Backup-Lösungen für Unternehmen: Die vollständige Referenz

Was bedeutet 3-2-1?

Das klingt logisch und überschaubar. Die Praxis zeigt jedoch: Viele Unternehmen glauben, sie folgen der Regel – tun es aber nicht wirklich.

Ursprünglich stammt die 3-2-1-Regel aus einer Zeit, in der Ransomware noch keine so große Rolle spielte. Seither hat sich die Bedrohungslage verschärft, weshalb viele Experten die Regel inzwischen zu 3-2-1-1-0 erweitern:

• 3 Kopien der Daten
• 2 unterschiedliche Speichermedien
• 1 Kopie extern (offsite)
• 1 Kopie unveränderlich oder offline (Immutable bzw. Air-Gap – dazu später mehr)
• 0 Fehler bei der Wiederherstellung – sprich: regelmäßig getestete Backups

Diese Erweiterung trägt genau der Erkenntnis Rechnung, dass moderne Ransomware gezielt versucht, auch Backups zu kompromittieren – die klassische 3-2-1-Regel allein schützt davor nicht immer ausreichend.

RTO und RPO: Die zwei Kennzahlen, die über den Ernstfall entscheiden

Bevor man über konkrete Backup-Technik spricht, lohnt sich ein Blick auf zwei Kennzahlen, die in der Praxis oft übersehen werden, aber den eigentlichen Unterschied machen:

Beide Werte sollten nicht "gefühlt" festgelegt werden, sondern aus der tatsächlichen Bedeutung eines Systems für den Geschäftsbetrieb abgeleitet sein. Ein Warenwirtschaftssystem, ohne das kein Verkauf mehr möglich ist, braucht ein deutlich engeres RTO als ein Archiv mit Dokumenten von vor fünf Jahren. Wer RTO und RPO für die wichtigsten Systeme einmal schriftlich festhält, merkt oft schnell, ob die aktuelle Backup-Lösung diese Anforderungen überhaupt erfüllen kann.

Backup-Arten: Voll-, differenzielle und inkrementelle Sicherung

Nicht jede Sicherung funktioniert gleich. Die drei gängigen Verfahren unterscheiden sich vor allem darin, wie viel Datenvolumen bei jedem Sicherungslauf übertragen wird und wie schnell sich daraus im Ernstfall der letzte Stand wiederherstellen lässt:

• Vollsicherung (Full Backup): Es wird jedes Mal der komplette Datenbestand gesichert. Einfach wiederherzustellen, aber zeit- und speicherintensiv – meist nur in größeren Abständen sinnvoll (z.B. wöchentlich).
• Differenzielle Sicherung: Es werden alle Änderungen seit der letzten Vollsicherung gespeichert. Die Wiederherstellung braucht nur die letzte Vollsicherung plus die aktuellste differenzielle Sicherung – ein guter Kompromiss aus Geschwindigkeit und Komplexität.
• Inkrementelle Sicherung: Es werden nur die Änderungen seit der letzten Sicherung (egal welcher Art) gespeichert – am schnellsten und platzsparendsten im laufenden Betrieb, dafür ist die Wiederherstellung komplexer, weil mehrere Etappen nacheinander eingespielt werden müssen.

In der Praxis kombinieren die meisten professionellen Backup-Lösungen diese Verfahren automatisch: etwa eine wöchentliche Vollsicherung mit täglichen inkrementellen Sicherungen dazwischen. Für Anwender ist das meist unsichtbar – wichtig ist zu wissen, dass dahinter ein durchdachtes Konzept steckt und nicht bloß "irgendein Kopiervorgang".

Was kostet Datenverlust wirklich?

"Wir sichern doch irgendwie" ist eine gefährliche Haltung, solange niemand beziffert hat, was ein echter Datenverlust kosten würde. In der Praxis setzt sich der Schaden aus mehreren Kostenblöcken zusammen, die zusammen schnell eine Größenordnung erreichen, die ein solides Backup-Konzept im Vergleich günstig aussehen lässt.

Branchenübergreifende Studien beziffern die durchschnittlichen Kosten eines IT-Sicherheitsvorfalls für kleine und mittlere Unternehmen im fünf- bis sechsstelligen Bereich – abhängig von Ausfalldauer, Betroffenheit von Kundendaten und ob ein Lösegeld gezahlt wurde. Wichtig dabei: Auch wer zahlt, bekommt nicht garantiert funktionierende Daten zurück. Ein aktuelles, getestetes Backup macht diese ganze Rechnung im Idealfall überflüssig – die Wiederherstellungszeit sinkt von Tagen auf Stunden, und über ein Lösegeld muss erst gar nicht verhandelt werden.

Reicht OneDrive bzw. Microsoft 365 als Backup?

Eine der häufigsten Fragen, die uns erreichen: "Wir arbeiten doch schon mit OneDrive und SharePoint – reicht das nicht als Backup?" Die kurze Antwort: Nein, nicht vollständig – auch wenn Microsoft 365 durchaus Schutzmechanismen mitbringt.

Microsoft ist für die Verfügbarkeit und Redundanz seiner Rechenzentren verantwortlich (Infrastruktur-Ebene) – nicht aber dafür, dass Ihre Inhalte wiederherstellbar bleiben, wenn Nutzer sie löschen, überschreiben oder verschlüsseln (Ransomware). Diese Verantwortungsteilung nennt Microsoft selbst das Shared-Responsibility-Modell.

• Papierkorb & Versionsverlauf: OneDrive und SharePoint speichern gelöschte Dateien und alte Versionen – aber nur für einen begrenzten Zeitraum (meist 30, in Ausnahmefällen bis 93 Tage).
• Exchange Online: Gelöschte E-Mails lassen sich nur innerhalb bestimmter Fristen wiederherstellen, danach sind sie endgültig weg.
• Keine Ransomware-Kopie: Wird eine Datei durch Ransomware verschlüsselt und synchronisiert, überschreibt das die letzte "gute" Version in der Cloud, sofern kein separates Backup vorhanden ist.
• Kein Schutz vor menschlichen Fehlern über die Frist hinaus: Fällt ein versehentliches Löschen erst nach Monaten auf, ist die Datei über die Microsoft-eigenen Mechanismen nicht mehr wiederherstellbar.

Was ist Immutable Backup?

Immutable Backup (unveränderliches Backup) bezeichnet eine Sicherungskopie, die für einen festgelegten Zeitraum von niemandem – auch nicht von Administratoren oder Angreifern mit vollem Systemzugriff – verändert, überschrieben oder gelöscht werden kann. Technisch wird das meist über ein sogenanntes WORM-Prinzip (Write Once, Read Many) umgesetzt, z.B. per Object Lock bei S3-kompatiblem Cloud-Speicher.

Der Hintergrund: Moderne Ransomware-Angriffe zielen gezielt auch auf Backups ab. Bevor Angreifer die Produktivdaten verschlüsseln, versuchen sie häufig zuerst, vorhandene Backups zu löschen oder ebenfalls zu verschlüsseln – damit dem Opfer keine Wahl bleibt, als das Lösegeld zu zahlen. Ein Immutable Backup durchkreuzt genau diese Taktik: Selbst mit gestohlenen Admin-Zugangsdaten kann ein Angreifer die unveränderliche Kopie innerhalb der Aufbewahrungsfrist nicht antasten.

• Retention Lock: Für jede Sicherung wird eine Mindest-Aufbewahrungsfrist festgelegt (z.B. 14 oder 30 Tage), innerhalb derer keine Änderung oder Löschung möglich ist.
• Air-Gap (logisch oder physisch): Ergänzend dazu trennen viele Lösungen die unveränderliche Kopie zusätzlich logisch vom restlichen Netzwerk, sodass sie über kompromittierte Konten gar nicht erst erreichbar ist.
• Kein Ersatz für 3-2-1: Immutable Backup ist eine zusätzliche Schutzschicht – die Grundprinzipien mehrerer Kopien auf unterschiedlichen Medien und an unterschiedlichen Standorten bleiben trotzdem wichtig.

Die häufigsten Fehler in der Umsetzung

Backup und Datenschutz: Was die DSGVO fordert

Backups betreffen fast immer auch personenbezogene Daten – Kunden-, Patienten- oder Mitarbeiterdaten eingeschlossen. Die DSGVO verlangt in Art. 32 ausdrücklich, dass Verantwortliche "die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen", sicherstellen. Ein funktionierendes Backup ist also nicht nur betriebswirtschaftlich sinnvoll, sondern eine gesetzliche Pflicht.

• Verschlüsselung: Backup-Daten, insbesondere in der Cloud, sollten verschlüsselt gespeichert werden – sowohl während der Übertragung als auch im Ruhezustand.
• Speicherort: Bei Cloud-Backups sollte geprüft werden, ob die Daten innerhalb der EU verarbeitet werden bzw. ob bei Drittlandtransfers geeignete Garantien (Standardvertragsklauseln) vorliegen.
• Löschkonzept: Personenbezogene Daten müssen nach Ablauf der Aufbewahrungsfrist auch aus Backups entfernbar sein – ein Punkt, der bei "ewigen" Archivkopien leicht übersehen wird.
• Auftragsverarbeitungsvertrag (AVV): Wird ein externer Cloud- oder Backup-Anbieter eingesetzt, ist in aller Regel ein AVV nach Art. 28 DSGVO erforderlich.

Ein durchdachtes Backup-Konzept ist damit auch ein Baustein der DSGVO-Compliance – nicht nur ein rein technisches Thema für die IT-Abteilung.

NAS, Cloud oder Hybrid: Welche Backup-Infrastruktur passt?

Neben der Frage "wie oft und was" sichern Sie, stellt sich auch die Frage "wohin". Drei Ansätze sind in der Praxis üblich, oft auch kombiniert:

• Rein lokal (NAS/Server): Sehr schnelle Wiederherstellung, da keine Internetverbindung nötig ist. Nachteil: Bei Diebstahl, Brand oder Wasserschaden im selben Gebäude ist auch die Sicherung betroffen – erfüllt allein nicht das "1" aus der 3-2-1-Regel.
• Rein Cloud-basiert: Automatisch extern gelagert, meist mit georedundanter Speicherung beim Anbieter. Nachteil: Die Wiederherstellung großer Datenmengen über eine normale Internetleitung kann je nach Bandbreite Stunden bis Tage dauern.
• Hybrid (empfohlen für die meisten Unternehmen): Eine lokale Kopie für schnelle Wiederherstellung im Alltag (versehentlich gelöschte Datei, defekte Festplatte), kombiniert mit einer externen Cloud-Kopie für den Ernstfall (Totalausfall, Diebstahl, Brand). Damit ist sowohl die Geschwindigkeit im Alltag als auch die Absicherung gegen den worst case gegeben.

Welcher Ansatz passt, hängt von Datenvolumen, Internetanbindung und Budget ab. Bei sehr großen Datenmengen (mehrere Terabyte) kann die reine Cloud-Wiederherstellung im Ernstfall zum Flaschenhals werden – hier lohnt sich oft eine Kombination aus lokalem Schnellzugriff und Cloud als Absicherung im Hintergrund.

Wie sieht eine gute Backup-Strategie aus?

• Lokal: NAS oder Server im Büro für schnelle Wiederherstellung
• Extern: Cloud-Backup (z.B. Azure Backup, Veeam Cloud) oder verschlüsseltes externes Laufwerk an einem anderen Standort
• Unveränderlich (Immutable Backup): Mindestens eine Kopie, die nicht überschrieben oder verschlüsselt werden kann – der beste Schutz gegen Ransomware
• Regelmäßiger Wiederherstellungstest: Mindestens einmal pro Quartal prüfen, ob die Wiederherstellung tatsächlich funktioniert
• Aufbewahrungsfristen: Nicht nur die letzte Version sichern – auch ältere Versionen vorhalten, falls Probleme erst Wochen später auffallen

Backup-Checkliste für Unternehmen

Zum Abschluss eine Checkliste, mit der Sie die eigene Backup-Situation realistisch einschätzen können. Je mehr Punkte Sie mit "Ja" beantworten, desto solider ist Ihre aktuelle Absicherung:

• Gibt es mindestens drei Kopien der wichtigsten Daten?
• Liegen die Kopien auf mindestens zwei unterschiedlichen Speichermedien (z.B. NAS und Cloud)?
• Befindet sich mindestens eine Kopie an einem wirklich externen Standort?
• Gibt es mindestens eine unveränderliche (immutable) oder physisch getrennte Kopie?
• Wurde die Wiederherstellung in den letzten drei Monaten tatsächlich getestet – nicht nur "das Backup lief ohne Fehlermeldung"?
• Sind RTO und RPO für die wichtigsten Systeme schriftlich festgelegt und bekannt?
• Werden Microsoft-365-Daten (E-Mail, OneDrive, SharePoint, Teams) durch ein eigenes Backup-Tool zusätzlich zu Microsofts Standard-Aufbewahrung gesichert?
• Ist die Backup-Software selbst vor unbefugtem Zugriff geschützt (eigene Zugangsdaten, MFA)?
• Gibt es eine dokumentierte Reihenfolge für den Ernstfall (Notfallplan), sodass die Wiederherstellung nicht improvisiert werden muss?
• Weiß mehr als eine Person im Unternehmen, wie die Wiederherstellung im Ernstfall abläuft?

Die wichtigsten Fragen kurz beantwortet

Zum schnellen Nachschlagen die zentralen Antworten aus diesem Artikel in Kurzform:

• Was ist die 3-2-1-Regel in einem Satz? Mindestens drei Kopien der Daten, auf zwei verschiedenen Speichermedien, davon eine Kopie extern.
• Reicht ein externes Laufwerk als einzige Sicherung? Nein – das erfüllt weder das Kriterium "mehrere Medien" noch "extern gelagert" vollständig, wenn es dauerhaft am gleichen Standort verbleibt.
• Reicht OneDrive/Microsoft 365 allein als Backup? Nein – Microsofts eigene Aufbewahrung ist zeitlich begrenzt und schützt nicht zuverlässig vor Ransomware oder spät bemerkten Löschungen.
• Was kostet ein ernsthafter Datenverlust ungefähr? Je nach Studie und Betroffenheit bewegen sich die Gesamtkosten für KMU meist im fünf- bis sechsstelligen Bereich, inklusive Ausfallzeit und Folgeschäden.
• Was ist Immutable Backup? Eine Sicherungskopie, die für eine festgelegte Frist von niemandem verändert oder gelöscht werden kann – auch nicht mit gestohlenen Admin-Zugangsdaten.
• Wie oft sollte ein Restore-Test stattfinden? Mindestens vierteljährlich, bei kritischen Systemen häufiger.
• Wer sollte im Unternehmen für Backups zuständig sein? Eine konkret benannte Person oder ein externer IT-Partner – nicht "die IT" als diffuser Sammelbegriff.

Fazit

Ein Backup zu haben ist gut. Ein Backup zu haben, das im Ernstfall auch wirklich funktioniert, ist entscheidend. Die 3-2-1-Regel (bzw. ihre Erweiterung 3-2-1-1-0) ist der richtige Ausgangspunkt – aber die Umsetzung steckt im Detail: von der richtigen Backup-Art über realistische RTO/RPO-Werte bis zur unveränderlichen Kopie gegen Ransomware. Wer die Checkliste in diesem Artikel ehrlich durchgeht, weiß danach genau, wo die eigene Absicherung steht – und was noch fehlt.