Wie sieht eine sichere Backup-Strategie nach der 3-2-1-Regel aus?

Eine sichere Backup-Strategie folgt der 3-2-1-Regel, einer Faustregel für Datensicherungen: Halten Sie von wichtigen Daten drei Kopien vor, also das Original und zwei Backups, speichern Sie diese auf zwei verschiedenen Arten von Speichermedien und lagern Sie eine Kopie außer Haus. So bleiben die Daten auch nach einem Hardware-Defekt, einem Bedienfehler, einem Brand oder einem Diebstahl verfügbar. Gegen Ransomware gehört heute zusätzlich eine Kopie dazu, die offline oder unveränderbar gespeichert ist, und jede Sicherung muss sich nachweislich zurückspielen lassen.

Stand: 22. Oktober 2026. Diesen herstellerneutralen Leitfaden veröffentlicht der Marktplatz IT-Sicherheit des Instituts für Internet-Sicherheit – if(is), gestützt auf den IT-Grundschutz-Baustein CON.3 „Datensicherungskonzept“ des Bundesamts für Sicherheit in der Informationstechnik (BSI), eine Veröffentlichung des US-CERT und das BSI-Gesetz.

Wie sieht eine Backup-Strategie nach der 3-2-1-Regel aus?

Wichtig: Das Original zählt als eine der drei Kopien. Wer nur eine einzige Sicherung hat, erfüllt die Regel nicht, denn diese Sicherung kann selbst defekt oder unbrauchbar sein.

Woher kommt die 3-2-1-Regel?

Die Regel wird dem Fotografen Peter Krogh zugeschrieben; als Quelle nennt das US-CERT-Papier „Data Backup Options“ sein Buch „The DAM Book: Digital Asset Management for Photographers“ (2. Auflage, 2009). Erstellt hat das Papier 2012 die Carnegie Mellon University für das US-CERT, das damalige Computer-Notfallteam der US-Regierung. Es empfiehlt die 3-2-1-Regel allen Nutzern, von Privatleuten bis zu professionellen IT-Sicherheitsbeauftragten. Eine einzelne Sicherungsdatei reiche womöglich nicht aus.

Warum 3-2-1 heute nicht mehr reicht: Ransomware

Ransomware verschlüsselt Daten und fordert Lösegeld; ohne Datensicherung sind die Daten laut BSI in vielen Fällen verloren, und auch nach einer Zahlung ist die Wiederherstellung nicht gewährleistet. Viele Varianten suchen gezielt nach Netzlaufwerken mit Schreibzugriff. Sind die Sicherungsmedien nicht ausreichend geschützt, kann die Schadsoftware auch die Backups verschlüsseln. Hinzu kommt, worauf das US-CERT-Papier „Data Backup Options“ hinweist: Sicherungen, die laufend automatisch mit dem neuesten Stand überschrieben werden, können Beschädigungen oder Schadsoftware unbemerkt aus dem Original übernehmen.

Deshalb verlangt der IT-Grundschutz des BSI, dass Datensicherungen nicht absichtlich oder versehentlich überschrieben werden können. Besonders schützenswerte Sicherungsmedien sollen nur während der Sicherung und der Wiederherstellung mit dem Netz verbunden sein. In der Praxis heißt das: mindestens eine Kopie offline aufbewahren oder unveränderbar speichern (englisch: immutable).

Unter dem Namen 3-2-1-1-0 beschreibt etwa der Backup-Hersteller Veeam eine erweiterte Fassung der Regel: zusätzlich eine Kopie an einem unveränderbaren oder vom Netz getrennten Speicherort (1) und null Fehler bei der Wiederherstellung (0), belegt durch automatische Integritätsprüfungen und regelmäßige Rücksicherungstests.

Was das BSI für Datensicherungen verlangt

Der IT-Grundschutz-Baustein CON.3 „Datensicherungskonzept“ (Edition 2023) beschreibt, wie Institutionen ihre Daten angemessen gegen Verlust absichern. Zu den Basis-Anforderungen, die vorrangig erfüllt werden müssen, gehören:

• Einflussfaktoren erheben: je IT-System und Anwendung festhalten, welche Daten mit welchem Volumen und welchen Verfügbarkeits-, Vertraulichkeits- und rechtlichen Anforderungen zu sichern sind.
• Verfahren festlegen: Art, Häufigkeit und Zeitpunkte der Sicherungen bestimmen. Datensicherungen müssen immer auf separaten Speichermedien liegen.
• Datensicherungspläne erstellen: unter anderem, in welcher Reihenfolge Systeme und Anwendungen wiederhergestellt werden und wie die Sicherungen vor unbefugtem Zugriff und Überschreiben geschützt sind.
• Räumlich getrennt aufbewahren: Sicherungsmedien getrennt von den gesicherten Systemen lagern, möglichst in einem anderen Brandabschnitt.
• Regelmäßig testen: prüfen, ob sich gesicherte Daten einwandfrei und in angemessener Zeit zurückspielen lassen.

Zum Stand der Technik gehört außerdem ein Datensicherungskonzept, das den maximal zulässigen Datenverlust (Recovery Point Objective, RPO) je System berücksichtigt. Das Konzept selbst sollte in einer Datensicherung enthalten sein. Die Anleitungen zur Wiederherstellung sollten so gesichert sein, dass sie auch verfügbar sind, wenn die Sicherungssysteme ausfallen; liegen sie nur digital vor, können sie bei Großschäden wie Ransomware mit verloren gehen. Wer online in die Cloud sichert, sollte laut BSI unter anderem Speicherort, Verfügbarkeit, Authentisierung beim Zugriff sowie Verschlüsselung auf dem Speicher und auf dem Transportweg vertraglich regeln. Bei erhöhtem Schutzbedarf empfiehlt das BSI, alle Sicherungen zu verschlüsseln und die Schlüssel getrennt zu sichern.

Wie lagert man Sicherungsmedien richtig?

Ungünstige Lagerung oder ein ungeeignetes Raumklima können Sicherungsmedien unbrauchbar machen. Der IT-Grundschutz verlangt, die Medien räumlich getrennt von den gesicherten Systemen aufzubewahren. Außerdem empfiehlt er einen Ort, der so klimatisiert ist, dass die Datenträger über die im Datensicherungskonzept vorgesehene Zeit aufbewahrt werden können.

Warum man Sicherungen überwachen sollte

Reicht der Speicherplatz auf den Sicherungsmedien nicht, werden aktuelle Daten womöglich nicht mehr gesichert, oder die Software überschreibt ältere, noch benötigte Sicherungen. Bemerkt das niemand, weil das Monitoring fehlt, können Daten laut BSI ganz verloren gehen. Dauert eine Sicherung länger als der Abstand bis zur nächsten, drohen unvollständige Sicherungen oder eine Überlastung des Sicherungssystems.

Begriffe rund ums Backup

• Backup und Restore: Zu einem vollständigen Datensicherungskonzept gehört nicht nur das Erstellen der Sicherung (Backup), sondern auch das Zurückspielen (Restore).
• RAID ist kein Backup: Gespiegelte Festplatten schützen vor dem Ausfall eines Datenträgers, aber nicht vor versehentlichem Überschreiben oder Schadsoftware, weil alle Spiegel gleichzeitig verändert werden.
• Snapshots: In virtuellen Umgebungen und Speichersystemen ergänzen sie die vollständigen Sicherungen um schnell wiederherstellbare Zwischenstände.
• Archivierung: Sie dient der langfristigen Aufbewahrung von Dokumenten und ist eine eigene Aufgabe neben der Datensicherung.
• Voll-, inkrementelle und differenzielle Sicherung: Die Unterschiede erklärt die Seite Arten von Backups.

Ist eine Datensicherung Pflicht?

Für Einrichtungen, die unter die NIS-2-Regeln fallen, ja: § 30 Absatz 2 Satz 2 Nummer 3 des BSI-Gesetzes (BSIG) nennt unter den Risikomanagementmaßnahmen die „Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement“. Wer personenbezogene Daten verarbeitet, muss nach Art. 32 Absatz 1 der Datenschutz-Grundverordnung zudem dem Risiko angemessene technische und organisatorische Maßnahmen treffen. Dazu gehört nach Buchstabe c gegebenenfalls „die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen“.

Checkliste: Backup nach der 3-2-1-Regel umsetzen

1. Erfassen, welche Daten und Systeme gesichert werden müssen und wie viel Datenverlust höchstens tragbar ist.
2. Drei Kopien vorsehen: Original plus zwei Sicherungen, davon eine außer Haus.
3. Zwei verschiedene Medienarten nutzen, etwa Sicherungsserver oder NAS im anderen Brandabschnitt und Band oder Cloud-Speicher.
4. Mindestens eine Kopie offline oder unveränderbar halten und Schreibrechte auf die Sicherungen auf die Backup-Software beschränken.
5. Reihenfolge der Wiederherstellung festlegen und die Anleitung zusätzlich auf Papier bereithalten.
6. Rücksicherungen regelmäßig testen, auch die Wiederherstellung kompletter Systeme.
7. Sicherungen verschlüsseln, wenn sie vertrauliche Daten enthalten oder außer Haus liegen, und die Schlüssel getrennt aufbewahren.

Anbieter von Backup-Software, -Geräten und -Diensten finden Sie in der Übersicht zu Backups und Backup-Anbietern. Sitz und Angebot einzelner Anbieter vergleicht die Tabelle Backup-Anbieter im Vergleich.

Häufige Fragen

Was bedeutet 3-2-1 beim Backup?

3-2-1 steht für drei Kopien der Daten (Original plus zwei Sicherungen), zwei verschiedene Arten von Speichermedien und eine Kopie an einem anderen Ort. Die Regel sorgt dafür, dass nicht ein einzelnes Ereignis wie ein Defekt, ein Brand oder ein Diebstahl alle Kopien zugleich trifft. Gegen Ransomware braucht es zusätzlich eine Kopie, die offline oder unveränderbar gespeichert ist.

Zählt das Original als eine der drei Kopien?

Ja. Nach der Formulierung im US-CERT-Papier „Data Backup Options“ sind es drei Kopien jeder wichtigen Datei: eine primäre Kopie und zwei Backups.

Ist eine Cloud-Sicherung die Kopie außer Haus?

Sie kann es sein, denn die Daten liegen dann nicht am eigenen Standort. Das BSI rät, bei Online-Sicherungen unter anderem Speicherort, Verfügbarkeit, Zugriffsschutz und Verschlüsselung vertraglich zu regeln. Ist der Cloud-Speicher dauerhaft mit Schreibrechten verbunden, schützt er nicht automatisch vor Ransomware.

Wie kommt die Kopie außer Haus?

Entweder werden Datenträger wie Bänder oder externe Festplatten an einen anderen Ort gebracht, oder die Sicherung wird über das Netz zu einem entfernten Speicher übertragen, etwa zu einem Online-Dienst. Der IT-Grundschutz verlangt festzulegen, welche Speichermedien genutzt werden und wie Transport und Aufbewahrung geregelt sind. Bei Online-Sicherungen sollen Sicherungssystem und Netzanbindung so beschaffen sein, dass die zulässigen Sicherungs- und Wiederherstellungszeiten nicht überschritten werden.

Ist RAID ein Backup?

Nein. Ein RAID-System spiegelt Daten auf mehrere Festplatten und schützt vor dem Ausfall einer Platte. Versehentliches Löschen oder Verschlüsselung durch Schadsoftware übernimmt es aber sofort auf alle Spiegel, deshalb zählt das BSI Spiegelungen nicht als Datensicherung.

Was ist die 3-2-1-1-0-Regel?

Eine vom Backup-Hersteller Veeam beschriebene erweiterte Fassung der 3-2-1-Regel: Zusätzlich liegt eine Kopie unveränderbar oder vom Netz getrennt (1), und regelmäßige Prüfungen und Rücksicherungstests stellen sicher, dass die Wiederherstellung ohne Fehler gelingt (0).

Wie oft sollte man Backups testen?

Regelmäßig. Der IT-Grundschutz des BSI nennt keinen festen Abstand, verlangt aber, regelmäßig zu prüfen, ob sich gesicherte Daten einwandfrei und in angemessener Zeit zurückspielen lassen. Wie oft getestet wird, sollte das Datensicherungskonzept je nach Bedeutung der Systeme festlegen.

Wie oft sollte man Daten sichern?

Das hängt davon ab, wie viel Datenverlust ein System höchstens verkraftet. Der IT-Grundschutz verlangt, Art, Häufigkeit und Zeitpunkte der Sicherungen auf Basis der erhobenen Einflussfaktoren festzulegen, darunter Änderungsvolumen, Änderungszeitpunkte und Verfügbarkeitsanforderungen. Zum Stand der Technik gehört, dabei den maximal zulässigen Datenverlust (RPO) je System zu berücksichtigen.

Weitere Leitfäden des Marktplatzes IT-Sicherheit: Was ist IT-Sicherheit? · Wie funktioniert eine Firewall? · Security-Awareness-Training aufbauen · Incident-Response-Plan

Quellen

• Bundesamt für Sicherheit in der Informationstechnik (BSI): IT-Grundschutz-Kompendium, Baustein CON.3 Datensicherungskonzept, Edition 2023, https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium_Einzel_PDFs_2023/03_CON_Konzepte_und_Vorgehensweisen/CON_3_Datensicherungskonzept_Edition_2023.pdf?__blob=publicationFile&v=3
• Paul Ruggiero, Matthew A. Heckathorn: Data Backup Options, Carnegie Mellon University für US-CERT, 2012, https://www.cisa.gov/sites/default/files/publications/data_backup_options.pdf
• BSI-Gesetz (BSIG), § 30 Risikomanagementmaßnahmen, https://www.gesetze-im-internet.de/bsig_2025/__30.html
• Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 32, konsolidierte Fassung mit Berichtigung, https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
• Veeam: What is the 3-2-1 Backup Rule?, 2024, aktualisiert 2026, https://www.veeam.com/blog/321-backup-rule.html