anderen Standort möglich, wenn Sie bereits mehrere Standorte betreiben, wie in unserem Referenzprojekt mit drei Standorten umgesetzt.

Google Workspace einbeziehen, falls im Einsatz. Nutzt Ihr Unternehmen eine Google-Workspace-Umgebung für Mail, Kalender und Drive, gehören diese Daten ebenfalls ins Backup-Konzept. Sie lassen sich zusätzlich lokal aufs NAS sichern, damit nicht nur die lokalen Geräte, sondern auch die Cloud-Arbeitsumgebung eine echte Sicherung hat.

Damit sind alle drei Kriterien erfüllt: drei Kopien (Original, NAS, C2 Cloud), zwei Speicherarten (lokales NAS und Cloud) und eine Kopie außer Haus.

Ransomware: warum Versionen und Snapshots den Unterschied machen

Bei einem klassischen Festplattendefekt reicht die letzte Sicherung. Bei Ransomware ist die Lage komplizierter, weil die Verschlüsselung oft erst Tage oder Wochen nach dem eigentlichen Einbruch ins System zuschlägt. Wird in dieser Zeit ganz normal weitergesichert, kann es passieren, dass auch die aktuelle Sicherung bereits kompromittierte Dateien enthält.

Deshalb sind Versionierung und Snapshots so wichtig. Statt nur den letzten Stand zu speichern, hält das System mehrere Zeitpunkte in der Vergangenheit vor. Im Ernstfall können Sie gezielt auf einen Stand vor dem Angriff zurückgehen, statt verschlüsselte Dateien wiederherzustellen. Wie viele Versionen sinnvoll sind und wie lange sie aufbewahrt werden, legt man am besten im Backup-Konzept fest, abgestimmt auf Datenvolumen und Änderungshäufigkeit.

Ergänzend gilt: mindestens eine Kopie sollte für Angreifer mit gestohlenen Admin-Zugangsdaten nicht direkt löschbar sein, etwa durch Unveränderlichkeit (Immutability) auf der Offsite-Kopie oder durch getrennte Zugangsdaten für das Backup-System. Genau das ist der Grund, warum viele Experten die klassische 3-2-1-Regel mittlerweile um eine unveränderliche Kopie ergänzen, statt sie zu ersetzen.

Backup testen: der Schritt, der am häufigsten fehlt

Der wahrscheinlich größte Unterschied zwischen einer Sicherung, die im Ernstfall funktioniert, und einer, die nur gut aussieht, ist ein einziger Punkt: wurde sie jemals getestet?

Viele Backups laufen jahrelang unbemerkt fehlerhaft, weil niemand eine Testwiederherstellung gemacht hat. Ein falsch konfiguriertes Sicherungsziel, ein voller Speicher, eine stillschweigend fehlgeschlagene Aufgabe, all das fällt erst auf, wenn es zu spät ist.

Eine einfache Routine hilft: mindestens einmal im Quartal eine echte Testwiederherstellung durchführen, bei kritischen Systemen öfter. Das kostet wenig Zeit, gibt aber Sicherheit, dass im Ernstfall wirklich alles funktioniert wie geplant. Wer sich damit nicht laufend selbst beschäftigen will, kann das im Rahmen einer Wartung & Betreuung mit abdecken lassen, ohne gleich einen aufgeblähten Vollzeit-Wartungsvertrag zu brauchen.

Ein weiterer Aspekt, der zunehmend Thema wird: Auch die NIS2-Richtlinie für KMU in Österreich verlangt von vielen Unternehmen ein dokumentiertes Vorgehen für Datensicherung und Wiederherstellung. Ein sauber aufgebautes, getestetes Backup-Konzept ist damit nicht nur technische Vorsicht, sondern zunehmend auch eine Compliance-Frage.

Wie viel Speicher und wie lange Aufbewahrung sind sinnvoll?

Eine Frage, die fast immer auftaucht, sobald die Grundstruktur steht: wie groß muss das NAS sein, und wie lange sollten alte Versionen aufgehoben werden? Eine pauschale Antwort gibt es nicht, aber eine sinnvolle Herangehensweise schon.

Als Ausgangspunkt zählen Sie den aktuellen Datenbestand aller Rechner, Server und gegebenenfalls der Cloud-Umgebung zusammen. Dazu kommt ein Puffer für Wachstum über die nächsten zwei bis drei Jahre, plus der Platz, den Versionierung und Snapshots zusätzlich belegen. Synology arbeitet dabei nach Herstellerangaben mit einem sogenannten Intelliversioning-Algorithmus, der nur die Versionen mit den größten Änderungen dauerhaft behält, statt jede kleine Änderung einzeln zu speichern. Das reduziert den benötigten Speicherplatz deutlich, ohne dass Sie auf wichtige Wiederherstellungspunkte verzichten müssen.

Bei der Aufbewahrungsdauer lohnt sich ein Blick auf typische Angriffsmuster: Ransomware liegt teilweise wochenlang unbemerkt im System, bevor die eigentliche Verschlüsselung passiert. Eine Versionshistorie, die nur wenige Tage zurückreicht, hilft in diesem Fall wenig. Realistischer sind mehrere Wochen bis Monate an Versionen, je nach Sensibilität der Daten und regulatorischen Vorgaben in Ihrer Branche.

Ein Backup zählt erst, wenn es getestet ist

Die 3-2-1-Regel ist kein komplexes IT-Konzept, sondern gesunder Menschenverstand in Systemform: drei Kopien, zwei Speicherarten, eine davon außer Haus. Für ein KMU ohne eigenes IT-Team lässt sich das mit vertretbarem Aufwand umsetzen, zum Beispiel mit einem Synology NAS als zentralem Speicher, Active Backup for Business für alle Rechner und Server, und einer Offsite-Kopie in der Synology C2 Cloud. Entscheidend ist am Ende nicht nur, dass ein Backup existiert, sondern dass es regelmäßig getestet wird. Ein Backup, das im Ernstfall nicht funktioniert, ist keine Sicherung, sondern nur eine gute Absicht. Wenn Sie nicht sicher sind, ob Ihre Datensicherung diesem Standard schon entspricht, ist eine kostenlose Ersteinschätzung oft der schnellste Weg zur Klarheit.