Backup ist nicht gleich Sicherheit: Die 3-2-1-1-0-Regel für KMU

Ein Backup schützt euer Unternehmen nur, wenn es die 3-2-1-1-0-Regel erfüllt: 3 Kopien eurer Daten, auf 2 verschiedenen Medientypen, 1 Kopie außer Haus, 1 Kopie offline oder unveränderbar (immutable) — und 0 Fehler beim regelmäßigen Restore-Test. Die meisten KMU-Backups scheitern nicht an der Technik, sondern an den letzten beiden Ziffern: Es gibt keine Offline-Kopie, die Ransomware nicht erreichen kann, und niemand hat je getestet, ob sich die Daten wirklich zurückspielen lassen.

„Wir haben eh ein Backup” — die gefährlichste Halbwahrheit

Der Klassiker im KMU: Eine NAS im Serverraum spiegelt die Daten, fertig. Was dabei übersehen wird: Moderne Ransomware verschlüsselt zuerst die Backups, dann die Produktivdaten — die Angreifer kennen das NAS-Muster. Ein Backup, das vom selben Netzwerk aus beschreibbar ist, ist im Ernstfall genauso weg wie das Original. Auch Brand, Wasserschaden oder Diebstahl treffen NAS und Server gemeinsam, wenn beide im selben Raum stehen.

Die fünf Ziffern im Detail

3 Kopien. Das Original plus zwei Sicherungen. Klingt viel, ist es nicht: Produktivsystem, lokales Backup (schneller Restore), externes Backup (Katastrophenfall).

2 Medientypen. Nicht zweimal dieselbe NAS. Kombiniert z. B. NAS + Cloud-Backup oder NAS + externe Festplatte. Ein Fehlerbild (Firmware-Bug, Bedienfehler, Verschlüsselung) soll nie beide Kopien gleichzeitig treffen können.

1 Kopie außer Haus. Cloud-Backup bei einem europäischen Anbieter oder eine rotierte Festplatte an einem zweiten Standort. Wichtig fürs Bauchgefühl: „Außer Haus” heißt räumlich getrennt — das Nebengebäude am selben Stromkreis zählt nur bedingt.

1 Kopie offline oder immutable. Das ist der Ransomware-Schutz. Entweder physisch getrennt (Festplatte im Safe, nach dem Backup abgesteckt) oder technisch unveränderbar (Objekt-Speicher mit Immutability/Object Lock, bei dem auch ein Admin-Konto ältere Stände nicht löschen kann). Diese eine Ziffer entscheidet im Ernstfall über Wochen Stillstand oder einen Tag Wiederanlauf.

0 Fehler beim Restore-Test. Ein Backup, das nie zurückgespielt wurde, ist eine Hoffnung, kein Backup. Mindestens quartalsweise eine Datei, einen Ordner und einmal jährlich ein komplettes System testweise wiederherstellen — und die Dauer stoppen. Erst dann wisst ihr, ob euer „wir sind gesichert” stimmt und wie lange der Ernstfall wirklich dauert.

Was das fürs Budget heißt

Die gute Nachricht: 3-2-1-1-0 ist keine Enterprise-Übung. Für einen typischen Betrieb mit 10–50 Arbeitsplätzen reden wir über eine NAS, ein Cloud-Backup-Abo und ein paar Stunden Einrichtung — deutlich weniger als ein einziger Tag Betriebsstillstand kostet. Der teuerste Teil ist selten die Technik, sondern die Disziplin: Restore-Tests einplanen und Verantwortung benennen.

FAQ

Reicht OneDrive/SharePoint als Backup? Nein. Cloud-Sync ist Verfügbarkeit, kein Backup: Löscht oder verschlüsselt jemand die Dateien, synchronisiert der Fehler mit. Microsoft 365 braucht ein eigenes Backup (Mail, OneDrive, SharePoint, Teams) — das übersehen viele.

Wie oft sollten wir sichern? So oft, wie ihr Datenverlust verkraftet. Faustregel fürs KMU: Produktivdaten mindestens täglich, geschäftskritische Systeme öfter. Die ehrliche Frage ist: „Welcher Stand darf maximal verloren gehen — ein Tag, eine Stunde?”

Was heißt „immutable” konkret? Der Speicher akzeptiert Schreiben, aber kein Ändern oder Löschen bestehender Sicherungen für eine definierte Frist — auch nicht durch Administratoren. Ransomware und gestohlene Admin-Zugänge laufen damit ins Leere.

Sind Bänder (Tapes) noch zeitgemäß? Für die meisten KMU zu aufwendig. Die moderne Variante der Offline-Kopie ist Immutable-Cloud-Storage oder die rotierte, abgesteckte Festplatte — beides erfüllt denselben Zweck.

Nächster Schritt

Wann wurde euer Backup zuletzt wirklich getestet — mit gestoppter Zeit? Wir prüfen eure Sicherung gegen 3-2-1-1-0, schließen die Lücken und richten den Restore-Test als festen Prozess ein. IT, Datenschutz und Sicherheit aus einer Hand, lokal in Österreich. IT. Weitergedacht.