World Backup Day: Ist die 3-2-1-Backup-Regel noch relevant?

Warum SaaS-, Identitätsdaten- und OT-Systeme eine moderne Version eines jahrzehntealten Backup-Frameworks benötigen

Die wichtigsten Erkenntnisse

• Die 3-2-1-Regel funktioniert noch – aber nur, wenn sie für moderne Datentypen gilt. Das Backup muss über Dateien und Datenbanken hinausgehen und auch SaaS-Anwendungsdaten, Identitätskonfigurationen und operative Technologiesysteme umfassen.
• Redundanz ohne Trennung ist keine Resilienz. Das Sichern von Cloud-Daten innerhalb derselben Cloud-Umgebung erstellt Kopien, bietet aber keinen Schutz. Eine sinnvolle Trennung – einschließlich cloudübergreifender und administrativer Isolation – ist nun unerlässlich.
• Wiederherstellbarkeit ist wichtiger als Datenspeicherung. Unveränderliche Backups, unabhängige Zugriffskontrollen und regelmäßige Wiederherstellungstests bestimmen, ob Daten nach Ransomware, Fehlkonfiguration oder Systemausfall tatsächlich wiederhergestellt werden können.

Die 3-2-1-Backup-Regel wird weithin dem Fotografen Peter Krogh zugeschrieben, der in seinem Buch über Digital Asset Management über die Bedeutung der Data Protection geschrieben hat. Krogh hat das Konzept nicht erfunden, er hat nur den Ausdruck geprägt. Die Idee wurde ihm später in einer Veröffentlichung des US-CERT 2012 über Backup-Optionen offiziell zugeschrieben.

Damals bot 3-2-1 einen einfachen, zuverlässigen Rahmen zum Schutz von Daten in lokalen Umgebungen. Die Infrastrukturannahmen, auf denen sie basierte, spiegeln jedoch nicht mehr die Arbeitsweise der meisten Unternehmen wider. Produktionsdaten sind jetzt auf SaaS-Plattformen, Identitätssystemen, Cloud-Diensten und Betriebstechnologieumgebungen (OT) gespeichert. Die Regel selbst ist nicht falsch – aber die Art und Weise, wie viele Unternehmen sie anwenden, hat mit den Entwicklungen nicht Schritt gehalten.

„Alles, was Sie nur auf einer Festplatte gespeichert haben, ist etwas, dessen Verlust Sie heute riskieren.“ ~ Peter Krogh

Was die ursprüngliche 3-2-1-Regel lösen sollte

Die ursprüngliche 3-2-1-Regel sieht so aus:

3 – Bewahren Sie drei Kopien jeder wichtigen Datei auf: eine Produktionskopie und zwei Backups.

2 – Speichern Sie Backups auf zwei verschiedenen Medientypen, um sich gegen verschiedene Ausfallmodi zu schützen.

1 - Bewahren Sie eine Kopie außerhalb der primären Produktionsumgebung auf.

Dieser Ansatz wurde für die physische Infrastruktur entwickelt. Produktionsserver befanden sich in einem Rechenzentrum oder einem Serverraum im Büro. Backups wurden auf Band oder Festplatte geschrieben. Externe Lagerung bedeutete physische Trennung. Das Ziel war Resilienz durch Redundanz und Distanz.

Im Laufe der Zeit entstanden Variationen. Einige betonten, dass es besser sei, zwei Backups anstatt zwei verschiedene Medientypen zu erstellen. Andere ersetzten die physische Trennung durch Cloud-Speicher. Der Ansatz verlagerte sich allmählich weg von der wörtlichen „3-2-1“-Checkliste hin zu einer umfassenderen Frage: Besitzen Sie tatsächlich unabhängige, wiederherstellbare Kopien Ihrer Daten?

So hat sich die Branche bereits entwickelt: 3–2–1

Die erste große Entwicklung war die 3-2-1-1-Regel, die eine Anforderung hinzufügte, dass eine Backup-Kopie unveränderlich oder Air-Gap sein muss. Diese Änderung war eine direkte Reaktion auf Ransomware.

Wenn ein Angreifer Ihre Produktionssysteme und Ihre Backups mit denselben Zugangsdaten verschlüsseln kann, haben Sie kein Backup, sondern ein zweites Angriffsziel. Unveränderlichkeit stellt sicher, dass mindestens eine Kopie der Daten einen Angriff übersteht, egal, ob sie durch Write-Once-Speicher, Cloud-Isolierung oder physische Trennung implementiert wird.

Die nächste Weiterentwicklung, 3-2-1-1-0, nahm sich eines weniger auffälligen, aber ebenso schädlichen Problems an: ungetestete Backups. Die „Null“ steht für null Fehler bei der Backup-Verifizierung und bei Wiederherstellungstests. Niemand möchte nach einem Vorfall feststellen, dass die eigenen Backups korrupte oder fehlende Daten enthalten. Die Null macht deutlich, dass der Backup-Erfolg bei der Wiederherstellung gemessen wird – nicht beim Backup.

Warum das 3-2-1-Modell in SaaS-Umgebungen versagt

Der erste große Druckpunkt für 3-2-1 ist Software-as-a-Service (SaaS).

Wenn Produktionsdaten auf einer SaaS-Plattform wie Microsoft 365 gespeichert sind, kann der Begriff „extern“ irreführend sein. Die Daten befinden sich bereits in einem fremden Rechenzentrum und sind somit nicht den physischen Risiken des Geschäftsstandorts ausgesetzt. SaaS-Anbieter gewährleisten Redundanz und Verfügbarkeit, um den Betrieb der Dienste aufrechtzuerhalten, aber diese Kontrollmechanismen haben nichts mit dem Daten-Backup zu tun.

Microsoft ist in Bezug auf dieses Modell der geteilten Verantwortung explizit: Kunden besitzen ihre Daten und Identitäten und sind für deren Schutz verantwortlich. Aufbewahrungsrichtlinien und Papierkörbe bieten eine begrenzte, kurzfristige Wiederherstellung, kein echtes Backup oder keine Disaster Recovery.

Sie könnten Backups Ihrer Daten in derselben Cloud-Umgebung erstellen, zum Beispiel ein in Azure gehostetes Backup für in Azure gehostete Produktionsdaten. Dadurch erhalten Sie eine zweite Kopie der Daten, die jedoch möglicherweise keine sinnvolle Trennung ermöglicht.  Eine Kompromittierung auf Mandantenebene, ein Diebstahl von Zugangsdaten oder ein Cloud-Vorfall können sowohl Ihre Produktionskopie als auch das Backup beeinträchtigen.

Für SaaS ist die moderne 3-2-1-Anpassung das Cross-Cloud Air Gapping. Backups müssen in einer separaten Verwaltungsdomäne mit unabhängigen Zugangsdaten und Zugriffskontrollen untergebracht werden. Eine dritte Kopie kann in den Geschäftsräumen oder in einem separaten Cloud-Konto gespeichert sein. Das Ziel ist nicht nur Redundanz, sondern Unabhängigkeit. Wenn Microsoft oder ein Administratorkonto kompromittiert wird, muss eine Wiederherstellung immer noch möglich sein.

Identitäts-Infrastruktur: die Daten, die die meisten Organisationen vergessen

Wenn es um Daten-Backup geht, denken die meisten IT-Teams an Dateien, E-Mail-Systeme, Datenbanken usw. Die Identitätsinfrastruktur steht nicht immer auf dieser Liste.

Systeme wie Microsoft Entra ID enthalten die Daten, die bestimmen, wer sich anmelden kann, worauf sie zugreifen dürfen und wie die Authentifizierung in der Umgebung funktioniert. Nutzer, Gruppen, Rollen, App-Registrierungen, Richtlinien für bedingten Zugriff und Authentifizierungsmethoden befinden sich alle dort. Der Verlust oder die Beschädigung dieser Daten bedeutet, die Kontrolle über die Umgebung selbst zu verlieren.

Viele Unternehmen übersehen Identitätskonfigurationen als Datenklasse. Sie sind nicht in den Backup-Richtlinien enthalten, haben selten definierte Aufbewahrungsfristen und werden oft von Wiederherstellungstests ausgeschlossen. Die nativen Wiederherstellungsoptionen sind begrenzt, und es gibt keine eingebaute Möglichkeit, viele kritische Konfigurationsänderungen rückgängig zu machen. Für viele Unternehmen wird in der Produktion nur eine Kopie der Identitätsdaten gespeichert.

Eine moderne 3-2-1-Strategie behandelt die Identitätsinfrastruktur als geschäftskritische Daten mit einer eigenen Backup-Kadenz, Aufbewahrungsanforderungen und Wiederherstellungstests. Die Identität verändert sich ständig. Traditionelle Datei- und E-Mail-Backups schützen sie nicht.

Betriebstechnologie: Überdenken des Begriffs „Daten“

Operative Technologieumgebungen sind eine Herausforderung der anderen Art. Die Frage ist nicht, wo Backups gespeichert werden – sondern welche Daten es überhaupt wert sind, gesichert zu werden.

Im OT-Bereich gehören zu den kritischen Daten Steuerungslogik, Firmware, Gerätekonfigurationen und Netzwerksegmentierungsregeln, die den sicheren Betrieb industrieller Prozesse gewährleisten. Der Verlust dieser Daten kann zu Ausfallzeiten führen und die Sicherheit der Mitarbeiter oder der Öffentlichkeit gefährden.

OT-Backups werden durch proprietäre Formate, Sicherheitsbedenken und die Unfähigkeit, Wiederherstellungen regelmäßig ohne Beeinträchtigen der Produktion zu testen, erschwert. Selbst wenn Backups vorhanden sind, können Unternehmen auf Dokumentationen oder manuelle Neuaufbauten als Wiederherstellungsmechanismen zurückgreifen.

Hier geht es bei der 3–2–1-Anpassung darum, die Definition kritischer Daten zu erweitern. Frameworks wie IEC 62443 helfen Unternehmen dabei, OT-Assets zu identifizieren und zu klassifizieren, Eigentumsrechte zu definieren und Backup- und Recovery-Praktiken an den Sicherheits- und Risikoanforderungen auszurichten. Das Prinzip bleibt dasselbe: Wenn die Daten zur Wiederherstellung des Betriebs benötigt werden, müssen sie geschützt werden.

Die 3–2–1-Regel funktioniert immer noch – wenn Sie die richtigen Fragen stellen.

Die 3-2-1-Regel bleibt bestehen, weil ihre Prinzipien fundiert sind. Redundanz, Trennung und Unabhängigkeit schützen Daten weiterhin vor den meisten Verlustszenarien. Verändert hat sich lediglich der Anwendungsbereich dieser Prinzipien.

Für den World Backup Day 2026 beziehen sich die wichtigsten Fragen nicht mehr auf Speichermedien oder Standorte, sondern auf Abdeckung und Wiederherstellbarkeit:

• Sichern Sie alles? Nicht nur Dateien und E-Mails, sondern auch SaaS-Anwendungsdaten, Identitätskonfigurationen und OT-Assets.
• Sind Ihre Backups wirklich von der Produktion getrennt? Das Sichern von Cloud-Daten innerhalb derselben Cloud ist eine Duplizierung, keine Isolierung.
• Behandeln Sie die Identität als eine Datenklasse? Wenn die Entra-ID nicht wiederhergestellt werden kann, ist auch die von ihr kontrollierte Umgebung nicht wiederherstellbar.
• Sind Ihre Backups unveränderlich? Wenn Ransomware sie erreichen kann, sind sie Ziele, keine Schutzmaßnahmen.
• Haben Sie kürzlich eine Wiederherstellung getestet? Wiederherstellbarkeit ist nur dann gegeben, wenn sie nachgewiesen wurde.

Die 3-2-1-Regel hilft Unternehmen, klar über Resilienz nachzudenken, und sie ist flexibel genug, um sich an die jeweils verwendete Infrastruktur anzupassen. Wenn Sie schon länger nicht mehr über Ihre Backup-Strategie nachgedacht haben, sehen Sie sich die 3-2-1-Regel genauer an, wie sie für alle Ihre Daten gilt – Identität, OT, Webhooks und benutzerdefinierte Integrationen, Security-Tools wie Trigger-Regeln und Endpoint-Schutzkonfigurationen.

Die Kontrollen 3 und 11 des Center for Internet Security (CIS) betreffen den Datenschutz und die Wiederherstellung. Wir haben diese Kontrollen in unserem Beitrag hier zusammengefasst. Diese CIS-Kontrollen können Ihnen helfen, die Daten in Ihrer Umgebung zu identifizieren und zu schützen.

Barracuda bietet Data-Protection-Lösungen an, die diese Backup-Anforderungen erfüllen. Weitere Informationen dazu, wie wir Ihnen beim Schutz Ihrer Daten helfen können, finden Sie in folgenden Ressourcen:

• Barracuda Cloud-to-Cloud Backup – SaaS-Backup und -Wiederherstellung für Microsoft 365
• Barracuda Entra ID Backup Premium – umfassendes Backup für alle 13 kritischen Entra ID-Komponenten
• Barracuda Backup – On-Premises- und Cloud-Backup für physische, virtuelle und Cloud-Umgebungen
• Tiefgreifende Verteidigungsstrategien zum Schutz kritischer Entra-ID-Daten – Webinar auf Abruf zum Schutz geschäftskritischer Entra-ID-Daten