Datensicherung: die 3-2-1-Regel im kleinen Betrieb

Warum viele Datensicherungen im Ernstfall nicht helfen

Auf die Frage nach der Datensicherung antworten die meisten Inhaber: Das macht der IT-Dienstleister, da läuft jede Nacht etwas. Das stimmt meist. Ob die Sicherung vollständig ist, ob ein Angreifer sie mitverschlüsseln kann und wie lange eine Wiederherstellung dauert, weiß dagegen oft niemand. Sicherheitsanbieter berichten, dass Sicherungen in kleinen Betrieben häufig nie zurückgespielt werden, sodass niemand weiß, in welchem Zustand die Daten im Ernstfall sind (Wilson und McDonald 2025).

Daraus folgt die Leitfrage dieses Leitfadens: Wie sieht ein Sicherungskonzept aus, mit dem ein kleiner Betrieb nach einem Defekt, einem Fehler oder einem Angriff in einer festgelegten Zeit wieder arbeiten kann? Dafür klären wir die Begriffe, stellen ein Denkmodell aus dem Kontinuitätsmanagement vor, sehen uns die Befunde an, wägen zwei Sichtweisen zur Rolle der Cloud ab und beschreiben ein Konzept in sechs Schritten.

Gesichert ist nicht, was kopiert wurde, sondern was sich zurückholen lässt.

Was heißt Datensicherung, und was verlangt die 3-2-1-Regel?

Eine Datensicherung, englisch Backup, ist eine Kopie von Daten, die getrennt vom Original aufbewahrt wird, um sie nach einem Verlust wiederherzustellen. Sie unterscheidet sich von der Synchronisation, bei der Änderungen sofort auf alle Geräte übertragen werden, auch das Löschen und das Verschlüsseln. Und sie unterscheidet sich von der Archivierung, die Daten unverändert über gesetzliche Fristen aufbewahrt. Welche Fristen gelten, beschreibt der Beitrag Was wie lange aufbewahrt werden muss.

Die bekannteste Mindestregel ist die 3-2-1-Regel, die auch der Leitfaden IT-Grundschutz für kleine Betriebe nennt: Es gibt mindestens drei Kopien wichtiger Daten auf zwei verschiedenen Medien, eine davon außer Haus oder getrennt vom Netz. Ergänzend gilt dort: Eine Kopie ist für einen Angreifer im Netz nicht erreichbar, etwa weil sie nach der Sicherung getrennt wird oder nicht verändert werden kann.

Das Denkmodell: tragbarer Datenverlust und tragbare Ausfallzeit

Die 3-2-1-Regel sagt, wie viele Kopien es geben soll, aber nicht, wie oft gesichert wird und wie schnell es wieder laufen muss. Diese Fragen beantwortet ein Denkmodell aus dem Kontinuitätsmanagement. Der Leitfaden Der Notfallordner stellt dessen ersten Schritt vor, die Business-Impact-Analyse. Sie fragt für jede wichtige Funktion, wie lange sie ausfallen darf, bevor ein ernster Schaden entsteht. Diese Zeitspanne heißt maximal tolerierbare Ausfallzeit.

Für die Datensicherung folgen daraus zwei Zielwerte. Der tragbare Datenverlust, englisch Recovery Point Objective, ist die Zeitspanne vor einem Schaden, deren Daten verloren gehen dürfen. Wer einmal nachts sichert, verliert im schlimmsten Fall einen Arbeitstag. Die Wiederanlaufzeit, englisch Recovery Time Objective, ist die Zeit, bis ein System nach einem Schaden wieder nutzbar sein muss. Sie muss kürzer sein als die tolerierbare Ausfallzeit, weil auch Erkennen, Entscheiden und Beschaffen Zeit kosten.

Eine Analogie aus dem Alltag macht die beiden Zahlen greifbar. Wer sein Auto in die Werkstatt bringt, fragt zwei Dinge: Was ist verloren, wenn es nicht mehr anspringt, und wie lange kann ich ohne Auto auskommen? Wer täglich zum Kunden fährt, braucht einen Ersatzwagen am selben Tag. Wer es nur am Wochenende nutzt, kann warten. Datensicherung folgt derselben Logik.

Was Befragungen über Sicherungen im Ernstfall zeigen

Wie Sicherungen im Ernstfall abschneiden, zeigt eine jährliche Befragung des Sicherheitsanbieters Sophos. Für die Ausgabe 2025 wurden 3.400 IT- und Sicherheitsverantwortliche in 17 Ländern befragt, deren Organisationen von Erpressungssoftware betroffen waren. Fast alle, deren Daten verschlüsselt wurden, bekamen sie zurück. Sicherungen wurden dafür aber nur in 54 Prozent der Fälle genutzt, so selten wie seit sechs Jahren nicht. 49 Prozent zahlten Lösegeld. Eine Befragung eines Anbieters von Sicherheitstechnik ist mit Vorsicht zu lesen, die Richtung ist aber deutlich: Wo die Sicherung nicht trägt, bleibt nur das Zahlen.

Warum kleine Betriebe besonders verwundbar sind, fassen Awan und Alam (2025) in einer systematischen Übersicht über 73 Fachartikel zusammen. Kleine und mittlere Unternehmen sind nach ihrer Auswertung durch Erpressungssoftware gefährdet, weil Sicherungsstrategien schwach und die Möglichkeiten zur Wiederherstellung gering sind. Die neuere Literatur befasst sich deshalb stärker mit schlanken Notfallplänen und Leitlinien für Sicherung und Wiederherstellung. Betriebe mit einem vorbereiteten Plan kehren nach den zitierten Studien schneller zum Normalbetrieb zurück.

In Deutschland ist die Lage nicht entspannter. In der Wirtschaftsschutzstudie 2026 des Digitalverbands Bitkom bestätigten 67 Prozent der befragten Unternehmen ab zehn Beschäftigten einen erfolgreichen Angriff in den letzten zwölf Monaten. Wie solche Angriffe ablaufen, beschreibt der Beitrag Cyberangriffe auf kleine Betriebe. Seine Reihenfolge der Schutzmaßnahmen beginnt mit dem Backup, das ein Angreifer nicht erreicht.

Reicht die Cloud als Sicherung? Zwei Sichtweisen

Die erste Sichtweise sagt: Wer in der Cloud arbeitet, ist gesichert. Die Daten liegen in Rechenzentren mit mehrfacher Speicherung, der Anbieter kümmert sich um Hardware und Ausfälle, und eine eigene Sicherung wäre doppelte Arbeit. Dafür spricht, dass große Anbieter Hardwaredefekte besser auffangen als jeder kleine Betrieb.

Die zweite sagt: Die Cloud ist ein Speicherort, keine Sicherung. Ein Anbieter schützt seinen Betrieb, nicht jeden Ordner, den ein Mitarbeiter versehentlich löscht. Synchronisierte Ordner übertragen auch Verschlüsselung und Löschen. Und ein gesperrtes Konto oder ein gekündigter Vertrag kann den Zugang zu allen Daten auf einmal beenden.

Ich halte die zweite Sichtweise für richtig. Die Cloud ersetzt nicht die Sicherung, sondern verschiebt nur, wo das Original liegt. Der Leitfaden zum IT-Grundschutz hält fest: Auch Cloud-Dienste werden gesichert, denn ein versehentlich gelöschter Ordner ist dort ebenso weg wie lokal. Wie die Wahl zwischen Cloud und eigenem Server insgesamt ausfällt, beschreibt der Vergleich Cloud oder eigener Server.

Ein Sicherungskonzept in sechs Schritten

1. Datenbestand aufnehmen

   Wo liegen welche Daten? Server, Cloud-Ablage, E-Mail, Buchhaltung beim Steuerbüro, Branchensoftware, einzelne Rechner, Telefone. Was nirgends auftaucht, wird auch nicht gesichert.

2. Zielwerte festlegen

   Für jede Datenart den tragbaren Datenverlust und die Wiederanlaufzeit bestimmen, abgeleitet aus der tolerierbaren Ausfallzeit der Funktion, die die Daten braucht.

3. 3-2-1 umsetzen

   Mindestens drei Kopien auf zwei Medien, eine außer Haus oder getrennt. Der Sicherungsrhythmus folgt dem tragbaren Datenverlust.

4. Eine Kopie unerreichbar machen

   Eine Sicherung wird nach dem Lauf vom Netz getrennt oder ist für einen festgelegten Zeitraum nicht veränderbar. Die Zugangsdaten dafür liegen nicht auf denselben Rechnern.

5. Wiederherstellung testen

   Einmal im Quartal eine Datei oder einen Ordner zurückholen, einmal im Jahr ein ganzes System. Die Dauer wird gemessen und mit der Wiederanlaufzeit verglichen.

6. Festhalten und zuordnen

   Wer verantwortet die Sicherung, wer prüft sie, wo steht die Anleitung zur Wiederherstellung? Die Antworten gehören in den Notfallordner.

Ein Rechenbeispiel zeigt, warum der Test so wichtig ist. Ein Betrieb mit 20 Arbeitsplätzen wird verschlüsselt. Wie lange es bis zur Arbeitsfähigkeit dauert, hängt fast nur vom Zustand der Sicherung ab. Die Werte sind dieselben wie im Leitfaden zum IT-Grundschutz und frei gewählt.

• Alle Datenorte sind bekannt, auch Cloud-Dienste und das Steuerbüro.
• Für jede Datenart gibt es einen tragbaren Datenverlust und eine Wiederanlaufzeit.
• Es gibt drei Kopien auf zwei Medien, eine außer Haus oder getrennt.
• Mindestens eine Kopie ist für einen Angreifer im Netz nicht erreichbar.
• Der letzte Wiederherstellungstest liegt weniger als drei Monate zurück.
• Die Anleitung zur Wiederherstellung liegt im Notfallordner, auch auf Papier.

Wer die Sicherung von einem Dienstleister betreiben lässt, sollte die Zielwerte und den Test in den Vertrag schreiben. Welche Punkte dort sonst hineingehören, beschreibt der Leitfaden Den richtigen IT-Dienstleister finden.

Was über die Technik hinaus folgt, und wo die Grenzen liegen

Eine Datensicherung ist zuerst eine Frage der Zuständigkeit. Sie läuft meist automatisch, und gerade deshalb fällt nicht auf, wenn sie seit Wochen fehlschlägt. Es braucht deshalb eine Person, die die Meldungen liest, die Tests ansetzt und das Ergebnis in der Leitungsrunde nennt. Das Schweizer-Käse-Modell aus dem Beitrag über Cyberangriffe passt auch hier: Technik, Regel und Prüfung sind getrennte Schichten, und ein Schaden entsteht, wenn die Löcher aller drei übereinanderliegen.

Eine Grenze liegt in der Ordnung der Daten selbst. Wer nicht weiß, welche Fassung eines Angebots gilt, stellt auch nach einer Wiederherstellung nur das Durcheinander wieder her. Eine klare Ablage, wie sie der Leitfaden Digitale Ablage beschreibt, macht die Sicherung kleiner, schneller und leichter zu prüfen. Eine zweite Grenze ist das Budget: Jede Stunde weniger Datenverlust kostet mehr. Die Zielwerte sind deshalb eine unternehmerische Entscheidung, keine technische.

Fazit: Was macht eine Datensicherung im Ernstfall brauchbar?

Ausgangspunkt war die Frage, wie ein Sicherungskonzept aussieht, mit dem ein kleiner Betrieb nach einem Schaden in einer festgelegten Zeit wieder arbeiten kann. Die Antwort hat drei Teile. Die 3-2-1-Regel ist die Mindestform: drei Kopien, zwei Medien, eine außer Haus oder getrennt, mit einer Kopie, die ein Angreifer nicht erreicht. Die beiden Zielwerte, tragbarer Datenverlust und Wiederanlaufzeit, machen daraus ein Konzept, das zu den eigenen Abläufen passt.

Der dritte Teil entscheidet über alles: der Test. Die Befragungen zeigen, dass Sicherungen im Ernstfall oft nicht genutzt werden können und Betroffene dann zahlen. Eine Sicherung, die regelmäßig zurückgespielt wird, ist eine Versicherung. Eine, die nie geprüft wurde, ist eine Annahme.

Was du diese Woche tun kannst

1. Schreibe alle Orte auf, an denen Daten deines Betriebs liegen, einschließlich Cloud-Diensten.
2. Lege für die drei wichtigsten Datenarten fest, wie viel Datenverlust tragbar ist und wie schnell sie wieder verfügbar sein müssen.
3. Prüfe mit deinem Dienstleister, ob die 3-2-1-Regel erfüllt ist und eine Kopie unerreichbar für Angreifer ist.
4. Lass eine Datei vom Vortag und eine von vor vier Wochen zurückholen und miss die Zeit.
5. Trage Zuständigkeit, Testtermine und Anleitung zur Wiederherstellung in den Notfallordner ein.