Backup-Strategie für Unternehmen 2026: Warum die 3-2-1-Regel allein nicht mehr reicht

Ein Warenwirtschaftssystem, das nicht mehr startet. Kundendaten, die verschlüsselt sind. Der Server als Geisel eines Erpressungstrojaners. Für kleine und mittlere Unternehmen ist Ransomware längst keine abstrakte Gefahr mehr, sondern ein Ernstfall, mit dem jedes Unternehmen in der Region Mittelbaden – vom Handwerksbetrieb in Rastatt bis zur Kanzlei in Karlsruhe – rechnen muss. Die letzte Verteidigungslinie ist in fast jedem dieser Fälle dieselbe: das Backup.

Das Problem: Viele Unternehmen haben zwar irgendein Backup – aber eines, das im Ernstfall nicht hilft, weil es zusammen mit den Produktivdaten verschlüsselt wurde. Genau deshalb reicht die altbekannte 3-2-1-Regel als alleiniger Standard nicht mehr aus.

Die klassische 3-2-1-Regel – kurz erklärt

Die 3-2-1-Regel ist seit Jahren die Grundlage professioneller Datensicherung:

• 3 Kopien der Daten (das Original plus zwei Backups)
• 2 verschiedene Speichermedien (z. B. lokale Festplatte plus Cloud oder Band)
• 1 Kopie extern gelagert, räumlich getrennt vom Hauptstandort

Für viele Bedrohungen – Festplattendefekt, Wasserschaden, Diebstahl – ist das nach wie vor ein solides Fundament. Gegen moderne Ransomware reicht es allein aber oft nicht mehr aus.

Warum die 3-2-1-Regel gegen Ransomware an ihre Grenzen stößt

Moderne Erpressungstrojaner suchen nach dem Eindringen ins Netzwerk gezielt nach Backup-Systemen, bevor sie zuschlagen – denn ein intaktes Backup ist für die Angreifer der größte Feind ihres Geschäftsmodells. Ist das Backup über das normale Netzwerk erreichbar und ganz normal beschreibbar, kann es zusammen mit den Produktivdaten verschlüsselt oder gelöscht werden. Das Unternehmen steht dann ohne Wiederherstellungsmöglichkeit da – die 3-2-1-Regel war formal erfüllt, hat im Ernstfall aber trotzdem nicht geholfen.

Der erweiterte Standard: 3-2-1-1-0

Als Reaktion auf genau dieses Szenario hat sich die 3-2-1-1-0-Regel als aktueller Standard etabliert. Sie ergänzt die klassische Regel um zwei entscheidende Punkte:

• 1 unveränderliche (immutable) Kopie: Eine Backup-Version, die für einen definierten Zeitraum technisch nicht überschrieben, verschlüsselt oder gelöscht werden kann – auch nicht mit administrativen Rechten.
• 0 Fehler beim Wiederherstellungstest: Ein Backup zählt nur dann als Backup, wenn eine Wiederherstellung regelmäßig getestet wurde und nachweislich fehlerfrei funktioniert.

Diese Erweiterung ist auch der Grund, warum Cyberversicherer bei Vertragsabschluss oder Verlängerung zunehmend genauer hinschauen: Reine Absichtserklärungen („Wir machen Backups“) reichen vielen Versicherern nicht mehr – dokumentierte, unveränderliche und getestete Backups gehören inzwischen zu den Mindestanforderungen, die im Schadensfall auch tatsächlich nachgewiesen werden müssen. Wer diese Nachweise nicht liefern kann, riskiert im Ernstfall nicht nur den Datenverlust, sondern auch Kürzungen bei der Versicherungsleistung.

Backup-Strategie in 5 Schritten aufbauen

Eine belastbare Backup-Strategie lässt sich auch ohne eigene IT-Abteilung schrittweise aufbauen:

1. Bestandsaufnahme: Welche Systeme und Daten sind geschäftskritisch? Wie lange kann das Unternehmen im Ernstfall ohne sie arbeiten (RTO), wie viel Datenverlust wäre maximal verkraftbar (RPO)?
2. Mehrere Kopien, mehrere Medien: Mindestens drei Kopien auf zwei unterschiedlichen Speicherarten – klassisch lokal plus Cloud oder ein zweiter Standort.
3. Unveränderliche Kopie einrichten: Mindestens eine Backup-Version mit technischem Manipulationsschutz (Immutability), getrennt vom normalen Administrator-Zugriff.
4. Offline- oder Air-Gap-Kopie: Eine Kopie, die physisch oder logisch vom Netzwerk getrennt ist und von Ransomware im laufenden Betrieb gar nicht erreicht werden kann.
5. Wiederherstellung regelmäßig testen: Ein Restore-Test gehört genauso zum Prozess wie das Backup selbst – am besten mit festem Turnus und Dokumentation, nicht nur „wenn Zeit ist“.

Der häufigste Fehler: Backup vorhanden, aber nie getestet

In der Praxis ist der Klassiker unter den Backup-Fehlern nicht das fehlende Backup, sondern das ungetestete. Ob ein Restore im Ernstfall tatsächlich funktioniert – vollständig, in angemessener Zeit, mit allen abhängigen Systemen – zeigt sich sonst erst dann, wenn es zu spät ist. Ein Backup ohne funktionierenden, dokumentierten Wiederherstellungstest ist im Grunde nur eine Hoffnung, keine Absicherung.

Wie Datenstark KMU in Mittelbaden dabei unterstützt

Als IT-Systemhaus für KMU in Mittelbaden, Karlsruhe und Rastatt setzen wir Backup-Konzepte technisch nach dem 3-2-1-1-0-Standard um – inklusive unveränderlicher Kopien, getrennter Aufbewahrung und regelmäßig dokumentierter Wiederherstellungstests. Im Rahmen unserer Managed Services läuft die Überwachung laufend mit, ohne dass Sie sich selbst um Backup-Jobs oder Speicherplatz kümmern müssen. Wie das konkret für Ihr Unternehmen aussehen kann, klären wir am besten in einem unverbindlichen Erstgespräch.

Wer sich zusätzlich mit den regulatorischen Anforderungen auseinandersetzen muss, findet ergänzend Informationen in unserem Beitrag zur NIS2-Richtlinie sowie in unserer IT-Notfallplan-Checkliste.

Häufige Fragen zur Backup-Strategie

Wie oft sollte ein Unternehmen Backups testen?
Ein vollständiger Wiederherstellungstest sollte mindestens einmal pro Quartal erfolgen, bei geschäftskritischen Systemen häufiger. Wichtig ist, dass der Test dokumentiert wird – nicht nur die Durchführung, sondern auch das Ergebnis.

Was bedeutet „unveränderliches“ Backup genau?
Ein unveränderliches (immutable) Backup lässt sich für einen festgelegten Zeitraum nicht verändern, überschreiben oder löschen – auch nicht durch einen Administrator-Account, der von Angreifern kompromittiert wurde. Das schützt gezielt gegen Ransomware, die versucht, Backups mit zu verschlüsseln.

Reicht ein Cloud-Backup allein aus?
Ein reines Cloud-Backup kann Teil einer guten Strategie sein, ersetzt aber nicht die Trennung nach Medien und Standort. Entscheidend ist, dass mindestens eine Kopie vom Netzwerk isoliert oder technisch unveränderlich ist – unabhängig davon, ob sie lokal oder in der Cloud liegt.

Was kostet eine professionelle Backup-Strategie für ein KMU?
Das hängt stark von Datenmenge, Systemlandschaft und gewünschter Wiederherstellungszeit ab. Viele Basiskonzepte lassen sich im Rahmen eines Managed-Services-Pakets zum monatlichen Festpreis umsetzen, ohne große Einmalinvestition – nach einer kurzen Bestandsaufnahme erhalten Sie ein transparentes Angebot.