Ein Backup ist nur dann gut, wenn die Wiederherstellung regelmässig getestet wird.
Wie funktioniert ein Backup nach der 3-2-1-Regel?
Die 3-2-1-Regel ist eine in der Praxis verbreitete Faustregel: drei Kopien der Daten, auf zwei unterschiedlichen Speichermedien, davon eine ausser Haus. In modernen Umsetzungen kommt eine weitere Bedingung hinzu, nämlich mindestens eine Kopie, die sich technisch nicht verändern oder löschen lässt, unveränderlich beziehungsweise „immutable“.
Das deutsche IT-Grundschutz-Kompendium des BSI verlangt im Baustein CON.3 unabhängig von dieser Faustregel, dass Datensicherungen immer auf separaten Speichermedien abgelegt werden und räumlich getrennt von den gesicherten Systemen aufbewahrt werden, möglichst in einem anderen Brandabschnitt. Diese beiden Anforderungen deckt die 3-2-1-Regel in der Praxis meist ab.
Wen betrifft eine durchdachte Backup-Strategie?
Jedes Unternehmen, das ohne seine Daten nicht mehr arbeiten kann, und das trifft praktisch auf alle KMU zu. Besonders wichtig ist ein eigenes Backup für Daten in Microsoft 365 oder Google Workspace: Die Anbieter sichern ihre Infrastruktur, nicht Ihre einzelnen Postfächer, Dateien und Chats gegen versehentliches oder böswilliges Löschen.
Ohne ein zusätzliches, unabhängiges Backup dieser Cloud-Daten ist ein gelöschtes Postfach nach Ablauf der Aufbewahrungsfrist des Anbieters endgültig verloren. In regulierten Branchen kommt hinzu, dass die Aufbewahrung personenbezogener oder geschäftskritischer Daten zusätzlich an gesetzliche Fristen gebunden ist.
Was gehört in ein vollständiges Backup-Konzept?
Ein Backup-Konzept beschreibt nach dem IT-Grundschutz-Baustein CON.3 mindestens, welche Daten wie oft gesichert werden, mit welchen Speichermedien, wie lange die Sicherungen aufbewahrt werden, und wie sie vor unbefugtem Zugriff und Überschreiben geschützt sind. Zentral ist zudem die Verknüpfung mit den Ergebnissen der Notfallplanung, insbesondere dem maximal zulässigen Datenverlust, der Recovery Point Objective (RPO).
- Klar definierter RPO je System oder Systemgruppe
- Separate, räumlich getrennte Speichermedien
- Mindestens eine unveränderliche Kopie
- Regelmässig dokumentierter Restore-Test
- Eigenes Backup für Microsoft 365 oder Google Workspace
Welche Fehler passieren bei Backups am häufigsten?
Der häufigste Fehler ist ein Backup, das nie wiederhergestellt wurde: Erst ein erfolgreicher Restore-Test zeigt, ob eine Sicherung im Ernstfall wirklich nutzbar ist. Fast ebenso häufig ist ein Backup-System, das dauerhaft mit dem Produktivnetz verbunden bleibt, wodurch es bei einem Ransomware-Angriff mitverschlüsselt werden kann.
Ein dritter Fehler ist das Verwechseln von Backup und Archiv: Ein Backup dient der schnellen Wiederherstellung, ein Archiv der langfristigen, oft gesetzlich vorgeschriebenen Aufbewahrung, und beide Zwecke brauchen unterschiedliche Konzepte.
Aufwand und Kostentreiber beim Backup
Der Aufwand richtet sich nach der Datenmenge, dem gewünschten Wiederherstellungsziel, je kürzer der tolerierbare Datenverlust, desto häufiger muss gesichert werden, der Anzahl der Systeme und Anwendungen mit eigenen Anforderungen, und danach, ob bereits eine unveränderliche, ausser Haus liegende Kopie existiert oder neu aufgebaut werden muss.
Wer zusätzlich Cloud-Daten wie Microsoft 365 sichern will, braucht dafür eine eigene, meist abonnementbasierte Lösung, die unabhängig vom bestehenden Backup-System läuft.
Zusammenhang mit anderen Normen
Ein getestetes Backup ist Grundvoraussetzung für Disaster Recovery und Business Continuity Management, für ISO 27001 als Massnahme zur Verfügbarkeit, und für NIS2, wo Backup und Wiederherstellung ausdrücklich zu den erwarteten Mindestmassnahmen des Risikomanagements zählen.
| Element | Bedeutung |
|---|---|
| 3 Kopien | Original plus zwei Sicherungen |
| 2 Medien | Zwei unterschiedliche Speichertechnologien, zum Beispiel lokaler Storage und Cloud |
| 1 ausser Haus | Mindestens eine Kopie physisch oder logisch getrennt vom Standort |
| Erweiterung | Mindestens eine unveränderliche Kopie gegen Ransomware |
Häufige Fragen
Ist die 3-2-1-Regel gesetzlich vorgeschrieben?
Nein, sie ist eine in der Praxis etablierte Faustregel. Das BSI verlangt im IT-Grundschutz-Baustein CON.3 unabhängig davon separate, räumlich getrennte Speichermedien und regelmässige Restore-Tests, was inhaltlich auf dasselbe Ziel hinausläuft.
Reicht die Synchronisation über OneDrive oder Google Drive als Backup?
Nein. Eine Synchronisation gibt gelöschte oder verschlüsselte Dateien meist an alle verbundenen Geräte weiter, statt sie zu schützen. Ein Backup braucht eine eigene, vom Original getrennte Versionierung.
Was kostet ein Backup ungefähr?
Das hängt stark von Datenmenge und Wiederherstellungsziel ab, eine seriöse Zahl ohne Bestandsaufnahme der eigenen Systeme lässt sich nicht nennen.
Wie oft sollte ein Restore-Test stattfinden?
Regelmässig und dokumentiert, mit einer Häufigkeit, die sich am RPO des jeweiligen Systems orientiert. Ein Backup ohne getesteten Restore ist im Ernstfall nur eine Hoffnung.
Was ist ein unveränderliches (immutable) Backup?
Eine Kopie, die nach dem Schreiben technisch nicht mehr geändert oder gelöscht werden kann, auch nicht mit administrativen Rechten. Sie schützt gezielt gegen Ransomware, die sonst auch Backups verschlüsseln würde.
Quellen
- CON.3 Datensicherungskonzept, IT-Grundschutz-Kompendium, Bundesamt für Sicherheit in der Informationstechnik (BSI), 2023
- Glossar und Abkürzungsverzeichnis, BSI-Standard 200-4, Bundesamt für Sicherheit in der Informationstechnik (BSI), 2023