Kurz gesagt
Die 3-2-1-Regel sagt: drei Kopien Ihrer Daten, auf zwei verschiedenen Medien, eine davon außer Haus. Für einen Betrieb mit Server heißt das: die Daten auf dem Server, eine Sicherung auf einem NAS im Haus, eine Sicherung in der Cloud. Microsoft 365 braucht eine eigene Sicherung, weil Microsoft Ihre Daten verfügbar hält, aber nicht sichert. Im Managed Backup kostet das für einen Betrieb mit einem Server, zwölf Arbeitsplätzen und einem Terabyte 160 € netto im Monat, Überwachung und Restore-Tests enthalten. Sicherungen scheitern selten an der Regel. Sie scheitern daran, dass sie nicht mehr laufen, dass niemand es merkt, dass sie mitverschlüsselt werden, dass das Falsche gesichert wird, und dass sie noch nie jemand zurückgespielt hat.
Die Regel, und was sie heute ergänzt
Drei Kopien. Die Originaldaten zählen als eine. Dazu zwei Sicherungen. Warum zwei: Weil eine einzelne Sicherung selbst ausfallen kann, und weil ein Angreifer, der den Server verschlüsselt, oft auch die erste erreichbare Sicherung verschlüsselt.
Zwei Medien. Nicht alles auf derselben Technik. Server und NAS sind zwei Medien, Server und Cloud auch. Zwei Festplatten im selben Server sind eines: Fällt der Controller aus oder brennt der Raum, sind beide weg. Ein RAID ist Ausfallsicherheit, keine Sicherung; es spiegelt auch den Löschbefehl und die Verschlüsselung.
Eine außer Haus. Brand, Wasser, Diebstahl, Verschlüsselung über das Netz. Alles, was das Gebäude trifft, trifft jede Kopie im Gebäude. Die Kopie außer Haus ist die, mit der Sie nach dem schlimmsten Fall wieder anfangen.
Seit einigen Jahren hat sich eine Erweiterung eingebürgert, oft 3-2-1-1-0 genannt: eine der Kopien ist unveränderbar oder getrennt, also so abgelegt, dass sie vom Server aus weder gelöscht noch überschrieben werden kann, und die Sicherung hat nach dem Test null Fehler. Die zusätzliche Eins ist die Antwort auf Verschlüsselungstrojaner, die gezielt zuerst die Sicherung suchen. Die Null ist die Antwort auf Sicherungen, die seit Monaten einen Fehler melden, den niemand liest.
Das Bundesamt für Sicherheit in der Informationstechnik beschreibt im IT-Grundschutz-Baustein „Datensicherungskonzept“ dieselben Fragen: Was wird gesichert, wie oft, wohin, wie lange aufbewahrt, wer ist zuständig, und wie wird die Wiederherstellung geprüft. Ein Blatt Papier mit diesen Antworten ist das Sicherungskonzept, das Versicherer und Kundenfragebögen meinen.
Zwei Fragen vor jeder Technik
Bevor es um NAS und Cloud geht, müssen zwei Zahlen feststehen, die der Betrieb beantwortet, nicht die IT:
Wie viel darf verloren gehen?
Die Zeit zwischen zwei Sicherungen ist die Zeit, deren Arbeit im Ernstfall weg ist. Täglich nachts gesichert heißt: Im schlimmsten Fall ist ein Arbeitstag verloren. Für ein Büro mit Ablage ist das meist in Ordnung. Für eine Auftragsbearbeitung, in die zwanzig Leute den ganzen Tag buchen, oft nicht; dann wird die Datenbank stündlich gesichert.
Wie lange darf es dauern?
Die Zeit vom Ausfall bis zum Weiterarbeiten. Eine Datei aus der Cloud zurückholen: Minuten. Einen ganzen Server aus der Cloud neu aufsetzen: je nach Datenmenge und Leitung ein Tag oder mehr. Deshalb die Kopie auf dem NAS im Haus: Sie ist nicht die sicherste, aber die schnellste.
Beide Zahlen bestimmen, was die Sicherung kosten muss. Wer sie nicht benennt, bekommt entweder zu wenig oder zahlt für Dinge, die er nicht braucht.
Was das für einen Betrieb konkret heißt
Ein Beispiel mit Server, zwölf Arbeitsplätzen und Microsoft 365:
| Kopie | Wo | Was | Wie oft | Wofür |
|---|---|---|---|---|
| 1 | Server im Haus | Originaldaten der Branchensoftware und Ablage | laufend | Die Arbeit |
| 2 | NAS im Haus, eigenes Netzsegment, eigene Zugangsdaten | Sicherung des Servers als Abbild und als Dateien | täglich, Datenbank stündlich | Schnell zurückspielen: versehentlich gelöschte Datei, defekte Festplatte, kaputtes Update |
| 3 | MintCode Cloud, Rechenzentrum in Deutschland | Sicherung von Server und Arbeitsplätzen, außer Haus, vom Server aus nicht löschbar | täglich | Der schlimmste Fall: Brand, Diebstahl, Verschlüsselung |
| dazu | Cloud | Sicherung der Microsoft-365-Postfächer, OneDrive und SharePoint | täglich | Gelöschte Postfächer, verschlüsselte Ablage, Versehen |
Die letzte Zeile überrascht viele: Microsoft 365 ist keine Sicherung. Microsoft hält Ihre Daten hochverfügbar und schreibt in seinen eigenen Nutzungsbedingungen, dass Sie regelmäßig Sicherungskopien anlegen sollten. Gelöscht ist nach Ablauf der Papierkörbe endgültig gelöscht. Ein Mitarbeiter, der beim Ausscheiden sein Postfach leert; ein Verschlüsselungstrojaner, der über den synchronisierten OneDrive-Ordner in SharePoint schreibt; ein Administrator, der die falsche Bibliothek löscht: Alles drei braucht eine eigene Sicherung der Cloud-Daten, außerhalb von Microsoft.
Was oft vergessen wird: die Konfiguration. Firewall-Regeln, Switch-Einstellungen, die Einrichtung der Telefonanlage, Lizenzschlüssel. Nach einem Brand ist der Server aus der Sicherung in einem Tag wieder da; die Firewall, die niemand gesichert hat, braucht zwei Tage Neukonfiguration. Deshalb gehören Konfigurationen in die Sicherung wie Daten.
Woran Sicherungen in der Praxis scheitern
Wir haben noch keinen Betrieb gesehen, dessen Sicherung an der 3-2-1-Regel gescheitert ist. Gescheitert sind sie an diesen fünf Dingen:
Sie läuft nicht mehr. Ein Passwort wurde geändert, eine Festplatte ist voll, ein Update hat die Sicherungssoftware verstellt. Die Sicherung meldet einen Fehler, und die Meldung landet in einem Postfach, das niemand liest. Wochen später fällt der Server aus, und die letzte gute Sicherung ist zwei Monate alt. Die Antwort: Jeder Sicherungsjob wird überwacht, ein Fehler ist ein Alarm bei einem Techniker, nicht eine E-Mail.
Sie wird mitverschlüsselt. Das NAS hängt im selben Netz wie der Server, mit denselben Zugangsdaten, als Netzlaufwerk eingebunden. Der Angreifer, der den Server erreicht, erreicht das NAS und verschlüsselt beide. Die Antwort: Die Kopie außer Haus mit eigenen Zugangsdaten, auf die der Server nicht schreibend zugreifen kann, und das NAS in einem eigenen Netzsegment.
Sie wurde nie zurückgespielt. Eine Sicherung, die niemand getestet hat, ist eine Hoffnung. Die Datei ist da, aber die Datenbank darin ist inkonsistent, weil sie im laufenden Betrieb kopiert wurde. Das Abbild ist da, aber auf neuer Hardware startet es nicht. Das merkt man am Tag, an dem man es braucht, oder beim regelmäßigen Restore-Test. Der zweite Zeitpunkt ist der bessere.
Sie sichert das Falsche. Der Dateiserver ist gesichert, die Datenbank der Branchensoftware liegt aber auf einem anderen Laufwerk, das niemand aufgenommen hat. Microsoft 365 ist „in der Cloud“ und deshalb vermeintlich sicher. Die Firewall-Konfiguration existiert nur auf der Firewall. Die Antwort: eine Liste, was gesichert wird, abgeglichen mit der Liste, was es im Betrieb gibt, einmal im Jahr.
Sie bewahrt zu kurz auf. Verschlüsselungstrojaner arbeiten oft Wochen im Verborgenen, bevor sie zuschlagen. Wer nur sieben Tage Versionen hält, hat am Tag des Angriffs sieben verschlüsselte Sicherungen. Die Antwort: Versionen über mindestens dreißig Tage, besser länger, dazu Monatsstände, die ein Jahr bleiben.
So läuft ein Restore-Test bei uns
Aus der Cloud-Sicherung eine Datei von vor drei Wochen zurückholen und öffnen. Dauert Minuten und prüft, ob Versionen und Zugriff stimmen.
Die Datenbank der Branchensoftware aus der Sicherung in eine Testumgebung einspielen und die Software darauf starten. Zeigt, ob die Sicherung konsistent ist, nicht nur vorhanden.
Das Serverabbild auf andere Hardware oder in eine virtuelle Maschine zurückspielen und hochfahren. Zeigt, ob der Weg nach einem Totalausfall wirklich funktioniert, und wie lange er dauert.
Was getestet wurde, wann, mit welchem Ergebnis, wie lange es gedauert hat. Das Protokoll ist der Nachweis für Versicherer und Kundenfragebögen, und die Zahl für die Frage „Wie lange darf es dauern?“.
Turnus: einmal im Jahr je gesichertem System. Der Test ist im Managed Backup enthalten, nicht Zusatzleistung.
Was es kostet
| Position | Beispielbetrieb | netto / Monat |
|---|---|---|
| Managed Backup Server | 1 Server à 15 € | 15 € |
| Managed Backup Workstation | 12 Arbeitsplätze à 10 € | 120 € |
| Sicherungsvolumen | 1 TB belegter Speicher in unserer Cloud à 25 € | 25 € |
| Summe | Überwachung jedes Jobs, Behebung fehlgeschlagener Sicherungen, Restore-Tests mit Protokoll enthalten | 160 € |
Dazu kommt einmalig das NAS im Haus, zum aktuellen Preis, das wir mit überwachen; wer ein NAS hat, behält es. Die Sicherung der Microsoft-365-Daten rechnen wir je Arbeitsplatz mit, wenn der Arbeitsplatz im Managed Backup ist. Alle Preise netto, aus unserem Leistungsschein; im Konfigurator als eigene Positionen.
Zum Vergleich: Ein Tag Stillstand kostet einen Betrieb mit zwölf Mitarbeitern allein an Lohn rund 3.000 bis 4.000 €, ohne entgangene Aufträge und ohne die Stunden, die die Rekonstruktion von Daten kostet, die es nirgends mehr gibt. Die Jahreskosten der Sicherung, 1.920 €, sind weniger als ein halber Stillstandstag.
Was Versicherer und Kunden sehen wollen
Die Sicherung ist der Punkt, der in jedem Fragebogen steht. Die Musterbedingungen der Cyberversicherer nennen regelmäßige Datensicherungen als Obliegenheit; manche Policen verlangen ausdrücklich eine Kopie, die vom Netz getrennt ist. Lieferanten-Fragebögen fragen nach Sicherungskonzept, Aufbewahrung und dem letzten erfolgreichen Wiederherstellungstest. Wer die Fragen mit einem Datum und einem Protokoll beantworten kann, ist durch. Wer „ja, machen wir“ schreibt, bekommt die nächste Frage. Hintergrund in den Artikeln Cyberversicherung: die Obliegenheiten und NIS2 in der Lieferkette.
Selbsttest in sechs Fragen
- Wann wurde Ihre Sicherung zuletzt zurückgespielt, und gibt es dazu ein Protokoll?
- Wer bekommt die Meldung, wenn die Sicherung heute Nacht fehlschlägt, und liest er sie morgen früh?
- Kann Ihr Server auf die Sicherung außer Haus schreibend zugreifen? Wenn ja, kann ein Angreifer es auch.
- Wie viele Tage Versionen halten Sie vor, und reicht das, wenn ein Angriff drei Wochen unbemerkt lief?
- Werden Microsoft-365-Postfächer und SharePoint außerhalb von Microsoft gesichert?
- Steht die Konfiguration von Firewall, Switches und Telefonanlage irgendwo außer auf den Geräten selbst?
Sechs Mal ja: Sie sind besser aufgestellt als die meisten. Zwei Mal nein: Das ist ein Nachmittag Arbeit. Vier Mal nein: Rufen Sie an, bevor etwas passiert.
Standpunkt von MintCode Solutions
Unsere Einschätzung
3-2-1 ist kein Luxus für große Firmen. Es ist die Mindestausstattung für jeden Betrieb, dessen Daten mehr wert sind als ein NAS. Am häufigsten fehlt dabei der Test, dann die Trennung der Kopie außer Haus, selten die dritte Kopie selbst. Wenn Sie nur eine Sache aus diesem Artikel mitnehmen: Fragen Sie Ihren Dienstleister, wann er Ihre Sicherung zuletzt zurückgespielt hat, und lassen Sie sich das Protokoll zeigen. Wenn die Antwort zögerlich kommt, wissen Sie, woran Sie sind.
Quellen
- Bundesamt für Sicherheit in der Informationstechnik, IT-Grundschutz-Kompendium, Baustein CON.3 „Datensicherungskonzept“: bsi.bund.de
- Bundesamt für Sicherheit in der Informationstechnik, Empfehlungen zur Datensicherung für kleine und mittlere Unternehmen: bsi.bund.de
- Microsoft, Microsoft-Servicevertrag, Abschnitt zur Verfügbarkeit der Dienste und zur Empfehlung regelmäßiger Sicherungskopien: microsoft.com
- GDV, Allgemeine Versicherungsbedingungen für die Cyberrisiko-Versicherung (AVB Cyber), Fassung Februar 2024, Obliegenheit Datensicherung: gdv.de
- Preise: eigener Leistungsschein MintCode Solutions GmbH, Stand Oktober 2026, netto zuzüglich Umsatzsteuer
- Die Lohnkosten je Stillstandstag sind eine Überschlagsrechnung auf Basis durchschnittlicher Arbeitgeberkosten und keine Messung
Stand: 6. Oktober 2026.
