Für eine erfolgreiche Backup-Strategie empfiehlt das BSI die 3-2-1-Regel: Von wichtigen Dateien sollte es drei aktuelle Versionen geben, gespeichert auf zwei verschiedenen Medien und an mindestens einem weiteren Ort. Dieser Ratgeber zeigt, was das für einen kleinen Betrieb heißt, welche Daten dazugehören, wie oft Sie sichern sollten und wie Sie prüfen, ob die Sicherung im Ernstfall trägt.

Was bedeutet die 3-2-1-Regel?

  • 3 Kopien: das Original, mit dem Sie arbeiten, und zwei Sicherungen.
  • 2 verschiedene Speichermedien: zum Beispiel ein Netzwerkspeicher im Büro und wechselnde externe Festplatten oder ein Online-Speicher. Ein Defekt an einem Medium trifft dann nicht alle Kopien.
  • 1 Kopie an einem anderen Ort: am besten außer Haus, damit ein Einbruch oder Brand nicht Original und Sicherung zugleich trifft. Für Sicherungsmedien verlangt das BSI mindestens die räumliche Trennung vom gesicherten System, möglichst in einem anderen Brandabschnitt.

Das BSI räumt selbst ein, dass sein IT-Grundschutz-Kompendium für Unternehmen mit weniger als 50 Beschäftigten nicht optimal geeignet ist. Die Anforderungen im Baustein CON.3 Datensicherungskonzept lassen sich aber auf wenige Grundsätze herunterbrechen, die auch im Zwei-Personen-Büro funktionieren: Sicherungen liegen auf eigenen Speichermedien, räumlich getrennt vom gesicherten System, sie sind gegen Überschreiben geschützt, und sie werden regelmäßig getestet.

Die Variante gegen Ransomware: eine Kopie offline oder unveränderbar

Erreicht Erpressungssoftware die Sicherungen, verschlüsselt sie diese mit. Nach Angaben des BSI suchen Angreifer mit erbeuteten Administratorrechten inzwischen gezielt nach allen Backups, und viele Varianten verschlüsseln zusätzlich alles auf Netzlaufwerken mit Schreibzugriff. Das BSI verlangt deshalb, mindestens eine Kopie offline zu sichern, also nach dem Sicherungslauf vom übrigen Netz zu trennen. Die Ransomware-Variante der Regel lautet daher: 3-2-1, und eine der Kopien ist offline oder unveränderbar. In seinen Umsetzungshinweisen zu CON.3 beschreibt das BSI zwei Wege, Sicherungen vor dem Überschreiben zu schützen:

  • Offline: Das Sicherungsmedium hängt nur während der Sicherung am System, zum Beispiel eine externe Festplatte, die danach abgezogen und weggeschlossen wird. Das BSI nennt diesen Weg ausdrücklich für kleinere Sicherungslösungen. Auch ein Online-Speicher, der komplett vom eigenen Netz getrennt ist, zählt laut BSI als Offline-Kopie.
  • Unveränderbar (englisch immutable): Der Sicherungsspeicher erlaubt Schreibzugriffe nur für den autorisierten Sicherungslauf, bereits gesicherte Stände lassen sich weder löschen noch überschreiben. Für den Schutz vor Ransomware muss das auch gegenüber einem Konto mit Administratorrechten im Büronetz gelten.

Mindestens so wichtig ist die Aufbewahrungsdauer. Angreifer bewegen sich laut BSI teilweise mehrere Wochen im Netz, bevor sie zuschlagen; ihre Schadsoftware kann dann schon in den jüngsten Sicherungen stecken. Wie Sie sich im Ernstfall verhalten, beschreibt unser Beitrag zum Ransomware-Schutz.

Datensicherung im kleinen Unternehmen: Das gehört dazu

Ein zentrales Backup setzt voraus, dass die Daten zentral liegen. Legen Sie fest, dass Firmendaten auf die gemeinsame Ablage gehören und nicht auf den Desktop einzelner Rechner; dann genügt es im Notfall, einen Arbeitsplatz neu aufzusetzen. Zur Sicherung gehören:

  • Dateien auf Server oder Netzwerkspeicher, dazu alles, was noch lokal auf Rechnern liegt.
  • E-Mail. Synchronisierte Postfächer verhalten sich wie eine Spiegelung: Wer auf dem Telefon eine Nachricht löscht, löscht sie überall. Die Postfächer brauchen deshalb eine eigene Sicherung.
  • Buchhaltung mit Programmdaten, gescannten Belegen und Lohnabrechnung. Bücher und Jahresabschlüsse sind nach § 147 Abs. 3 AO zehn Jahre aufzubewahren, Buchungsbelege acht und Geschäftsbriefe sechs Jahre; elektronische Unterlagen müssen in dieser Zeit jederzeit verfügbar und maschinell auswertbar sein (§ 147 Abs. 2 AO). Unmittelbar nach dem Lohnlauf zum Monatsende hält das BSI eine zusätzliche Sicherung für sinnvoll.
  • Website mit Dateien und Datenbank. Viele Hosting-Pakete sichern selbst. Klären Sie, wie lange die Stände aufbewahrt werden und wie schnell Sie im Notfall darankommen; das BSI warnt, dass ungünstige Vertragsbedingungen bei ausgelagerten Sicherungen den schnellen Zugriff verhindern können. Legen Sie zusätzlich vor jedem größeren Update eine eigene Kopie ab. Mehr dazu unter Hosting und Wartung.
  • Konfigurationen und Zugänge: Router, Switches und andere Netzwerkgeräte speichern Einstellungen, die das BSI ausdrücklich zu den schützenswerten Daten zählt. Für Kennwörter empfiehlt es zusätzlich eine Ausfertigung auf Papier an einem sicheren Ort, etwa im Tresor.

Wie oft sollten Sie sichern?

Bei einem Datenverlust ist alles weg, was seit der letzten Sicherung entstanden ist. Die Leitfrage lautet deshalb: Wie viel Arbeit darf im schlimmsten Fall verloren gehen? Das BSI spricht vom maximal zulässigen Datenverlust (Recovery Point Objective). Darf höchstens ein Arbeitstag verloren gehen, müssen Sie mindestens täglich sichern; Daten, die sich laufend ändern, lassen sich zusätzlich mehrmals am Tag sichern.

Genauso wichtig ist, wie weit Sie zurückgehen können. Eine versehentlich gelöschte Datei oder ein Schaden durch Schadsoftware fällt oft erst später auf. Das BSI nennt als Beispiel, bei täglicher Sicherung die letzten sieben Stände aufzubewahren und zusätzlich die Freitagssicherungen der letzten zwei Monate. Kann ein Verlust sehr spät bemerkt werden, empfiehlt es zusätzlich Quartals- oder Jahressicherungen.

Warum ein ungetestetes Backup kein Backup ist

Dass eine Sicherung regelmäßig läuft, heißt nicht, dass sie sich zurückspielen lässt. Das BSI führt fehlende Wiederherstellungstests als eigene Gefährdung und beschreibt, woran Sicherungen im Ernstfall scheitern: Das Speichermedium war voll, und die Software hat unbemerkt alte Stände überschrieben oder keine neuen mehr angelegt. Die Sicherung war verschlüsselt, der Schlüssel aber vom selben Datenverlust betroffen. Die Anleitung zur Wiederherstellung lag nur digital vor und ging bei einem Großschaden wie Ransomware mit verloren.

Der Baustein CON.3 verlangt deshalb regelmäßige Tests, ob sich gesicherte Daten vollständig und in angemessener Zeit zurückspielen lassen, und auch in seinen ersten Schritten für Unternehmen rät das BSI dazu. Die DSGVO fordert für personenbezogene Daten die Fähigkeit, ihre Verfügbarkeit nach einem Zwischenfall rasch wiederherzustellen, und ein Verfahren zur regelmäßigen Überprüfung der Schutzmaßnahmen (Art. 32 Abs. 1 lit. c und d DSGVO). Für kleine Betriebe praktikabel: jeden Monat eine Stichprobe und einmal im Quartal eine größere Übung, bei der Sie zum Beispiel ein komplettes Postfach oder die Buchhaltung auf einen Ersatzrechner zurückspielen und die Zeit stoppen.

Checkliste für jeden Monat

  1. Meldungen der Sicherungssoftware lesen: Sind alle Läufe durchgegangen, gibt es Fehler?
  2. Freien Platz auf allen Sicherungsmedien prüfen.
  3. Eine Datei und einen Ordner aus einer älteren Sicherung zurückholen und öffnen.
  4. Die Offline-Festplatte tauschen: die aktuelle abziehen und an den anderen Ort bringen, die andere für den nächsten Lauf anschließen.
  5. Die Trennung prüfen: Vom Büronetz aus darf die Offline-Kopie nicht erreichbar sein. Das BSI empfiehlt, das testweise mit einem Administratorkonto zu versuchen; es darf nicht gelingen.
  6. Neue Datenquellen aufnehmen: neue Mitarbeitende, neue Programme, neue Postfächer.
  7. Das Notfallblatt prüfen: Wo liegen die Sicherungen, wie wird zurückgespielt, wo sind Schlüssel und Kennwörter? Das Blatt gehört ausgedruckt an einen sicheren Ort.

Häufige Fehler bei der Datensicherung

Das Backup liegt auf demselben NAS wie die Daten

Ein zweiter Ordner oder eine zweite Festplatte im selben Netzwerkspeicher ist keine zweite Kopie im Sinne der Regel. Geht das Gerät kaputt, wird es gestohlen oder verschlüsselt, sind Original und Sicherung zugleich weg. Auch RAID ändert daran nichts: Es schützt vor dem Ausfall einzelner Festplatten, laut BSI aber nicht vor Diebstahl, Ransomware oder Brand. Snapshots sieht das BSI als Ergänzung zwischen den eigentlichen Sicherungen vor; sie liegen aber auf demselben Gerät.

Synchronisation wird mit Backup verwechselt

Ein Cloud-Ordner, der alle Dateien automatisch auf allen Geräten gleich hält, ist bequem, aber keine Sicherung. Technisch ist das eine Spiegelung, und dazu ist das BSI deutlich: Fehler und Löschungen landen sofort auch in der Kopie, und verschlüsselt Ransomware die Originale, trifft es die Kopie genauso. Eine Versionsgeschichte beim Anbieter ersetzt keine eigene Sicherung.

Eine einzige externe Festplatte, die immer angesteckt bleibt

Diese Lösung verletzt zwei Grundsätze auf einmal: Die Festplatte hängt an dem System, das sie schützen soll, und sie ist die einzige Kopie. Das BSI empfiehlt, Sicherungsmedien nur während der Sicherung und der Wiederherstellung anzuschließen, und weist darauf hin, dass sich die Lebensdauer von Speichermedien nicht genau vorhersagen lässt. Besser sind zwei oder drei Festplatten im Wechsel, von denen immer eine außer Haus liegt.

Bemuar Technology in Wolfsburg richtet für kleine Betriebe Datensicherungen nach diesen Grundsätzen ein, einschließlich Überwachung und regelmäßiger Wiederherstellungstests. Mehr dazu auf der Seite IT-Sicherheit.

Häufige Fragen

Reicht ein Online-Speicher als Backup?

Als Kopie außer Haus ja, wenn es eine echte Sicherung ist und kein synchronisierter Ordner. Das BSI rät, dabei unter anderem Speicherort, Verfügbarkeit und Verschlüsselung vertraglich zu regeln. Am besten verschlüsseln Sie die Daten schon auf Ihren eigenen Systemen und bewahren den Schlüssel getrennt auf.

Wie lange muss ich Backups aufbewahren?

Für die Sicherung selbst gibt es keine feste Frist; sie richtet sich danach, wie spät ein Verlust bemerkt werden kann. Für die langfristige Aufbewahrung, etwa nach § 147 AO, ist die Archivierung zuständig, die das BSI in einem eigenen Baustein behandelt; ein Backup mit wenigen Monaten Rückblick ersetzt sie nicht. Aufbewahrungs- und Löschfristen gehören laut BSI trotzdem ins Sicherungskonzept.

Kann ich die Sicherungsfestplatte mit nach Hause nehmen?

Das ist eine einfache Form der Kopie außer Haus, wenn die Festplatte verschlüsselt ist und der Schlüssel getrennt von ihr aufbewahrt wird. Das BSI weist darauf hin, dass die Bündelung vieler Daten auf einem Datenträger den Schutzbedarf der Sicherung sogar über den der einzelnen Daten heben kann.

Quellen