Die Fibonacci-Regel der Backup-Sicherheit: 3-2-1-1-0 für moderne Backup-Sicherheit erweitern

Warum ausgereifte Backup-Strategien 2026 scheitern

Mehr als zwei Jahrzehnte lang war die 3-2-1-Backup-Regel das Fundament des unternehmensweiten Datenschutzes. Geprägt vom Fotografen Peter Krogh und in der gesamten IT-Branche übernommen, bot sie eine einprägsame Formel: drei Kopien der Daten, auf zwei Medientypen, mit einer Kopie außer Haus.

Sie funktionierte. Bis sie es nicht mehr tat.

2025 war Ransomware bei 44 % aller bestätigten Datenschutzverletzungen im Spiel, gegenüber 32 % im Jahr zuvor. Weltweit nahmen Ransomware-Angriffe im Jahresvergleich um 58 % zu, und schätzungsweise ereignet sich nun alle 19 Sekunden irgendwo auf der Welt ein Vorfall. Folgenreicher für Risikoverantwortliche in Unternehmen: Bei 75 % der Ransomware-Angriffe im Jahr 2025 wurden Daten vor der Verschlüsselung exfiltriert, was bedeutet, dass eine fehlerfreie Wiederherstellung den Vorfall nicht mehr aus der Welt schafft.

Die 3-2-1-Regel war für Hardwareausfälle, regionale Ausfälle und versehentliche Löschungen gedacht. Sie war nicht für versierte Bedrohungsakteure gedacht, die gezielt Backup-Repositories ins Visier nehmen, nicht für KI-generierte Phishing-Kampagnen im industriellen Maßstab und nicht für Insider-Bedrohungen mit gültigen administrativen Zugangsdaten. Ausgereifte Angreifer wissen, dass die Zerstörung oder Beschädigung der Backup-Infrastruktur der schnellste Weg ist, eine Lösegeldzahlung zu erzwingen – und sie behandeln dies als erstrangiges Ziel in ihren Kill-Chains.

Aus diesem Grund hat die Branche die Regel schrittweise erweitert – zunächst zu 3-2-1-1, dann zu 3-2-1-1-0. Bei BackupSec sind wir überzeugt, dass die nächste Entwicklungsstufe das ist, was wir die Fibonacci-Regel der Backup-Sicherheit nennen, ausgedrückt als 5-3-2-1-1-0: ein Rahmenwerk, das sich wie die Fibonacci-Folge in umgekehrter Reihenfolge liest und eine entscheidende sechste Dimension hinzufügt – fünf grundlegende Sicherheitsprinzipien, die jede darunterliegende Ebene tragen müssen.

Für Organisationen mit ausgereiften Backup-Umgebungen rückt dieser Artikel zurecht, was „umfassender Datenschutz“ 2026 bedeuten sollte.

Von 3-2-1 zu 3-2-1-1-0: eine kurze Rückschau

Bevor wir die Fibonacci-Regel vorstellen, lohnt es sich nachzuvollziehen, wie wir hierhergekommen sind.

Die ursprüngliche 3-2-1-Regel verlangte drei Kopien der Daten auf zwei verschiedenen Medientypen, von denen eine außer Haus aufbewahrt wird. Sie konzentrierte sich auf Redundanz – ausgehend von der Annahme, dass kein einzelnes physisches Ereignis alle drei Kopien gleichzeitig zerstören könnte.

Die 3-2-1-1-0-Regel, von Veeam populär gemacht und weithin übernommen, fügte zwei entscheidende Verfeinerungen hinzu:

• Eine unveränderliche oder air-gapped Kopie, die sich nicht verändern oder löschen lässt – nicht einmal von einem Angreifer mit administrativen Zugangsdaten.
• Null Fehler bei der Backup-Verifizierung, sodass jedes Backup wiederherstellbar ist – und nicht bloß vorhanden.

Diese Entwicklung schloss zwei erhebliche Lücken: Ransomware, die auf Backups abzielt, und das stille Versagen von Backups, die erst getestet werden, wenn die Katastrophe eintritt. Die Regel versucht jedoch nicht, die vollständige Sicherheitsarchitektur rund um diese Kopien zu definieren – einschließlich Identitätstrennung, privilegiertem Zugriff, Segmentierung, kontinuierlichem Monitoring und der Begrenzung des Schadensradius.

Genau diese Lücke soll die Fibonacci-Regel der Backup-Sicherheit schließen.

Warum Fibonacci? Die Logik hinter den Zahlen

Die Fibonacci-Folge (0, 1, 1, 2, 3, 5, 8, 13…) ist eines der elegantesten Muster der Mathematik – jede Zahl ist die Summe der beiden vorangehenden. Liest man unser Rahmenwerk in umgekehrter Reihenfolge (5, 3, 2, 1, 1, 0), gilt dieselbe sich aufbauende Logik: Jede Schutzebene baut auf den Grundlagen darunter auf.

• 5 — Grundlegende Sicherheitsprinzipien: Fünf Prinzipien, die bestimmen, wie Backup konzipiert wird.
• 3 — Kopien der Daten: Mindestens drei Kopien jedes kritischen Datensatzes.
• 2 — Verschiedene Medien- oder Storage-/Plattformtypen: Gespeichert auf zwei verschiedenen Medien, Storage-Plattformen oder Technologie-Stacks.
• 1 — Kopie außer Haus: Eine Kopie an einem geografisch getrennten Ort.
• 1 — Zusätzliche unveränderliche, isolierte oder anderweitig geschützte Kopie: Eine weitere Kopie, die vor Veränderung oder Zerstörung geschützt ist.
• 0 — Unverifizierte Backups / ungelöste Wiederherstellungsfehler: Kein Backup bleibt unverifiziert, kein Wiederherstellungsfehler bleibt offen.

Die ursprüngliche 3-2-1-1-0-Regel beantwortete die operative Frage „Wie viele Kopien, wo und in welchem Zustand?“ Die „5“, die wir hinzugefügt haben, beantwortet eine grundlegendere architektonische Frage: „Was bedeutet es eigentlich, dass ein Backup sicher ist?“

Ohne diese fünf Prinzipien ist der Rest der Kette hohl. Ein Backup, das in drei Kopien, auf zwei Medien und in einem unveränderlichen Zustand existiert – aber unzureichenden Zugriffskontrollen unterliegt oder von einer kompromittierten Admin-Workstation aus erreichbar ist –, ist nicht geschützt. Es ist die Dokumentation einer Angriffsfläche.

Die „5“: Fünf grundlegende Prinzipien der Backup-Sicherheit

Diese fünf Prinzipien müssen jede architektonische Entscheidung in Ihrer Backup-Umgebung leiten – von der Plattformauswahl über die Aufbewahrungsrichtlinie bis hin zur Zugriffsverwaltung.

1. Cyber-resiliente Architektur by Design

Backup-Sicherheit lässt sich nicht nachrüsten. Sie muss von Tag eins an eine Designvorgabe sein.

Eine cyber-resiliente Backup-Architektur behandelt jede Komponente – den Katalog, die Storage-Ebene, die Management-Plane, die Recovery-Umgebung – als potenzielles Ziel. Sie geht von einer Kompromittierung aus, plant für den Ernstfall und stellt sicher, dass kein einzelnes Versagen (technisch, menschlich oder gegnerisch) sich zu einem Totalverlust der Wiederherstellbarkeit auswachsen kann.

In der Praxis bedeutet das:

• Defense in Depth: Mehrere unabhängige Kontrollen schützen jede Ebene, sodass das Versagen einer einzelnen das System nicht angreifbar macht.
• Eindämmung des Wirkungsradius: Eine Kompromittierung der Produktivumgebung kann sich nicht in die Backup-Infrastruktur ausbreiten, und die Kompromittierung einer Backup-Ebene kann nicht auf andere übergreifen.
• Recovery-first-Design: Architekturen werden nicht nur danach bewertet, wie gut sie Daten sichern, sondern danach, wie zuverlässig sie sie unter feindlichen Bedingungen wiederherstellen können – wenn das DNS ausgefallen ist, Identity-Provider kompromittiert sind oder der primäre Standort nicht erreichbar ist.
• Verschlüsselung als architektonisches Grundelement, nicht als Funktion: Jedes Backup muss in jedem Zustand mit starker, branchenüblicher Verschlüsselung im Ruhezustand und bei der Übertragung geschützt sein, wobei die Verschlüsselungsschlüssel wo immer möglich unabhängig von der Backup-Infrastruktur verwaltet werden – idealerweise in einem dedizierten HSM oder einem Key-Management-Service mit getrennter administrativer Zuständigkeit. Wenn Ihre Schlüssel neben Ihren Daten liegen, haben Sie keine Verschlüsselung; Sie haben Verschleierung. Für Unternehmen mit grenzüberschreitenden Datenflüssen wird die Schlüsselhoheit – wer unter welcher Jurisdiktion und in welchem Zeitrahmen eine Offenlegung erzwingen kann – zu einer Designentscheidung, nicht zu einem Problem der Incident Response.

Organisationen, die Sicherheit auf Backup-Systeme nachrüsten, die für die Bedrohungslage von vor einem Jahrzehnt ausgelegt waren, stellen mitten im Vorfall immer wieder fest, dass ihre Architektur selbst die Schwachstelle ist. Resilienz muss eingebaut werden – nicht angeflanscht.

2. Zero-Trust-Zugriff und starke Authentifizierung

Das Prinzip ist einfach: niemals vertrauen, immer verifizieren. Jede Anfrage, ein Backup zu lesen, zu schreiben oder zu verändern, muss im Moment der Anfrage authentifiziert und autorisiert werden – unabhängig vom Netzwerkursprung.

Konkret erfordert das:

• Multi-Faktor-Authentifizierung (MFA) für jede administrative Identität, die mit der Backup-Infrastruktur in Berührung kommt, idealerweise mit phishing-resistenten Verfahren wie Hardware-Tokens.
• Rollenbasierte Zugriffskontrolle (RBAC), die das Prinzip der geringsten Privilegien auf granularer Ebene durchsetzt.
• Getrennte administrative Identitäten für Produktiv- und Backup-Systeme – ein kompromittierter Domänenadministrator sollte keinen Zugriff auf Ihre letzte Verteidigungslinie haben.
• Privileged Access Management (PAM) mit Just-in-time-Rechteerhöhung, Sitzungsaufzeichnung und Genehmigungs-Workflows für sensible Vorgänge wie Änderungen an Aufbewahrungsrichtlinien.

Kompromittierte Zugangsdaten verursachten 23 % der Ransomware-Angriffe im Jahr 2025. Wenn Ihre Backup-Umgebung derselben Identitätsinfrastruktur vertraut, die auch die Produktion schützt, haben Sie einen Single Point of Failure, der als gestaffelte Verteidigung getarnt ist.

3. Unveränderlichkeit und WORM-Storage

Unveränderlichkeit – die Eigenschaft, dass Daten nach dem Schreiben für einen definierten Aufbewahrungszeitraum nicht verändert oder gelöscht werden können – hat sich von „Best Practice“ zu „nicht verhandelbar“ entwickelt. Ob über Object Lock auf Cloud-Storage, Write-Once-Read-Many-Medien (WORM) oder hardwareerzwungene Aufbewahrungssperren umgesetzt – Unveränderlichkeit gehört zu den wirksamsten architektonischen Verteidigungen gegen Bedrohungsakteure, die gezielt nach Backup-Repositories suchen.

Für Unternehmen, die regulatorischen Regimen wie SEC 17a-4, FINRA, HIPAA oder DORA unterliegen, kann Unveränderlichkeit zudem Compliance-Anforderungen und Kontrollziele rund um Aufbewahrung, Integrität, Manipulationsresistenz und Wiederherstellbarkeit unterstützen. Die Kontrollfläche, die Sie vor Ransomware schützt, ist oft dieselbe, nach der Ihr Auditor fragt.

CISA empfiehlt, Offline-Backups verschlüsselt vorzuhalten, ihre Verfügbarkeit und Integrität regelmäßig zu testen und Schutzmechanismen wie unveränderlichen Speicher einzusetzen, um die operativen Auswirkungen von Ransomware zu verringern. Unveränderlichkeit ist es, die diese Backups intakt und wiederherstellbar hält, wenn ein Angreifer bereits über Admin-Zugangsdaten verfügt.

4. Kontinuierliche Verifizierung und Recovery-Tests

Ein Backup, das Sie nicht getestet haben, ist kein Backup – es ist eine Hypothese.

Die „0“ in 3-2-1-1-0 verlangt null Fehler, doch der einzige Weg, diese Behauptung zu belegen, ist kontinuierliches Testen. Ausgereifte Programme setzen automatisierte Integritätsprüfungen, regelmäßige Full-Restore-Übungen, isolierte Recovery-Umgebungen zur Validierung und strukturierte Tabletop-Übungen ein, die die menschlichen und prozessualen Ebenen ebenso rigoros auf die Probe stellen wie die technischen.

Organisationen mit getesteten Incident-Response-Plänen erholen sich dramatisch schneller: 2025 erreichte der Anteil der Ransomware-Opfer, die sich innerhalb einer Woche vollständig erholten, einen Rekordwert, während der Anteil derer, die länger als einen Monat brauchten, auf nur noch 18 % fiel, gegenüber 34 % im Jahr zuvor.

Die Lehre für Risikoverantwortliche ist eindeutig: Testen ist das, was Organisationen, die Backups haben, von Organisationen unterscheidet, die wiederherstellen können. Der Kostenunterschied zwischen diesen beiden Zuständen, gemessen an Ausfallzeit und Reputationsschaden, beträgt typischerweise eine Größenordnung.

5. Isolierung und Netzwerksegmentierung

Backup-Infrastruktur sollte stark von der Produktion segmentiert sein und sollte, wo immer praktikabel, nicht von denselben administrativen Vertrauensgrenzen abhängen, die Produktivsysteme schützen.

Moderne Best Practice kombiniert logische Segmentierung (getrennte VLANs, dedizierte Subnetze, strenge Firewall-Regeln, Mikrosegmentierung) mit air-gapped oder quasi-air-gapped Architekturen für mindestens eine Kopie jedes Backups. Cloud-Unveränderlichkeit mit getrennten Identity-Providern, Offline-Bandrotationen, dedizierte Recovery-Umgebungen und Mandantenisolierung in gemeinsam genutzter Infrastruktur dienen alle demselben architektonischen Ziel: sicherzustellen, dass sich der Wirkungsradius einer einzelnen Kompromittierung nicht bis in die Recovery-Ebene erstrecken kann.

Wenn ein Bedrohungsakteur auf Ihrem Domänencontroller Ihr Backup-Repository mit denselben Zugangsdaten erreichen kann, ist Ihr Backup Teil der Angriffsfläche – nicht von ihr getrennt.

Die „3-2-1“: Redundanz, die nach wie vor zählt

Mit den fünf Prinzipien als Fundament bleibt die klassische 3-2-1-Ebene unverzichtbar.

• 3 Kopien jedes kritischen Datensatzes – Ihre Produktivdaten plus mindestens zwei Backups.
• 2 verschiedene Medien oder Storage-Plattformen – lokale Festplatte und Cloud oder On-Premises-Object-Storage und ein separater Cloud-Anbieter. Ziel ist sicherzustellen, dass ein einzelnes Technologieversagen, ein Anbieterausfall oder eine Angriffsklasse nicht alle Kopien gleichzeitig zerstören kann.
• 1 Kopie außer Haus – geografisch von Ihrem primären Standort getrennt, idealerweise in einer anderen Bedrohungsdomäne und, wo sinnvoll, einer anderen regulatorischen Jurisdiktion.

Was sich seit der erstmaligen Formulierung der Regel geändert hat, ist die Auslegung. Zwei Cloud-Regionen desselben Anbieters stellen keine „zwei verschiedenen Medien“ dar. Ein Backup-Volume auf einem SAN, das neben Ihrem Produktiv-Array steht, ist nicht im sinnvollen Sinne „außer Haus“. Modernes Threat Modeling in Unternehmen verlangt eine strengere Auslegung jeder einzelnen Anforderung.

Die „1-1“: außer Haus sowie unveränderlich oder air-gapped

Die beiden „1“ adressieren unterschiedliche Fehlerdomänen.

Die erste verlangt, dass eine Kopie außer Haus gespeichert wird – geografisch getrennt von der primären Umgebung, damit ein standortweiter Vorfall, ein Infrastrukturausfall oder eine physische Katastrophe nicht sämtliche Wiederherstellungsoptionen auf einmal beseitigen kann.

Die zweite verlangt, dass mindestens eine zusätzliche Kopie durch Unveränderlichkeit, Air-Gapping oder einen gleichwertigen Isolationsmechanismus vor Veränderung oder Zerstörung geschützt ist. Ihr Zweck ist ein anderer: Die räumliche Trennung schützt vor dem Ausfall eines Standorts, während Unveränderlichkeit oder Isolation vor einem Angreifer schützt, der bereits administrativen Zugriff erlangt hat.

In der Umsetzung können sich diese Anforderungen überschneiden. Eine Kopie außer Haus kann zugleich unveränderlich sein, und reife Umgebungen halten oft sowohl eine unveränderliche Recovery-Ebene als auch eine tiefer liegende Offline- oder air-gapped Kopie vor. Entscheidend ist, dass Geografie allein nicht als Sicherheitsisolation behandelt wird.

Diese Unterscheidung ist auch der Grund, warum Unveränderlichkeit unter den fünf Sicherheitsprinzipien der Fibonacci-Regel auftaucht. Die numerische „1“ definiert eine Mindestschutzanforderung an eine Backup-Kopie; das Sicherheitsprinzip verlangt, Unveränderlichkeit über die gesamte Architektur hinweg mitzudenken – einschließlich Aufbewahrungssteuerung, administrativem Zugriff, Identitätstrennung und Management-Plane.

Die „0“: Null Toleranz für unverifizierte Backups

Jedes Backup verifiziert. Jeder Restore getestet. Jede Lücke dokumentiert und geschlossen.

Die „0“ ist die Ebene der operativen Disziplin des Rahmenwerks. Sie verlangt Strenge: automatisierte Prüfsummen, geplante Restore-Validierung, Anomalieerkennung in den Metadaten von Backup-Jobs (ein plötzlicher Anstieg der Job-Größe kann auf Pre-Encryption-Staging durch einen Bedrohungsakteur hindeuten), verhaltensbasiertes Monitoring administrativer Backup-Aktivitäten und klare Eskalationspfade, wenn die Verifizierung fehlschlägt.

Die Daten stützen diese Disziplin: Organisationen, die die Telemetrie ihres Backup-Systems überwachten – nicht nur Erfolgsquoten –, erkannten gegnerische Aktivitäten früher und dämmten Vorfälle schneller ein. Null Fehler ist keine Schönheitskennzahl. Es ist der Unterschied zwischen Vertrauen und falschem Vertrauen in dem Moment, in dem diese Unterscheidung am meisten zählt.

Was das für Risikoverantwortliche in Unternehmen bedeutet

Wenn Ihre Organisation mit einer Backup-Strategie arbeitet, die für eine andere Bedrohungslage konzipiert wurde, ist die Lücke zwischen dem, was Sie haben, und dem, was Sie brauchen, nicht länger akademisch. Bedenken Sie die finanzielle Realität:

• Weltweit ereignet sich etwa alle 19 Sekunden ein Ransomware-Vorfall.
• Die durchschnittliche Ransomware-Zahlung lag 2025 bei etwa 1 Million US-Dollar, wobei die Wiederherstellungskosten im Schnitt zusätzliche 1,53 Millionen US-Dollar betrugen.
• 64 % der betroffenen Organisationen verweigerten 2025 die Zahlung – ein Rekord –, weil verbesserte Backup-Architekturen ihnen eine glaubwürdige Alternative boten. Die übrigen 36 % hatten diese Option nicht.

Für Unternehmen in regulierten Branchen oder mit komplexen hybriden Datenbeständen fällt die Rechnung noch deutlicher aus. Wesentlicher Datenverlust bringt heute direkte Meldepflichten nach den SEC-Cyber-Offenlegungsregeln, der DSGVO, DORA und einer wachsenden Reihe branchenspezifischer Rahmenwerke mit sich. Die Kosten eines nicht wiederherstellbaren Vorfalls sind nicht länger bloß operativer Natur – sie sind reputativer, regulatorischer und zunehmend persönlicher Art für die Unternehmensführung.

Die Umsetzung der Fibonacci-Regel erfordert keinen vollständigen Neuaufbau Ihrer Infrastruktur. Sie erfordert eine ehrliche architektonische Bestandsaufnahme, priorisierte Behebung anhand eines klaren Prinzipiensatzes und eine Governance-Verpflichtung, Backup-Sicherheit als integrierte Disziplin zu behandeln – nicht als Beschaffungsposten.

Wo BackupSec ins Spiel kommt

Bei BackupSec helfen wir Unternehmensteams, ihre Backup-Umgebungen anhand der oben genannten Prinzipien zu betreiben – nicht, indem wir ihre Backup-Plattform ersetzen, sondern indem wir Backup-Sicherheit beobachtbar, beratbar und beweisbar machen.

Unser Ansatz kombiniert drei Ebenen, von denen jede eine andere Lücke in der Fibonacci-Regel adressiert:

• ZeroMON liefert kontinuierliche Observability über den gesamten Backup-Bestand – Veeam-fähiges Monitoring mit Echtzeit-Job-Tracking, automatisierten Sicherheitsprüfungen, forensischen Audit-Trails für Konfigurationsabweichungen und Compliance-Reports per Klick. Dies ist die operative Ebene, die die Anforderung „0 Fehler“ des Rahmenwerks von einem Anspruch in einen Nachweis verwandelt.
• ZeroTAM bietet dedizierte Expertenberatung für Backup-Architektur, Kapazitätsplanung, Ransomware-Recovery-Strategie und Krisenreaktion – die menschliche Ebene, die die meisten Unternehmen benötigen, um zu deuten, was ihre Backup-Umgebung ihnen tatsächlich sagt.
• ZeroPEN pentestet Ihre Backup-Infrastruktur so, wie es ein echter Angreifer täte – mit Fokus auf Management-Planes, Zugriffskontrollen, Unveränderlichkeitseinstellungen und Isolierungslage – und führt anschließend reale Restore-Szenarien durch, um zu validieren, dass Sie sauber, vollständig und innerhalb Ihrer angegebenen RTO wiederherstellen können.

BackupSec wird On-Premise bereitgestellt, verbindet sich über schreibgeschützten API-Zugriff mit Ihren Backup-Anwendungen und bewegt Backup-Daten niemals außerhalb Ihrer Umgebung. Ob Sie eine veraltete 3-2-1-Architektur modernisieren, Ihre aktuelle 3-2-1-1-0-Implementierung gegen moderne Bedrohungsmodelle validieren oder Auditoren und dem Vorstand die Recovery-Bereitschaft nachweisen – der dreischichtige Ansatz ist darauf ausgelegt, Unternehmensteams die Transparenz, Orientierung und Nachweise zu geben, die das Rahmenwerk verlangt.

Sprechen Sie mit BackupSec über Ihre Backup-Sicherheitslage →

Bereit, die Backup-Sicherheitslage Ihrer Organisation an der Fibonacci-Regel der Backup-Sicherheit zu messen? Nehmen Sie Kontakt mit BackupSec auf →