Backup & Storage

3-2-1-Backup-Regel

Allgemeine Infos

Die 3-2-1-Regel beschreibt die Mindestausstattung einer belastbaren Datensicherung: drei Kopien der Daten (das Original plus zwei Sicherungen), gespeichert auf zwei unterschiedlichen Medientypen, davon eine Kopie an einem anderen Standort. Sie ist kein Produkt, sondern ein Prüfmaßstab für jedes Backup-Konzept.

Die Regel stammt aus einer Zeit, in der Hardwaredefekte, Brand und Diebstahl die Hauptrisiken waren. Gegen Ransomware, die gezielt Backups löscht oder verschlüsselt, reicht sie allein nicht. Veeam hat sie deshalb zur 3-2-1-1-0-Regel erweitert: zusätzlich eine unveränderliche (immutable) oder vom Netz getrennte (air-gapped) Kopie und null Fehler bei automatisierten Wiederherstellungstests.

Abgrenzung: Die 3-2-1-Regel beschreibt nur die Verteilung der Kopien. Wie oft gesichert wird, wie lange Sicherungen aufbewahrt werden und welche Wiederanlaufzeiten gelten, regeln RPO, RTO und die Backup-Strategie. In Deutschland beschreibt der BSI-Baustein CON.3 Datensicherungskonzept die organisatorischen Anforderungen dazu.

Funktionsweise & Details

Die Regel lässt sich in vier Prüffragen übersetzen:

  1. Drei Kopien: Existieren neben den Produktivdaten mindestens zwei unabhängige Sicherungen?
  2. Zwei Medientypen: Liegen die Kopien auf technisch verschiedenen Systemen (z. B. Disk-Repository und Tape oder Object Storage), sodass ein Fehler im Speichersystem nicht alle Kopien trifft?
  3. Eine Kopie extern: Befindet sich mindestens eine Kopie an einem anderen Standort oder in der Cloud, damit Brand, Wasser oder Einbruch nicht alle Daten vernichten?
  4. Erweiterung 1-0: Ist eine Kopie unveränderlich oder offline, und werden Wiederherstellungen regelmäßig automatisiert getestet?

Technisch umgesetzt wird das meist mit einem primären Backup-Job auf ein lokales Repository und einem Backup-Copy-Job auf ein zweites Ziel (Tape, S3-kompatibler Object Storage, Cloud Repository).

Vorteile & Nutzen

  • Einfacher Prüfmaßstab: Lücken im Sicherungskonzept fallen sofort auf, ohne dass ein aufwendiges Audit nötig ist.
  • Schutz gegen Standortausfälle, weil eine Kopie räumlich getrennt liegt und ein Brand im Serverraum nicht alle Sicherungen trifft.
  • Schutz gegen Medienfehler, weil zwei verschiedene Medientypen nicht denselben Defekt oder dieselbe Firmware-Schwachstelle teilen.
  • Mit der 1-0-Erweiterung Schutz gegen Ransomware, da eine unveränderliche Kopie auch mit Admin-Rechten nicht gelöscht werden kann.

Praxisbeispiel

Ein Maschinenbauer aus dem Schwarzwald mit 120 Mitarbeitenden sichert seine Hyper-V-VMs nachts auf ein lokales NAS. Bei einer Prüfung nach der 3-2-1-Regel fällt auf, dass das NAS im selben Brandabschnitt steht und mit Domänen-Anmeldedaten erreichbar ist. Die IT ergänzt einen Backup-Copy-Job auf ein gehärtetes Linux-Repository im zweiten Gebäude und einen wöchentlichen Export in S3-kompatiblen Object Storage mit Object Lock. Seitdem existieren drei Kopien auf zwei Medientypen, eine davon extern und unveränderlich.

Worauf sollte man achten?

  • Zähle das Produktivsystem nur einmal: Ein RAID oder ein Snapshot auf demselben Storage ist keine zusätzliche Kopie.
  • Die externe Kopie sollte nicht mit denselben Anmeldedaten erreichbar sein wie die Produktivumgebung, sonst löscht ein Angreifer beide.
  • Synchronisierte Cloud-Speicher (z. B. OneDrive-Sync) ersetzen keine externe Sicherung, weil Löschungen und Verschlüsselung mitrepliziert werden.
  • Plane Restore-Tests fest ein: Erst die „0 Fehler“ der Erweiterung belegen, dass die Kopien im Ernstfall brauchbar sind.

Fazit

Die 3-2-1-Regel ist der schnellste Plausibilitätscheck für jedes Backup-Konzept. Setze heute direkt auf die Variante 3-2-1-1-0, weil erst die unveränderliche Kopie und getestete Restores gegen Ransomware tragen.

Weiterführende Links

Verwandte Artikel