Die 3-2-1-Regel verlangt drei Kopien aller Daten auf zwei verschiedenen Medientypen, davon eine Kopie außer Haus; heute ergänzt um eine unveränderbare oder offline gehaltene Kopie gegen Ransomware.
Die 3-2-1-Regel ist die klassische Faustregel der Datensicherung: Von jedem wichtigen Datenbestand existieren drei Kopien (das Original und zwei Sicherungen), gespeichert auf zwei unterschiedlichen Medientypen, und mindestens eine Kopie liegt an einem anderen Ort. So überstehen die Daten einen Hardware-Defekt, einen Bedienfehler und einen Brand oder Wasserschaden am Hauptstandort.
Gegen Ransomware reicht die Regel in ihrer ursprünglichen Form nicht mehr aus. Angreifer suchen gezielt die Backup-Infrastruktur und löschen oder verschlüsseln Sicherungen, bevor sie die Produktivsysteme angreifen. Die erweiterte Form 3-2-1-1-0 fordert daher zusätzlich eine Kopie, die offline oder unveränderbar (immutable) ist, und null Fehler bei der regelmäßigen Wiederherstellungsprüfung.
So funktioniert die erweiterte Regel
- 3 Kopien: Produktivdaten plus zwei unabhängige Sicherungen, die nicht denselben Ausfallpunkt teilen.
- 2 Medientypen: Etwa Festplattenspeicher am Standort und Objektspeicher in der Cloud oder Band. Ein Fehler in einer Technologie trifft nicht beide.
- 1 Kopie außer Haus: Geografisch getrennt, gegen Standortverlust.
- 1 Kopie offline oder unveränderbar: Band im Tresor, Air-Gap-Speicher oder Objektspeicher mit Schreibschutz für eine festgelegte Dauer. Kein Konto aus der Produktivumgebung darf sie löschen können.
- 0 Fehler: Regelmäßige, dokumentierte Wiederherstellungstests, inklusive vollständiger Systeme und nicht nur einzelner Dateien.
Bedeutung für Unternehmen
Backups entscheiden darüber, ob ein Ransomware-Vorfall ein Betriebsproblem von Tagen oder eine Existenzfrage ist. Laut Verizon DBIR 2025 war Ransomware an 44 Prozent aller Breaches beteiligt, bei kleinen Organisationen an 88 Prozent. Der BSI-Lagebericht 2025 stuft Ransomware als größte Bedrohung ein. Wer seine Daten verlässlich wiederherstellen kann, nimmt dem Angreifer das wichtigste Druckmittel; bleibt die Drohung mit der Veröffentlichung gestohlener Daten.
Was wir in Einsätzen sehen: Die Backup-Infrastruktur ist ein ausdrückliches Ziel („Flag") in vielen Ransomware-Simulationen, und sie ist meist erreichbar. Der Backup-Server steht im gleichen Netzsegment wie die Clients, der Backup-Dienst läuft mit Domänen-Admin-Rechten, die Verwaltungsoberfläche ist mit dem Passwort eines Administrators erreichbar, und die Cloud-Kopie hängt an demselben Konto, das auch die Produktion verwaltet. In dieser Konstellation kann ein Angreifer mit Domänen-Admin-Rechten alle drei Kopien unbrauchbar machen, und die 3-2-1-Regel ist nur noch auf dem Papier erfüllt.
Praxis: Umsetzung und Prüfung
- Backup vom Active Directory entkoppeln: Backup-Server nicht in die Domäne aufnehmen oder in einen eigenen, isolierten Forest stellen; eigene Konten mit MFA für die Verwaltung.
- Unveränderbarkeit erzwingen: Immutable Storage mit Aufbewahrungsfristen, die auch ein Administrator nicht verkürzen kann; Löschung nur mit Vier-Augen-Prinzip oder zeitlicher Verzögerung.
- Netz trennen: Backup-Infrastruktur in einem eigenen Segment (siehe Netzwerksegmentierung), nur die Backup-Ports geöffnet, Verwaltungszugriff ausschließlich über Admin-Arbeitsplätze.
- Wiederherstellung üben: Mindestens jährlich eine vollständige Wiederherstellung kritischer Systeme inklusive Domänencontroller auf saubere Hardware, mit gemessener Dauer. Die Dauer ist die Grundlage für Ihre Wiederanlaufzeiten im Business Continuity Management.
- Angriff simulieren: In einer Red-Team- oder Ransomware-Simulation prüfen wir, ob wir mit erbeuteten Rechten die Backups erreichen, löschen oder verschlüsseln könnten, ohne dies tatsächlich zu tun. Der Nachweis erfolgt auf einem Testsystem und dokumentiert, ob Ihre letzte Verteidigungslinie hält.