Die 3-2-1-Backup-Regel einfach erklärt, mit Beispielen

Die 3-2-1-Backup-Regel besagt: Halte von allen wichtigen Daten drei Kopien bereit, lege sie auf zwei verschiedenen Speichermedien ab und bewahre eine Kopie an einem anderen Ort auf. Das Bundesamt für Cybersicherheit (BACS) empfiehlt genau diese Methode als Grundlage für eine zuverlässige Datensicherung. Setzt du sie um, verlierst du deine Daten nicht, wenn eine Festplatte ausfällt, ein Laptop gestohlen wird, das Büro unter Wasser steht oder ein Erpressungsprogramm zuschlägt. Hier liest du, wie die Regel funktioniert, wie sie in einem kleinen Betrieb aussieht und wie du prüfst, ob deine Sicherung im Ernstfall wirklich hilft.

Das Wichtigste in Kürze

• 3 Kopien: das Original und zwei Sicherungen.
• 2 Medien: zum Beispiel Computer und externe Festplatte, oder Festplatte und Cloud-Speicher.
• 1 Kopie extern: an einem anderen Ort, idealerweise offline oder unveränderbar, damit Brand, Diebstahl oder Ransomware nicht alles auf einmal treffen.
• Testen gehört dazu: Ein Backup zählt erst, wenn du daraus Dateien zurückholen konntest.
• Die Website nicht vergessen: Texte, Bilder und Daten deiner Website gehören genauso in die Sicherung wie Buchhaltung und E-Mails.

So funktioniert die 3-2-1-Regel

Die Regel ist kurz, weil sie drei Fragen beantwortet: Wie viele Kopien? Wo liegen sie? Und was passiert, wenn ein ganzer Standort ausfällt?

3 Kopien deiner Daten

Drei Kopien heisst nicht drei Backups. Gemeint sind das Original, mit dem du täglich arbeitest, plus zwei Sicherungskopien. So beschreibt es auch das BACS auf seiner Seite zur Datensicherung. Fällt das Original aus, hast du noch zwei Sicherungen. Ist eine davon beschädigt, bleibt die dritte.

2 verschiedene Speichermedien

Ein Speichermedium ist das Gerät oder der Dienst, auf dem die Daten liegen: die interne Festplatte deines Computers, eine externe Festplatte, ein USB-Stick, ein NAS oder ein Cloud-Speicher. Ein NAS (Network Attached Storage) ist eine kleine Speicherbox im Netzwerk, auf die mehrere Computer zugreifen. Ein Cloud-Speicher liegt in einem Rechenzentrum und ist über das Internet erreichbar.

Zwei verschiedene Medien schützen vor Fehlern, die ein ganzes Gerät oder eine ganze Gerätesorte betreffen. Liegen Original und Sicherung auf derselben Festplatte, ist mit einem Defekt beides weg.

1 Kopie ausser Haus

Eine Kopie liegt ausserhalb deines Geräts an einem anderen Ort. Laut BACS verhindert das Datenverluste durch einen lokalen Vorfall oder einen Ausfall am Standort. Praktisch heisst das: eine externe Festplatte, die bei dir zu Hause statt im Büro liegt, ein Bankschliessfach oder ein Cloud-Speicher in einem Rechenzentrum. Bricht im Büro ein Feuer aus, ist diese Kopie nicht betroffen.

Warum gerade drei, zwei und eins

Die Regel stammt nicht aus einer IT-Abteilung, sondern wird meist dem US-Fotografen Peter Krogh zugeschrieben, der seine Bildarchive schützen wollte. Die Logik dahinter ist einfache Wahrscheinlichkeit: Dass zwei voneinander unabhängige Sicherungen gleichzeitig ausfallen, ist viel unwahrscheinlicher als der Ausfall einer einzelnen. Mit jeder weiteren unabhängigen Kopie sinkt das Risiko noch einmal deutlich.

Die Rechnung geht aber nur auf, wenn die Kopien wirklich unabhängig voneinander sind. Darum verlangt die Regel verschiedene Medien und einen anderen Ort. Drei Kopien im selben Gerät, am selben Stromkreis und im selben Raum fallen oft gemeinsam aus.

Die Helvetia beschreibt die 3-2-1-Regel als minimale Anforderung für eine verantwortungsvolle Backup-Strategie, die sich auf fast jede Firmengrösse und jedes IT-Budget anwenden lässt. Das macht sie gerade für kleine Betriebe attraktiv: Du brauchst keine teure Anlage, sondern eine klare Ordnung.

Was kein Backup ist

Viele Betriebe glauben, sie hätten ein Backup, und merken im Ernstfall, dass es keines war. Typische Fälle:

• Die Sicherung liegt auf derselben Festplatte wie die Originaldaten.
• Die Sicherungsfestplatte hängt dauerhaft am selben PC. Sie teilt jedes Schicksal des Computers.
• Die Daten liegen nur in einem synchronisierten Cloud-Ordner. Synchronisieren heisst: Jede Änderung wird überall übernommen. Seagate erklärt, dass bei einer Synchronisierung auch Löschungen am anderen Ort ausgeführt werden. Löschst du eine Datei oder wird sie verschlüsselt, passiert das auch in der Cloud.
• Die Sicherung ist nicht geschützt, also ohne Passwort und ohne Verschlüsselung und für alle im Büro frei zugänglich.

Auch ein RAID ersetzt keine Sicherung. Ein RAID verteilt Daten so auf mehrere Festplatten, dass beim Ausfall einer Platte nichts verloren geht. Seagate hält fest, dass RAID nicht als eigenständige Datensicherung gilt, aber als zusätzliche Kopie dienen kann. Löschst du versehentlich einen Ordner, ist er auf allen Platten des RAID gleichzeitig weg.

Offline und unveränderbar: Schutz vor Ransomware

Ransomware ist Schadsoftware, die deine Dateien verschlüsselt und für die Entschlüsselung Lösegeld verlangt. Sie greift alles an, was sie erreicht, also auch angeschlossene Festplatten und verbundene Netzlaufwerke.

Das BACS rät deshalb, Sicherungskopien offline auf einem externen Medium zu speichern, zum Beispiel auf einer externen Festplatte, und sie nicht in unmittelbarer Nähe des Rechners zu lagern. Wer Sicherungen auf USB-Sticks oder kleine Festplatten auslagert, sollte sie eindeutig beschriften, damit klar ist, welcher Stand auf welchem Medium liegt. Individuell gravierte USB-Sticks lassen sich zum Beispiel dauerhaft mit Firmenname oder Zweck kennzeichnen, damit die Wochen- und die Monatssicherung nicht verwechselt werden.

Das KMU-Portal des SECO empfiehlt, Online- und Offline-Backups zu kombinieren: Online-Backups erlauben eine schnelle Wiederherstellung, sind aber selbst nicht vor Angriffen geschützt. Offline-Backups sind nicht mit dem Netz verbunden und darum für Angreifer schwer erreichbar.

Die Helvetia geht einen Schritt weiter und empfiehlt dringend Offline-Backups oder unveränderliche Backups mit WORM-Technologie, weil Angreifer zunehmend gezielt die Sicherungen verschlüsseln oder löschen. WORM steht für «Write Once, Read Many»: Eine Datei wird einmal geschrieben und kann danach für eine festgelegte Zeit weder verändert noch gelöscht werden.

Die Erweiterung 3-2-1-1-0

Der Backup-Anbieter Veeam hat die Regel deshalb zur Formel 3-2-1-1-0 erweitert. Die zusätzliche 1 steht für eine Kopie, die unveränderbar oder per «Air Gap» vom Netz getrennt ist. Die 0 steht für null Fehler bei der Wiederherstellung: Backups werden regelmässig darauf geprüft, ob sie sich vollständig zurückspielen lassen. Veeam hält auch fest, dass die ursprüngliche Regel aus einer Zeit stammt, in der Bandlaufwerke die Datensicherung bestimmten.

Ein weiterer Punkt betrifft die Zugänge: Die einzelnen Sicherungskopien sollten nicht alle über dasselbe Administratorkonto erreichbar sein. Wer ein Passwort erbeutet, soll damit nicht alle Kopien auf einmal löschen können.

Beispiel: die 3-2-1-Regel in einem kleinen Betrieb

Nimm ein Treuhandbüro mit vier Mitarbeitenden in Bern. Es arbeitet mit Kundendossiers, Buchhaltungsdaten, E-Mails und einer Website. So könnte die 3-2-1-Sicherung aussehen:

Daten	Kopie 1: Original	Kopie 2: zweites Medium	Kopie 3: anderer Ort
Kundendossiers und Dokumente	Laufwerk im Büro	Tägliche Sicherung auf ein NAS	Wöchentliche Sicherung auf eine externe Festplatte, die danach getrennt und zu Hause gelagert wird
Buchhaltung	Buchhaltungsprogramm	Täglicher Export auf das NAS	Monatliche Kopie in einen Cloud-Speicher mit unveränderbaren Sicherungen
Fotos, Logos, Texte der Website	Ordner auf dem Laptop	Externe Festplatte	Cloud-Speicher, getrennt vom Arbeitsordner
Live-Website	Server beim Hosting	Gespeicherte Versionen jeder Änderung	Tägliche Backups beim Hosting

Wichtig sind drei Dinge: Jede Zeile hat drei Kopien. Mindestens zwei Medientypen sind im Spiel. Und eine Kopie liegt nicht im Büro. Die externe Festplatte ist nach dem Backup getrennt und damit offline.

Für Einzelfirmen geht es noch einfacher: Laptop als Original, externe Festplatte als zweite Kopie, ein Cloud-Speicher als Kopie ausser Haus. Die externe Festplatte schliesst du einmal pro Woche an und trennst sie danach wieder.

Beispiel: deine Website nach der 3-2-1-Regel

Bei der Website denken viele Inhaberinnen und Inhaber zuletzt ans Backup. Dabei steckt viel Arbeit darin: Texte, Fotos, Angebote, vielleicht Bestellungen oder Anfragen.

Eine Website besteht aus zwei Teilen. Erstens die Dateien: Seiten, Bilder, Stylesheets. Zweitens bei dynamischen Websites die Daten, zum Beispiel Einträge in einer Datenbank. Eine Datenbank ist eine geordnete Sammlung von Daten, etwa Bestellungen oder Anmeldungen. Beides gehört in die Sicherung.

So setzt du die Regel für deine Website um:

1. Die Originaldateien bei dir: Fotos, Logo und Texte, die du für die Website verwendest, liegen in einem eigenen Ordner auf deinem Computer und laufen in deine normale 3-2-1-Sicherung mit.
2. Die Versionen beim Veröffentlichen: Wird jede Änderung als eigene Version gespeichert, kannst du einen früheren Stand zurückholen, wenn etwas schiefgeht. Das deckt Fehler im Alltag ab, etwa einen versehentlich gelöschten Abschnitt. Mehr dazu im Beitrag Rollback einer Website.
3. Die täglichen Backups beim Hosting: Sie sichern die Website als Ganzes, unabhängig von deinen Änderungen.

Nutzt deine Website eine Datenbank, etwa für Bestellungen, prüf, dass auch diese Daten regelmässig gesichert werden und nicht nur die Seiten selbst. Am besten lädst du sie zusätzlich regelmässig herunter und legst sie in deine eigene Sicherung.

Wie oft sichern, wie lange aufbewahren

Eine feste Zahl für alle gibt es nicht. Der Rhythmus hängt davon ab, wie viel Neues bei dir jeden Tag entsteht. Die einfache Frage dazu lautet: Wie viele Stunden Arbeit könntest du verkraften, wenn sie verloren gingen? Lautet die Antwort «einen Tag», brauchst du eine tägliche Sicherung.

Bewährt hat sich das Generationenprinzip, auch Grossvater-Vater-Sohn-Prinzip genannt. Die Helvetia beschreibt es für ein KMU mit einer Fünftagewoche so:

• Söhne: tägliche Sicherungen von Montag bis Donnerstag.
• Väter: wöchentliche Sicherungen, jeweils am Freitag.
• Grossväter: monatliche Sicherungen am letzten Tag des Monats, zwölf pro Jahr.

Der Vorteil: Bemerkst du einen Fehler erst nach drei Wochen, etwa eine beschädigte Datei, hast du noch einen sauberen Stand von vorher. Wer nur die letzte Nacht sichert, überschreibt den Fehler mit jeder neuen Sicherung. Die Helvetia rät zudem, die Backups mindestens halbjährlich auf ihre Funktion zu prüfen.

Für Geschäftsunterlagen wie die Buchhaltung gelten in der Schweiz zudem gesetzliche Aufbewahrungsfristen. Kläre mit deiner Treuhänderin oder deinem Treuhänder, welche Unterlagen wie lange und in welcher Form vorhanden sein müssen. Das ist allgemeine Information und keine Rechtsberatung.

Rückspielen üben: der Restore-Test

Ein Backup, aus dem du nichts zurückholen kannst, nützt nichts. Das BACS empfiehlt, Sicherungen regelmässig auf Vollständigkeit und Lesbarkeit zu kontrollieren und das Einspielen zu üben, bevor du im Ernstfall darauf angewiesen bist. Die Wiederherstellung heisst in der Fachsprache Restore.

Arbeitest du mit einem IT-Dienstleister, rät das BACS, ausdrücklich nach einem Wiederherstellungstest zu fragen und sicherzustellen, dass das Backup nach dem 3-2-1-Prinzip erfolgt, idealerweise mit einer Offline-Kopie.

So sieht ein einfacher Test für einen kleinen Betrieb aus:

1. Wähl drei Dateien aus, die dir wichtig sind, zum Beispiel eine Offerte, eine Tabelle und ein Foto.
2. Hol sie aus der Sicherung zurück, und zwar in einen neuen Ordner, nicht über die Originale.
3. Öffne jede Datei und prüf, ob sie vollständig und lesbar ist.
4. Teste auch die Kopie ausser Haus, nicht nur die bequeme Sicherung im Büro.
5. Miss die Zeit: Wie lange hat es gedauert, bis du wieder arbeiten konntest?
6. Schreib das Ergebnis auf, mit Datum, und plane den nächsten Test.

Einmal pro Quartal reicht für die meisten kleinen Betriebe. Führst du in der Zwischenzeit neue Geräte oder Programme ein, teste zusätzlich.

So ist es bei MADLAB // Publishing

Bei MADLAB // Publishing ist Claude oder ChatGPT dein Redaktor: Der Assistent baut und ändert die Website im Gespräch. Wir veröffentlichen, hosten und verwalten sie, mit Vorschau, Versionen und Zurückholen. Für die 3-2-1-Regel heisst das:

• Versionen für den Alltag. Jede Änderung an deiner Website wird eine Version mit Autor und Zeitpunkt. Geht etwas schief, holst du den früheren Stand selbst zurück, im Gespräch oder im Portal. Siehe Versionen und Zurückrollen.
• Tägliche Backups für den Ernstfall. Wir sichern Konten, Websites und ihre Versionen täglich, auf Servern in der Schweiz und der EU. Diese Backups schützen unsere Systeme vor Ausfällen. Deine eigenen Änderungen holst du über die Versionen zurück.
• Daten deiner Website zum Mitnehmen. Legt eine Website mit dem Zusatzpaket PHP selbst Daten ab, etwa Bestellungen oder Anmeldungen, liegen sie im Datenbereich. Den kannst du im Portal herunterladen und in deine eigene 3-2-1-Sicherung aufnehmen. Siehe PHP und Daten.
• Deine Originale bleiben bei dir. Fotos, Logos und Texte gehören trotzdem in deine eigene Sicherung. So steht es auch in unseren AGB: Unsere Backups ersetzen keine eigene Kopie. Das ist kein Widerspruch, sondern genau der Gedanke der Regel, nämlich mehrere unabhängige Kopien an verschiedenen Orten.

Wie du Änderungen vor dem Veröffentlichen prüfst, steht im Beitrag Staging-Website. Den Einstieg zeigen Website mit Claude erstellen und Website mit ChatGPT erstellen. Was die Pläne kosten, steht unter Pläne und Zusatzpakete.

Quellen

• BACS: Datensicherung
• BACS: Zusammenarbeit mit IT-Dienstleistern
• KMU-Portal des SECO: Cybersicherheit
• Helvetia: Back-up-Strategie für Ihr KMU
• Seagate: Was ist eine Datensicherung?
• Veeam: Was ist die 3-2-1-Backup-Regel?

Häufige Fragen

Reicht ein Cloud-Speicher als Backup?

Ein Cloud-Speicher kann die Kopie ausser Haus sein, ersetzt aber nicht die ganze Regel. Synchronisierte Ordner übernehmen auch Löschungen und verschlüsselte Dateien. Kombinier die Cloud darum mit einer lokalen Sicherung und einer Kopie, die offline oder unveränderbar ist.

Ist ein NAS noch zeitgemäss?

Ja, ein NAS ist für kleine Betriebe eine praktische zweite Kopie im Büro, weil es automatisch und schnell sichert. Es steht aber am selben Ort wie das Original. Ergänz es deshalb mit einer Kopie ausser Haus, etwa einer getrennten externen Festplatte oder einem Cloud-Speicher.

Welches Medium eignet sich für die Langzeitarchivierung?

Für Archive, die du selten brauchst, eignen sich externe Festplatten, die getrennt gelagert werden, oder Cloud-Speicher mit unveränderbaren Sicherungen. Wichtig ist, dass du die Archive regelmässig auf Lesbarkeit prüfst und bei alternden Geräten rechtzeitig auf neue Medien umziehst.

Was ist der Unterschied zwischen 3-2-1 und 3-2-1-1-0?

3-2-1 regelt Anzahl, Medien und Ort der Kopien. 3-2-1-1-0 ergänzt eine Kopie, die offline oder unveränderbar ist, und verlangt, dass Wiederherstellungstests ohne Fehler verlaufen. Die Erweiterung zielt vor allem auf Ransomware, die gezielt Backups angreift.