Die Fibonacci-Regel der Backup-Sicherheit: 3-2-1-1-0 für moderne Backup-Sicherheit erweitern

Warum ausgereifte Backup-Strategien 2026 scheitern

Seit Jahren ist die 3-2-1-Backup-Regel das Fundament des Datenschutzes. Der Fotograf Peter Krogh sagt, er habe den Begriff geprägt, als er die erste Auflage von The DAM Book schrieb, und sein Backup-Leitfaden für das dpBestflow-Projekt der ASMP legt sie dar: drei Kopien jeder wichtigen Datei, auf zwei verschiedenen Medientypen, davon eine Kopie offsite. Die Formel verbreitete sich weit über die Fotografie hinaus. Das Papier der CISA zu Optionen für die Datensicherung wiederholt sie für private und geschäftliche Daten.

Sie funktionierte. Bis sie es nicht mehr tat.

Verizons 2025 Data Breach Investigations Report fand Ransomware bei 44 % der untersuchten Datenschutzverletzungen, gegenüber 32 % in der vorherigen Ausgabe. Diese Ausgabe deckt Vorfälle von November 2023 bis Oktober 2024 ab; die Ausgabe 2026, die November 2024 bis Oktober 2025 abdeckt, beziffert den Anteil auf 48 %. Das Research-Team von GuidePoint Security, das die von Ransomware-Gruppen veröffentlichten Opfer verfolgt, verzeichnete 2025 einen Anstieg der Ransomware-Opfer um 58 % gegenüber dem Vorjahr, das aktivste Jahr, das es bisher erfasst hat. Folgenreicher für Risikoverantwortliche in Unternehmen: Über die Incident-Response-Einsätze von Mandiant im Jahr 2025 hinweg beobachtete die Google Threat Intelligence Group bestätigten oder vermuteten Datendiebstahl bei etwa 77 % der Ransomware-Einbrüche, gegenüber etwa 57 % im Jahr 2024. Wenn Daten bereits gestohlen wurden, bringt ein fehlerfreier Restore die Systeme zurück, macht die Datenschutzverletzung aber nicht ungeschehen.

Die 3-2-1-Regel wurde für Hardwareausfälle, regionale Störungen und versehentliche Löschungen entworfen. Sie wurde nicht für Angreifer entworfen, die gezielt Backup-Repositories angreifen, und auch nicht für Insider mit gültigen administrativen Zugangsdaten. Angreifer wissen, dass die Zerstörung der Backups dem Opfer die Alternative zur Zahlung nimmt. Derselbe Google-Bericht hält fest, dass Ransomware-Akteure "often disabled or deleted backups to inhibit and/or limit recovery options." (Backups häufig deaktivierten oder löschten, um Wiederherstellungsoptionen zu verhindern oder einzuschränken).

Deshalb wurde die Regel erweitert. Veeam beschreibt seine eigene Erweiterung, 3-2-1-1-0, so, dass sie eine unveränderliche Kopie und null Wiederherstellungsfehler hinzufügt. Bei BackupSec schlagen wir einen weiteren Schritt vor, den wir die Fibonacci-Regel der Backup-Sicherheit nennen und als 5-3-2-1-1-0 schreiben. Es ist unser Framework, kein Branchenstandard. Es liest sich wie die Fibonacci-Folge rückwärts und fügt ein sechstes Element hinzu: fünf grundlegende Sicherheitsprinzipien, die jeder darunterliegenden Ebene zugrunde liegen müssen.

Für Organisationen mit ausgereiften Backup-Umgebungen ordnet dieser Artikel neu ein, was „umfassender Datenschutz" im Jahr 2026 bedeuten sollte.

Von 3-2-1 zu 3-2-1-1-0: Ein kurzer Rückblick

Bevor wir die Fibonacci-Regel vorstellen, lohnt sich ein Blick darauf, wie wir hierher gekommen sind.

Die ursprüngliche 3-2-1-Regel verlangte drei Kopien der Daten auf zwei verschiedenen Medientypen, davon eine offsite gelagert. Ihr Schwerpunkt lag auf Redundanz, unter der Annahme, dass kein einzelnes physisches Ereignis alle drei Kopien gleichzeitig zerstören kann.

Die 3-2-1-1-0-Regel, Veeams Erweiterung des Originals und heute weit verbreitet, ergänzte zwei Verfeinerungen:

• Eine unveränderliche oder per Air-Gap getrennte Kopie, die sich nicht verändern oder löschen lässt, selbst nicht durch einen Angreifer mit administrativen Zugangsdaten.
• Null Fehler bei der Backup-Verifizierung, sodass von jedem Backup bekannt ist, dass es sich wiederherstellen lässt, und nicht nur, dass es vorhanden ist.

Diese Entwicklung schloss zwei wesentliche Lücken: Ransomware, die es auf Backups abgesehen hat, und das stille Versagen von Backups, die erst im Ernstfall getestet werden. Die Regel versucht jedoch nicht, die gesamte Sicherheitsarchitektur rund um diese Kopien zu definieren: Identitätstrennung, privilegierten Zugriff, Segmentierung, kontinuierliches Monitoring und die Begrenzung des Schadensradius.

Genau diese Lücke soll die Fibonacci-Regel der Backup-Sicherheit schließen.

Warum Fibonacci? Die Logik hinter den Zahlen

Die Fibonacci-Folge (0, 1, 1, 2, 3, 5, 8, 13...) ist eines der elegantesten Muster der Mathematik: Jede Zahl ist die Summe der beiden vorangehenden. Liest man unser Framework rückwärts (5, 3, 2, 1, 1, 0), gilt dieselbe aufbauende Logik: Jede Schutzebene baut auf den Fundamenten darunter auf.

• 5 grundlegende Sicherheitsprinzipien. Fünf Prinzipien, die bestimmen, wie Backup architektonisch aufgebaut wird.
• 3 Kopien der Daten. Mindestens drei Kopien jedes kritischen Datenbestands.
• 2 verschiedene Medien oder Speicher- bzw. Plattformtypen. Gespeichert auf zwei verschiedenen Medien, Speicherplattformen oder Technologie-Stacks.
• 1 Offsite-Kopie. Eine Kopie an einem geografisch getrennten Standort.
• 1 unveränderliche, isolierte oder anderweitig geschützte zusätzliche Kopie. Eine weitere Kopie, die gegen Veränderung oder Zerstörung geschützt ist.
• 0 unverifizierte Backups oder ungelöste Wiederherstellungsfehler. Kein Backup bleibt unverifiziert, kein Wiederherstellungsfehler bleibt offen.

Die ursprüngliche 3-2-1-1-0-Regel beantwortete die operative Frage „Wie viele Kopien, wo und in welchem Zustand?" Die „5", die wir hinzugefügt haben, beantwortet eine grundlegendere architektonische Frage: „Was bedeutet es eigentlich, dass ein Backup sicher ist?"

Ohne diese fünf Prinzipien ist der Rest der Kette hohl. Ein Backup, das in drei Kopien, auf zwei Medien und in unveränderlichem Zustand existiert, aber unzureichenden Zugriffskontrollen unterliegt oder von einer kompromittierten Admin-Workstation aus erreichbar ist, ist nicht geschützt. Es ist die Dokumentation einer Gefährdung.

Die „5": Fünf grundlegende Prinzipien der Backup-Sicherheit

Diese fünf Prinzipien sollten jede Architekturentscheidung in Ihrer Backup-Umgebung leiten, von der Plattformauswahl über die Aufbewahrungsrichtlinie bis zur Zugriffssteuerung.

1. Cyberresiliente Architektur by Design

Backup-Sicherheit lässt sich nicht nachrüsten. Sie muss vom ersten Tag an eine Designvorgabe sein.

Eine cyberresiliente Backup-Architektur behandelt jede Komponente (den Katalog, die Speicherebene, die Management-Ebene, die Wiederherstellungsumgebung) als potenzielles Ziel. Sie geht von einem Einbruch aus, plant für die Kompromittierung und stellt sicher, dass kein einzelner Ausfall, ob technisch, menschlich oder durch einen Angreifer verursacht, zum vollständigen Verlust der Wiederherstellbarkeit führen kann.

In der Praxis bedeutet das:

• Defense in Depth: Mehrere unabhängige Kontrollen schützen jede Ebene, sodass das Versagen einer Kontrolle das System nicht bloßstellt.
• Begrenzung des Schadensradius: Eine Kompromittierung der Produktionsumgebung kann sich nicht in die Backup-Infrastruktur ausbreiten, und die Kompromittierung einer Backup-Ebene kann sich nicht auf andere ausbreiten.
• Recovery-First-Design: Architekturen werden nicht nur danach bewertet, wie gut sie Daten sichern, sondern danach, wie zuverlässig sie diese unter feindlichen Bedingungen wiederherstellen können: wenn DNS ausgefallen ist, Identitätsanbieter kompromittiert sind oder der primäre Standort nicht erreichbar ist.
• Verschlüsselung als architektonisches Grundelement, nicht als Feature: Jedes Backup muss in jedem Zustand mit starker, branchenüblicher Verschlüsselung at rest und in transit geschützt sein, wobei die Schlüssel, wo immer möglich, unabhängig von der Backup-Infrastruktur verwaltet werden, idealerweise in einem dedizierten HSM oder einem Key-Management-Service mit getrennter administrativer Zuständigkeit. Wenn Ihre Schlüssel neben Ihren Daten liegen, haben Sie keine Verschlüsselung, sondern Verschleierung. Für Unternehmen mit grenzüberschreitenden Datenflüssen wird Schlüsselsouveränität (wer die Herausgabe erzwingen kann, unter welcher Rechtsordnung, in welchem Zeitrahmen) zu einer Designentscheidung und nicht zu einem Problem der Incident Response.

Sicherheit, die nachträglich an ein Backup-System angeflanscht wird, das für eine ältere Bedrohungslage entworfen wurde, zeigt ihre Lücken meist mitten im Vorfall, wenn sich die Architektur selbst als Schwachstelle herausstellt. Resilienz muss von Anfang an eingeplant werden.

2. Zero-Trust-Zugriff und starke Authentifizierung

Das Prinzip ist einfach: never trust, always verify. Jede Anfrage, ein Backup zu lesen, zu schreiben oder zu verändern, muss im Moment der Anfrage authentifiziert und autorisiert werden, unabhängig von ihrer Herkunft im Netzwerk.

Praktisch erfordert das:

• Multi-Faktor-Authentifizierung (MFA) für jede administrative Identität, die mit der Backup-Infrastruktur arbeitet, idealerweise mit phishing-resistenten Verfahren wie Hardware-Token.
• Rollenbasierte Zugriffskontrolle (RBAC), die das Prinzip der minimalen Rechtevergabe fein granular durchsetzt.
• Getrennte administrative Identitäten für Produktions- und Backup-Systeme. Ein kompromittierter Domain-Admin sollte keinen Zugriff auf Ihre letzte Verteidigungslinie haben.
• Privileged Access Management (PAM) mit Just-in-Time-Rechteerhöhung, Sitzungsaufzeichnung und Freigabe-Workflows für sensible Vorgänge wie Änderungen an Aufbewahrungsrichtlinien.

In Sophos' Umfrage State of Ransomware 2025 unter 3.400 von Ransomware betroffenen Organisationen nannten die Opfer kompromittierte Zugangsdaten als Grundursache von 23 % der Angriffe, die zweithäufigste technische Grundursache nach ausgenutzten Schwachstellen (32 %). Wenn Ihre Backup-Umgebung derselben Identitätsinfrastruktur vertraut, die auch die Produktion schützt, haben Sie einen Single Point of Failure, der als mehrschichtige Verteidigung verkleidet ist.

3. Immutability und WORM-Speicher

Immutability, also die Eigenschaft, dass Daten nach dem Schreiben für eine festgelegte Aufbewahrungsdauer weder geändert noch gelöscht werden können, hat sich von einer „Best Practice" zu einer unverzichtbaren Anforderung entwickelt. Ob umgesetzt über Object Lock auf Cloud-Speicher, WORM-Medien (Write Once Read Many) oder hardwareseitig erzwungene Aufbewahrungssperren: Immutability ist eine der wirksamsten architektonischen Abwehrmaßnahmen gegen Angreifer, die gezielt nach Backup-Repositories suchen.

Für Unternehmen, die Aufbewahrungsvorschriften unterliegen, kann Immutability auch die Compliance unterstützen. SEC Rule 17a-4 erlaubt Broker-Dealern, elektronische Aufzeichnungen entweder mit einem vollständigen, mit Zeitstempeln versehenen Audit-Trail oder "in a non-rewriteable, non-erasable format" (in einem nicht überschreibbaren, nicht löschbaren Format) aufzubewahren. Die HIPAA Security Rule verlangt einen Datensicherungsplan, der "retrievable exact copies" (abrufbare exakte Kopien) elektronischer geschützter Gesundheitsinformationen erstellt und vorhält. Die Kontrollen, die Sie vor Ransomware schützen, sind oft dieselben, nach denen Ihr Auditor fragt.

Die CISA ist vorsichtiger als die meisten Hersteller. Ihr #StopRansomware Guide fordert Organisationen auf, "maintain offline, encrypted backups of critical data" (offline gehaltene, verschlüsselte Backups kritischer Daten vorzuhalten) und deren Verfügbarkeit und Integrität regelmäßig zu testen. Unveränderlichen Speicher von Cloud-Anbietern erwähnt sie nur mit einer Warnung: Er "does not meet compliance criteria for certain regulations" (erfüllt die Compliance-Kriterien bestimmter Vorschriften nicht), und Fehlkonfigurationen können erhebliche Kosten verursachen. Immutability hält Backups intakt gegenüber einem Angreifer, der bereits administrative Zugangsdaten besitzt. Sie ersetzt weder eine Offline-Kopie noch einen getesteten Restore.

4. Kontinuierliche Verifizierung und Recovery-Tests

Ein Backup, das Sie nicht getestet haben, ist kein Backup. Es ist eine Hypothese.

Die „0" in 3-2-1-1-0 verlangt null Fehler, aber der einzige Weg, diese Aussage zu belegen, ist kontinuierliches Testen. Ausgereifte Programme setzen automatisierte Integritätsprüfungen, regelmäßige vollständige Restore-Übungen, isolierte Wiederherstellungsumgebungen zur Validierung und strukturierte Tabletop-Übungen ein, die die menschliche und prozessuale Ebene ebenso gründlich auf die Probe stellen wie die technische.

Die Wiederherstellung wird schneller. In derselben Sophos-Umfrage hatten sich 53 % der Ransomware-Opfer innerhalb einer Woche vollständig erholt, gegenüber 35 % im Jahr 2024, und 97 % hatten sich innerhalb von drei Monaten vollständig erholt. Sophos vermutet, dass die Verbesserung auf Investitionen in die Vorbereitung auf Vorfälle und in die Wiederherstellungsbereitschaft zurückgehen könnte. Die Umfrage isoliert den Effekt getesteter Pläne nicht, aber Sophos' eigener Rat lautet, hochwertige Backups anzulegen und die Wiederherstellung daraus regelmäßig zu üben.

Die Lehre für Risikoverantwortliche: Testen unterscheidet Organisationen, die Backups haben, von Organisationen, die sich wiederherstellen können.

5. Isolation und Netzwerksegmentierung

Backup-Infrastruktur sollte stark von der Produktion segmentiert sein und, wo immer praktikabel, nicht von denselben administrativen Vertrauensgrenzen abhängen, die die Produktionssysteme schützen.

Moderne Best Practice kombiniert logische Segmentierung (separate VLANs, dedizierte Subnetze, strikte Firewall-Regeln, Mikrosegmentierung) mit Air-Gap- oder Quasi-Air-Gap-Architekturen für mindestens eine Kopie jedes Backups. Cloud-Immutability mit separaten Identitätsanbietern, rotierende Offline-Bänder, dedizierte Wiederherstellungsumgebungen und Mandantenisolation in gemeinsam genutzter Infrastruktur dienen alle demselben architektonischen Ziel: sicherzustellen, dass der Schadensradius einer einzelnen Kompromittierung nicht bis in die Wiederherstellungsebene reicht.

Wenn ein Angreifer auf Ihrem Domain Controller Ihr Backup-Repository mit denselben Zugangsdaten erreichen kann, ist Ihr Backup Teil der Angriffsfläche und nicht von ihr getrennt.

Die „3-2-1": Redundanz, die weiterhin zählt

Mit den fünf Prinzipien als Fundament bleibt die klassische 3-2-1-Ebene unverzichtbar.

• 3 Kopien jedes kritischen Datenbestands: Ihre Produktionsdaten plus mindestens zwei Backups.
• 2 verschiedene Medien oder Speicherplattformen: lokale Festplatte und Cloud, oder On-Premises-Objektspeicher und ein separater Cloud-Anbieter. Ziel ist sicherzustellen, dass ein einzelner Technologieausfall, ein Ausfall bei einem Anbieter oder eine Angriffsklasse nicht alle Kopien gleichzeitig zerstören kann.
• 1 Offsite-Kopie: geografisch von Ihrem primären Standort getrennt, idealerweise in einer anderen Bedrohungsdomäne und, wo angemessen, in einer anderen Rechtsordnung.

Verändert hat sich seit der ersten Formulierung der Regel die Auslegung. Zwei Cloud-Regionen desselben Anbieters sind keine „zwei verschiedenen Medien". Ein Backup-Volume in einem SAN direkt neben Ihrem Produktions-Array ist nicht ernsthaft „offsite". Modernes Threat Modeling in Unternehmen verlangt eine strengere Lesart jeder Anforderung.

Die „1-1": Offsite und unveränderlich oder per Air-Gap getrennt

Die beiden „1" adressieren unterschiedliche Fehlerdomänen.

Die erste verlangt, dass eine Kopie offsite gespeichert wird, geografisch von der primären Umgebung getrennt, damit ein Vorfall auf Standortebene, ein Infrastrukturausfall oder eine physische Katastrophe nicht alle Wiederherstellungsoptionen auf einmal vernichten kann.

Die zweite verlangt, dass mindestens eine zusätzliche Kopie durch Immutability, Air-Gap oder einen gleichwertigen Isolationsmechanismus gegen Veränderung oder Zerstörung geschützt ist. Ihr Zweck ist ein anderer: Die räumliche Trennung schützt vor dem Ausfall eines Standorts, während Immutability oder Isolation vor einem Angreifer schützt, der administrativen Zugriff erlangt hat.

Diese Anforderungen können sich in der Umsetzung überschneiden. Eine Offsite-Kopie kann zugleich unveränderlich sein, und ausgereifte Umgebungen können sowohl eine unveränderliche Wiederherstellungsebene als auch eine tiefer liegende Offline- oder Air-Gap-Kopie vorhalten. Entscheidend ist, dass Geografie allein nicht als Sicherheitsisolation behandelt wird.

Diese Unterscheidung ist auch der Grund, warum Immutability unter den fünf Sicherheitsprinzipien der Fibonacci-Regel auftaucht. Die numerische „1" definiert eine Mindestschutzanforderung für eine Backup-Kopie; das Sicherheitsprinzip verlangt, dass Immutability in der gesamten Architektur berücksichtigt wird, einschließlich Aufbewahrungskontrollen, administrativem Zugriff, Identitätstrennung und der Management-Ebene.

Die „0": Null Toleranz für unverifizierte Backups

Jedes Backup verifiziert. Jeder Restore getestet. Jede Lücke dokumentiert und geschlossen.

Die „0" ist die Ebene der operativen Disziplin im Framework. Sie verlangt Sorgfalt: automatisierte Prüfsummen, geplante Restore-Validierung, Anomalieerkennung in den Metadaten der Backup-Jobs (ein plötzlicher Anstieg der Jobgröße kann auf vorbereitende Schritte eines Angreifers vor der Verschlüsselung hindeuten), Verhaltensüberwachung administrativer Aktivitäten im Backup-Umfeld und klare Eskalationswege, wenn die Verifizierung fehlschlägt.

Die Begründung ist einfach. Ein Angreifer, der die Zerstörung von Backups vorbereitet, muss zuerst das Backup-System anfassen, und diese Änderungen zeigen sich in Job-Einstellungen, Aufbewahrungswerten und Audit-Logs, lange bevor ein Restore fehlschlägt. Null Fehler ist keine Eitelkeitskennzahl. Es ist der Unterschied zwischen Gewissheit und falscher Gewissheit in dem Moment, in dem dieser Unterschied am meisten zählt.

Was das für Verantwortliche im Enterprise-Risikomanagement bedeutet

Wenn Ihre Organisation mit einer Backup-Strategie arbeitet, die für eine andere Bedrohungslage entworfen wurde, ist die Lücke zwischen dem, was Sie haben, und dem, was Sie brauchen, keine akademische Frage mehr. Betrachten Sie die finanzielle Realität:

• Sophos' Umfrage von 2025 bezifferte die mediane Lösegeldzahlung auf 1 Mio. US-Dollar und die durchschnittlichen Wiederherstellungskosten ohne Lösegeld auf 1,53 Mio. US-Dollar.
• Verizons DBIR 2025 berichtet, dass 64 % der von Ransomware betroffenen Organisationen nicht zahlten, gegenüber 50 % zwei Jahre zuvor. Sophos stellte in einer anderen Stichprobe fest, dass 49 % der Opfer das Lösegeld zahlten, um ihre Daten zurückzubekommen. So oder so ist Zahlen nicht mehr der Normalfall, und eine Organisation, die nicht zahlt, braucht einen Wiederherstellungsweg, der funktioniert.

Für Unternehmen in regulierten Branchen oder mit komplexen hybriden Umgebungen ist die Rechnung noch zugespitzter. In den USA börsennotierte Unternehmen müssen einen wesentlichen Cybersicherheitsvorfall auf Form 8-K offenlegen, in der Regel innerhalb von vier Geschäftstagen, nachdem sie festgestellt haben, dass er wesentlich ist, und viele andere Rechtsordnungen und Branchen sehen eigene Meldepflichten vor. Die Kosten eines nicht wiederherstellbaren Vorfalls sind nicht mehr nur operativ. Sie sind auch reputativ und regulatorisch.

Die Umsetzung der Fibonacci-Regel erfordert nicht, Ihre Infrastruktur von Grund auf neu aufzubauen. Sie erfordert eine ehrliche Bewertung der Architektur, eine priorisierte Behebung anhand eines klaren Satzes von Prinzipien und die Verpflichtung auf Governance-Ebene, Backup-Sicherheit als integrierte Disziplin zu behandeln und nicht als Posten in der Beschaffung.

Wo BackupSec ins Spiel kommt

Bei BackupSec helfen wir Teams, ihre Veeam-Backup-Umgebungen an den oben genannten Prinzipien auszurichten. Wir ersetzen die Backup-Plattform nicht; wir machen ihre Sicherheit beobachtbar, beraten dazu und testen sie.

• ZeroMON überwacht Veeam Backup & Replication: Job-Zustand, Konfigurationsänderungen mit Nachverfolgung von wer/was/wann, eine Security-Analyzer-Checkliste, Berichte und einen Honeypot. Es zeigt den Immutability-Status so an, wie ihn Veeams Repository-Einstellungen melden; die Sperren auf Objektebene im Speicher verifiziert es nicht. Alarme gehen per E-Mail und als In-App-Benachrichtigung raus. Es wird on-premises als OVA bereitgestellt, verbindet sich mit einem Read-only-Konto und sendet nichts an BackupSec oder Dritte.
• ZeroTAM stellt Ihnen einen dedizierten Backup-Security-Berater für Architektur, Kapazität, Planung der Ransomware-Wiederherstellung und priorisierten Support in der Krise zur Seite.
• ZeroPEN ist ein bedrohungsorientierter Penetrationstest von Veeam Backup & Replication, Veeam ONE und Enterprise Manager: acht Kill-Chain-Phasen, abgebildet auf MITRE ATT&CK. Das Engagement umfasst außerdem die Verifizierung der Restore-Integrität und der Immutability. Es löscht niemals echte Backups, führt keine echte Verschlüsselung durch und stoppt weder Produktions- noch Backup-Dienste. Sie erhalten auditfähige Nachweise und einen Retest für kritische Befunde.
• ZeroVault ist S3-kompatibler, unveränderlicher Cloud-Objektspeicher mit Object Lock für die unveränderliche Offsite-Kopie.

Sprechen Sie mit BackupSec über Ihre Backup-Sicherheitslage →