Backup-Strategie für KMU: Die 3-2-1-Regel richtig umsetzen

Die meisten Unternehmen haben ein Backup. Erschreckend viele merken erst am Tag des Ernstfalls, dass es nicht funktioniert. Eine tragfähige Backup-Strategie ist deshalb keine technische Fußnote, sondern die letzte Verteidigungslinie, wenn ein Ransomware-Angriff durchkommt, eine Festplatte stirbt oder jemand versehentlich das falsche Verzeichnis löscht. Und anders als bei vielen Security-Themen lässt sich hier mit überschaubarem Budget ein sehr großer Unterschied machen.

Dieser Beitrag zeigt, wie du als KMU oder Startup eine Backup-Strategie aufbaust, die im Ernstfall tatsächlich hält. Kein Produktvergleich, sondern die Prinzipien, die zählen.

Warum Backup nicht gleich Sicherheit ist

Ein weit verbreiteter Irrtum: Wer eine externe Festplatte anschließt oder Daten in die Cloud synchronisiert, ist geschützt. In der Praxis scheitern Wiederherstellungen an banalen Dingen. Das Backup lief seit Monaten in einen Fehler, den niemand bemerkt hat. Die gesicherten Dateien waren bereits verschlüsselt. Oder das einzige Backup hing am selben Netzwerk wie die Server und wurde beim Angriff gleich mitverschlüsselt.

Genau hier setzt moderne Ransomware an. Bevor die Erpresser verschlüsseln, suchen sie gezielt nach angeschlossenen Backup-Systemen und löschen oder verschlüsseln diese zuerst. Ein Backup, das über dieselben Zugangsdaten erreichbar ist wie die Produktivumgebung, ist aus Sicht der Angreifer kein Hindernis, sondern nur ein weiteres Ziel.

Die 3-2-1-Regel als solide Grundlage

Die 3-2-1-Regel ist seit Jahren der Standard, weil sie einfach zu merken und schwer falsch zu machen ist. Sie besagt:

• 3 Kopien deiner Daten (das Original plus zwei Backups),
• auf 2 verschiedenen Medientypen (etwa lokaler Server und NAS oder Cloud),
• davon 1 Kopie außer Haus (offsite), physisch oder logisch getrennt vom Produktivnetz.

Der entscheidende Teil ist die letzte Ziffer. Diese eine ausgelagerte Kopie ist dein Rettungsanker gegen Feuer, Diebstahl, Wasserschaden und eben Ransomware. Wenn alle drei Kopien im selben Serverraum stehen und am selben Netzwerk hängen, hast du faktisch nur eine Kopie, nur eben dreimal.

Erweiterung auf 3-2-1-1-0

Weil Ransomware die klassische Regel ausgehebelt hat, hat sich eine Erweiterung durchgesetzt: 3-2-1-1-0. Die zusätzliche 1 steht für eine Kopie, die offline oder unveränderlich (immutable) ist. Die 0 steht für null Fehler bei der Wiederherstellung, also für verifizierte, getestete Backups.

Ein Immutable-Backup lässt sich innerhalb eines festgelegten Zeitraums nicht mehr verändern oder löschen, auch nicht von einem Administrator mit vollen Rechten und auch nicht von einem Angreifer, der genau diese Rechte übernommen hat. Genau das macht es zur wirksamsten Einzelmaßnahme gegen Ransomware im Backup-Kontext. Alternativ oder ergänzend erfüllt ein echtes Offline-Medium denselben Zweck: Was nicht am Netz hängt, kann auch nicht verschlüsselt werden. Ein Bandlaufwerk wirkt altmodisch, ist aber aus genau diesem Grund nicht totzukriegen.

RTO und RPO: zwei Zahlen, die alles bestimmen

Bevor du über Technik redest, solltest du zwei Fragen beantworten. Sie klingen sperrig, sind aber der Kern jeder Backup-Strategie.

RPO (Recovery Point Objective) beantwortet: Wie viele Daten darfst du im schlimmsten Fall verlieren, gemessen in Zeit? Sicherst du einmal täglich um 2 Uhr nachts und der Server fällt um 17 Uhr aus, sind bis zu 15 Stunden Arbeit weg. Ist das verkraftbar? Für ein Buchhaltungsarchiv vielleicht. Für eine laufende Fertigung oder einen Onlineshop eher nicht.

RTO (Recovery Time Objective) beantwortet: Wie lange darf die Wiederherstellung dauern, bis du wieder arbeitsfähig bist? Ein paar Stunden? Ein Tag? Eine Woche? Die ehrliche Antwort bestimmt, wie viel du investieren musst. Zwei Terabyte aus einem Cloud-Backup über eine normale Internetleitung zurückzuholen, kann leicht einen ganzen Tag oder länger dauern, während du nervös auf die Fortschrittsanzeige starrst.

Der Sinn dieser Zahlen: Sie zwingen zu einer ehrlichen Priorisierung. Nicht alle Daten sind gleich wichtig. Ein kurzes RTO für die Kernsysteme und ein längeres für Archive ist meist die wirtschaftlich sinnvollste Aufteilung.

Cloud oder lokal? Beides hat seinen Platz

Diese Frage wird oft als Entweder-oder geführt. In der Praxis ergänzen sich beide Ansätze, und die 3-2-1-Regel legt eine Kombination ohnehin nahe.

Lokale Backups sind schnell, sowohl beim Sichern als auch beim Zurückholen. Ein lokaler Restore über das interne Netz ist um ein Vielfaches flotter als ein Download aus der Cloud. Der Nachteil: Sie stehen im selben Gebäude und teilen dessen Risiken.

Cloud-Backups decken genau das ab, nämlich die Auslagerung außer Haus, oft mit Immutable-Funktion und automatischer Versionierung. Der Nachteil sind laufende Kosten, die Abhängigkeit von der Internetleitung und die längere Wiederherstellzeit bei großen Datenmengen. Ein bewährtes Muster für KMU: schnelles lokales Backup für den Alltag, dazu ein Cloud- oder Offline-Backup als ausgelagerte, unveränderliche Kopie für den Katastrophenfall.

Der wichtigste Satz überhaupt: testen, testen, testen

Ein Backup, das nie getestet wurde, ist kein Backup. Es ist eine Hoffnung. Und Hoffnung ist keine Strategie.

Restore-Tests sind der am häufigsten vernachlässigte Teil jeder Backup-Strategie, dabei sind sie der einzige, der beweist, dass alles andere funktioniert. Erst beim tatsächlichen Zurückspielen zeigt sich, ob die Daten vollständig sind, ob sie sich öffnen lassen, wie lange es wirklich dauert und ob deine RTO-Annahme realistisch war oder frommer Wunsch.

Konkret bedeutet das:

1. Regelmäßig planen, etwa quartalsweise, nicht nur nach einem Bauchgefühl.
2. Vollständig wiederherstellen, idealerweise auf ein separates System, nicht nur eine einzelne Datei zurückholen.
3. Die Zeit stoppen und mit deinem RTO abgleichen.
4. Das Ergebnis dokumentieren, damit im Ernstfall jemand weiß, was zu tun ist, auch wenn die üblichen Verantwortlichen gerade im Urlaub sind.

Viele Backup-Lösungen bieten inzwischen automatisierte Verifikation, die gesicherte Systeme im Hintergrund testweise hochfährt. Das ist Gold wert, ersetzt aber nicht den gelegentlichen Test unter realen Bedingungen mit echten Menschen unter echtem Druck.

DSGVO und rechtliche Aspekte nicht vergessen

Backups sind aus Datenschutzsicht kein blinder Fleck. Sie enthalten personenbezogene Daten und unterliegen damit der DSGVO. Zwei Punkte sind für österreichische KMU besonders relevant.

Erstens die Verschlüsselung: Backups sollten verschlüsselt gespeichert werden, sowohl bei der Übertragung als auch am Speicherort. Ein gestohlenes, unverschlüsseltes Backup-Medium ist eine meldepflichtige Datenpanne. Zweitens der Speicherort: Wenn du einen Cloud-Anbieter nutzt, solltest du wissen, wo die Daten liegen, und einen Auftragsverarbeitungsvertrag abschließen. Anbieter mit Rechenzentren in der EU oder speziell in Österreich ersparen dir einige Kopfschmerzen bei der Frage der Drittlandübermittlung.

Ein weiterer Punkt, der in der Praxis Reibung erzeugt: das Recht auf Löschung. Wenn eine Person die Löschung ihrer Daten verlangt, diese aber noch in mehreren Backup-Generationen liegen, brauchst du ein nachvollziehbares Konzept. Üblich ist, die Löschung im Produktivsystem vorzunehmen und die Backups über ihre normale Aufbewahrungsfrist auslaufen zu lassen, statt in alten Archiven gezielt einzelne Datensätze herauszuoperieren.

Wo du realistisch anfängst

Du musst nicht alles auf einmal umbauen. Ein pragmatischer Einstieg sieht so aus: Verschaff dir zuerst Klarheit darüber, welche Daten überhaupt geschäftskritisch sind. Leg dann für diese ein grobes RTO und RPO fest. Prüf, ob deine aktuelle Lösung die 3-2-1-Regel erfüllt, insbesondere die ausgelagerte, unveränderliche Kopie. Und plan den ersten echten Restore-Test, bevor du irgendetwas Neues kaufst. Oft zeigt sich schon dabei, wo die eigentlichen Lücken sind. Weitere Maßnahmen rund um Datensicherheit findest du im Bereich /security.

Eine gute Backup-Strategie ist selten teuer, aber sie erfordert einmal saubere Überlegung und danach etwas Disziplin. Der Aufwand steht in keinem Verhältnis zu den Kosten eines Totalausfalls, der ein Unternehmen im schlimmsten Fall die Existenz kostet.

Wenn du wissen möchtest, ob deine Backups einem echten Ernstfall standhalten, hilft ein nüchterner Blick von außen. In einem kostenlosen Erstgespräch schauen wir uns deine aktuelle Situation an und benennen die Prioritäten ehrlich. Kontaktiere uns, bevor der Ernstfall es für dich tut.