Die 3-2-1-Backup-Regel verlangt drei Kopien Ihrer Daten, gespeichert auf zwei verschiedenen Systemen oder Medien, und mindestens eine dieser Kopien an einem anderen Ort. Sie verhindert, dass ein einziges Ereignis – ein Festplattendefekt, ein Verschlüsselungstrojaner, ein Wasserschaden im Serverraum – alle Kopien gleichzeitig erwischt. Erfüllt ist die Regel aber erst, wenn aus diesen Kopien nachweislich zurückgespielt wurde: Das BSI fordert in seinem IT-Grundschutz-Baustein CON.3 ausdrücklich, regelmäßig zu testen, ob gesicherte Daten „einwandfrei und in angemessener Zeit zurückgespielt werden können“ (CON.3.A15, Edition 2023). Ohne diesen Test sind drei Kopien nur drei Vermutungen.
Was besagt die 3-2-1-Backup-Regel?
Drei Zahlen, drei Anforderungen. Die Regel stammt ursprünglich aus der Fotografie und hat sich durchgesetzt, weil sie sich in einem Satz erklären lässt.
Die 3: drei Kopien Ihrer Daten
Gemeint sind die Arbeitsdaten plus zwei Sicherungen. Die Datei, in der Ihre Buchhaltung gerade schreibt, zählt als Kopie eins. Kommen zwei unabhängige Sicherungsstände dazu, sind Sie bei drei.
Warum nicht zwei? Weil die zweite Kopie fast immer dann gebraucht wird, wenn die erste kaputt ist – und ein Ausfall selten höflich einzeln auftritt. Ein Server verabschiedet sich, das RAID zieht beim Wiederaufbau eine zweite Platte mit, und plötzlich hängt alles an einer einzigen Sicherung, die niemand geprüft hat.
Die 2: zwei verschiedene Systeme oder Medien
Zwei Sicherungen auf demselben NAS sind eine Sicherung. Ein Netzteil, ein Controller, eine Firmware, ein Fehler. Deshalb verlangt die Regel unterschiedliche Technik: interner Server und externe Festplatte, oder lokales System und Cloud-Speicher.
Für die Praxis noch wichtiger als „anderes Medium“ ist „andere Angriffsfläche“. Ein per Laufwerksbuchstabe dauerhaft eingebundenes Backup-Laufwerk ist technisch ein zweites Medium – für einen Verschlüsselungstrojaner aber nur ein weiterer Ordner, den er mitnimmt. Das BSI formuliert dazu in CON.3.A14 die Anforderung, dass sichergestellt sein muss, dass Datensicherungen „nicht absichtlich oder unbeabsichtigt überschrieben werden können“.
Die 1: eine Kopie außer Haus
Die dritte Anforderung ist die, an der die meisten Betriebe scheitern. Alle Kopien liegen im selben Gebäude, oft im selben Raum. Gegen Feuer, Leitungswasser, Einbruch oder einen Blitzschlag, der die halbe Elektrik mitnimmt, hilft das nicht.
Das BSI wird an dieser Stelle deutlich: Speichermedien für die Datensicherung MÜSSEN „räumlich getrennt von den gesicherten IT-Systemen aufbewahrt werden“, und sie sollten in einem anderen Brandabschnitt liegen (CON.3.A12). Ein anderer Brandabschnitt ist nicht der Nebenraum mit der Gipskartonwand.
Die 3-2-1-Regel
Drei Kopien. Zwei Medien. Ein anderer Ort.
-
Kopien
Das Original und zwei Sicherungen. Eine Kopie allein ist keine Sicherung.
-
Medien
Zwei verschiedene Systeme. Zwei Ordner auf demselben Server zählen als eines.
-
anderer Ort
Eine Kopie außerhalb des Gebäudes. Gegen Feuer, Wasser und Einbruch.
Wovor schützt die Regel – und wovor nicht?
Die 3-2-1-Regel ist eine Verteilungsregel. Sie sorgt dafür, dass kein einzelnes Ereignis alle Ihre Daten gleichzeitig treffen kann. Das deckt die häufigsten Ausfallursachen ab: defekte Hardware, gelöschte oder überschriebene Dateien, gestohlene Geräte, Schäden am Standort, Ransomware.
Was sie nicht leistet: Sie sagt nichts darüber aus, ob Ihre Sicherung inhaltlich vollständig ist. Sie sagt nichts darüber, wie lange eine Wiederherstellung dauert. Und sie sagt nichts darüber, ob die Dateien am Ende lesbar sind. Ein Backup-Job kann monatelang grün melden, während er ein Verzeichnis übergeht, das nach einem Umzug woanders liegt. Backup-Software ist erstaunlich gut darin, grüne Häkchen zu produzieren.
Genau deshalb ist die Zahl der Kopien nicht das Ende der Geschichte, sondern der Anfang.
Wie sieht 3-2-1 im Alltag eines Betriebs aus?
Drei typische Situationen, jeweils mit dem Punkt, an dem es klemmt.
Der Handwerksbetrieb mit 14 Mitarbeitern. Im Büro steht ein NAS mit zwei Festplatten, darauf Aufmaße, Angebote, Rechnungen und Baustellenfotos. Ein zweites Laufwerk desselben Geräts nimmt nachts die Sicherung auf. Das fühlt sich nach zwei Kopien an, ist aber ein Gerät an einer Steckdose in einem Raum. Der Chef hat zusätzlich eine externe Platte, die er „eigentlich“ monatlich mitnimmt. Zuletzt war das im Frühjahr.
Das Architekturbüro mit 9 Personen. Planungsdaten liegen auf einem Windows-Server, dazu synchronisiert ein Cloud-Dienst ausgewählte Projektordner. Zwei Systeme, ein externer Ort, formal erfüllt. Nur: Die Synchronisation ist kein Backup. Löscht jemand einen Projektordner, ist er Sekunden später auch in der Cloud weg. Und die Ausführungsplanung eines Großprojekts liegt in einem Ordner, der nie in die Auswahl aufgenommen wurde.
Die Werbeagentur mit 6 Leuten. Alles liegt in der Cloud, jeder Rechner hat eine lokale Kopie über den Sync-Client. Der Geschäftsführer geht davon aus, dass der Anbieter sichert. Was der Anbieter tatsächlich zusichert, hat noch niemand nachgelesen. Als ein Kunde nach zwei Jahren die Rohdaten einer alten Kampagne anfordert, stellt sich heraus: Die Wiederherstellungsfrist des Papierkorbs betrug 30 Tage.
Drei Betriebe, drei unterschiedliche Lücken, ein gemeinsamer Nenner. Niemand hat je versucht, aus der Sicherung etwas zurückzuholen.
Warum ist ein Backup ohne getesteten Restore kein Backup?
Hier liegt der eigentliche Punkt dieses Artikels.
Ein Backup ist kein Zustand, sondern ein Versprechen: Wir behaupten, dass sich aus diesen Daten der Betrieb wiederherstellen lässt. Solange das niemand ausprobiert hat, ist es genau das – eine Behauptung. Eingelöst wird sie erst im Ernstfall, und der Ernstfall ist der schlechteste denkbare Zeitpunkt, um festzustellen, dass etwas fehlt.
Die Zahlen dazu sind unangenehm eindeutig. In der KMU-Backup-Studie 2025 von DATA REVERSE (285 befragte KMU, Erhebung im ersten Quartal 2025) sichern 77 Prozent der Betriebe mindestens wöchentlich. Regelmäßig getestet, also mindestens einmal pro Quartal, wird die Wiederherstellung aber nur von 28 Prozent. Fast drei Viertel testen selten oder nie.
Das Missverhältnis erklärt, warum Datenverluste trotz vorhandener Sicherungen passieren. Gesichert wird viel. Zurückgespielt wird fast nie – bis es sein muss.
Der Gesetzgeber und das BSI sehen das genauso. CON.3.A15 ist eine Basis-Anforderung, keine Kür: „Es MUSS regelmäßig getestet werden, ob die Datensicherungen wie gewünscht funktionieren, vor allem, ob gesicherte Daten einwandfrei und in angemessener Zeit zurückgespielt werden können.“ Zwei Bedingungen stehen in diesem Satz. Einwandfrei – die Daten müssen vollständig und lesbar sein. In angemessener Zeit – eine Wiederherstellung, die neun Tage dauert, rettet Ihre Daten, aber nicht Ihren Betrieb.
Diese zweite Bedingung wird regelmäßig übersehen. Wer 4 Terabyte über eine Leitung mit 40 Mbit Upload zurückholt, wartet rechnerisch über eine Woche. Das ist kein Fehler in der Sicherung. Das ist ein Fehler in der Planung, und er fällt nur bei einem Test auf.
Nebenbei: Diese Lücke ist auch ein Marktbefund. In unserer eigenen Wettbewerbsanalyse vom Juli 2026 haben wir acht Cloud- und Backup-Anbieter im deutschen KMU-Umfeld untersucht. Keiner davon bewirbt dokumentierte Wiederherstellungstests als festen Produktbestandteil. Gesichert wird überall. Bewiesen wird nirgends.
Wie testen Sie Ihre Wiederherstellung richtig?
Ein Restore-Test muss nicht aufwendig sein. Er muss stattfinden und schriftlich festgehalten werden. Vier Stufen, aufsteigend nach Aussagekraft:
Stufe 1: Einzeldatei. Holen Sie eine konkrete Datei aus der Sicherung zurück – nicht irgendeine, sondern eine, die jemand benennt. Öffnen Sie sie. Prüfen Sie den Inhalt. Dauert zehn Minuten und deckt überraschend oft auf, dass ein Verzeichnis gar nicht im Sicherungsumfang ist.
Stufe 2: Ordnerstruktur mit Berechtigungen. Stellen Sie ein ganzes Projektverzeichnis an einem separaten Ort wieder her. Stimmen Rechte und Zugriffe noch? Sind Verknüpfungen intakt? Bei CAD- und Layout-Dateien mit externen Referenzen wird das schnell interessant.
Stufe 3: Zeitpunkt in der Vergangenheit. Nicht der Stand von gestern, sondern der von vor drei Monaten. Verschlüsselungstrojaner sitzen häufig länger im Netz, bevor sie zuschlagen. Wenn Ihre Sicherung nur 14 Tage zurückreicht, sichern Sie unter Umständen bereits kompromittierte Daten.
Stufe 4: Vollständige Wiederherstellung auf Ersatzsystem. Die Königsdisziplin und der einzige Test, der die Frage „Wie lange stehen wir still?“ wirklich beantwortet. Für Betriebe ohne eigene IT ist das der Punkt, an dem ein Dienstleister sinnvoll wird.
Halten Sie jedes Ergebnis fest: Datum, was wurde zurückgeholt, Datenmenge, Dauer, Ergebnis, wer hat geprüft. Dieses Protokoll ist Ihr Nachweis gegenüber Auftraggebern, Versicherern und Prüfern – und Ihre eigene Sicherheit, dass die Sache funktioniert. Wie ein solches Protokoll bei uns aussieht und was monatlich darin steht, zeigen wir auf der Seite Backup und getestete Wiederherstellung.
Was bringen Erweiterungen wie 3-2-1-1-0?
Sie werden über Varianten stolpern: 3-2-1-1-0, 4-3-2, 3-2-1-1. Die verbreitetste ist 3-2-1-1-0, definiert unter anderem vom Backup-Hersteller Veeam. Die zusätzliche 1 steht für eine unveränderliche oder vom Netz getrennte Kopie – Daten, die auch ein Angreifer mit Administratorrechten nicht löschen kann. Die 0 steht für null Fehler bei der automatisierten Wiederherstellungsprüfung.
Beide Ergänzungen sind sinnvoll, und beide sind eigentlich keine neuen Ideen. Die zusätzliche Kopie ist die Antwort auf Ransomware, die gezielt Sicherungen sucht. Die Null ist die Antwort auf ungeprüfte Backups – also exakt das, was CON.3.A15 seit Jahren fordert.
Für einen Betrieb mit 15 Mitarbeitern lautet die praktische Übersetzung deshalb schlicht: Sorgen Sie dafür, dass mindestens eine Kopie nicht überschreibbar ist, und lassen Sie regelmäßig zurückspielen. Ob Sie das dann 3-2-1-1-0 nennen, ändert an Ihren Daten nichts.
Sind Papierkorb und Versionierung nicht schon ein Backup?
Nein, und diese Verwechslung ist teuer. Der Papierkorb fängt versehentliches Löschen ab, meist für eine begrenzte Frist. Die Versionierung fängt das Überschreiben ab und lässt Sie zu einem früheren Stand derselben Datei zurückblättern. Beides sind Alltagsschutznetze, die Ihr Team selbst bedient, und beide leben im selben System wie die Daten.
Ein Backup ist eine unabhängige Kopie außerhalb dieses Systems. Es hilft dann, wenn das System selbst betroffen ist. Wer die Unterschiede sauber trennen will, findet sie ausführlich im Artikel Papierkorb, Versionierung und Backup im Vergleich. Wie die drei Ebenen bei uns ineinandergreifen, zeigt die Seite So funktioniert die ServerSonic-Datenablage samt der 3-2-1-Sicherung im Überblick.
Ihre nächsten Schritte
Vier Fragen, die Sie ohne IT-Kenntnisse beantworten können. Wenn Sie bei einer davon ins Stocken geraten, wissen Sie, wo Sie ansetzen.
- Wie viele unabhängige Kopien Ihrer Firmendaten existieren gerade – und liegen mindestens zwei davon auf unterschiedlichen Systemen?
- Liegt eine Kopie an einem anderen Ort, außerhalb Ihres Gebäudes?
- Kann eine dieser Kopien von einem infizierten Rechner aus überschrieben oder gelöscht werden?
- Wann wurde zuletzt etwas aus einer Sicherung zurückgeholt – und wo steht das Ergebnis?
Frage vier ist die entscheidende. Alle anderen betreffen die Architektur, diese betrifft die Realität.
Sie wissen jetzt, welche Fragen Sie stellen müssen. Wenn Sie bei Frage vier keine Antwort haben, schauen wir gemeinsam drauf.
Jeder verspricht Backups. Wir beweisen Wiederherstellung.
Häufige Fragen zur 3-2-1-Backup-Regel
Was bedeutet die 3-2-1-Regel beim Backup?
Drei Kopien der Daten, gespeichert auf zwei verschiedenen Systemen oder Medientypen, davon eine Kopie an einem anderen Ort. Ziel ist, dass kein einzelnes Ereignis alle Kopien gleichzeitig zerstören kann.
Zählt die Originaldatei als eine der drei Kopien?
Ja. In der gängigen Auslegung ist der produktive Datenbestand Kopie eins, dazu kommen zwei Sicherungen. Wer stattdessen drei Sicherungen zusätzlich zum Original vorhält, liegt auf der sicheren Seite.
Reicht ein NAS im Büro für die 3-2-1-Regel aus?
Nein. Ein NAS steht am selben Ort wie Ihre Arbeitsplätze und erfüllt die Anforderung der externen Kopie nicht. Auch zwei Festplatten in einem Gehäuse gelten nicht als zwei getrennte Systeme, weil Netzteil, Controller und Standort geteilt werden.
Ist Cloud-Synchronisation dasselbe wie ein Backup?
Nein. Synchronisation gleicht Änderungen ab, auch Löschungen. Was auf dem Rechner verschwindet oder verschlüsselt wird, verschwindet oder verschlüsselt sich kurz darauf auch in der Cloud. Ein Backup hält eigenständige Stände vor, die von der laufenden Arbeit unabhängig sind.
Wie oft muss ich meine Wiederherstellung testen?
Das BSI fordert in CON.3.A15 regelmäßige Tests, ohne ein festes Intervall vorzugeben. In der DATA REVERSE-Studie 2025 gilt „mindestens quartalsweise“ als regelmäßig; das ist für die meisten Betriebe eine brauchbare Untergrenze. Nach größeren Änderungen an Servern, Ordnerstrukturen oder Software sollten Sie zusätzlich testen.
Was gehört in ein Wiederherstellungs-Protokoll?
Datum, wiederhergestellter Umfang, Datenmenge, benötigte Zeit, Ergebnis der Inhaltsprüfung und der Name der prüfenden Person. Ein solches Protokoll ist gegenüber Auftraggebern und Versicherern deutlich belastbarer als die Aussage, man sichere täglich.
Müssen Backups verschlüsselt sein?
Bei erhöhtem Schutzbedarf empfiehlt das BSI in CON.3.A13, alle Datensicherungen zu verschlüsseln und sicherzustellen, dass sich verschlüsselte Daten auch nach längerer Zeit wieder einspielen lassen. Für Betriebe, die personenbezogene Daten oder Kundenprojekte sichern, ist Verschlüsselung der vernünftige Standardfall – vor allem bei Kopien, die das Haus verlassen.
Quellen
- https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium_Einzel_PDFs_2023/03_CON_Konzepte_und_Vorgehensweisen/CON_3_Datensicherungskonzept_Edition_2023.pdfBSI IT-Grundschutz-Kompendium, Baustein CON.3 Datensicherungskonzept, Edition 2023. Belegt den Wortlaut von CON.3.A15 (regelmäßiges Testen der Datensicherungen), CON.3.A12 (räumlich getrennte Aufbewahrung), CON.3.A14 (Schutz vor Überschreiben) und CON.3.A13 (Verschlüsselung bei erhöhtem Schutzbedarf).Abgerufen: 2026-08-07
- https://www.datareverse-datenrettung.de/2025-kmu-backup-studie/DATA REVERSE KMU-Backup-Studie 2025, 285 befragte KMU, Erhebung im ersten Quartal 2025. Belegt: 28 % testen ihre Backups mindestens quartalsweise, 72 % selten oder nie; 77 % sichern mindestens wöchentlich.Abgerufen: 2026-08-07
- https://www.veeam.com/blog/321-backup-rule.htmlBelegt die Definition der Erweiterung 3-2-1-1-0 (zusätzliche unveränderliche bzw. netzgetrennte Kopie, null Fehler bei der Wiederherstellungsprüfung).Abgerufen: 2026-08-07
- Intern: 04_ServerSonic_Positionierung_und_Zielmarkt.md, Abschnitt 2 — eigene Wettbewerbsanalyse 07/2026: 8 untersuchte Anbieter, keiner bewirbt dokumentierte Restore-Tests als Produktbestandteil.Abgerufen: Projektdokumentation, Stand 2026-07-19