Die 3-2-1-Regel: So wird aus Datensicherung echte Absicherung

Was die 3-2-1-Regel bedeutet

Die 3-2-1-Regel ist die Kurzformel für eine belastbare Datensicherung: Halten Sie von allen wichtigen Daten drei Kopien vor, also das Original und zwei Sicherungen. Speichern Sie diese Kopien auf zwei unterschiedlichen Arten von Speichern, etwa auf einem Server und zusätzlich auf einem getrennten Sicherungsgerät. Und lagern Sie eine Kopie an einem anderen Ort, außerhalb Ihrer Geschäftsräume.

Jede der drei Zahlen schaltet eine eigene Fehlerquelle aus. Drei Kopien schützen davor, dass ein einzelner Defekt alles vernichtet. Zwei unterschiedliche Speicherarten schützen davor, dass ein Fehler in einer Technik beide Sicherungen gleichzeitig trifft, etwa ein Serienfehler in baugleichen Festplatten. Die Kopie außer Haus schützt vor Ereignissen, die den ganzen Standort betreffen: Brand, Wasserschaden, Einbruch oder Überspannung nach einem Blitzschlag.

In einem typischen mittelständischen Betrieb sieht das zum Beispiel so aus: Die Daten liegen auf einem Server, werden täglich auf ein NAS gesichert, also einen Netzwerkspeicher, vereinfacht gesagt eine Festplatte mit eigenem Netzwerkanschluss, und zusätzlich verschlüsselt in ein Rechenzentrum übertragen. Wichtig ist: Die 3-2-1-Regel ist ein Mindeststandard, kein Maximalprogramm. Wer sie sauber umsetzt, hat viele typische Ursachen für Datenverlust bereits abgedeckt.

Warum eine Kopie offline oder unveränderbar sein muss

Der wichtigste Grund heißt Ransomware, auf Deutsch Verschlüsselungstrojaner: Schadprogramme, die alle erreichbaren Daten verschlüsseln und erst gegen Lösegeld wieder freigeben sollen. Moderne Angreifer starten die Verschlüsselung nicht sofort. Sie verschaffen sich, wie Vorfallsberichte immer wieder zeigen, zunächst Administratorrechte und suchen gezielt nach Sicherungen und löschen oder verschlüsseln diese zuerst. Erst danach greifen sie die eigentlichen Daten an. Das Kalkül ist einfach: Wer keine Sicherung mehr hat, zahlt eher.

Erreichbar ist dabei alles, was sich vom Firmennetz aus mit den erbeuteten Zugangsdaten beschreiben oder löschen lässt. Das betrifft die dauerhaft angeschlossene USB-Festplatte genauso wie das NAS mit Netzwerkfreigabe und den Cloudspeicher, dessen Zugangsdaten auf dem Server hinterlegt sind. Eine Sicherung, die im Ernstfall mit denselben Rechten gelöscht werden kann wie die Originaldaten, ist gegen diesen Angriff wertlos.

Es gibt zwei Auswege. Der erste ist eine Offline-Kopie: ein Sicherungsmedium, das nach der Sicherung physisch getrennt wird, im Fachjargon Air Gap genannt, also Luftspalt zwischen Sicherung und Netzwerk. Der zweite ist unveränderbarer Speicher, englisch Immutable Storage: Der Speicher nimmt neue Sicherungen an, lässt aber für eine festgelegte Frist weder Änderungen noch Löschungen zu, auch nicht durch Administratoren. In der Fachliteratur findet sich deshalb auch die Erweiterung zu 3-2-1-1-0: zusätzlich eine Kopie offline oder unveränderbar, und null Fehler beim Wiederherstellungstest.

Die Rücksicherprobe: wichtiger als die Sicherung selbst

Eine Sicherung, die nie zurückgespielt wurde, ist keine Sicherung, sondern eine Hoffnung. Ob die Daten vollständig, lesbar und brauchbar sind, zeigt sich erst bei der Wiederherstellung. Viele Unternehmen stellen das zum schlechtestmöglichen Zeitpunkt fest: mitten im Notfall.

Die Liste der bösen Überraschungen aus der Praxis ist lang. Die Sicherung lief seit Monaten mit Fehlern durch, ohne dass es jemand bemerkte. Es wurden zwar Dateien gesichert, aber nicht die Datenbank der Warenwirtschaft, die während der Sicherung geöffnet war. Das Sicherungsmedium ist beschriftet, aber leer. Das Kennwort für die verschlüsselte Sicherung kannte nur ein Mitarbeiter, der das Unternehmen inzwischen verlassen hat. Oder alles ist vorhanden, aber niemand weiß, in welcher Reihenfolge Server, Programme und Daten wiederhergestellt werden müssen.

Deshalb gehört zu jeder Datensicherung ein fester Testrhythmus. Bewährt hat sich: monatlich stichprobenartig einzelne Dateien und Ordner zurückholen, quartalsweise ein komplettes System testweise wiederherstellen und mindestens einmal im Jahr den Ernstfall durchspielen, inklusive Zeitmessung und schriftlichem Protokoll. Die gemessene Zeit ist dabei kein Nebenprodukt, sondern das eigentliche Ergebnis: Sie ist Ihre tatsächliche Wiederanlaufzeit, unabhängig davon, was auf dem Papier steht.

RTO und RPO: Wiederanlaufzeit und tolerierbarer Datenverlust

Hinter den beiden Abkürzungen stecken zwei einfache Fragen. RPO steht für Recovery Point Objective und bedeutet: Wie viel Arbeit darf im schlimmsten Fall verloren gehen? Wenn Sie jede Nacht sichern, kann tagsüber ein ganzer Arbeitstag verloren gehen, Ihr RPO beträgt also bis zu 24 Stunden. Reicht das nicht, muss häufiger gesichert werden.

RTO steht für Recovery Time Objective und bedeutet: Wie lange darf es dauern, bis ein System nach einem Ausfall wieder nutzbar ist? Gemeint ist die gesamte Zeit von der Störung bis zum Weiterarbeiten, einschließlich Beschaffung von Ersatzgeräten, Wiederherstellung und Funktionstest. Vier Stunden RTO und vier Tage RTO erfordern völlig unterschiedliche technische Vorkehrungen.

Legen Sie beide Werte pro System fest, nicht pauschal für das ganze Unternehmen. Stellen Sie dazu für jedes System zwei Fragen: Was kostet uns ein Tag Stillstand? Und wie viele Stunden Nacharbeit sind verkraftbar? Die Warenwirtschaft, über die Aufträge und Rechnungen laufen, braucht meist kurze Werte. Ein Archiv mit alten Projektdaten verträgt deutlich längere. Diese Unterscheidung ist auch eine Kostenfrage: Je kürzer RTO und RPO, desto aufwendiger die Technik. Wichtig ist, dass die Werte ehrlich festgelegt und anschließend mit der Rücksicherprobe überprüft werden. Ein Wunschwert ohne Test ist wertlos.

Typische Fehler aus der Praxis

Der Klassiker: Die Sicherung landet auf einer USB-Festplatte, die dauerhaft am Server steckt. Sie ist damit weder offline noch außer Haus und wird von einem Verschlüsselungstrojaner genauso erfasst wie die Originaldaten. Ähnlich verbreitet: Alle Kopien liegen im selben Gebäude, oft sogar im selben Raum. Ein Brand oder Einbruch trifft dann Original und Sicherung gleichzeitig.

Häufig wird auch Cloud-Synchronisierung mit Datensicherung verwechselt. Dienste, die Ordner automatisch zwischen Geräten abgleichen, spiegeln jede Änderung, also auch Verschlüsselung und Löschung, innerhalb von Minuten in die Cloud. Der Papierkorb solcher Dienste hilft nur begrenzt, weil Aufbewahrungsfristen ablaufen und Angreifer mit Administratorrechten auch dort aufräumen können. Synchronisierung sorgt für Verfügbarkeit auf mehreren Geräten, ersetzt aber keine eigenständige, zeitversetzte Sicherung.

Ein dritter Dauerbrenner ist die unbeaufsichtigte Sicherung: Die Software meldet seit Wochen Fehler, aber niemand liest die Meldungen, weil sich niemand zuständig fühlt. Dazu kommen zwei gern übersehene Lücken. Erstens Daten in Cloud-Diensten wie E-Mail und geteilten Dateiablagen: Der Anbieter betreibt die Plattform, für die Sicherung der Inhalte bleibt nach den Nutzungsbedingungen der großen Anbieter in der Regel der Kunde selbst verantwortlich. Zweitens die Zugänge zur Sicherung: Liegt das Kennwort für die verschlüsselte Sicherung nur auf dem Server, der gerade verschlüsselt wurde, kommen Sie im Ernstfall nicht an Ihre eigenen Daten.

Und schließlich: Es werden nur Dateien gesichert, aber keine Konfigurationen. Ein Server besteht nicht nur aus Daten, sondern auch aus Einstellungen, Benutzerkonten und installierten Programmen. Wer nur die Daten hat, braucht nach einem Totalausfall trotzdem Tage, um alles neu einzurichten. Diese Zeit gehört in die RTO-Rechnung.

Checkliste: Prüfen Sie Ihre Sicherung selbst

Mit den folgenden zehn Fragen prüfen Sie den Stand Ihrer Datensicherung ohne technisches Spezialwissen. Jedes Nein markiert eine konkrete Lücke. 1. Gibt es von allen wichtigen Daten drei Kopien auf zwei unterschiedlichen Speicherarten? 2. Liegt mindestens eine Kopie außerhalb Ihrer Geschäftsräume? 3. Ist mindestens eine Kopie offline oder unveränderbar, also selbst mit gestohlenen Administratorzugängen nicht löschbar? 4. Wurde in den letzten drei Monaten eine Wiederherstellung tatsächlich durchgeführt und dokumentiert? 5. Ist schriftlich festgelegt, wer im Notfall was in welcher Reihenfolge wiederherstellt? 6. Sind für die wichtigsten Systeme Wiederanlaufzeit und tolerierbarer Datenverlust festgelegt, und passt die Sicherungshäufigkeit dazu? 7. Werden auch E-Mails und Daten in Cloud-Diensten eigenständig gesichert? 8. Sind Kennwörter und Schlüssel der Sicherung auch außerhalb der gesicherten Systeme hinterlegt, etwa auf Papier im Tresor? 9. Kontrolliert eine benannte Person jeden Werktag, ob die Sicherung fehlerfrei durchgelaufen ist? 10. Werden neben den Daten auch Konfigurationen von Servern und Programmen gesichert?

Vieles davon können Sie selbst erledigen: die Fragen beantworten, Zuständigkeiten benennen, die tägliche Kontrolle einführen, Kennwörter sicher hinterlegen und die monatliche Stichprobe mit einzelnen Dateien selbst durchführen. Das kostet vor allem Disziplin, keine Spezialkenntnisse.

Externe Hilfe ist dort sinnvoll, wo Fehler teuer werden: beim Einrichten von unveränderbarem Speicher, bei der Wiederherstellungsprobe kompletter Server, beim Erstellen eines Notfallplans und immer dann, wenn die Checkliste mehrere Neins ergibt und unklar ist, wo Sie anfangen sollen. Ein geplanter Nachmittag mit einem Fachbetrieb ist deutlich billiger als der erste ungeübte Ernstfall.