Backup im Mittelstand: die 3-2-1-Regel

Stellen Sie sich einen ganz normalen Montagmorgen vor. Sie schalten den Rechner ein — und statt Ihrer Dateien erscheint eine Nachricht: „Ihre Daten wurden verschlüsselt. Zahlen Sie, dann bekommen Sie sie zurück.” Angebote, Buchhaltung, Kundendaten, die Auftragsdatenbank — alles weg. Zwei Betriebe in derselben Lage: Der eine ist nach einem halben Tag wieder arbeitsfähig, der andere kämpft wochenlang und verliert am Ende Kunden, Geld und Nerven.

Der Unterschied ist kein Glück. Der Unterschied ist ein Backup, das funktioniert.

Es trifft nicht nur „die anderen”

Viele Inhaber denken bei Datenverlust an Hacker in dunklen Kellern. Die Realität im Mittelstand ist banaler — und genau deshalb so häufig:

• Ransomware. Ein unbedachter Klick auf einen Anhang, und ein Verschlüsselungstrojaner legt den ganzen Betrieb lahm. (Wie Sie die Mails davor erkennen, lesen Sie in Phishing-Mails erkennen.)
• Hardware stirbt. Festplatten und Server halten nicht ewig. Sie geben oft ohne Vorwarnung den Geist auf — gern am Freitagnachmittag.
• Der menschliche Faktor. Ein Ordner versehentlich gelöscht, eine Datei falsch überschrieben, ein Laptop im Zug liegen gelassen. Passiert den Besten.
• Feuer, Wasser, Diebstahl. Brennt es im Büro oder wird eingebrochen, ist der schöne Server im Keller genauso weg wie die externe Festplatte daneben.

Die unbequeme Wahrheit: Es ist keine Frage, ob Sie Daten verlieren, sondern wann. Die einzige Frage, die zählt: Sind Sie dann vorbereitet?

„Wir haben doch ein Backup” — der teure Irrtum

Diesen Satz hören wir oft. Beim genaueren Hinsehen zeigt sich aber regelmäßig dasselbe Bild — und jedes dieser Backups versagt im Ernstfall:

• Das Backup liegt im selben Netzwerk. Eine externe Platte, die dauerhaft am Server hängt, oder ein NAS im gleichen Büro. Moderne Ransomware sucht genau danach und verschlüsselt es gleich mit. Ein Backup, das der Angreifer erreicht, ist keins.
• Das Backup wurde nie getestet. Es läuft brav jede Nacht — aber niemand hat je geprüft, ob sich daraus wirklich etwas wiederherstellen lässt. Im Ernstfall merkt man dann, dass die Sicherung seit Monaten unvollständig oder kaputt war.
• Das Backup ist veraltet. Die letzte Sicherung lief „irgendwann letztes Quartal”. Was seitdem dazukam, ist verloren.
• Es gibt nur eine Kopie. Eine einzige USB-Platte im Schreibtisch. Geht die kaputt oder verschwindet sie, ist alles weg.

Ein Backup zu haben reicht nicht. Es muss aktuell, getrennt und wiederherstellbar sein. Genau dafür gibt es eine simple Regel.

Die 3-2-1-Regel: simpel und bombensicher

Profis sichern nach einem Prinzip, das sich jeder merken kann — der 3-2-1-Regel:

• 3 Kopien Ihrer Daten: das Original, mit dem Sie arbeiten, plus zwei Sicherungen.
• 2 verschiedene Speicherorte/Medien: zum Beispiel ein NAS im Haus und ein Cloud-Speicher. Fällt eine Technik aus, springt die andere ein.
• 1 Kopie außer Haus: mindestens eine Sicherung an einem anderen Ort — in einer sicheren Cloud oder physisch ausgelagert. Das ist Ihre Rettung bei Feuer, Wasser, Diebstahl und Ransomware.

Klingt nach viel? Ist es nicht. In der Praxis heißt das für einen typischen Betrieb oft: Ihre Daten liegen auf dem Server (Kopie 1), werden automatisch auf ein NAS gespiegelt (Kopie 2) und verschlüsselt in eine deutsche/europäische Cloud gesichert (Kopie 3, außer Haus). Drei Kopien, zwei Orte, eine davon weit weg — fertig.

Was wirklich ins Backup gehört

„Die Dateien” sind nur die halbe Miete. Im Ernstfall fehlen meist genau die Dinge, an die niemand gedacht hat:

• E-Mails und Postfächer
• Buchhaltung (DATEV, Lexware & Co.) und Lohndaten
• die Datenbank Ihrer Branchensoftware — Warenwirtschaft, CRM, Kassensystem
• Server- und Netzwerk-Konfigurationen (damit man nicht alles neu einrichten muss)
• Ihre Website und ggf. der Onlineshop

Und der größte blinde Fleck: Microsoft 365 und andere Cloud-Dienste. Viele glauben, „die Cloud sichert sich doch selbst”. Das stimmt nur halb. Microsoft sorgt dafür, dass seine Server laufen — aber wenn Sie eine Mail oder ein Postfach löschen, ist es nach der Aufbewahrungsfrist endgültig weg. Geschäftskritische Microsoft-365-Daten brauchen ein eigenes Backup. Das wird im Mittelstand fast immer übersehen.

Der Schritt, den fast alle vergessen: testen

Hier kommt der wichtigste Satz dieses Artikels: Ein Backup, das Sie noch nie zurückgespielt haben, ist kein Backup — es ist eine Hoffnung.

Die böseste Überraschung im IT-Notfall ist nicht der Datenverlust selbst. Es ist der Moment, in dem man die Sicherung einspielen will und feststellt: Sie ist unvollständig, beschädigt oder lässt sich gar nicht wiederherstellen. Dann ist es zu spät.

Deshalb gehört zu jedem ernstzunehmenden Backup ein regelmäßiger Wiederherstellungstest — am besten als fester Termin im Kalender. Einmal im Quartal eine Datei (oder ein ganzes System) testweise zurückholen. Funktioniert es, schlafen Sie ruhig. Funktioniert es nicht, haben Sie es rechtzeitig gemerkt.

Gegen Ransomware: das Backup muss unerreichbar sein

Moderne Erpressungstrojaner sind schlau geworden. Sie verschlüsseln nicht nur Ihre Arbeitsdaten — sie suchen gezielt nach verbundenen Sicherungen und nehmen die gleich mit. Ein Backup, das ständig erreichbar am Netz hängt, ist also kein Schutz mehr.

Die Lösung sind Sicherungen, an die der Angreifer nicht herankommt:

• Offline-Backups, die nur zum Sichern verbunden und danach getrennt werden.
• Unveränderbare („immutable”) Backups in der Cloud, die für einen bestimmten Zeitraum technisch nicht überschrieben oder gelöscht werden können — auch nicht von Schadsoftware.

Das ist der Grund, warum die „1 außer Haus” aus der 3-2-1-Regel so entscheidend ist. Sie ist nicht nur Schutz vor Feuer — sie ist Ihr Rettungsanker gegen Ransomware.

So fangen Sie an — auch ohne eigene IT-Abteilung

Sie brauchen kein Rechenzentrum, um sauber gesichert zu sein. Fünf Schritte genügen:

1. Inventur: Welche Daten und Systeme sind geschäftskritisch? Was darf auf keinen Fall verloren gehen?
2. 3-2-1 umsetzen: zwei Sicherungen auf zwei Medien, eine davon außer Haus.
3. Automatisieren: Backups laufen automatisch, nicht „wenn jemand dran denkt”. Manuelle Sicherungen werden zuverlässig vergessen.
4. Verschlüsseln: Sicherungen mit personenbezogenen Daten gehören verschlüsselt — auch aus DSGVO-Sicht. Mehr dazu unter IT-Sicherheit & DSGVO.
5. Testen: regelmäßig eine Wiederherstellung üben. Sonst wissen Sie nie, ob es im Ernstfall trägt.

Im Ernstfall zählt nur eines

Ein Datenverlust ist für den einen Betrieb ein ärgerlicher halber Tag — und für den anderen das Ende. Der Unterschied liegt nicht im Pech, sondern in der Vorbereitung. Ein aktuelles, getrenntes und getestetes Backup ist die günstigste Versicherung, die Ihr Unternehmen abschließen kann.

Sie sind sich nicht sicher, ob Ihre Sicherung im Ernstfall wirklich hält? Lassen Sie uns einen ehrlichen Blick darauf werfen. Im kostenlosen Erstgespräch prüfen wir gemeinsam, wo Ihr Betrieb steht — und was zu einem belastbaren Backup noch fehlt. Lieber einmal zu viel geprüft als einmal zu spät.