Datensicherung und Ransomware: die 3-2-1-Regel

01Die fünf Arten, wie ein Unternehmen Daten verliert

Fast alle denken beim Backup an einen Schutz gegen Defekte: die Festplatte, die kaputtgeht, der Computer, der nicht mehr startet. Das ist der Fall, den man sich am leichtesten vorstellt, aber weder der einzige noch der tückischste. Die Daten eines Betriebs, also Stammdaten, Rechnungen, Buchungen, Projekte, Archive aus vielen Jahren, gehen auf fünf verschiedene Arten verloren, und jede verlangt von der Sicherungskopie etwas anderes.

Stellen Sie sich einen ganz gewöhnlichen Montagmorgen vor. Sie schalten den Bürocomputer ein, die Dateien haben seltsame Namen, keine lässt sich öffnen, und auf dem Desktop steht eine Nachricht, die eine Zahlung verlangt. Oder, ganz banal: Ihr Steuerberater bittet um die Ausgabenliste vom März, und Sie stellen fest, dass jemand sie im Juni überschrieben hat. In diesem Moment zählt nur eine Frage: Wo setze ich wieder an? Dieses Kapitel hilft Ihnen, die Antwort parat zu haben, bevor dieser Montag kommt.

• Der Defekt. Festplatten, Netzteile und Platinen gehen kaputt, auch neue. Eine SSD warnt nicht vor: An einem Tag funktioniert sie, am nächsten wird sie nicht mehr erkannt.
• Der Bedienfehler. Die Datei, die mit der falschen Version überschrieben wird, der Ordner, der an die falsche Stelle gezogen wird, die Tabelle, die gelöscht wird, um Platz zu schaffen. Im Alltag ist das die häufigste Ursache, und oft bemerkt man es erst nach Wochen.
• Diebstahl oder Verlust. Der Laptop, der im Auto liegen bleibt, das Handy, das im Café vergessen wird. Liegen die Daten nur dort, sind sie mit dem Gerät weg.
• Die Ransomware. Ein Schadprogramm verschlüsselt die Dateien und verlangt ein Lösegeld für ihre Rückgabe; immer häufiger kopiert es sie zusätzlich an einen anderen Ort und droht mit der Veröffentlichung. Mehr dazu weiter unten.
• Die Katastrophe vor Ort. Ein Brand, ein Hochwasser, ein Blitzeinschlag in die Elektrik. Alles, was im selben Gebäude steht, verschwindet gemeinsam, Backups eingeschlossen.

Drei Dinge, die wie ein Backup aussehen und keines sind

Bevor es darum geht, wie ein Backup gemacht wird, lohnt es sich, drei weit verbreitete Missverständnisse auszuräumen, denn sie vermitteln eine Sicherheit, die es nicht gibt.

02Die 3-2-1-Regel und ihre moderne Fassung

Die am häufigsten verwendete Regel zur Organisation von Backups lässt sich mit drei Zahlen merken. Sie ist zu einem De-facto-Standard geworden, weil sie Punkt für Punkt auf die Bedrohungen antwortet, die oben beschrieben sind.

• 3 Kopien der Daten: das Original, mit dem Sie arbeiten, plus zwei Sicherungskopien. Zwei Kopien, weil auch eine Kopie genau dann beschädigt sein kann, wenn man sie braucht.
• 2 Medien unterschiedlicher Art: zum Beispiel die Festplatte des Servers und ein NAS, oder eine externe Festplatte und ein Cloud-Speicher. Ein Fehler oder Ereignis, das eine Medienart trifft, trifft selten auch die andere.
• 1 Kopie außer Haus: weit weg vom Büro, damit ein Brand, ein Hochwasser oder ein Diebstahl nicht alles auf einmal mitnimmt.

In den letzten Jahren, mit der Verbreitung von Ransomware, die gezielt Backups jagt, wurde die Regel zu 3-2-1-1-0 erweitert:

• +1 Offline- oder unveränderliche Kopie: eine Kopie, die nicht mit dem Netzwerk verbunden ist, oder deren Speichersystem bis zu einem bestimmten Datum weder Änderung noch Löschung zulässt. Ein Angriff, der in die Bürocomputer eindringt, kann sie nicht erreichen.
• 0 Fehler: Die Backups werden überprüft und die Wiederherstellung wird getestet. Ein nie wiederhergestelltes Backup ist eine Hoffnung, keine Garantie.

03Voll, inkrementell, differenziell: wie viel jedes Mal kopiert wird

Jede Nacht alles zu kopieren ist am einfachsten, aber wenn das Archiv wächst, wird es langsam und belegt viel Platz. Deshalb gibt es drei Arten der Sicherung, die fast immer miteinander kombiniert werden.

• Vollsicherung (full): kopiert jedes Mal alle Daten. Die Wiederherstellung ist am einfachsten, weil eine einzige Kopie genügt; der Preis sind Zeit und Speicherplatz.
• Inkrementell: kopiert nach einer Vollsicherung nur, was sich seit dem letzten Backup gleich welcher Art geändert hat. Das ist am schnellsten und leichtesten; zum Wiederherstellen braucht man jedoch die Vollsicherung und alle folgenden inkrementellen Sicherungen, in der richtigen Reihenfolge.
• Differenziell: kopiert nach einer Vollsicherung alles, was sich seit der letzten Vollsicherung geändert hat. Es wächst jeden Tag ein wenig, aber zum Wiederherstellen genügen zwei Teile: die Vollsicherung und die letzte differenzielle Sicherung.

Wie viele Versionen aufbewahren

Eine Kopie von gestern reicht nicht. Bedienfehler werden oft erst nach Wochen entdeckt, und eine Ransomware kann tagelang verborgen bleiben, bevor sie zuschlägt: In beiden Fällen enthält die Kopie von gestern das Problem bereits. Deshalb werden gestaffelt mehrere Versionen aufbewahrt, ein Schema, das in der Branche «Großvater, Vater, Sohn» heißt:

• die täglichen Kopien der letzten sieben oder vierzehn Tage;
• die wöchentlichen Kopien der letzten vier oder fünf Wochen;
• die monatlichen Kopien der letzten zwölf Monate und bei manchen Archiven eine Kopie pro Jahr.

Wie lange aufbewahrt wird, hängt von der Art der Daten ab und, bei personenbezogenen oder buchhalterischen Daten, auch davon, wie lange das Gesetz ihre Aufbewahrung oder Löschung vorschreibt: Ein Backup enthält dieselben personenbezogenen Daten wie das Original, mit denselben Pflichten. Darüber schreibe ich im Kapitel über DSGVO und Cookies auf der Website eines kleinen Betriebs.

04RPO und RTO: die zwei Zahlen, die über das Backup entscheiden

«Wie oft muss ich ein Backup machen?» hat keine Antwort, die für alle gleich ist. Die richtige Antwort ergibt sich aus zwei Fragen, die sich jeder Betrieb in Ruhe stellen sollte, bevor etwas passiert.

• RPO (Recovery Point Objective): Wie viele Daten darf ich verlieren? Läuft das Backup nachts und kommt der Ausfall um sechs Uhr abends, ist die Arbeit eines ganzen Tages verloren. Ist ein Tag verlorener Buchungen oder Bestellungen inakzeptabel, muss das Backup häufiger laufen.
• RTO (Recovery Time Objective): Wie lange darf ich stillstehen? Einen Computer von Grund auf wiederherzustellen kann einen Tag dauern; ein Buchungsportal, das einen Tag lang ausfällt, verliert Kunden und Ansehen. Je kürzer der RTO, desto besser muss die Wiederherstellung vorbereitet und automatisiert sein.

Das sind Beispiele zur Orientierung, keine Regeln: Die richtigen Zahlen legt fest, wer den Betrieb kennt, indem er abwägt, was eine Stunde Stillstand kostet und was die Lösung kostet, die ihn vermeidet. Einmal festgeschrieben, werden RPO und RTO zum Pflichtenheft des Backups: Häufigkeit, Medien, Werkzeuge und Wiederherstellungstests werden so gewählt, dass sie eingehalten werden.

05Wie Ransomware vorgeht und warum sie Backups jagt

Eine Ransomware ist ein Schadprogramm, das Dateien unbrauchbar macht, indem es sie verschlüsselt, also in unlesbare Daten verwandelt, die sich nur mit einem Schlüssel entschlüsseln lassen, den allein die Angreifer besitzen, und dann ein Lösegeld für diesen Schlüssel verlangt. Bei neueren Angriffen kommt zur Verschlüsselung fast immer der Diebstahl der Daten hinzu, verbunden mit der Drohung, sie zu veröffentlichen: die sogenannte doppelte Erpressung.

Wer die Phasen eines Angriffs kennt, versteht, wo das Backup den Unterschied macht.

1. Das Eindringen. In der großen Mehrheit der Fälle kommt der Angriff durch eine ganz gewöhnliche Tür: eine Phishing-Mail mit Anhang oder Link, ein gestohlenes oder mehrfach verwendetes Passwort, ein Fernzugang, der offen im Internet steht, ein nicht aktualisiertes Programm. Die Eingangstüren und wie man sie schließt, sind Thema des Kapitels über Passwörter, Zwei-Faktor-Authentifizierung und Passkeys.
2. Die Ausbreitung. Ist der Angriff einmal in einem Computer, versucht er, die anderen im selben Netzwerk zu erreichen, und vor allem die Konten mit den meisten Rechten, etwa die von Administratoren.
3. Die Jagd auf die Backups. Das ist der Schritt, der Ransomware von einem Defekt unterscheidet. Der gemeinsame Leitfaden der US-Behörden CISA, FBI und NSA sagt es ausdrücklich: Viele Ransomware-Varianten suchen erreichbare Backups, um sie zu löschen oder zu verschlüsseln. Eine ständig angeschlossene externe Festplatte oder ein Netzwerkordner, in dem die Kopien landen, wird in wenigen Minuten gefunden.
4. Verschlüsselung und Diebstahl. Die Dateien werden unlesbar, und oft wird vorher eine Kopie nach außen gebracht.
5. Die Forderung. Eine Nachricht erklärt, wie zu zahlen ist. Zahlen garantiert weder, dass Sie die Daten zurückbekommen, noch, dass sie nicht trotzdem veröffentlicht werden, und es finanziert den nächsten Angriff.

Was wirklich rettet

Die Empfehlung der Behörden ist immer dieselbe: Offline- und verschlüsselte Kopien der wichtigen Daten aufbewahren und regelmäßig testen, dass sie sich wiederherstellen lassen. Offline heißt: eine Kopie, die im Moment des Angriffs nicht angeschlossen und nicht erreichbar ist. Das ist eine Festplatte, die nur für die Dauer des Backups angeschlossen, dann abgezogen und mitgenommen wird, oder ein unveränderlicher Speicher, bei dem das System selbst verhindert, dass die Kopien vor einem festgelegten Datum geändert oder gelöscht werden, auch durch jemanden, der das Passwort hat. Derselbe Leitfaden empfiehlt, Unveränderlichkeit mit Bedacht einzusetzen und zu prüfen, dass die Aufbewahrung die gesetzlichen Pflichten für die Daten einhält.

06Wo die Kopien liegen: Speichermedien im Vergleich

Das perfekte Medium gibt es nicht: Es gibt die richtige Kombination, um 3-2-1 mit dem eigenen RPO und RTO einzuhalten. Hier sind die gängigsten Optionen für einen kleinen oder mittleren Betrieb, mit ihren Stärken und Grenzen.

Das Backup von Servern und Portalen

Für eine Website oder ein Portal, das auf einem Server läuft, gelten dieselben Regeln, mit ein paar zusätzlichen Vorsichtsmaßnahmen. Viele Anbieter bieten Snapshots (Momentaufnahmen) der Maschine an: Sie sind praktisch, um nach einem missglückten Update zurückzugehen, liegen aber beim selben Anbieter, manchmal im selben Rechenzentrum, und können gelöscht werden, wenn das Konto kompromittiert wird. Das echte Backup eines Portals verlässt die Maschine und den Anbieter. Wie man den Server auswählt und verwaltet, und welche Verantwortung das mit sich bringt, erkläre ich im Kapitel über VPS und Shared Hosting.

Bei Datenbanken gibt es ein technisches Detail, das den Unterschied macht: Die Dateien einer laufenden Datenbank zu kopieren, kann eine inkonsistente Kopie erzeugen. Man verwendet die Exportwerkzeuge der Datenbank selbst oder ihre Funktionen für Hot-Backups, die eine konsistente Momentaufnahme garantieren, auch während das Portal Bestellungen annimmt.

Kopien verschlüsseln, und wo der Schlüssel liegt

Eine Kopie außer Haus enthält alle Daten des Unternehmens, einschließlich der personenbezogenen Daten der Kunden: Sie muss verschlüsselt sein, damit niemand sie lesen kann, der sie findet oder stiehlt. Der Schlüssel muss jedoch an einem sicheren Ort liegen, getrennt von dem Computer, den man schützt, und mindestens zwei Vertrauenspersonen bekannt sein. Eine verschlüsselte Kopie, deren Schlüssel verloren ist, ist eine verlorene Kopie.

Daten in einem lesbaren Format

Ein letzter, oft vergessener Aspekt: Die Kopie nützt nur, wenn sich die Daten auch ohne das Programm lesen lassen, das sie erzeugt hat, oder wenn dieses Programm verfügbar bleibt. Eine Verwaltungssoftware, die Daten in offenen Formaten exportiert, etwa als CSV-Dateien oder in eine Standarddatenbank, erlaubt einen Neustart auch bei einem Anbieterwechsel. Das gehört zu den Punkten, die Sie vor der Unterschrift prüfen sollten, wie ich im Kapitel darüber erzähle, wem Ihre Website, der Code und die Daten wirklich gehören.

07Der Wiederherstellungsplan: was am schlimmsten Tag zu tun ist

Das Backup ist die halbe Arbeit. Die andere Hälfte besteht darin, vorher zu wissen, was im Ernstfall zu tun ist. Am schlimmsten Tag wird nicht improvisiert: Man folgt einem Blatt, das in Ruhe geschrieben wurde, mit Namen, Telefonnummern und den Schritten in der richtigen Reihenfolge.

1. Isolieren. Die betroffenen Computer vom Netzwerk trennen, möglichst ohne sie auszuschalten: Das Ausschalten kann Spuren löschen, die helfen zu verstehen, was passiert ist. Noch angeschlossene Backup-Festplatten sofort abziehen.
2. Bewerten. Welche Computer, welche Daten, seit wann. Hier zeigt sich der Wert der über die Zeit aufbewahrten Versionen: Es gilt, die letzte sicher saubere Kopie zu finden.
3. Melden. Zuerst den Techniker Ihres Vertrauens. Sind personenbezogene Daten betroffen und birgt die Verletzung ein Risiko für die Betroffenen, muss der Verantwortliche sie in Italien dem Garante per la protezione dei dati personali (der italienischen Datenschutzbehörde) innerhalb von 72 Stunden melden, nachdem er davon Kenntnis erlangt hat, über das Online-Verfahren des Garante; ist das Risiko hoch, müssen auch die betroffenen Personen informiert werden. Einen IT-Sicherheitsvorfall kann man außerdem dem CSIRT Italia der italienischen Agentur für Cybersicherheit (Agenzia per la Cybersicurezza Nazionale) melden, und eine Straftat wird bei der Polizei angezeigt.
4. Bereinigen. Die betroffenen Systeme von Grund auf neu installieren, ausgehend von sauberen und aktuellen Installationen. Die Behörden empfehlen, genau für diesen Moment aktuelle «Images» der kritischen Systeme bereitzuhalten.
5. Wiederherstellen. Die Daten aus der guten Kopie zurückholen, beginnend mit denen, die für den Neustart gebraucht werden, gemäß dem vorher festgelegten RTO.
6. Prüfen und die Zugänge erneuern. Kontrollieren, dass die wiederhergestellten Daten vollständig sind und sich öffnen lassen, alle Passwörter ändern, die offengelegt sein könnten, und notieren, was funktioniert hat und was nicht, um den Plan zu verbessern.

Der Wiederherstellungstest

All das funktioniert nur, wenn es getestet wurde. Von Zeit zu Zeit, mindestens alle paar Monate und nach jeder wichtigen Änderung, wählt man eine beliebige Datei, einen Ordner oder die gesamte Datenbank des Portals und stellt sie tatsächlich wieder her, an einem Testort. Man misst, wie lange es dauert, und vergleicht das mit dem RTO. Nur so stellt man an einem ruhigen Tag fest, dass eine Kopie leer war, dass der Verschlüsselungsschlüssel nicht mehr auffindbar ist oder dass die Wiederherstellung doppelt so lange dauert wie geplant.

Backups schützen die Daten, wenn bereits etwas schiefgegangen ist. Damit so wenig wie möglich schiefgeht, beginnt die Verteidigung an der Eingangstür: bei den Zugängen, den Passwörtern und den Authentifizierungsfaktoren, dem Thema des nächsten Kapitels. Wenn Sie eine Einschätzung zum Backup Ihres Betriebs möchten, erzähle ich Ihnen, wie ich arbeite.

Häufige Fragen

Quellen

1. CISA, FBI, NSA, MS-ISAC, «#StopRansomware Guide»: Offline- und verschlüsselte Backups, Wiederherstellungstests, Images kritischer Systeme, unveränderlicher Speicher.
2. Garante per la protezione dei dati personali, «Violazioni di dati personali (data breach)» (auf Italienisch): Meldung innerhalb von 72 Stunden und Online-Verfahren.
3. Verordnung (EU) 2016/679 (DSGVO): Artikel 32, 33 und 34 über Sicherheit, Meldung und Benachrichtigung bei Datenschutzverletzungen.
4. Agenzia per la Cybersicurezza Nazionale, «CSIRT Italia» (auf Italienisch): das Team für die Reaktion auf Vorfälle und die Meldung von IT-Sicherheitsvorfällen.
5. ENISA, «Threat Landscape for Ransomware Attacks»: wie Ransomware-Angriffe vorgehen und die doppelte Erpressung.

Stand des Kapitels: Oktober 2026. Die Tabellen zu RPO und RTO sind Beispiele zur Orientierung, keine Vorgaben; für die Meldepflichten in Ihrem konkreten Fall gilt der Wortlaut des Garante und der europäischen Verordnung.