Kurzantwort: Die 3-2-1-Regel ist das Fundament jeder Datensicherung: 3 Kopien Ihrer Daten, auf 2 verschiedenen Medientypen, davon 1 Kopie außer Haus. Gegen moderne Ransomware reicht das allein nicht mehr — 93 % der Cyber-Angriffe zielen zuerst auf die Backups, und nur 28 % der Unternehmen gelingt nach einem Angriff die vollständige Wiederherstellung. Der heutige Standard heißt deshalb 3-2-1-1-0: zusätzlich 1 unveränderbare (immutable) Kopie und 0 Fehler beim regelmäßigen Wiederherstellungstest. Für die rund 29.500 vom NIS-2-Umsetzungsgesetz erfassten Unternehmen ist geregeltes Backup-Management seit Dezember 2025 zudem gesetzliche Pflicht.
Dieser Ratgeber erklärt, wie die Regel in der Praxis eines mittelständischen Unternehmens aussieht, welche Lücke fast alle Microsoft-365-Nutzer übersehen, was NIS-2 konkret verlangt — und woran Sie erkennen, ob Ihr heutiges Backup im Ernstfall wirklich trägt.
1. Was die 3-2-1-Regel besagt — und warum es sie gibt
Die Formel ist bewusst einfach gehalten, damit sie in jeder Unternehmensgröße funktioniert:
- 3 Kopien: das Original auf Ihren produktiven Systemen plus mindestens zwei Sicherungen. Eine einzelne Backup-Kopie ist ein einzelner Fehlerpunkt.
- 2 Medientypen: die Kopien liegen auf unterschiedlicher Technik — zum Beispiel Server-Speicher plus NAS, oder NAS plus Cloud-Speicher. Ein Fehler, der ein Medium betrifft (Firmware-Bug, Controller-Defekt, Verschlüsselung im Netz), soll nicht beide Sicherungen gleichzeitig treffen können.
- 1 Kopie extern: mindestens eine Sicherung verlässt das Gebäude — klassisch als Band oder Wechselfestplatte im Bankschließfach, heute meist als verschlüsseltes Backup in ein Rechenzentrum. Diese Kopie überlebt Brand, Wasserschaden, Diebstahl und Sabotage vor Ort.
Der Grund für die Regel ist unverändert aktuell: Die häufigsten Datenverlust-Szenarien im Mittelstand sind nicht spektakuläre Hacks, sondern versehentliches Löschen, defekte Hardware, verlorene Notebooks — und zunehmend Verschlüsselungstrojaner. Gegen jedes dieser Szenarien hilft eine andere der drei Anforderungen. Erst zusammen ergeben sie ein belastbares Sicherheitsnetz.
2. Warum 3-2-1 allein 2026 nicht mehr reicht
Ransomware hat die Spielregeln verändert. Angreifer wissen: Ein Unternehmen mit funktionierendem Backup zahlt kein Lösegeld. Deshalb läuft der Angriff heute in umgekehrter Reihenfolge — erst die Backups, dann die Produktion. Laut Veeam-Forschung zielen 93 % der Cyber-Angriffe gezielt auf Backup-Speicher, und in drei Viertel der Fälle gelingt es den Angreifern, die Wiederherstellungsfähigkeit mindestens teilweise auszuschalten. Das Ergebnis zeigt der aktuelle Data-Resilience-Report: Nur 28 % der betroffenen Unternehmen konnten nach einem Ransomware-Angriff ihre Daten vollständig wiederherstellen.
Ein Backup, das vom kompromittierten Netzwerk aus erreichbar und veränderbar ist, ist im Angriffsfall schlicht keines mehr. Daraus folgt die erweiterte Formel:
3-2-1-1-0 — der heutige Standard
| Ziffer | Anforderung | Was das praktisch heißt |
|---|---|---|
| 3 | Drei Kopien der Daten | Original + zwei Sicherungen |
| 2 | Zwei Medientypen | z. B. NAS im Haus + Cloud-Repository |
| 1 | Eine Kopie extern | Rechenzentrum, georedundant zum Standort |
| 1 | Eine Kopie immutable oder offline | Object-Lock, gehärtetes Repository oder Band im Schrank — für Angreifer unlöschbar |
| 0 | Null Fehler im Restore-Test | Wiederherstellung wird regelmäßig geübt und dokumentiert, nicht nur gehofft |
Die beiden Ergänzungen adressieren genau die zwei Schwachstellen, an denen Wiederherstellungen heute scheitern: manipulierte Sicherungen und ungetestete Rücksicherungswege. Auch das BSI empfiehlt diese Prinzipien als Kernmaßnahme gegen Ransomware und Hardware-Ausfall.
3. Die Bausteine in der Praxis eines KMU
Wie die Regel konkret aussieht, hängt von Datenmenge, Systemlandschaft und Wiederanlaufzielen ab. Ein bewährtes Grundmuster für Unternehmen zwischen 10 und 250 Arbeitsplätzen:
- Lokale Sicherung für schnelle Wiederherstellung: Ein Backup-Server oder NAS im Haus, getrennt vom produktiven Speicher, sichert Server und zentrale Daten mehrmals täglich. Zweck: einzelne Dateien oder ganze virtuelle Maschinen in Minuten statt Stunden zurückholen.
- Externe Kopie im Rechenzentrum: Die lokale Sicherung wird verschlüsselt in ein Rechenzentrum repliziert — für deutsche Mittelständler sinnvollerweise mit Serverstandort Deutschland, schon wegen DSGVO und Kundenverträgen.
- Unveränderbare Kopie: Das externe oder ein zusätzliches Repository wird mit Unveränderbarkeit konfiguriert (Object-Lock/WORM): Für eine definierte Frist — üblich sind 14 bis 30 Tage — kann niemand die Sicherungen löschen oder überschreiben, auch kein Administrator.
- Getrennte Zugangsdaten: Die Backup-Umgebung nutzt eigene Konten mit Multi-Faktor-Authentifizierung, die nicht im zentralen Verzeichnisdienst der Produktion liegen. Ein gestohlenes Domänen-Admin-Passwort darf nicht automatisch die Sicherungen mitliefern.
- Überwachung statt Blindflug: Fehlgeschlagene Sicherungsjobs werden aktiv gemeldet und täglich kontrolliert — nicht erst beim Wiederherstellungsversuch entdeckt.
Was als „zwei Medien” zählt — und was nicht: Zwei Freigaben auf demselben NAS sind ein Medium. Produktions-Server und angeschlossene USB-Platte, die dauerhaft steckt, sind im Ransomware-Fall ebenfalls faktisch eines, weil beides gleichzeitig verschlüsselt wird. Getrennt sind Medien erst, wenn ein Angriff oder Defekt des einen das andere nicht erreichen kann.
4. Die vergessene Lücke: Microsoft 365
Die häufigste Fehlannahme in Backup-Gesprächen lautet: „Unsere E-Mails und Dateien liegen doch bei Microsoft — die sichern das.” Das ist ein Missverständnis des Shared-Responsibility-Modells: Microsoft garantiert den Betrieb der Plattform und deren Verfügbarkeit. Für die Inhalte — E-Mails, OneDrive, SharePoint, Teams — sind Sie als Kunde verantwortlich, einschließlich Schutz vor versehentlichem Löschen, Ransomware und kompromittierten Konten.
Aufbewahrungsrichtlinien und Papierkörbe sind dafür kein Ersatz: Sie sind Compliance-Werkzeuge für die Archivierung, keine Wiederherstellungslösung. Ganze Postfächer oder SharePoint-Bereiche daraus zu rekonstruieren ist langsam, lückenhaft und im Ernstfall unbrauchbar. Wer Microsoft 365 produktiv nutzt, braucht ein eigenständiges M365-Backup in eine von Microsoft getrennte Umgebung — mit denselben 3-2-1-Prinzipien wie für lokale Server. Mehr zur sauberen M365-Einrichtung finden Sie auf unserer Microsoft-365-Leistungsseite.
5. NIS-2 macht Backup-Management zur Pflicht
Seit dem 6. Dezember 2025 ist das deutsche NIS-2-Umsetzungsgesetz in Kraft. Es erfasst rund 29.500 Unternehmen — neben klassischer kritischer Infrastruktur auch viele produzierende Mittelständler, Logistiker und Zulieferer ab 50 Mitarbeitern oder 10 Millionen Euro Umsatz in den regulierten Sektoren. Der Maßnahmenkatalog des Gesetzes nennt ausdrücklich Backup-Management und Wiederherstellung als Pflichtbestandteil der Betriebskontinuität, zusammen mit Risikoanalysen, Vorfallsbewältigung und Lieferkettensicherheit.
Wichtig für die Geschäftsführung: Es gibt keine Übergangsfrist, die Registrierungsfrist beim BSI ist bereits im März 2026 abgelaufen (Nachmeldungen sind möglich), und die Umsetzung der Maßnahmen ist Leitungsaufgabe mit persönlicher Verantwortung. Ein dokumentiertes Datensicherungskonzept mit nachweisbaren Wiederherstellungstests ist damit nicht mehr nur guter IT-Brauch, sondern Compliance-Anforderung. Ob Ihr Unternehmen betroffen ist, klärt unser Ratgeber „Bin ich von NIS-2 betroffen?” — die Umsetzung begleiten wir über die NIS-2-Leistungsseite.
6. Die Null ernst nehmen: Wiederherstellung testen
Der häufigste Satz nach einem Datenverlust lautet: „Das Backup lief doch jede Nacht durch.” Ein grüner Haken im Sicherungsprotokoll beweist nur, dass ein Job gelaufen ist — nicht, dass die Daten vollständig, konsistent und rücksicherbar sind. Deshalb gehört zu jeder ernstzunehmenden Backup-Strategie ein Testplan:
- Monatlich: Stichproben-Wiederherstellung einzelner Dateien, Ordner und E-Mails.
- Halbjährlich bis jährlich: vollständige Wiederherstellung eines Servers oder einer zentralen Anwendung als geplante Übung — mit Stoppuhr.
- Nach jeder größeren Änderung: neue Server, neue Software, neue Speicherorte sofort in den Sicherungs- und Testplan aufnehmen.
Die Zeitmessung ist entscheidend, denn sie beantwortet die eigentliche Geschäftsfrage: Wie lange stehen wir still? Wenn die Rücksicherung des ERP-Servers acht Stunden dauert, Ihr Betrieb aber nach zwei Stunden Stillstand lieferunfähig ist, stimmt die Strategie nicht — egal wie viele Kopien existieren.
7. Wann einfaches 3-2-1 (noch) genügt — und wann nicht
Ehrliche Einordnung: Ein kleines Büro ohne besondere Compliance-Anforderungen, dessen Datenbestand überschaubar ist und das einen Tag Wiederanlaufzeit verkraftet, fährt mit sauber umgesetztem 3-2-1 plus getrennten Zugangsdaten bereits deutlich besser als der Durchschnitt. Die Erweiterung auf Immutable-Kopien und formale Testpläne wird in drei Fällen zur Pflicht:
- Sie sind für Angreifer ein lohnendes Ziel — also faktisch jedes Unternehmen mit funktionierender Buchhaltung. Ransomware trifft den Mittelstand nicht trotz, sondern wegen seiner Größe: zahlungsfähig, aber selten mit Sicherheitsteam.
- Sie fallen unter NIS-2 oder beliefern Unternehmen, die es tun und die Anforderungen vertraglich weiterreichen.
- Ihre Cyber-Versicherung fragt danach. Versicherer machen unveränderbare Backups und dokumentierte Restore-Tests zunehmend zur Bedingung für Deckung und Prämie.
8. Der pragmatische Einstieg
Sie müssen dafür kein Projektmonster starten. Der sinnvolle Weg in drei Schritten: Erstens den Ist-Zustand ehrlich aufnehmen — welche Systeme und Daten werden heute wie oft wohin gesichert, wer prüft das, wann wurde zuletzt eine Rücksicherung getestet? Zweitens die Lücken gegen 3-2-1-1-0 abgleichen; fast immer fehlen die externe unveränderbare Kopie, das M365-Backup und der Testplan. Drittens die Lücken in Prioritätsreihenfolge schließen und den Betrieb — tägliche Kontrolle, Tests, Dokumentation — dauerhaft regeln, intern oder als Managed Backup beim IT-Partner.
Wenn Sie unsicher sind, wo Ihr Unternehmen steht: Unser kostenloser IT-Check nimmt die Datensicherung als einen von mehreren Prüfpunkten auf und zeigt Ihnen in wenigen Minuten, wo Handlungsbedarf besteht.