Backup-Konzept nach 3-2-1 für Betriebe unter 50 Mitarbeitern

Was bedeutet die 3-2-1-Regel?

Die 3-2-1-Regel ist eine einfache Faustregel dafür, wie viele Kopien Ihrer Daten Sie brauchen und wo sie liegen sollten. Sie besteht aus drei Teilen:

• Drei Kopien: das Original im laufenden Betrieb und zwei unabhängige Sicherungen. Fällt eine Sicherung aus, bleibt noch eine.
• Zwei Medien: Die Sicherungen liegen nicht alle auf derselben Technik, etwa Server und NAS oder NAS und Cloud-Speicher. Ein Fehler, der eine Technik trifft, trifft dann nicht alle Kopien.
• Eine Kopie außer Haus: Brand, Wasserschaden, Einbruch oder Überspannung treffen alles, was im selben Gebäude steht. Eine Kopie an einem anderen Ort übersteht das.

Ob sich eine Kopie zurückspielen lässt oder ob ein Angreifer sie löschen kann, sagt die Regel nicht. Deshalb liest man häufig die Erweiterung 3-2-1-1-0: zusätzlich eine Kopie, die offline oder unveränderbar ist, und null Fehler bei der Prüfung der Wiederherstellung. Das ist keine Norm, sondern eine Merkhilfe für genau diese beiden Lücken.

Das BSI beschreibt die Anforderungen an ein Datensicherungskonzept im IT-Grundschutz-Baustein CON.3, Edition 2023. Einige davon decken sich mit der 3-2-1-Regel: Sicherungen gehören immer auf separate Speichermedien, und diese Medien müssen räumlich getrennt von den gesicherten Systemen aufbewahrt werden, möglichst in einem anderen Brandabschnitt. Das BSI löst das Kompendium, aus dem der Baustein stammt, durch das Regelwerk Grundschutz++ ab, das ab dem 1. Januar 2027 zertifizierbar sein soll (Stand: September 2026).

Was muss in einem kleinen Betrieb gesichert werden?

Eine Sicherung schützt nur, was in ihr enthalten ist. Gehen Sie deshalb alle Systeme durch, nicht nur den Server:

Microsoft hält von den Daten in Exchange Online, OneDrive und SharePoint mehrere physisch redundante Kopien vor, um die Folgen physischer Schäden zu begrenzen. Gelöschte Inhalte bleiben aber nur begrenzt wiederherstellbar: In Exchange Online beträgt die Aufbewahrungszeit für gelöschte Elemente standardmäßig 14 Tage und lässt sich auf höchstens 30 Tage verlängern. In SharePoint bleiben gelöschte Elemente 93 Tage im Papierkorb (Stand: September 2026). Wer länger zurück muss oder sich gegen Fehler und Angriffe im eigenen Konto absichern will, braucht eine eigene Sicherung.

Microsoft bietet dafür Microsoft 365 Backup an, nutzungsbasiert abgerechnet und innerhalb von Microsoft 365 gespeichert. Dienste anderer Anbieter legen die Kopie außerhalb von Microsoft ab. Welche Einstellungen im Konto selbst oft fehlen, steht im Ratgeber Microsoft 365 absichern.

Wie viel Datenverlust ist tragbar? RPO und RTO in Klartext

Zwei Kennzahlen bestimmen, wie ein Backup-Konzept aussehen muss. Beide sind Entscheidungen der Geschäftsführung, keine technischen Einstellungen:

• RPO (Recovery Point Objective): Wie viel Arbeit darf im schlimmsten Fall verloren gehen, gemessen in Zeit? Wer nur nachts sichert, verliert bei einem Ausfall am Nachmittag die Arbeit des ganzen Tages. Ist das nicht tragbar, braucht es zusätzlich Snapshots — Momentaufnahmen, die das Speichersystem im Laufe des Tages anlegt.
• RTO (Recovery Time Objective): Wie lange darf ein System stehen, bis es wieder läuft? Davon hängt ab, wo die schnell erreichbare Kopie liegen muss und ob Ersatzhardware bereitstehen sollte.

Die Werte unterscheiden sich je System: Die E-Mail kann vielleicht einen halben Tag warten, die Auftragsbearbeitung nicht. Auch das BSI nennt den RPO je System als Bestandteil eines Datensicherungskonzepts.

Wie lange eine Wiederherstellung aus der Cloud dauert, zeigt ein Rechenbeispiel mit Annahmen: 1 TB Daten, ein Internetanschluss mit 100 Mbit/s im Download, voll ausgelastet und ohne Verluste. 1 TB sind 8.000.000 Megabit; bei 100 Megabit pro Sekunde dauert allein die Übertragung 80.000 Sekunden, also gut 22 Stunden. Setzen Sie Ihre eigene Datenmenge und Leitung ein. Das Ergebnis erklärt, warum die schnelle Kopie im Haus liegt und die Cloud-Kopie für den Katastrophenfall da ist.

Welche Speichermedien eignen sich für die Sicherung?

Kein Speichermedium erfüllt alle Anforderungen. Ein Backup-Konzept kombiniert deshalb mehrere, jedes in seiner Rolle:

Unveränderbarer Speicher heißt bei Cloud-Anbietern oft „Object Lock“, sonst auch „Immutable Storage“ oder WORM (Write Once, Read Many). Manche Anbieter haben dafür einen strengen Modus, in dem auch ein Administrator die Sicherung vor Ablauf der Frist nicht löschen kann. Genau das schützt, wenn ein Angreifer Administratorrechte erlangt hat.

Ob die Daten selbst im Büro oder beim Anbieter liegen sollten, prägt das Backup-Konzept stark; die Abwägung steht im Ratgeber Server im Büro oder Cloud.

Wie lange sollten Sicherungen aufbewahrt werden?

Eine Sicherung, die jede Nacht überschrieben wird, hilft nur bei Fehlern, die am selben Tag auffallen. Wer eine gelöschte Datei erst nach drei Wochen vermisst, braucht ältere Versionen. Deshalb bewahrt man mehrere Generationen auf; das BSI verlangt, die Aufbewahrungsdauer in den Datensicherungsplänen festzuhalten.

Ein Beispiel mit Annahmen, keine Vorgabe: Tägliche Sicherungen werden zwei Wochen aufbewahrt, wöchentliche drei Monate, monatliche ein Jahr. Damit lässt sich für die letzten zwei Wochen jeder Tag zurückholen und für das letzte Jahr jeder Monatsstand. Passen Sie die Zeiträume daran an, wie spät Fehler in Ihrem Betrieb auffallen und wie viel Speicher Sie dafür bereitstellen wollen.

Backup ist kein Archiv

Eine Sicherung dient der Wiederherstellung nach einem Ausfall und wird nach ihrer Frist gelöscht oder überschrieben. Ein Archiv bewahrt Unterlagen unveränderbar und auffindbar über die gesetzlichen Aufbewahrungsfristen auf. Das BSI behandelt die Archivierung deshalb in einem eigenen Baustein, nicht im Baustein zur Datensicherung.

Wer steuerlich relevante E-Mails aufbewahren muss, braucht ein Archiv. Was dafür technisch nötig ist, beschreibt der Ratgeber E-Mail-Archivierung nach GoBD. Welche Fristen für Ihre Unterlagen gelten, klären Sie mit Ihrer Steuerberatung — dieser Artikel ersetzt keine steuerliche oder rechtliche Beratung.

Wie schützen Sie Backups vor Ransomware?

Angreifer mit Administratorrechten erreichen auch Sicherungen, die im selben Netz liegen und mit denselben Konten verwaltet werden. Das BSI zählt deshalb ein Offline-Backup, das nach dem Backupvorgang von den übrigen Systemen getrennt wird, zu seinen zehn wichtigsten Maßnahmen gegen Ransomware. Diese Punkte gehören in jedes Backup-Konzept:

• Offline oder unveränderbar: Mindestens eine Kopie ist nach der Sicherung vom Netz getrennt oder für eine festgelegte Zeit gegen Löschen gesperrt.
• Getrennte Zugangsdaten: Das Backup-System hat eigene Konten mit eigenen Passwörtern, nicht die Administratorkonten des Firmennetzes. Die Anmeldung ist mit einem zweiten Faktor geschützt.
• Kein Löschrecht für die gesicherten Systeme: Ein Server darf seine eigenen Sicherungen nicht löschen können. Das BSI fordert, dass Sicherungen weder absichtlich noch unbeabsichtigt überschrieben werden können.
• Verschlüsselung: Die Kopie außer Haus ist verschlüsselt. Der Schlüssel liegt nicht nur auf dem Backup-System, sondern zusätzlich im Passwort-Tresor.
• Überwachung: Fehlgeschlagene Sicherungen lösen einen Alarm aus. Ein ungewöhnlich großes Änderungsvolumen kann auf eine laufende Verschlüsselung hindeuten.

Was nach einem Angriff zu tun ist, beschreibt der Ratgeber Ransomware im Betrieb: die ersten 24 Stunden. Eine Regel vorab: Spielen Sie keine Sicherung zurück, bevor geklärt ist, wie die Angreifer hereingekommen sind. Sonst kann das frisch wiederhergestellte System erneut betroffen sein.

Wie testen Sie, ob die Wiederherstellung funktioniert?

Ob eine Sicherung vollständig ist, ob sich die Datenbank öffnen lässt und wie lange das Zurückspielen dauert, zeigt nur ein Test. Das BSI zählt regelmäßige Tests zu den Basis-Anforderungen: Es muss geprüft werden, ob sich gesicherte Daten einwandfrei und in angemessener Zeit zurückspielen lassen.

1. 01

   Umfang festlegen

   Wechseln Sie die Testfälle ab: eine einzelne Datei, ein ganzes Postfach, ein kompletter Server. Der große Test ist aufwendiger, deckt aber Lücken auf, die ein Dateitest nicht zeigt.

2. 02

   Getrennt zurückspielen

   Spielen Sie die Sicherung auf ein Testsystem oder in eine leere virtuelle Maschine zurück, nie über die laufenden Daten. So bleibt der Betrieb ungestört.

3. 03

   Fachlich prüfen

   Lassen Sie jemanden, der täglich mit der Anwendung arbeitet, die wiederhergestellten Daten prüfen: Startet die Warenwirtschaft? Sind die letzten Buchungen da?

4. 04

   Zeit messen

   Halten Sie fest, wie lange die Wiederherstellung gedauert hat, und vergleichen Sie das mit der tragbaren Ausfallzeit. Liegt der Wert darüber, muss das Konzept angepasst werden.

5. 05

   Dokumentieren

   Ergebnis, Dauer und gefundene Mängel gehören ins Protokoll. Mängel werden behoben, bevor der nächste Test ansteht.

Zum Test gehört die Frage, in welcher Reihenfolge Systeme wieder anlaufen, etwa erst Netzwerk und Benutzerverwaltung, dann Server und Datenbanken, dann Arbeitsplätze. Das BSI verlangt, diese Reihenfolge in den Datensicherungsplänen festzuhalten. Sie gehört in die IT-Dokumentation, abgelegt an einem Ort, der auch dann erreichbar ist, wenn die Server stehen.

Wie sieht ein Backup-Konzept für ein Büro mit 20 Arbeitsplätzen aus?

Ein Beispiel mit Annahmen: ein Büro mit 20 Arbeitsplätzen, ein Server im Haus mit Dateiablage und der Datenbank einer Branchensoftware, E-Mail und OneDrive über Microsoft 365, eine Firewall und eine Telefonanlage in der Cloud.

Ohne Server im Büro fallen die Zeilen zu Server und NAS weg. Dann trägt die Sicherung von Microsoft 365 die Hauptlast, und „außer Haus“ heißt „außerhalb des einen Anbieters“.