Backups für kleine Unternehmen: 3-2-1-Regel umsetzen

Ein defekter Server, ein versehentlich gelöschter Ordner oder ein Verschlüsselungstrojaner: Ohne funktionierendes Backup kann jeder dieser Fälle ein kleines Unternehmen tagelang lahmlegen. Die 3-2-1-Regel ist eine einfache Faustregel, mit der Sie Ihre Datensicherung so aufbauen, dass ein einzelnes Ereignis nicht alle Kopien gleichzeitig trifft. Dieser Artikel zeigt, wie Sie die Regel praktisch umsetzen.

Was die 3-2-1-Regel besagt

Die Regel lässt sich in drei Zahlen zusammenfassen:

• 3 Kopien Ihrer wichtigen Daten: das Original und zwei Sicherungen
• 2 verschiedene Speichermedien, zum Beispiel ein NAS und ein Cloud-Speicher
• 1 Kopie an einem anderen Ort, also außerhalb Ihrer Geschäftsräume

Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) bezeichnet die 3-2-1-Regel in seinen Vorschlägen zu Business-Continuity-Strategien als empfehlenswert für eine erfolgreiche Backup-Strategie.

Die Idee dahinter: Unterschiedliche Medien fallen selten gleichzeitig aus, und eine externe Kopie übersteht auch Brand, Wasserschaden oder Diebstahl im Büro.

Warum Ransomware die Regel erweitert hat

Ransomware ist Schadsoftware, die Daten verschlüsselt und Lösegeld fordert. Moderne Varianten suchen gezielt nach erreichbaren Backups und verschlüsseln oder löschen sie mit. Ein NAS, das dauerhaft als Netzlaufwerk verbunden ist, bietet deshalb wenig Schutz.

Deshalb ist in der Praxis oft von 3-2-1-1-0 die Rede:

• 1 Kopie offline oder unveränderbar: Eine Sicherung ist vom Netzwerk getrennt oder für einen festgelegten Zeitraum gegen Änderungen geschützt. Diese Eigenschaft heißt Unveränderbarkeit (englisch „Immutability“).
• 0 Fehler bei der Wiederherstellung: Sicherungen werden regelmäßig geprüft und testweise zurückgespielt.

Das BSI empfiehlt in seinem Maßnahmenkatalog gegen Ransomware ebenfalls, mehrere Sicherungskopien getrennt aufzubewahren und die Wiederherstellung regelmäßig zu üben.

Was gesichert werden muss

Bevor Sie Technik kaufen, sollten Sie wissen, was eigentlich gesichert werden soll. Typische Datenquellen in kleinen Unternehmen sind:

• Dateiablagen auf Server oder NAS
• Datenbanken von Warenwirtschaft, Buchhaltung oder CRM
• E-Mail-Postfächer, Kalender und Kontakte
• Cloud-Dienste wie Microsoft 365 oder Google Workspace
• Webseiten und Onlineshops samt Datenbank
• Konfigurationen von Firewall, Router und Servern

Ein häufiges Missverständnis betrifft Cloud-Dienste. Dass Daten in der Cloud liegen, heißt nicht automatisch, dass sie gesichert sind. Viele Anbieter schützen vor dem Ausfall ihrer Infrastruktur, aber nicht unbedingt vor versehentlichem Löschen durch Nutzer. Prüfen Sie die Bedingungen Ihres Anbieters und sichern Sie wichtige Cloud-Daten zusätzlich.

So sieht eine praxisnahe Umsetzung aus

Ein typisches Setup für ein Unternehmen mit 10 bis 50 Arbeitsplätzen könnte so aussehen:

Alternativ zur Cloud kann die externe Kopie auch auf wechselnden USB-Festplatten liegen, die außer Haus aufbewahrt werden. Das ist günstig, erfordert aber Disziplin: Jemand muss die Medien regelmäßig tauschen und transportieren.

Wichtige Details bei der Einrichtung

• Getrennte Zugangsdaten: Das Backup-System sollte nicht mit denselben Admin-Konten erreichbar sein wie die übrigen Systeme. Sonst kann ein Angreifer mit einem gestohlenen Konto auch die Sicherungen löschen.
• Verschlüsselung: Externe Kopien sollten verschlüsselt werden. Bewahren Sie den Schlüssel sicher und getrennt auf, ohne ihn ist das Backup wertlos.
• Aufbewahrung: Legen Sie fest, wie viele Versionen Sie behalten, zum Beispiel tägliche Sicherungen für zwei Wochen und monatliche für ein Jahr. So können Sie auch auf einen Stand vor einer unbemerkten Infektion zurückgreifen.
• Standort der Daten: Bei Cloud-Backups mit personenbezogenen Daten gilt die DSGVO. Achten Sie auf einen Vertrag zur Auftragsverarbeitung und auf den Speicherort.

Zwei Kennzahlen, die Sie kennen sollten

Für die Planung helfen zwei Begriffe aus dem Notfallmanagement:

• RPO (Recovery Point Objective): Wie viel Datenverlust ist maximal tragbar? Wenn Sie nur nachts sichern, verlieren Sie im schlimmsten Fall die Arbeit eines ganzen Tages.
• RTO (Recovery Time Objective): Wie lange darf die Wiederherstellung höchstens dauern? Eine große Datenmenge aus der Cloud zurückzuladen, kann je nach Internetanbindung lange dauern.

Aus diesen Werten ergibt sich, wie oft Sie sichern und ob eine schnelle lokale Kopie nötig ist.

Häufige Fehler in der Praxis

Viele Backup-Probleme zeigen sich erst, wenn eine Wiederherstellung nötig ist. Typische Schwachstellen sind:

• Synchronisation statt Backup: Dienste wie OneDrive oder Dropbox synchronisieren Dateien. Wird eine Datei gelöscht oder verschlüsselt, wird diese Änderung ebenfalls übertragen.
• Nur eine Kopie im selben Raum: Eine USB-Festplatte neben dem Server hilft nicht bei Brand oder Einbruch.
• Fehlermeldungen niemand liest: Sicherungen laufen wochenlang ins Leere, weil Warnungen in einem ungenutzten Postfach landen.
• Unvollständige Sicherung: Neue Systeme oder Freigaben werden nie in den Sicherungsplan aufgenommen.

Checkliste für Ihr Backup-Konzept

1. Datenquellen erfassen: Listen Sie alle Systeme und Dienste auf, deren Daten Sie benötigen.
2. RPO und RTO festlegen: Bestimmen Sie für jedes System den tragbaren Datenverlust und die maximale Ausfallzeit.
3. Drei Kopien, zwei Medien, ein externer Ort: Planen Sie die Speicherorte nach der 3-2-1-Regel.
4. Eine Kopie schützen: Richten Sie eine Offline- oder unveränderbare Sicherung ein.
5. Zugänge trennen: Nutzen Sie eigene Zugangsdaten mit Multi-Faktor-Authentifizierung für das Backup-System.
6. Überwachen: Lassen Sie sich über fehlgeschlagene Sicherungen automatisch informieren.
7. Wiederherstellung testen: Spielen Sie regelmäßig, etwa einmal im Quartal, einzelne Dateien und ein komplettes System testweise zurück.
8. Dokumentieren: Halten Sie schriftlich fest, wie eine Wiederherstellung abläuft und wer sie durchführen darf.

Gerade der Test wird oft vergessen. Auch der IT-Grundschutz-Baustein CON.3 des BSI verlangt, regelmäßig zu prüfen, ob die Datensicherung wie gewünscht funktioniert.

Unterstützung durch Simplify Data

Simplify Data betreut kleine und mittlere Unternehmen in Kiel, Schleswig-Holstein und Hamburg im Rahmen von Managed Services. Wir helfen Ihnen dabei, ein Backup-Konzept passend zu Ihren Systemen zu planen und regelmäßig zu überprüfen. Mehr zu unseren Managed Services

Quellen

• BSI: Vorschläge zu Business-Continuity-Strategien (BSI-Standard 200-4)
• BSI: Maßnahmenkatalog Ransomware
• BSI: Umsetzungshinweise zum Baustein CON.3 Datensicherungskonzept