Backup-Konzept für KMU: die 3-2-1-Regel in der Praxis

Die 3-2-1-Regel – und ihre moderne Erweiterung

Die klassische Faustregel lautet: drei Kopien der Daten, auf zwei verschiedenen Medien, davon eine außer Haus. Das schützt gegen die häufigsten Verlustursachen: Bedienfehler, Hardwaredefekt und lokales Schadensereignis wie Brand oder Wasser.

Gegen Verschlüsselungstrojaner reicht das nicht mehr, weil moderne Angriffe gezielt die erreichbaren Backups mitverschlüsseln. Deshalb hat sich die Erweiterung 3-2-1-1-0 durchgesetzt: zusätzlich eine Kopie offline oder unveränderbar (offline, air-gapped oder immutable/WORM) und null Fehler bei der Verifizierung – also ein geprüfter, nicht nur gemeldeter Erfolg.

Der letzte Punkt ist der, an dem die meisten Konzepte scheitern: Der Job meldet „erfolgreich“, aber niemand hat je geprüft, ob sich daraus tatsächlich ein System wiederherstellen lässt.

Zuerst zwei Zahlen festlegen: RPO und RTO

Ohne diese beiden Größen ist jede Backup-Diskussion beliebig:

• RPO (Recovery Point Objective) – wie viele Daten dürfen im Ernstfall verloren gehen? Ein Backup um 22 Uhr bedeutet im schlimmsten Fall den Verlust eines kompletten Arbeitstags.
• RTO (Recovery Time Objective) – wie lange darf die Wiederherstellung dauern? Zwei Stunden, ein Tag, drei Tage? Davon hängt ab, ob eine einfache Dateisicherung genügt oder ob ganze VMs schnell startfähig sein müssen.

Diese beiden Zahlen bestimmen die Technik – nicht umgekehrt. Wer einen RTO von vier Stunden braucht, kommt mit einer externen USB-Platte im Schrank nicht hin.

Was in kleinen Betrieben typischerweise schiefgeht

• Das Backup-Ziel hängt im selben Netz und mit denselben Rechten. Wer den Fileserver verschlüsselt, erreicht auch das NAS – wenn dort dasselbe Konto Schreibrechte hat.
• Nur Dateien, keine Systeme. Die Dokumente sind gesichert, aber der Server selbst nicht. Nach einem Totalausfall beginnt der Neuaufbau bei null.
• Microsoft 365 gilt als „automatisch gesichert“. Ist es nicht: Der Anbieter sichert die Infrastruktur, nicht Ihre gelöschten oder verschlüsselten Inhalte über die Aufbewahrungsfristen hinaus.
• Keine Versionierung. Wird eine verschlüsselte Datei über die gesunde Version gesichert, ist das Backup wertlos.
• Niemand schaut auf die Jobs. Ein Backup, das seit sechs Wochen fehlschlägt, meldet sich nicht von selbst – außer jemand hat Monitoring eingerichtet.

Der Restore-Test: der einzige Beweis

Ein Backup ist eine Behauptung, ein erfolgreicher Restore ist ein Beweis. Ein sinnvoller Testrhythmus für einen kleinen Betrieb:

• Monatlich: eine zufällige Datei aus dem Backup zurückholen und öffnen. Dauert Minuten.
• Quartalsweise: eine komplette VM oder ein System in einer isolierten Umgebung starten.
• Jährlich: den Ernstfall durchspielen und die tatsächliche Dauer stoppen – das ist Ihr realer RTO, nicht der geplante.

Wichtig ist, das Ergebnis zu notieren. Wer nach einem Vorfall nachweisen muss, dass Sicherungsmaßnahmen bestanden, ist über ein Protokoll froh.

Ein tragfähiger Aufbau für kleine Unternehmen

In der Praxis hat sich diese Struktur bewährt:

• Lokale Sicherung auf ein NAS oder einen dedizierten Backup-Server – schnell für den Alltagsfall („Datei von gestern zurück“).
• Zweite Kopie außer Haus, verschlüsselt in ein Rechenzentrum oder auf rotierende Medien – für den Schadensfall vor Ort.
• Unveränderbare Aufbewahrung für einen definierten Zeitraum, damit ein Angreifer die Historie nicht löschen kann.
• Getrennte Konten: Das Backup-System meldet sich nicht mit einem Domänenkonto an, das im Alltag benutzt wird.
• Monitoring mit Benachrichtigung, damit ein Fehlschlag sofort auffällt.

Ob dabei Veeam, Acronis oder die Bordmittel des NAS zum Einsatz kommen, ist zweitrangig – entscheidend sind Trennung, Versionierung und geprüfte Wiederherstellung.

Häufige Fragen

Reicht eine externe Festplatte als Backup?

Als einzige Sicherung nein. Sie erfüllt weder die Anforderung an eine Kopie außer Haus noch an Unveränderbarkeit, und wenn sie dauerhaft am Rechner hängt, wird sie bei einem Verschlüsselungsangriff mitgenommen. Als zusätzliche, regelmäßig getrennte Kopie ist sie durchaus sinnvoll.

Muss Microsoft 365 separat gesichert werden?

In den meisten Fällen ja. Microsoft schützt die Plattform, nicht Ihre Inhalte gegen versehentliches oder böswilliges Löschen über die Aufbewahrungsfristen hinaus. Für Postfächer, SharePoint und OneDrive gibt es dedizierte Backup-Lösungen.

Wie lange dauert eine vollständige Wiederherstellung?

Das hängt von Datenmenge, Medium und Netzwerk ab und lässt sich nur messen, nicht schätzen. Genau dafür ist der jährliche Ernstfalltest da: Er ersetzt die Annahme durch eine Zahl.

Unsicher, ob Ihr Backup im Ernstfall trägt?

Beschreiben Sie kurz die Ausgangslage – innerhalb von 24 Stunden erhalten Sie eine Antwort und eine erste Einschätzung. Remote oder vor Ort im Kreis Mettmann.

Weitere Beiträge