Ein Backup ist vorhanden, der Sicherungsjob läuft jede Nacht und die Software meldet Erfolg. Damit scheint die Datensicherung erledigt. Doch was passiert, wenn der Backup-Server ebenfalls ausfällt, ein Angreifer die Sicherungen löscht oder sich die gesicherten Daten nicht wiederherstellen lassen?
Genau hier setzt die 3-2-1-1-0-Regel an. Sie beschreibt, wie Datenkopien verteilt, vor gemeinsamen Risiken geschützt und auf ihre Wiederherstellbarkeit überprüft werden sollten.
In diesem Beitrag erklären wir die fünf Bestandteile der Backup-Regel mit Beispielen aus der Praxis. Zu jedem Punkt gehört ein Kurzvideo unserer Videoserie.
Was bedeutet die 3-2-1-1-0-Regel?
Die 3-2-1-1-0-Regel für Backups bedeutet:
- 3: Mindestens drei Kopien der Daten – einschließlich der produktiven Daten.
- 2: Mindestens zwei unterschiedliche Speicherarten.
- 1: Mindestens eine Sicherungskopie an einem anderen Standort.
- 1: Mindestens eine Sicherungskopie offline, air-gapped oder unveränderbar.
- 0: Null Fehler bei der Überprüfung der Sicherungen und bei Wiederherstellungstests.
Sie erweitert die klassische 3-2-1-Regel um eine besonders geschützte Backup-Kopie und die überprüfte Wiederherstellbarkeit. Damit berücksichtigt sie auch das Risiko, dass Angreifer gezielt die Datensicherung angreifen.
Wichtig: Die beiden Einsen verlangen nicht automatisch zwei zusätzliche Kopien. Eine extern gelagerte Offline-Kopie kann beide Anforderungen gleichzeitig erfüllen.
3 – Warum mindestens drei Kopien der Daten?
Die erste Zahl steht für mindestens drei Datenkopien insgesamt. Gemeint sind die produktiven Daten und zwei zusätzliche Sicherungskopien.
Ein einfaches Beispiel:
- Die produktiven Daten liegen auf einem Server.
- Die erste Sicherung liegt auf einem separaten Backup-System.
- Eine zweite Sicherungskopie liegt auf einem weiteren, unabhängigen Backup-Ziel.
Der Gedanke dahinter: Ist eine Sicherung beschädigt oder nicht verfügbar, bleibt eine weitere Möglichkeit zur Wiederherstellung.
Zählen mehrere Sicherungsstände als mehrere Kopien?
Tägliche Sicherungsstände sind wichtig, erfüllen aber nicht automatisch die Forderung nach unabhängigen Kopien. Liegen alle Sicherungen auf demselben Backup-System, können sie bei dessen Ausfall gemeinsam verloren gehen.
Auch zwei Backup-Verzeichnisse auf demselben NAS schaffen keine ausreichende Unabhängigkeit. Entscheidend ist, welche Kopien bei einem konkreten Schaden tatsächlich erhalten bleiben. Veeam weist beispielsweise ausdrücklich auf das gemeinsame Ausfallrisiko mehrerer Kopien auf demselben Speichergerät hin.
Warum RAID kein Ersatz für eine Backup-Kopie ist
Ein RAID kann den Ausfall einzelner Laufwerke abfangen. Versehentliche Löschungen, verschlüsselte Dateien oder fehlerhafte Änderungen werden dadurch jedoch nicht rückgängig gemacht.
Mehrere Laufwerke mit denselben produktiven Daten ergeben deshalb noch keine unabhängige Datensicherung.
Merksatz: Drei Kopien bedeuten produktive Daten plus zwei Sicherungskopien.
2 – Warum zwei unterschiedliche Speicherarten?
Die zweite Zahl fordert mindestens zwei unterschiedliche Speicherarten. Ein klassisches Beispiel ist die Kombination aus Festplattenspeicher und Band.
Damit wird die Abhängigkeit von einer einzigen Speichertechnologie reduziert. Zusätzlich sollten die Systeme so aufgebaut sein, dass nicht ein gemeinsamer Defekt oder ein einzelner administrativer Zugriff sämtliche Kopien gefährdet.
Welche Kombinationen sind möglich?
Eine verbreitete Umsetzung ist:
- Produktive Daten auf dem Server oder zentralen Storage.
- Schnelle Sicherungen auf einem Disk-Repository.
- Eine weitere Sicherungskopie auf Band.
Auch Object Storage kann in entsprechende Konzepte einbezogen werden. Die passende Kombination hängt unter anderem von Datenmenge, Wiederherstellungszeit, Aufbewahrungsdauer und vorhandener Infrastruktur ab.
Ist ein Cloud-Backup automatisch eine andere Speicherart?
„Cloud“ beschreibt zunächst den Bereitstellungsort beziehungsweise das Betriebsmodell. Daraus allein lässt sich noch nicht ableiten, welche Speichertechnik und welche Schutzmechanismen verwendet werden.
Bei einer Cloud-Kopie sollten deshalb auch die Unabhängigkeit der Zugangsdaten, die Löschrechte, die Aufbewahrung und die Wiederherstellung betrachtet werden.
Zwei verschiedene Produktnamen oder zwei unterschiedliche Freigaben reichen als Bewertung der Backup-Architektur nicht aus.
Merksatz: Unterschiedliche Speicherarten sollen gemeinsame Risiken verringern.
1 – Warum eine Backup-Kopie an einem anderen Standort?
Die erste Eins steht für eine externe Sicherungskopie, häufig auch Offsite-Backup genannt.
Ein Backup im selben Gebäude kann bei einem Brand, einem Wasserschaden oder einem Einbruch zusammen mit den produktiven Systemen verloren gehen. Ein anderer Serverschrank oder ein zusätzlicher Raum bietet deshalb nicht denselben Schutz wie ein unabhängiger Standort.
Mögliche Ziele sind ein zweites Rechenzentrum, ein geeigneter Cloud-Dienst oder sicher gelagerte Backup-Medien außerhalb des Unternehmensstandorts. Die externe Kopie ist bereits Bestandteil der klassischen 3-2-1-Regel.
Was muss bei einem Offsite-Backup berücksichtigt werden?
Die Daten müssen im Notfall auch ohne den ausgefallenen Hauptstandort wiederherstellbar sein.
Dazu gehören praktische Fragen:
- Sind Zugangsdaten und Verschlüsselungsschlüssel unabhängig verfügbar?
- Wie wird auf die externe Kopie zugegriffen?
- Welche Infrastruktur wird für die Wiederherstellung benötigt?
- Wie lange dauert die Rückübertragung größerer Datenmengen?
- Wer darf die Wiederherstellung durchführen?
Eine externe Kopie hilft wenig, wenn der einzige benötigte Schlüssel auf dem zerstörten Backup-Server liegt.
Merksatz: Mindestens eine Sicherungskopie muss einen vollständigen Standortausfall überstehen können.
1 – Warum eine Kopie offline, air-gapped oder immutable?
Die zweite Eins ergänzt einen Schutz gegen das gezielte Löschen oder Manipulieren von Backups.
Angreifer versuchen bei Ransomware-Vorfällen häufig, auch die Datensicherung unbrauchbar zu machen. Deshalb sollte mindestens eine Sicherungskopie offline, durch einen Air Gap getrennt oder unveränderbar geschützt sein.
Diese Begriffe beschreiben unterschiedliche Schutzmaßnahmen.
Offline-Backup
Eine Offline-Kopie ist im betreffenden Zeitraum nicht online erreichbar. Ein Beispiel ist eine externe Festplatte, die nach der Sicherung getrennt und sicher aufbewahrt wird.
Wird sie später wieder verbunden, muss auch dieser Zeitraum im Schutzkonzept berücksichtigt werden.
Air-Gap-Backup
Ein physischer Air Gap unterbricht die Verbindung zwischen den Sicherungsmedien und den erreichbaren IT-Systemen.
Ein Beispiel sind Bänder, die nach der Sicherung aus der Tape-Library entnommen werden. Ein separates VLAN allein bietet diese physische Trennung nicht.
Immutable Backup
Ein Immutable Backup ist für eine festgelegte Aufbewahrungsdauer gegen Veränderung und Löschung geschützt. Es kann weiterhin online verfügbar sein.
Wie belastbar dieser Schutz ist, hängt von der konkreten Umsetzung und Konfiguration ab. Zu prüfen ist insbesondere, welche Rechte Administratoren besitzen und ob Schutzfristen umgangen oder verkürzt werden können.
Offline, Air Gap und Immutability sind daher keine identischen Eigenschaften. Sie können je nach Architektur auch miteinander kombiniert werden.
Kann die externe Kopie gleichzeitig die geschützte Kopie sein?
Ja. Ein beschriebenes Band, das aus der Library entnommen und an einem anderen Standort gelagert wird, kann sowohl die Offsite-Anforderung als auch den physischen Air Gap erfüllen.
Merksatz: Eine Sicherungskopie muss auch dann erhalten bleiben, wenn erreichbare Backup-Systeme angegriffen werden.
0 – Warum null Fehler und regelmäßige Restore-Tests?
Die Null steht für die überprüfte Wiederherstellbarkeit: Bei der Kontrolle der Sicherungen und den durchgeführten Wiederherstellungstests sollen keine Fehler verbleiben.
Eine erfolgreiche Jobmeldung allein beweist noch nicht, dass eine Anwendung nach einem Ausfall wieder funktioniert. Die Erweiterung der Backup-Regel um die Null richtet den Blick deshalb ausdrücklich auf die Wiederherstellung.
Was sollte getestet werden?
Ein sinnvoller Testplan umfasst je nach Umgebung:
- Die Wiederherstellung einzelner Dateien und Verzeichnisse.
- Den vollständigen Restore virtueller Maschinen oder Server.
- Den Start wiederhergestellter Anwendungen.
- Die Nutzbarkeit und Konsistenz von Datenbanken.
- Die Verfügbarkeit benötigter Schlüssel, Konten und Konfigurationen.
- Die tatsächlich benötigte Wiederherstellungszeit.
Integritätsprüfungen und automatisierte Tests unterstützen diese Kontrollen. Für geschäftskritische Systeme sollte zusätzlich geprüft werden, ob die benötigten Dienste und Arbeitsabläufe funktionieren.
Auch das BSI empfiehlt, Wiederherstellungspläne praktisch zu testen, damit Probleme vor dem Notfall erkannt werden.
Was passiert bei einem fehlgeschlagenen Test?
Ein Fehler muss untersucht, behoben und durch einen erneuten Test überprüft werden. Dabei sollte dokumentiert werden, welche Sicherungsstände betroffen sind und welche alternative Kopie verfügbar ist.
Die Null ist ein überprüfbares Ziel. Sie ist keine Garantie dafür, dass unter allen denkbaren Umständen jeder Restore gelingt.
Merksatz: Ein Backup-Konzept muss seine Wiederherstellbarkeit regelmäßig nachweisen.
Die 3-2-1-1-0-Regel als praktisches Backup-Beispiel
Ein Unternehmen betreibt seine Anwendungen auf virtuellen Maschinen. Die produktiven Daten liegen auf einem zentralen Storage-System.
Die Sicherung erfolgt auf ein separates Disk-Repository. Von dort wird eine weitere Sicherungskopie auf Band erstellt. Die beschriebenen Bänder werden aus der Library entnommen und extern gelagert.
So lassen sich die fünf Anforderungen zuordnen:
- 3 Kopien: Produktivdaten, Disk-Backup und Bandkopie.
- 2 Speicherarten: Festplatten beziehungsweise SSDs und Band.
- 1 externe Kopie: Die Bandkopie wird an einem anderen Standort aufbewahrt.
- 1 geschützte Kopie: Entnommene Bänder besitzen keine Online-Verbindung zur Backup-Infrastruktur.
- 0 Fehler: Regelmäßige Prüfungen und Restore-Tests kontrollieren die Wiederherstellbarkeit; erkannte Fehler werden behoben.
Das ist eine mögliche Umsetzung. Die 3-2-1-1-0-Regel schreibt kein bestimmtes Backup-Produkt vor.
Was die Backup-Regel zusätzlich benötigt
Die fünf Zahlen beschreiben wichtige Anforderungen an die Datensicherung. Sie legen jedoch nicht fest, wie oft gesichert werden muss oder wie lange Daten aufzubewahren sind.
Diese Fragen müssen zusätzlich beantwortet werden:
- Wie viel Datenverlust ist maximal akzeptabel?
- Wie schnell müssen die Systeme wieder verfügbar sein?
- Wie weit muss eine Wiederherstellung zeitlich zurückreichen können?
- Wer überwacht die Sicherungen und reagiert auf Fehler?
Gerade bei unbemerkt gebliebenen Angriffen oder schleichenden Datenfehlern sind mehrere ältere Wiederherstellungspunkte wichtig. Eine geschützte Kopie des bereits beschädigten Datenbestands reicht allein nicht aus.
Häufige Fragen zur 3-2-1-1-0-Regel
Was ist der Unterschied zwischen der 3-2-1-Regel und der 3-2-1-1-0-Regel?
Die klassische 3-2-1-Regel fordert drei Datenkopien auf zwei unterschiedlichen Speicherarten, davon eine Kopie an einem anderen Standort. Die Erweiterung ergänzt eine offline, air-gapped oder unveränderbar geschützte Kopie sowie fehlerfrei überprüfte Sicherungen und Wiederherstellungstests.
Sind mit drei Kopien drei zusätzliche Backups gemeint?
Nein. Die produktiven Daten zählen bereits als erste Kopie. Hinzu kommen mindestens zwei Sicherungskopien.
Erfüllt ein Cloud-Backup automatisch die 3-2-1-1-0-Regel?
Nein. Eine Cloud-Kopie kann einzelne Anforderungen erfüllen. Ob die gesamte Regel umgesetzt ist, hängt auch von den übrigen Kopien, den Speicherarten, den Schutzmechanismen und den Wiederherstellungstests ab.
Ist ein Immutable Backup automatisch ein Air-Gap-Backup?
Nein. Ein Immutable Backup kann online erreichbar sein. Ein physischer Air Gap unterbricht dagegen die Verbindung. Beide Maßnahmen verfolgen unterschiedliche Schutzansätze.
Wie häufig müssen Restore-Tests durchgeführt werden?
Die Häufigkeit sollte zur Bedeutung der Systeme, ihrer Änderungsrate und den betrieblichen Anforderungen passen. Zusätzlich sind Tests nach wesentlichen Änderungen an der Backup-Infrastruktur oder den Anwendungen sinnvoll.
Ist die 3-2-1-1-0-Regel nur für große Unternehmen geeignet?
Nein. Auch kleinere Unternehmen können die Grundidee umsetzen. Entscheidend sind unabhängige Kopien, eine passende Verteilung, wirksamer Schutz und nachgewiesene Wiederherstellbarkeit.
