IT-Sicherheit

Backup ist nicht gleich Backup: Warum die 3-2-1-1-0-Regel Ihr Unternehmen rettet

Von Christopher Schütz · Juli 2026 · 9 Min. Lesezeit
Fast jeder Betrieb sagt von sich: Wir machen Backups. Doch im Ernstfall eines Ransomware-Angriffs stellt sich dann oft heraus, dass die Sicherung mitverschlüsselt wurde, seit Wochen nicht mehr lief oder sich schlicht nicht zurückspielen lässt. Ein Backup, das im Notfall versagt, ist kein Sicherheitsnetz, sondern eine gefährliche Illusion. Deshalb lohnt es sich, genauer hinzusehen: Nicht die Existenz eines Backups zählt, sondern seine Qualität.

Warum das klassische Backup nicht mehr genügt

Moderne Ransomware verschlüsselt nicht sofort. Die Angreifer bewegen sich zunächst durch das Netzwerk und suchen gezielt nach einem: den Backups. Denn sie wissen, dass ein funktionierendes Backup ihre Erpressung wertlos macht. Laut dem Veeam Ransomware Trends Report waren bei der überwiegenden Mehrheit der betroffenen Organisationen, in der Größenordnung von rund 89 Prozent, gezielt die Sicherungen mit angegriffen worden.

Das heißt: Ein Backup, das ständig erreichbar im selben Netz hängt, wird im Ernstfall einfach mitzerstört. Der Schutz muss also so gebaut sein, dass ein Angreifer, selbst wenn er die volle Kontrolle über das System hat, die Sicherung nicht anfassen kann.

Von der 3-2-1-Regel zu 3-2-1-1-0

Die alte Faustregel für Backups hieß 3-2-1: drei Kopien der Daten, auf zwei verschiedenen Medien, davon eine an einem anderen Ort. Diese Regel ist immer noch die Grundlage, reicht angesichts moderner Ransomware aber nicht mehr aus. Deshalb hat sich eine erweiterte Fassung durchgesetzt, die 3-2-1-1-0-Regel. Die beiden neuen Ziffern sind entscheidend:

  • Die zusätzliche 1 steht für eine unveränderbare oder physisch getrennte Kopie. Unveränderbar bedeutet, dass diese Sicherung nach dem Schreiben für einen festgelegten Zeitraum nicht mehr verändert oder gelöscht werden kann, auch nicht von jemandem mit Administratorrechten. Physisch getrennt bedeutet, dass die Kopie ganz vom Netz genommen ist und ein Angreifer sie über das Netzwerk gar nicht erreicht.
  • Die 0 steht für null Fehler bei der Wiederherstellung. Ein Backup ist erst dann ein Backup, wenn getestet wurde, dass es sich sauber zurückspielen lässt. Die 0 verlangt regelmäßige, erfolgreiche Wiederherstellungstests.

Zusammengefasst: drei Kopien, zwei Medien, eine außer Haus, eine unveränderbar oder getrennt, und null Fehler beim letzten Rückspieltest.

Unveränderbar oder physisch getrennt: der Unterschied

Beide Ansätze schützen vor dem Löschen durch Angreifer, haben aber unterschiedliche Stärken.

Unveränderbare Sicherungen bleiben online erreichbar und lassen sich dadurch schnell zurückspielen. Sie sind gegen nachträgliche Manipulation geschützt, weil sie für einen festgelegten Zeitraum schreibgeschützt sind.

Physisch getrennte Sicherungen sind vom Netz genommen und für einen Angreifer schlicht unsichtbar. Dafür dauert die Wiederherstellung meist etwas länger, weil die Kopie erst wieder angebunden werden muss.

In der Praxis ist eine Kombination sinnvoll: schnelle, unveränderbare Sicherungen für den Alltag und eine getrennte Kopie als letzte Rückfallebene, an die kein Angreifer herankommt.

Wiederherstellung ist die eigentliche Prüfung

Der wichtigste und am häufigsten vernachlässigte Punkt ist der Test der Wiederherstellung. Viele Unternehmen kontrollieren, ob das Backup gelaufen ist, prüfen aber nie, ob sich die Daten daraus tatsächlich zurückholen lassen. Genau das rächt sich im Ernstfall. Ein regelmäßiger Rückspieltest beantwortet zwei entscheidende Fragen: Funktioniert die Wiederherstellung überhaupt, und wie lange dauert sie? Denn im Notfall zählt nicht nur, ob die Daten wiederkommen, sondern auch, wie schnell Ihr Betrieb wieder arbeitsfähig ist.

Was KMU jetzt tun sollten

1. Ehrlich prüfen, wie das eigene Backup aufgebaut ist. Wo liegen die Kopien, wie viele gibt es, und ist eine davon unveränderbar oder getrennt?
2. Mindestens eine geschützte Kopie sicherstellen. Eine Sicherung, an die auch ein Angreifer mit vollen Rechten nicht herankommt, ist der wichtigste Baustein.
3. Wiederherstellung regelmäßig testen. Nur ein getesteter Rückspielweg ist ein verlässliches Backup.
4. Zeitziele festlegen. Überlegen Sie, wie lange ein Stillstand höchstens dauern darf, und richten Sie die Sicherung darauf aus.
5. Einen Notfallplan hinterlegen. Wer im Ernstfall was tut, sollte vorab klar sein, nicht erst wenn nichts mehr geht.

Wie TwoPixels Ihre Daten absichert

Für unsere Kunden bauen wir Backups nach diesem Prinzip auf, statt sich auf einfache Kopien zu verlassen. Dazu gehören getrennte und geschützte Sicherungen sowie ein geprobter Disaster-Recovery-Plan auf Proxmox-Basis, der regelmäßig getestet wird. So wissen wir nicht nur, dass die Sicherung läuft, sondern auch, dass sie im Ernstfall zurückspielbar ist und wie lange das dauert. Ergänzt wird das durch unser Sicherheitsmonitoring auf Wazuh-Basis, das einen Angriff möglichst früh sichtbar macht, bevor er die Backups erreicht.

Häufige Fragen

Wir sichern doch in die Cloud, reicht das nicht?
Eine Cloud-Sicherung ist gut, aber nur, wenn sie geschützt ist. Ist sie ständig mit denselben Zugangsdaten erreichbar wie das Hauptsystem, kann ein Angreifer auch sie löschen. Entscheidend ist eine unveränderbare oder getrennte Variante.

Was bedeutet unveränderbar genau?
Dass eine Sicherung nach dem Schreiben für einen festgelegten Zeitraum nicht mehr verändert oder gelöscht werden kann, selbst nicht mit Administratorrechten. Ransomware läuft damit ins Leere.

Wie oft sollten wir die Wiederherstellung testen?
Regelmäßig, mindestens aber so oft, dass Sie sicher sein können, dass der aktuelle Stand zurückspielbar ist. Wichtige Systeme lohnen häufigere Tests.

Ersetzt ein gutes Backup andere Sicherheitsmaßnahmen?
Nein. Ein Backup ist die letzte Verteidigungslinie, nicht die erste. Es ergänzt Monitoring, Patches und starke Anmeldung, ersetzt sie aber nicht.

Fazit und nächster Schritt

Im Ernstfall entscheidet das Backup über die Zukunft eines Unternehmens, aber nur, wenn es richtig gebaut ist. Die 3-2-1-1-0-Regel bringt es auf den Punkt: mehrere Kopien, getrennt und außer Haus, mindestens eine unveränderbar, und getestet auf saubere Wiederherstellung. Alles andere ist Hoffnung, keine Sicherheit.

Sie möchten wissen, ob Ihr Backup einem echten Angriff standhalten würde? Fordern Sie einen Sicherheits-Check bei TwoPixels an: Christopher Schütz, info@webagentur-twopixels.de, +49 1556 7039821.

Quellen

Weiterführende Leistungen & Ratgeber

KI-Cyberangriffe: Fall GTG-1002 KI-Phishing & Deepfakes Prompt Injection & KI-Agenten IT-Sicherheits-Fahrplan 2026 NIS2 & IT-Sicherheit

Sie möchten wissen, wie sicher Ihre IT wirklich ist? Wir prüfen Ihre Systeme und richten ein passendes Schutzkonzept ein. Fordern Sie einen Sicherheits-Check an oder rufen Sie direkt an: +49 1556 7039821.

Kostenlos beraten lassen