Die Fibonacci-Regel der Backup-Sicherheit: warum 5-3-2-1-1-0 die 3-2-1-1-0 ablöst

Warum ausgereifte Backup-Strategien 2026 scheitern

Mehr als zwei Jahrzehnte lang war die 3-2-1-Backup-Regel das Fundament des unternehmensweiten Datenschutzes. Geprägt vom Fotografen Peter Krogh und in der gesamten IT-Branche übernommen, bot sie eine einprägsame Formel: drei Kopien der Daten, auf zwei Medientypen, mit einer Kopie außer Haus.

Sie funktionierte. Bis sie es nicht mehr tat.

2025 war Ransomware bei 44 % aller bestätigten Datenschutzverletzungen im Spiel, gegenüber 32 % im Jahr zuvor. Weltweit nahmen Ransomware-Angriffe im Jahresvergleich um 58 % zu, und schätzungsweise ereignet sich nun alle 19 Sekunden irgendwo auf der Welt ein Vorfall. Folgenreicher für Risikoverantwortliche in Unternehmen: Bei 75 % der Ransomware-Angriffe im Jahr 2025 wurden Daten vor der Verschlüsselung exfiltriert, was bedeutet, dass eine fehlerfreie Wiederherstellung den Vorfall nicht mehr aus der Welt schafft.

Die 3-2-1-Regel war für Hardwareausfälle, regionale Ausfälle und versehentliche Löschungen gedacht. Sie war nicht für versierte Bedrohungsakteure gedacht, die gezielt Backup-Repositories ins Visier nehmen, nicht für KI-generierte Phishing-Kampagnen im industriellen Maßstab und nicht für Insider-Bedrohungen mit gültigen administrativen Zugangsdaten. Ausgereifte Angreifer wissen, dass die Zerstörung oder Beschädigung der Backup-Infrastruktur der schnellste Weg ist, eine Lösegeldzahlung zu erzwingen – und sie behandeln dies als erstrangiges Ziel in ihren Kill-Chains.

Aus diesem Grund hat die Branche die Regel schrittweise erweitert – zunächst zu 3-2-1-1, dann zu 3-2-1-1-0. Bei BackupSec sind wir überzeugt, dass die nächste Entwicklungsstufe das ist, was wir die Fibonacci-Regel der Backup-Sicherheit nennen, ausgedrückt als 5-3-2-1-1-0: ein Rahmenwerk, das sich wie die Fibonacci-Folge in umgekehrter Reihenfolge liest und eine entscheidende sechste Dimension hinzufügt – fünf grundlegende Sicherheitsprinzipien, die jede darunterliegende Ebene tragen müssen.

Für Organisationen mit ausgereiften Backup-Umgebungen rückt dieser Artikel zurecht, was „umfassender Datenschutz“ 2026 bedeuten sollte.

Von 3-2-1 zu 3-2-1-1-0: eine kurze Rückschau

Bevor wir die Fibonacci-Regel vorstellen, lohnt es sich nachzuvollziehen, wie wir hierhergekommen sind.

Die ursprüngliche 3-2-1-Regel verlangte drei Kopien der Daten auf zwei verschiedenen Medientypen, von denen eine außer Haus aufbewahrt wird. Sie konzentrierte sich auf Redundanz – ausgehend von der Annahme, dass kein einzelnes physisches Ereignis alle drei Kopien gleichzeitig zerstören könnte.

Die 3-2-1-1-0-Regel, von Veeam populär gemacht und weithin übernommen, fügte zwei entscheidende Verfeinerungen hinzu:

• Eine unveränderliche oder air-gapped Kopie, die sich nicht verändern oder löschen lässt – nicht einmal von einem Angreifer mit administrativen Zugangsdaten.
• Null Fehler bei der Backup-Verifizierung, sodass jedes Backup wiederherstellbar ist – und nicht bloß vorhanden.

Diese Entwicklung schloss zwei erhebliche Lücken: Ransomware, die auf Backups abzielt, und das stille Versagen von Backups, die erst getestet werden, wenn die Katastrophe eintritt. Doch sie behandelt Sicherheit nach wie vor als etwas, das auf die Backup-Infrastruktur aufgesetzt wird, statt als etwas, das von Grund auf in sie hineinkonstruiert ist.

Genau diese Lücke soll die Fibonacci-Regel der Backup-Sicherheit schließen.

Warum Fibonacci? Die Logik hinter den Zahlen

Die Fibonacci-Folge (0, 1, 1, 2, 3, 5, 8, 13…) ist eines der elegantesten Muster der Mathematik – jede Zahl ist die Summe der beiden vorangehenden. Liest man unser Rahmenwerk in umgekehrter Reihenfolge (5, 3, 2, 1, 1, 0), gilt dieselbe sich aufbauende Logik: Jede Schutzebene baut auf den Grundlagen darunter auf.

• 5 — Sicherheitsprinzipien: Fünf nicht verhandelbare Prinzipien, die bestimmen, wie Backup konzipiert wird.
• 3 — Kopien: Mindestens drei Kopien jedes kritischen Datensatzes.
• 2 — Medientypen: Gespeichert auf zwei verschiedenen Medien oder Plattformen.
• 1 — Außer Haus: Eine Kopie an einem geografisch getrennten Ort.
• 1 — Unveränderlich: Eine Kopie, die sich nicht verändern oder löschen lässt.
• 0 — Fehler: Null unverifizierte Backups in Ihrer Umgebung.

Die ursprüngliche 3-2-1-1-0-Regel beantwortete die operative Frage „Wie viele Kopien, wo und in welchem Zustand?“ Die „5“, die wir hinzugefügt haben, beantwortet eine grundlegendere architektonische Frage: „Was bedeutet es eigentlich, dass ein Backup sicher ist?“

Ohne diese fünf Prinzipien ist der Rest der Kette hohl. Ein Backup, das in drei Kopien, auf zwei Medien und in einem unveränderlichen Zustand existiert – aber unzureichenden Zugriffskontrollen unterliegt oder von einer kompromittierten Admin-Workstation aus erreichbar ist –, ist nicht geschützt. Es ist die Dokumentation einer Angriffsfläche.

Die „5“: Fünf grundlegende Prinzipien der Backup-Sicherheit

Diese fünf Prinzipien müssen jede architektonische Entscheidung in Ihrer Backup-Umgebung leiten – von der Plattformauswahl über die Aufbewahrungsrichtlinie bis hin zur Zugriffsverwaltung.

1. Cyber-resiliente Architektur by Design

Backup-Sicherheit lässt sich nicht nachrüsten. Sie muss von Tag eins an eine Designvorgabe sein.

Eine cyber-resiliente Backup-Architektur behandelt jede Komponente – den Katalog, die Storage-Ebene, die Management-Plane, die Recovery-Umgebung – als potenzielles Ziel. Sie geht von einer Kompromittierung aus, plant für den Ernstfall und stellt sicher, dass kein einzelnes Versagen (technisch, menschlich oder gegnerisch) sich zu einem Totalverlust der Wiederherstellbarkeit auswachsen kann.

In der Praxis bedeutet das:

• Defense in Depth: Mehrere unabhängige Kontrollen schützen jede Ebene, sodass das Versagen einer einzelnen das System nicht angreifbar macht.
• Eindämmung des Wirkungsradius: Eine Kompromittierung der Produktivumgebung kann sich nicht in die Backup-Infrastruktur ausbreiten, und die Kompromittierung einer Backup-Ebene kann nicht auf andere übergreifen.
• Recovery-first-Design: Architekturen werden nicht nur danach bewertet, wie gut sie Daten sichern, sondern danach, wie zuverlässig sie sie unter feindlichen Bedingungen wiederherstellen können – wenn das DNS ausgefallen ist, Identity-Provider kompromittiert sind oder der primäre Standort nicht erreichbar ist.
• Verschlüsselung als architektonisches Grundelement, nicht als Funktion: Jedes Backup muss in jedem Zustand nach modernen Standards verschlüsselt sein (AES-256 oder stärker im Ruhezustand; TLS 1.3 bei der Übertragung). Noch wichtiger: Die Verschlüsselungsschlüssel müssen unabhängig von der Backup-Infrastruktur selbst verwaltet werden – idealerweise in einem dedizierten HSM oder einem Key-Management-Service mit getrennter administrativer Zuständigkeit. Wenn Ihre Schlüssel neben Ihren Daten liegen, haben Sie keine Verschlüsselung; Sie haben Verschleierung. Für Unternehmen mit grenzüberschreitenden Datenflüssen wird die Schlüsselhoheit – wer unter welcher Jurisdiktion und in welchem Zeitrahmen eine Offenlegung erzwingen kann – zu einer Designentscheidung, nicht zu einem Problem der Incident Response.

Organisationen, die Sicherheit auf Backup-Systeme nachrüsten, die für die Bedrohungslage von vor einem Jahrzehnt ausgelegt waren, stellen mitten im Vorfall immer wieder fest, dass ihre Architektur selbst die Schwachstelle ist. Resilienz muss eingebaut werden – nicht angeflanscht.

2. Zero-Trust-Zugriff und starke Authentifizierung

Das Prinzip ist einfach: niemals vertrauen, immer verifizieren. Jede Anfrage, ein Backup zu lesen, zu schreiben oder zu verändern, muss im Moment der Anfrage authentifiziert und autorisiert werden – unabhängig vom Netzwerkursprung.

Konkret erfordert das:

• Multi-Faktor-Authentifizierung (MFA) für jede administrative Identität, die mit der Backup-Infrastruktur in Berührung kommt, idealerweise mit phishing-resistenten Verfahren wie Hardware-Tokens.
• Rollenbasierte Zugriffskontrolle (RBAC), die das Prinzip der geringsten Privilegien auf granularer Ebene durchsetzt.
• Getrennte administrative Identitäten für Produktiv- und Backup-Systeme – ein kompromittierter Domänenadministrator sollte keinen Zugriff auf Ihre letzte Verteidigungslinie haben.
• Privileged Access Management (PAM) mit Just-in-time-Rechteerhöhung, Sitzungsaufzeichnung und Genehmigungs-Workflows für sensible Vorgänge wie Änderungen an Aufbewahrungsrichtlinien.

Kompromittierte Zugangsdaten verursachten 23 % der Ransomware-Angriffe im Jahr 2025. Wenn Ihre Backup-Umgebung derselben Identitätsinfrastruktur vertraut, die auch die Produktion schützt, haben Sie einen Single Point of Failure, der als gestaffelte Verteidigung getarnt ist.

3. Unveränderlichkeit und WORM-Storage

Unveränderlichkeit – die Eigenschaft, dass Daten nach dem Schreiben für einen definierten Aufbewahrungszeitraum nicht verändert oder gelöscht werden können – hat sich von „Best Practice“ zu „nicht verhandelbar“ entwickelt. Ob über Object Lock auf Cloud-Storage, Write-Once-Read-Many-Medien (WORM) oder hardwareerzwungene Aufbewahrungssperren umgesetzt – Unveränderlichkeit ist die mit Abstand wirksamste architektonische Verteidigung gegen Bedrohungsakteure, die gezielt nach Backup-Repositories suchen.

Für Unternehmen, die regulatorischen Regimen wie SEC 17a-4, FINRA, HIPAA oder DORA unterliegen, erfüllt Unveränderlichkeit zugleich kritische Compliance-Anforderungen an Manipulationsnachweis und Durchsetzung der Aufbewahrung. Die Kontrollfläche, die Sie vor Ransomware schützt, ist oft dieselbe, die Ihren Auditor zufriedenstellt.

Der Nutzen ist konkret: 2025 gelang dies den 44 % der Organisationen, die Ransomware-Angriffe vor der Verschlüsselung stoppten, größtenteils deshalb, weil sie über validierte Backups und vordefinierte Reaktionspläne verfügten. Unveränderlichkeit ist es, die diese Backups validiert hält, wenn ein Angreifer über Admin-Zugangsdaten verfügt.

4. Kontinuierliche Verifizierung und Recovery-Tests

Ein Backup, das Sie nicht getestet haben, ist kein Backup – es ist eine Hypothese.

Die „0“ in 3-2-1-1-0 verlangt null Fehler, doch der einzige Weg, diese Behauptung zu belegen, ist kontinuierliches Testen. Ausgereifte Programme setzen automatisierte Integritätsprüfungen, regelmäßige Full-Restore-Übungen, isolierte Recovery-Umgebungen zur Validierung und strukturierte Tabletop-Übungen ein, die die menschlichen und prozessualen Ebenen ebenso rigoros auf die Probe stellen wie die technischen.

Organisationen mit getesteten Incident-Response-Plänen erholen sich dramatisch schneller: 2025 erreichte der Anteil der Ransomware-Opfer, die sich innerhalb einer Woche vollständig erholten, einen Rekordwert, während der Anteil derer, die länger als einen Monat brauchten, auf nur noch 18 % fiel, gegenüber 34 % im Jahr zuvor.

Die Lehre für Risikoverantwortliche ist eindeutig: Testen ist das, was Organisationen, die Backups haben, von Organisationen unterscheidet, die wiederherstellen können. Der Kostenunterschied zwischen diesen beiden Zuständen, gemessen an Ausfallzeit und Reputationsschaden, beträgt typischerweise eine Größenordnung.

5. Isolierung und Netzwerksegmentierung

Backup-Infrastruktur sollte sich niemals eine Netzwerkdomäne mit Produktivsystemen teilen.

Moderne Best Practice kombiniert logische Segmentierung (getrennte VLANs, dedizierte Subnetze, strenge Firewall-Regeln, Mikrosegmentierung) mit air-gapped oder quasi-air-gapped Architekturen für mindestens eine Kopie jedes Backups. Cloud-Unveränderlichkeit mit getrennten Identity-Providern, Offline-Bandrotationen, dedizierte Recovery-Umgebungen und Mandantenisolierung in gemeinsam genutzter Infrastruktur dienen alle demselben architektonischen Ziel: sicherzustellen, dass sich der Wirkungsradius einer einzelnen Kompromittierung nicht bis in die Recovery-Ebene erstrecken kann.

Wenn ein Bedrohungsakteur auf Ihrem Domänencontroller Ihr Backup-Repository mit denselben Zugangsdaten erreichen kann, ist Ihr Backup Teil der Angriffsfläche – nicht von ihr getrennt.

Die „3-2-1“: Redundanz, die nach wie vor zählt

Mit den fünf Prinzipien als Fundament bleibt die klassische 3-2-1-Ebene unverzichtbar.

• 3 Kopien jedes kritischen Datensatzes – Ihre Produktivdaten plus mindestens zwei Backups.
• 2 verschiedene Medien oder Storage-Plattformen – lokale Festplatte und Cloud oder On-Premises-Object-Storage und ein separater Cloud-Anbieter. Ziel ist sicherzustellen, dass ein einzelnes Technologieversagen, ein Anbieterausfall oder eine Angriffsklasse nicht alle Kopien gleichzeitig zerstören kann.
• 1 Kopie außer Haus – geografisch von Ihrem primären Standort getrennt, idealerweise in einer anderen Bedrohungsdomäne und, wo sinnvoll, einer anderen regulatorischen Jurisdiktion.

Was sich seit der erstmaligen Formulierung der Regel geändert hat, ist die Auslegung. Zwei Cloud-Regionen desselben Anbieters stellen keine „zwei verschiedenen Medien“ dar. Ein Backup-Volume auf einem SAN, das neben Ihrem Produktiv-Array steht, ist nicht im sinnvollen Sinne „außer Haus“. Modernes Threat Modeling in Unternehmen verlangt eine strengere Auslegung jeder einzelnen Anforderung.

Die „1-1“: Unveränderlichkeit und Air-Gap

An dieser Stelle weicht das Rahmenwerk am deutlichsten von seinem Vorläufer aus dem 20. Jahrhundert ab.

Die erste „1“ verlangt eine unveränderliche Kopie – Daten, die innerhalb ihres Aufbewahrungsfensters nicht verändert oder gelöscht werden können, unabhängig davon, wer den Befehl erteilt, einschließlich des Storage-Administrators. Die zweite „1“ bezieht sich in manchen Auslegungen auf eine Offline- oder air-gapped Kopie. Ob als einzelne kombinierte Ebene oder als zwei eigenständige Kopien umgesetzt – das architektonische Prinzip ist dasselbe: Mindestens eine Kopie Ihrer Daten muss für die Wiederherstellung erreichbar, für die Zerstörung jedoch unerreichbar sein.

Für Organisationen mit großen Datenbeständen und strengen Recovery-Time-Zielen kombiniert diese Ebene häufig cloudbasierten unveränderlichen Storage für eine schnelle Wiederherstellung mit tieferliegenden, air-gapped Archiven für den Worst Case. Beide ergänzen sich, statt redundant zu sein.

Die „0“: Null Toleranz für unverifizierte Backups

Jedes Backup verifiziert. Jeder Restore getestet. Jede Lücke dokumentiert und geschlossen.

Die „0“ ist die Ebene der operativen Disziplin des Rahmenwerks. Sie verlangt Strenge: automatisierte Prüfsummen, geplante Restore-Validierung, Anomalieerkennung in den Metadaten von Backup-Jobs (ein plötzlicher Anstieg der Job-Größe kann auf Pre-Encryption-Staging durch einen Bedrohungsakteur hindeuten), verhaltensbasiertes Monitoring administrativer Backup-Aktivitäten und klare Eskalationspfade, wenn die Verifizierung fehlschlägt.

Die Daten stützen diese Disziplin: Organisationen, die die Telemetrie ihres Backup-Systems überwachten – nicht nur Erfolgsquoten –, erkannten gegnerische Aktivitäten früher und dämmten Vorfälle schneller ein. Null Fehler ist keine Schönheitskennzahl. Es ist der Unterschied zwischen Vertrauen und falschem Vertrauen in dem Moment, in dem diese Unterscheidung am meisten zählt.

Was das für Risikoverantwortliche in Unternehmen bedeutet

Wenn Ihre Organisation mit einer Backup-Strategie arbeitet, die für eine andere Bedrohungslage konzipiert wurde, ist die Lücke zwischen dem, was Sie haben, und dem, was Sie brauchen, nicht länger akademisch. Bedenken Sie die finanzielle Realität:

• Weltweit ereignet sich etwa alle 19 Sekunden ein Ransomware-Vorfall.
• Die durchschnittliche Ransomware-Zahlung lag 2025 bei etwa 1 Million US-Dollar, wobei die Wiederherstellungskosten im Schnitt zusätzliche 1,53 Millionen US-Dollar betrugen.
• 64 % der betroffenen Organisationen verweigerten 2025 die Zahlung – ein Rekord –, weil verbesserte Backup-Architekturen ihnen eine glaubwürdige Alternative boten. Die übrigen 36 % hatten diese Option nicht.

Für Unternehmen in regulierten Branchen oder mit komplexen hybriden Datenbeständen fällt die Rechnung noch deutlicher aus. Wesentlicher Datenverlust bringt heute direkte Meldepflichten nach den SEC-Cyber-Offenlegungsregeln, der DSGVO, DORA und einer wachsenden Reihe branchenspezifischer Rahmenwerke mit sich. Die Kosten eines nicht wiederherstellbaren Vorfalls sind nicht länger bloß operativer Natur – sie sind reputativer, regulatorischer und zunehmend persönlicher Art für die Unternehmensführung.

Die Umsetzung der Fibonacci-Regel erfordert keinen vollständigen Neuaufbau Ihrer Infrastruktur. Sie erfordert eine ehrliche architektonische Bestandsaufnahme, priorisierte Behebung anhand eines klaren Prinzipiensatzes und eine Governance-Verpflichtung, Backup-Sicherheit als integrierte Disziplin zu behandeln – nicht als Beschaffungsposten.

Wo BackupSec ins Spiel kommt

Bei BackupSec helfen wir Unternehmensteams, ihre Backup-Umgebungen anhand der oben genannten Prinzipien zu betreiben – nicht, indem wir ihre Backup-Plattform ersetzen, sondern indem wir Backup-Sicherheit beobachtbar, beratbar und beweisbar machen.

Unser Ansatz kombiniert drei Ebenen, von denen jede eine andere Lücke in der Fibonacci-Regel adressiert:

• ZeroMON liefert kontinuierliche Observability über den gesamten Backup-Bestand – Veeam-fähiges Monitoring mit Echtzeit-Job-Tracking, automatisierten Sicherheitsprüfungen, forensischen Audit-Trails für Konfigurationsabweichungen und Compliance-Reports per Klick. Dies ist die operative Ebene, die die Anforderung „0 Fehler“ des Rahmenwerks von einem Anspruch in einen Nachweis verwandelt.
• ZeroTAM bietet dedizierte Expertenberatung für Backup-Architektur, Kapazitätsplanung, Ransomware-Recovery-Strategie und Krisenreaktion – die menschliche Ebene, die die meisten Unternehmen benötigen, um zu deuten, was ihre Backup-Umgebung ihnen tatsächlich sagt.
• ZeroPEN pentestet Ihre Backup-Infrastruktur so, wie es ein echter Angreifer täte – mit Fokus auf Management-Planes, Zugriffskontrollen, Unveränderlichkeitseinstellungen und Isolierungslage – und führt anschließend reale Restore-Szenarien durch, um zu validieren, dass Sie sauber, vollständig und innerhalb Ihrer angegebenen RTO wiederherstellen können.

BackupSec wird On-Premise bereitgestellt, verbindet sich über schreibgeschützten API-Zugriff mit Ihren Backup-Anwendungen und bewegt Backup-Daten niemals außerhalb Ihrer Umgebung. Ob Sie eine veraltete 3-2-1-Architektur modernisieren, Ihre aktuelle 3-2-1-1-0-Implementierung gegen moderne Bedrohungsmodelle validieren oder Auditoren und dem Vorstand die Recovery-Bereitschaft nachweisen – der dreischichtige Ansatz ist darauf ausgelegt, Unternehmensteams die Transparenz, Orientierung und Nachweise zu geben, die das Rahmenwerk verlangt.

Sprechen Sie mit BackupSec über Ihre Backup-Sicherheitslage →

Bereit, die Backup-Sicherheitslage Ihrer Organisation an der Fibonacci-Regel der Backup-Sicherheit zu messen? Nehmen Sie Kontakt mit BackupSec auf →