Datensicherung im Unternehmen: die 3-2-1-Regel erklärt

Ein Backup fällt niemandem auf, solange alles läuft. Es liegt im Hintergrund, kostet ein bisschen Speicherplatz und macht keine Schlagzeilen. Erst wenn ein Laptop gestohlen wird, eine Festplatte den Geist aufgibt oder Ransomware ein System verschlüsselt, wird sichtbar, ob wirklich eine funktionierende Sicherung existiert oder nur die Annahme, dass irgendwo schon eine Kopie liegt.

Genau das ist das Problem bei vielen kleinen und mittleren Unternehmen. Es gibt keine böse Absicht, keine Nachlässigkeit im klassischen Sinn. Es gibt einfach kein System dahinter. Eine Datei liegt am PC vom Chef, eine zweite auf einer externen Festplatte in der Schublade, eine dritte irgendwo in einer Cloud, die vor drei Jahren mal eingerichtet wurde. Niemand kann mit Sicherheit sagen, was davon aktuell ist und was im Ernstfall wirklich zurückgeholt werden kann.

Die 3-2-1-Regel ist keine neue Erfindung, aber sie ist bis heute der verständlichste Rahmen, um Datensicherung im Unternehmen sauber aufzubauen. In diesem Artikel bekommst du die Regel erklärt, die häufigsten Irrtümer dazu und einen praktischen Weg, wie ein KMU ohne eigenes IT-Team das Thema in den Griff bekommt.

Die 3-2-1-Regel verständlich erklärt

Die Regel lässt sich in einem Satz zusammenfassen: drei Kopien deiner Daten, auf zwei unterschiedlichen Speicherarten, davon eine Kopie außer Haus.

Aufgeschlüsselt bedeutet das:

• Drei Kopien: die Originaldaten plus mindestens zwei Sicherungen. Nicht eine Sicherung, zwei.
• Zwei Speicherarten: zum Beispiel die Festplatte im PC und ein NAS im Netzwerk, oder ein NAS und eine Cloud. Der Punkt dahinter: fällt eine Technologie oder ein Hersteller aus (ein bestimmter Festplattentyp, ein Cloud-Anbieter), bist du nicht komplett ohne Daten da.
• Eine Kopie außer Haus: mindestens eine Sicherung liegt physisch an einem anderen Standort als das Original. Das schützt vor allem, was das gesamte Gebäude betrifft: Brand, Wasserschaden, Einbruch, Diebstahl der gesamten Hardware.

Der Grund, warum diese Regel seit Jahren Bestand hat, ist einfach: Sie deckt die drei häufigsten Ursachen für Datenverlust gleichzeitig ab. Hardware-Defekt, menschlicher Fehler und Katastrophen am Standort. Kein einzelnes Sicherungssystem allein schafft das.

Wichtig zu wissen: Moderne Ransomware sucht inzwischen gezielt nach Backups und versucht, sie vor der eigentlichen Verschlüsselung zu zerstören oder unbrauchbar zu machen. Laut dem Veeam Ransomware Trends Report waren bereits 89 Prozent der betroffenen Unternehmen mit gezielten Angriffen auf ihre Backup-Systeme konfrontiert. Das heißt: die klassische 3-2-1-Regel ist die Basis, aber sie sollte um unveränderliche oder isolierte Sicherungen ergänzt werden, auf die ein Angreifer mit gestohlenen Admin-Zugangsdaten keinen Zugriff hat. Dazu gleich mehr.

Drei Irrtümer, die im Ernstfall teuer werden

In Gesprächen mit Unternehmern höre ich regelmäßig die gleichen drei Annahmen, die sich als Trugschluss herausstellen, sobald wirklich etwas passiert.

RAID ist kein Backup. Ein RAID-Verbund im NAS oder Server schützt vor dem Ausfall einzelner Festplatten. Fällt eine Platte aus, läuft der Betrieb auf den restlichen weiter, während die defekte getauscht wird. Das ist Verfügbarkeit. Löschst du versehentlich einen Ordner, verschlüsselt Ransomware das System oder wird das Gerät gestohlen, sind alle Platten im RAID gleichzeitig betroffen. RAID ersetzt kein Backup, es ergänzt es höchstens.

Cloud-Sync ist kein Backup. Dropbox, OneDrive oder Google Drive synchronisieren Dateien zwischen Geräten. Löschst du eine Datei lokal, verschwindet sie in der Regel auch in der Cloud, spätestens nach Ablauf der Papierkorb- oder Versionsfrist. Wird ein Dokument verschlüsselt oder überschrieben, wird genau diese fehlerhafte Version synchronisiert. Sync-Dienste sind praktisch für Zusammenarbeit, aber sie ersetzen keine echte, versionierte Sicherung mit klarer Aufbewahrungslogik.

Eine USB-Platte im selben Gebäude ist keine Offsite-Kopie. Viele Betriebe haben tatsächlich eine zweite Kopie, aber sie liegt im gleichen Serverraum, im gleichen Büro oder maximal im Nachbarraum. Bei Brand, Wasserschaden oder Einbruch ist damit auch diese Kopie weg. Der Punkt „außer Haus" in der 3-2-1-Regel ist kein Bonus, sondern der Teil, der beim Totalschaden am Standort den Unterschied macht.

So setzt ein KMU die 3-2-1-Regel praktisch um

Die Theorie ist das eine, der Alltag ohne eigenes IT-Team das andere. So sieht eine praktikable Umsetzung für ein Unternehmen mit 5 bis 30 Mitarbeitern aus, die läuft, ohne dass jemand täglich daran denken muss.

Das Synology NAS als zentraler Speicher (Kopie 1 und 2). Ein NAS im Büro wird zum zentralen Ablageort für alle Firmendaten, mit klaren Berechtigungen pro Team und Person. Das NAS selbst mit seinem RAID-Verbund ist bereits die erste technische Absicherung gegen einen einzelnen Festplattendefekt.

Active Backup for Business für alle PCs und Server. Statt manuell Ordner zu kopieren, sichert Active Backup for Business automatisch und im Hintergrund alle Firmenrechner, Server und virtuellen Maschinen komplett aufs NAS. Das Tool arbeitet mit block-basierten inkrementellen Sicherungen, das heißt nach der ersten vollständigen Sicherung werden nur noch Änderungen übertragen. Das spart Zeit und Speicherplatz. Ein großer Vorteil für KMU: Active Backup for Business ist lizenzkostenfrei, es kommt bei kompatiblen Synology NAS-Geräten einfach mit. Fällt ein Rechner aus, stellst du ihn aus dem Backup wieder her, statt ihn tagelang neu aufzusetzen.

Synology C2 Cloud als Offsite-Kopie (Kopie 3, außer Haus). Damit die 3-2-1-Regel wirklich vollständig ist, braucht es eine dritte Kopie außerhalb des Gebäudes. Dafür lässt sich das NAS zusätzlich verschlüsselt in die Synology C2 Cloud sichern. Damit übersteht deine Sicherung auch den Fall, dass am Standort selbst etwas passiert, Brand, Wasserschaden, Diebstahl der gesamten Hardware. Alternativ ist auch ein zweites NAS an einem anderen Standort möglich, wenn du bereits mehrere Standorte betreibst, wie in unserem Projekt für eine Arztpraxis mit drei Standorten umgesetzt.

Google Workspace einbeziehen, falls im Einsatz. Nutzt dein Unternehmen Google Workspace für Mail, Kalender und Drive, gehören diese Daten ebenfalls ins Backup-Konzept. Sie lassen sich zusätzlich lokal aufs NAS sichern, damit nicht nur die lokalen Geräte, sondern auch die Cloud-Arbeitsumgebung eine echte Sicherung hat.

Damit sind alle drei Kriterien erfüllt: drei Kopien (Original, NAS, C2 Cloud), zwei Speicherarten (lokales NAS und Cloud) und eine Kopie außer Haus.

Ransomware: warum Versionen und Snapshots den Unterschied machen

Bei einem klassischen Festplattendefekt reicht die letzte Sicherung. Bei Ransomware ist die Lage komplizierter, weil die Verschlüsselung oft erst Tage oder Wochen nach dem eigentlichen Einbruch ins System zuschlägt. Wird in dieser Zeit ganz normal weitergesichert, kann es passieren, dass auch die aktuelle Sicherung bereits kompromittierte Dateien enthält.

Deshalb sind Versionierung und Snapshots so wichtig. Statt nur den letzten Stand zu speichern, hält das System mehrere Zeitpunkte in der Vergangenheit vor. Im Ernstfall kannst du gezielt auf einen Stand vor dem Angriff zurückgehen, statt verschlüsselte Dateien wiederherzustellen. Wie viele Versionen sinnvoll sind und wie lange sie aufbewahrt werden, legt man am besten im Backup-Konzept fest, abgestimmt auf Datenvolumen und Änderungshäufigkeit.

Ergänzend gilt: mindestens eine Kopie sollte für Angreifer mit gestohlenen Admin-Zugangsdaten nicht direkt löschbar sein, etwa durch Unveränderlichkeit (Immutability) auf der Offsite-Kopie oder durch getrennte Zugangsdaten für das Backup-System. Genau das ist der Grund, warum viele Experten die klassische 3-2-1-Regel mittlerweile um eine unveränderliche Kopie ergänzen, statt sie zu ersetzen.

Backup testen: der Schritt, der am häufigsten fehlt

Der wahrscheinlich größte Unterschied zwischen einer Sicherung, die im Ernstfall funktioniert, und einer, die nur gut aussieht, ist ein einziger Punkt: wurde sie jemals getestet?

Viele Backups laufen jahrelang unbemerkt fehlerhaft, weil niemand eine Testwiederherstellung gemacht hat. Ein falsch konfiguriertes Sicherungsziel, ein voller Speicher, eine stillschweigend fehlgeschlagene Aufgabe, all das fällt erst auf, wenn es zu spät ist.

Eine einfache Routine hilft: mindestens einmal im Quartal eine echte Testwiederherstellung durchführen, bei kritischen Systemen öfter. Das kostet wenig Zeit, gibt aber Sicherheit, dass im Ernstfall wirklich alles funktioniert wie geplant. Wer sich damit nicht laufend selbst beschäftigen will, kann das im Rahmen einer Wartung & Betreuung mit abdecken lassen, ohne gleich einen aufgeblähten Vollzeit-Wartungsvertrag zu brauchen.

Ein weiterer Aspekt, der zunehmend Thema wird: Auch die NIS2-Richtlinie für KMU in Österreich verlangt von vielen Betrieben ein dokumentiertes Vorgehen für Datensicherung und Wiederherstellung. Ein sauber aufgebautes, getestetes Backup-Konzept ist damit nicht nur technische Vorsicht, sondern zunehmend auch eine Compliance-Frage.

Wie viel Speicher und wie lange Aufbewahrung sinnvoll sind

Eine Frage, die fast immer auftaucht, sobald die Grundstruktur steht: wie groß muss das NAS sein, und wie lange sollten alte Versionen aufgehoben werden? Eine pauschale Antwort gibt es nicht, aber eine sinnvolle Herangehensweise schon.

Als Ausgangspunkt zählst du den aktuellen Datenbestand aller Rechner, Server und gegebenenfalls der Cloud-Umgebung zusammen. Dazu kommt ein Puffer für Wachstum über die nächsten zwei bis drei Jahre, plus der Platz, den Versionierung und Snapshots zusätzlich belegen. Synology arbeitet dabei mit einem sogenannten Intelliversioning-Algorithmus, der nur die Versionen mit den größten Änderungen dauerhaft behält, statt jede kleine Änderung einzeln zu speichern. Das reduziert den benötigten Speicherplatz deutlich, ohne dass du auf wichtige Wiederherstellungspunkte verzichten musst.

Bei der Aufbewahrungsdauer lohnt sich ein Blick auf typische Angriffsmuster: Ransomware liegt teilweise wochenlang unbemerkt im System, bevor die eigentliche Verschlüsselung passiert. Eine Versionshistorie, die nur wenige Tage zurückreicht, hilft in diesem Fall wenig. Realistischer sind mehrere Wochen bis Monate an Versionen, je nach Sensibilität der Daten und regulatorischen Vorgaben in deiner Branche.

Fazit

Die 3-2-1-Regel ist kein komplexes IT-Konzept, sondern gesunder Menschenverstand in Systemform: drei Kopien, zwei Speicherarten, eine davon außer Haus. Für ein KMU ohne eigenes IT-Team lässt sich das mit vertretbarem Aufwand umsetzen, zum Beispiel mit einem Synology NAS als zentralem Speicher, Active Backup for Business für alle Rechner und Server, und einer Offsite-Kopie in der Synology C2 Cloud. Entscheidend ist am Ende nicht nur, dass ein Backup existiert, sondern dass es regelmäßig getestet wird. Ein Backup, das im Ernstfall nicht funktioniert, ist keine Sicherung, sondern nur eine gute Absicht.