Ein Datensicherungskonzept nach der 3-2-1-Regel bildet das technische Fundament, auf dem jeder IT-Notfallplan letztlich aufbaut, denn ohne intakte, verfügbare Sicherungskopien laufen Wiederanlaufpläne und Notfallübungen ins Leere. Die Regel selbst ist einfach formuliert: Unternehmen sollten mindestens drei Kopien ihrer Daten vorhalten, auf mindestens zwei unterschiedlichen Speichermedien, wobei mindestens eine Kopie an einem externen, räumlich getrennten Ort aufbewahrt wird. So simpel dieses Prinzip klingt, so häufig scheitert seine konsequente Umsetzung in der betrieblichen Praxis an Details wie unvollständiger Abdeckung aller Systeme, fehlenden Tests der Wiederherstellbarkeit oder einer unzureichenden Trennung der Sicherungskopien vom Produktivnetz, was sie im Falle eines Ransomware-Angriffs ebenfalls unbrauchbar machen kann. Dieser Beitrag erläutert den Aufbau eines belastbaren Datensicherungskonzepts nach der 3-2-1-Regel, ordnet die verschiedenen Speichermedien und Sicherungsverfahren ein und zeigt, worauf Unternehmen bei der praktischen Umsetzung und regelmäßigen Überprüfung besonders achten sollten. Anders als viele rein technisch geprägte Darstellungen des Themas legt dieser Beitrag den Schwerpunkt bewusst auch auf organisatorische Aspekte wie Verantwortlichkeiten, Testrhythmen und die rechtliche Einordnung, da gerade diese Faktoren in der Beratungspraxis regelmäßig den Unterschied zwischen einem funktionierenden und einem im Ernstfall versagenden Sicherungskonzept ausmachen.
Hinweis: Dieser Beitrag gibt ausschließlich die redaktionellen Ansichten der Redaktion von cyberschutzbetrieb.de wieder. Er stellt keine Rechtsberatung dar und ersetzt nicht die Beratung durch eine qualifizierte Rechtsanwältin oder einen qualifizierten Rechtsanwalt. Für rechtlich verbindliche Auskünfte zu Ihrem konkreten Fall wenden Sie sich bitte an einen zugelassenen Rechtsbeistand.
Die 3-2-1-Regel im Detail
Die drei Zahlen der Regel stehen jeweils für eine eigenständige Schutzdimension, die gemeinsam ein hohes Maß an Ausfallsicherheit ergeben.
Drei Kopien der Daten
Neben den Produktivdaten sollten mindestens zwei weitere, voneinander unabhängige Kopien existieren. Diese Redundanz stellt sicher, dass der Ausfall oder die Beschädigung eines einzelnen Datenbestands nicht zum vollständigen Datenverlust führt.
Zwei unterschiedliche Speichermedien
Werden alle Kopien auf demselben Medientyp gespeichert, etwa ausschließlich auf Festplatten desselben Herstellers und Modells, besteht das Risiko eines gemeinsamen Ausfallmusters, etwa durch einen Serienfehler oder eine gemeinsame Schwachstelle in der Firmware. Die Kombination unterschiedlicher Medientypen, beispielsweise Festplattenspeicher und Bandsicherung, reduziert dieses Risiko erheblich.
Eine externe Kopie
Mindestens eine Sicherungskopie sollte räumlich getrennt vom Hauptstandort aufbewahrt werden, sei es in einem Cloud-Speicher, einem externen Rechenzentrum oder einem physisch getrennten Standort. Diese Trennung schützt vor lokalen Ereignissen wie Brand, Wasserschaden oder Diebstahl, die sowohl Produktivsysteme als auch lokale Backups gleichzeitig zerstören könnten.
Erweiterung der Regel: Die zusätzliche Offline-Kopie
Angesichts der zunehmenden Verbreitung von Ransomware, die gezielt auch vernetzte Backup-Systeme verschlüsselt, wird die klassische 3-2-1-Regel in der aktuellen Sicherheitspraxis häufig um eine vierte Komponente ergänzt: mindestens eine Kopie sollte offline oder unveränderlich (immutable) vorgehalten werden, sodass sie von einem Angreifer, der bereits Zugriff auf das Netzwerk erlangt hat, nicht verschlüsselt oder gelöscht werden kann. Diese Erweiterung wird teilweise als 3-2-1-1-Regel bezeichnet und gilt inzwischen als Mindeststandard für Unternehmen mit erhöhtem Schutzbedarf.
| Speicherform | Schutz gegen Ransomware | Typischer Einsatzzweck |
|---|---|---|
| Netzwerkgebundener Speicher (NAS), dauerhaft verbunden | Gering, da im Angriffsfall häufig mitverschlüsselt | Schnelle lokale Wiederherstellung kleinerer Datenmengen |
| Cloud-Backup mit Versionierung | Mittel bis hoch, abhängig von Konfiguration | Externe Kopie mit Zugriff auf ältere Versionsstände |
| Bandsicherung mit physischer Trennung (Offline) | Sehr hoch, da physisch vom Netzwerk getrennt | Langzeitarchivierung und Schutz vor Netzwerkangriffen |
| Immutable Storage (unveränderlicher Objektspeicher) | Sehr hoch, da Daten für definierten Zeitraum nicht löschbar sind | Kurzfristig verfügbare, manipulationssichere Sicherung |
Sicherungsverfahren und Rhythmus festlegen
Neben der Anzahl und Verteilung der Kopien ist die Wahl des Sicherungsverfahrens entscheidend für die Wiederherstellungsgeschwindigkeit und den benötigten Speicherplatz.
- Vollsicherung: Sichert den gesamten Datenbestand, benötigt viel Speicherplatz und Zeit, ermöglicht aber die einfachste Wiederherstellung
- Inkrementelle Sicherung: Sichert nur Änderungen seit der letzten Sicherung, spart Speicherplatz, erfordert bei der Wiederherstellung jedoch alle Zwischenstände
- Differenzielle Sicherung: Sichert alle Änderungen seit der letzten Vollsicherung, stellt einen Kompromiss zwischen Speicherbedarf und Wiederherstellungsaufwand dar
- Kontinuierliche Datensicherung (Continuous Data Protection): Sichert Änderungen nahezu in Echtzeit, geeignet für Systeme mit sehr geringer akzeptabler Datenverlustzeit
Der geeignete Sicherungsrhythmus richtet sich nach der zulässigen Datenverlustzeit, dem sogenannten Recovery Point Objective, das für unterschiedliche Systeme im Unternehmen unterschiedlich hoch ausfallen kann. Ein ERP-System mit laufenden Bestellvorgängen benötigt in der Regel deutlich kürzere Sicherungsintervalle als ein Archivsystem mit selten geänderten Dokumenten.
Wiederherstellbarkeit regelmäßig testen
Eine der häufigsten Schwachstellen bestehender Datensicherungskonzepte liegt nicht in der Sicherung selbst, sondern im fehlenden Nachweis, dass die gesicherten Daten im Ernstfall tatsächlich vollständig und fehlerfrei wiederhergestellt werden können. Backups, die zwar regelmäßig erstellt, aber nie testweise zurückgespielt werden, bergen das Risiko, im entscheidenden Moment unbrauchbar zu sein, etwa durch beschädigte Datenträger, fehlerhafte Konfiguration oder unvollständige Sicherungsumfänge.
Ein IT-Verantwortlicher eines mittelständischen Produktionsunternehmens berichtete, dass bei einem ersten vollständigen Wiederherstellungstest nach Jahren routinemäßiger Sicherung auffiel, dass eine zentrale Datenbank aufgrund einer fehlerhaften Ausschlussregel seit Monaten gar nicht mehr Teil der Sicherung war, ein Umstand, der ohne den Test erst im tatsächlichen Notfall aufgefallen wäre.
Ein sinnvoller Testrhythmus sieht mindestens eine vollständige Wiederherstellungsprobe pro Quartal vor, ergänzt um stichprobenartige Einzeldateiwiederherstellungen in kürzeren Abständen. Größere Unternehmen mit hohem Schutzbedarf testen kritische Systeme häufig monatlich oder im Rahmen jeder größeren Konfigurationsänderung.
Schritt-für-Schritt-Vorgehen zur Einführung
- Alle geschäftskritischen Datenbestände und Systeme vollständig erfassen, einschließlich Cloud-Anwendungen und dezentraler Arbeitsplatzdaten
- Für jedes System Recovery Point Objective und Recovery Time Objective in Abstimmung mit den Fachabteilungen festlegen
- Sicherungsverfahren und -rhythmus je nach Kritikalität des Systems auswählen
- Mindestens eine externe und eine offline oder unveränderliche Kopie einrichten
- Zugriffsrechte auf Sicherungssysteme strikt von den Produktivsystemadministratoren trennen, um das Risiko einer gemeinsamen Kompromittierung zu senken
- Regelmäßigen Testplan für Wiederherstellungen festlegen und dokumentieren
- Datensicherungskonzept in den übergeordneten IT-Notfallplan einbinden und mit den dort definierten Wiederanlaufzeiten abstimmen
Rechtliche und regulatorische Anforderungen
Neben der rein technischen Notwendigkeit ergeben sich Anforderungen an die Datensicherung auch aus verschiedenen rechtlichen Rahmenwerken. Die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form (GoBD) verlangen unter anderem eine revisionssichere, vollständige und verfügbare Aufbewahrung steuerlich relevanter Unterlagen über die gesetzlichen Aufbewahrungsfristen nach § 147 Abgabenordnung und § 257 Handelsgesetzbuch hinweg. Auch die Datenschutz-Grundverordnung verlangt in Art. 32 Abs. 1 lit. c DSGVO technische und organisatorische Maßnahmen, um die Verfügbarkeit personenbezogener Daten nach einem physischen oder technischen Zwischenfall rasch wiederherstellen zu können. Unternehmen, die der NIS-2-Richtlinie unterliegen, müssen zusätzlich dokumentierte Verfahren für Backup-Management und Notfallwiederherstellung als Teil ihres Risikomanagements nachweisen können. Weiterführende Informationen zu den gesetzlichen Aufbewahrungsfristen bietet der Gesetzestext der Abgabenordnung auf gesetze-im-internet.de.
Verschlüsselung und Zugriffsschutz von Sicherungskopien
Sicherungskopien enthalten in der Regel denselben schutzwürdigen Datenbestand wie die Produktivsysteme und müssen entsprechend abgesichert werden, insbesondere wenn sie personenbezogene oder wettbewerbsrelevante Informationen enthalten. Eine Verschlüsselung der Sicherungsdaten sowohl während der Übertragung als auch im Ruhezustand (Encryption at Rest) gehört zu den grundlegenden Schutzmaßnahmen, insbesondere bei Backups, die in einem externen Rechenzentrum oder einer Cloud-Umgebung außerhalb der eigenen physischen Kontrolle gespeichert werden. Wichtig ist dabei die sichere Verwaltung der verwendeten Schlüssel: Geht der Schlüssel verloren, sind auch die verschlüsselten Sicherungskopien unwiederbringlich unbrauchbar, weshalb ein dokumentiertes Schlüsselmanagement mit klar geregelter Vertretung ebenso wichtig ist wie die Verschlüsselung selbst.
Bei der Auswahl externer Cloud-Anbieter für die Sicherungskopie sollten Unternehmen zudem prüfen, wo die Daten physisch gespeichert werden. Eine Speicherung innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums vereinfacht die datenschutzrechtliche Bewertung erheblich gegenüber einem Transfer in Drittstaaten, für den nach Art. 44 ff. DSGVO zusätzliche Voraussetzungen wie Standardvertragsklauseln oder ein Angemessenheitsbeschluss erforderlich sein können.
Kostenplanung und Speicherwahl im Mittelstand
Die Kosten eines Datensicherungskonzepts setzen sich aus mehreren Komponenten zusammen: Speicherinfrastruktur, gegebenenfalls Lizenzkosten für Sicherungssoftware, Kosten für externe Cloud- oder Rechenzentrumsdienstleistungen sowie der interne oder externe Personalaufwand für Überwachung und regelmäßige Tests. Kleinere Unternehmen entscheiden sich häufig für eine hybride Lösung aus lokalem Backup für schnelle Wiederherstellung im Alltag und einer externen Cloud- oder Bandsicherung für den Schutz vor größeren Schadensereignissen.
Bei der Speicherwahl lohnt sich eine Unterscheidung nach Datenkategorie: Nicht jeder Datenbestand benötigt dieselbe Sicherungsfrequenz und dasselbe Schutzniveau. Selten geänderte Archivdaten lassen sich kostengünstiger auf langsameren, aber preiswerteren Speichermedien vorhalten, während aktiv genutzte Produktivdaten eine schnellere, aber teurere Speicherlösung rechtfertigen. Eine solche Klassifizierung, die im Rahmen eines Datenklassifizierungskonzepts festgelegt wird, verhindert sowohl unnötige Kosten durch pauschale Höchstschutzniveaus als auch riskante Unterversorgung kritischer Systeme.
Ein häufig unterschätzter Kostenfaktor ist zudem das Datenwachstum selbst. Unternehmen, die ihr Sicherungskonzept einmalig für den aktuellen Datenbestand dimensionieren, ohne ein jährliches Wachstum einzuplanen, geraten nach wenigen Jahren an Kapazitätsgrenzen, die kurzfristig teure Nachbeschaffungen erforderlich machen. Eine Kapazitätsplanung mit realistischem Wachstumspuffer, meist zwischen zwanzig und dreißig Prozent jährlich je nach Branche und Digitalisierungsgrad, sollte deshalb von Beginn an Teil der Konzeption sein.
Häufige Fehler in der betrieblichen Praxis
Neben fehlenden Wiederherstellungstests treten in der Beratungspraxis regelmäßig weitere Schwachstellen auf. Eine unvollständige Erfassung aller Systeme führt dazu, dass neu eingeführte Anwendungen oder Cloud-Dienste nicht automatisch in das bestehende Sicherungskonzept aufgenommen werden. Auch die Verantwortlichkeit für die Überwachung erfolgreicher Sicherungsläufe ist in kleineren Unternehmen häufig nicht eindeutig zugeordnet, sodass fehlgeschlagene Sicherungen über längere Zeiträume unbemerkt bleiben können. Eine automatisierte Benachrichtigung bei fehlgeschlagenen oder unvollständigen Sicherungen sollte deshalb fester Bestandteil jedes Datensicherungskonzepts sein, ebenso wie eine klar benannte Vertretungsregelung für den Fall, dass die verantwortliche Person nicht verfügbar ist. Ebenfalls häufig zu beobachten ist eine unzureichende Berücksichtigung mobiler Endgeräte und dezentraler Arbeitsplätze im Homeoffice, deren lokal gespeicherte Daten in vielen Sicherungskonzepten schlicht nicht erfasst werden, obwohl dort mittlerweile ein relevanter Teil der Wertschöpfung stattfindet.
Verantwortlichkeiten und Governance festlegen
Ein technisch gut konzipiertes Datensicherungskonzept scheitert in der Praxis häufig an unklaren Zuständigkeiten. Wer ist verantwortlich, wenn eine Sicherung fehlschlägt? Wer entscheidet im Ernstfall über die Reihenfolge der Wiederherstellung, wenn mehrere Systeme gleichzeitig betroffen sind? Diese Fragen sollten nicht erst im Ernstfall beantwortet werden, sondern schriftlich im Vorfeld geregelt sein, idealerweise als integraler Bestandteil des übergeordneten IT-Notfallplans.
Sinnvoll ist die Benennung einer verantwortlichen Person für das Datensicherungskonzept insgesamt, die regelmäßig über den Status der Sicherungen, durchgeführte Tests und offene Risiken an die Geschäftsführung berichtet. In größeren Mittelstandsunternehmen wird diese Funktion häufig im Rahmen eines Informationssicherheits-Managementsystems nach ISO 27001 verankert, in dem die Datensicherung als eines von mehreren Maßnahmenfeldern des Anhangs A systematisch dokumentiert und regelmäßig auditiert wird. Auch ohne vollständige Zertifizierung kann die dort beschriebene Struktur, Maßnahme, Verantwortlichkeit, Nachweis, Überprüfungsintervall, als praktische Vorlage für ein eigenes, schlankeres Datensicherungskonzept dienen.
Nicht zuletzt sollte das Datensicherungskonzept regelmäßig, mindestens einmal jährlich, auf seine fortbestehende Angemessenheit überprüft werden. Veränderungen in der IT-Landschaft, etwa die Einführung neuer Cloud-Anwendungen, eine gewachsene Zahl mobiler Endgeräte oder eine veränderte Bedrohungslage, können dazu führen, dass ein ursprünglich angemessenes Konzept nachjustiert werden muss. Diese Überprüfung lässt sich sinnvoll mit der jährlichen Überarbeitung des gesamten IT-Notfallplans verbinden, um Doppelaufwand zu vermeiden und ein konsistentes Gesamtbild der Notfallvorsorge sicherzustellen.
FAQ
Reicht ein tägliches Backup für die meisten Unternehmen aus?
Das hängt von der zulässigen Datenverlustzeit des jeweiligen Systems ab. Für viele administrative Systeme ist ein tägliches Backup ausreichend, geschäftskritische Systeme mit hohem Transaktionsvolumen benötigen häufig kürzere Sicherungsintervalle.
Ist ein Cloud-Backup allein ausreichend für die externe Kopie der 3-2-1-Regel?
Ein Cloud-Backup kann die externe Kopie erfüllen, sollte aber über Versionierung oder Unveränderlichkeit verfügen, damit es nicht ebenfalls durch einen Ransomware-Angriff auf das Produktivsystem kompromittiert werden kann.
Wie lange sollten Sicherungskopien aufbewahrt werden?
Die Aufbewahrungsdauer richtet sich nach betrieblichen Anforderungen und gesetzlichen Fristen, etwa den Aufbewahrungspflichten der Abgabenordnung. Für rein betriebliche Wiederherstellungszwecke reichen häufig kürzere Zeiträume von mehreren Wochen bis wenigen Monaten aus.
Wer sollte Zugriff auf die Sicherungssysteme haben?
Der Zugriff sollte auf einen möglichst kleinen, dedizierten Personenkreis beschränkt und organisatorisch von der Administration der Produktivsysteme getrennt sein, um das Risiko einer gemeinsamen Kompromittierung zu reduzieren.
Was kostet ein professionelles Datensicherungskonzept für den Mittelstand?
Die Kosten variieren stark nach Datenvolumen, Anzahl der Systeme und gewähltem Schutzniveau. Eine pauschale Aussage ist nicht seriös möglich, eine Bedarfsanalyse durch einen IT-Dienstleister schafft hier Klarheit.
Wie unterscheidet sich ein Datensicherungskonzept vom IT-Notfallplan insgesamt?
Das Datensicherungskonzept regelt die technische Sicherung und Wiederherstellbarkeit der Daten selbst, während der übergeordnete IT-Notfallplan zusätzlich Rollen, Kommunikationswege und die Wiederanlaufreihenfolge der Gesamtinfrastruktur festlegt.
