Die 3-2-1-1-0-Regel erklärt

Was die 3-2-1-1-0-Regel wirklich besagt

Die 3-2-1-1-0-Regel ist eine Datenschutzformel dafür, wie viele Kopien der eigenen Daten man vorhält, auf welcher Art von Medium – und wie man nachweist, dass sie tatsächlich funktionieren:

• 3 Kopien Ihrer Daten – die Produktivkopie plus mindestens zwei Backups.
• 2 unterschiedliche Medien oder Storage-Plattformen, sodass ein einzelner Technologieausfall oder Anbieterausfall nicht alle Kopien auf einmal zerstören kann.
• 1 Kopie extern gespeichert, geografisch getrennt vom Primärstandort.
• 1 zusätzliche Kopie, die unveränderlich oder air-gapped ist – unerreichbar oder unveränderbar selbst für einen Angreifer mit administrativen Zugangsdaten.
• 0 Fehler: jedes Backup verifiziert und jeder Restore getestet, statt nur angenommen, dass er funktioniert.

Das liest sich wie eine natürliche Fortführung, doch die beiden zusätzlichen Ziffern – die zweite „1“ und die „0“ – waren nicht Teil der ursprünglichen Formel. Sie wurden Jahre später angehängt, als direkte Reaktion darauf, dass Ransomware lernte, gezielt Backups anzugreifen. Zu verstehen, warum sie hinzukamen, sagt mehr über moderne Backup-Strategie aus als die Checkliste allein.

Woher die Regel stammt

Der Teil „3-2-1“ des Namens ist älter als Ransomware selbst. Der Fotograf Peter Krogh prägte den Begriff in seinem 2006 erschienenen Buch The DAM Book: Digital Asset Management for Photographers und destillierte damit eine Reihe von Praktiken, die er bei IT-Fachleuten beobachtet hatte, zu einer Formel – einfach genug, damit auch berufstätige Fotografen, die plötzlich für unersetzliche digitale Archive verantwortlich waren, aber keine Systemadministratoren waren, sie tatsächlich befolgen konnten. Krogh erfand die zugrunde liegende Idee redundanter, extern gespeicherter Kopien nicht selbst – er gab ihr lediglich einen einprägsamen Namen. Formell zugeschrieben wurde ihm die Regel später, 2012, in einer US-CERT-Publikation zu Optionen der Datensicherung; zu diesem Zeitpunkt war sie in der Enterprise-IT bereits die Standardempfehlung, und sie gilt bis heute als Basisstandard, den sowohl CISA als auch NIST befürworten.

Die ursprüngliche 3-2-1-Regel war auf die Bedrohungen ihrer Zeit ausgelegt: Festplattenausfall, Feuer, Hochwasser, Diebstahl und versehentliches Löschen. Ihre Kernannahme lautete, dass kein einzelnes physisches Ereignis plausibel drei Kopien von Daten zerstören könnte, die auf zwei Medientypen und zwei Standorte verteilt waren. Rund ein Jahrzehnt lang hielt diese Annahme stand.

Warum 3-2-1 allein nicht mehr ausreichte

Diese Annahme zerbrach, als Ransomware-Gruppen begannen, die Backup-Infrastruktur als primäres Ziel zu behandeln statt als Hindernis, das man umgeht. Drei Kopien auf zwei Medientypen mit einer externen Kopie erfüllen 3-2-1 formal weiterhin vollständig – auch dann, wenn alle drei Kopien mit demselben Satz kompromittierter Produktivzugangsdaten erreichbar sind. Genau das ist das Szenario, nach dem moderne Ransomware-Gruppen suchen.

Das Ausmaß dieser Verschiebung ist erheblich. Veeams 2025 Ransomware Trends Report ergab, dass bei 89 % der Ransomware-Opfer die Backup-Repositories während des Angriffs direkt angegriffen wurden – bei 1.300 befragten Organisationen. Sophos' State-of-Ransomware-2025-Bericht verzeichnete die niedrigste Backup-Recovery-Rate in den sechs Jahren, seit die Umfrage läuft: Nur 54 % der Unternehmen konnten ihre Daten mithilfe von Backups wiederherstellen, und unter denen, die am Ende mehr zahlten als die ursprüngliche Lösegeldforderung des Angreifers, nannten 38 % fehlgeschlagene oder funktionsunfähige Backups als direkten Grund.

Drei geografisch getrennte Kopien halten einen Angreifer nicht auf, der bereits über die Zugangsdaten verfügt, um alle drei zu löschen. Genau diese Lücke sollten die beiden zusätzlichen Ziffern schließen.

Die zusätzliche „1“: eine Kopie, die Angreifer wirklich nicht erreichen

Die zusätzliche „1“ verlangt mindestens eine Kopie, die entweder unveränderlich ist – geschützt vor Änderung oder Löschung für einen festgelegten Aufbewahrungszeitraum, typischerweise über Object Lock auf Cloud-Speichern, WORM-Hardware (Write Once, Read Many) oder ein gehärtetes Repository mit Retention auf Storage-Ebene – oder air-gapped, also ohne jeden dauerhaften Netzwerkpfad zur Produktivumgebung.

Diese Anforderung ist strenger, als sie zunächst wirkt. Zwei Cloud-Regionen desselben Anbieters, beide mit demselben administrativen Konto erreichbar, erfüllen sie nicht – geografische Trennung ohne Trennung der Zugangsdaten ist kein wirklicher Schutz gegen einen Angreifer, der bereits über Domain-Admin-Rechte verfügt. Echte Umsetzungen kombinieren in der Regel Cloud-basierten unveränderlichen Speicher für schnelle Wiederherstellung mit einer tieferliegenden Offline- oder Air-Gap-Kopie für den Worst Case, in dem sogar die Management-Ebene der unveränderlichen Speicherebene kompromittiert wurde.

Die Ransomware-Richtlinien der CISA stellen ausdrücklich klar, dass offline gespeicherte, verschlüsselte Backups als letzte Verteidigungslinie zu behandeln sind – gerade weil sie außerhalb des Blast Radius liegen, den eine kompromittierte Identität erreichen kann.

Die „0“: der Nachweis, dass das Backup wirklich funktioniert

Die „0“ ist die operative Hälfte der Regel – und diejenige, die Unternehmen am häufigsten auslassen. Sie fordert null unverifizierte Backups: jedes Backup auf Integrität geprüft, jeder Restore-Pfad regelmäßig end-to-end getestet, statt nur auf eine grüne „Job erfolgreich“-Meldung zu vertrauen.

Die Lücke zwischen Backup-Jobs, die Erfolg melden, und Restores, die tatsächlich funktionieren, ist groß und gut dokumentiert. Eine Branchenumfrage aus 2025 ergab, dass 62 % der Unternehmen keine regelmäßigen Backup-und-Restore-Tests durchführen und 37 % ihr Recovery Time Objective nicht einhalten konnten, konkret weil Backups fehlten oder nie validiert worden waren. Wird ein Restore ohne ordentliche Integritäts- und Malware-Scans versucht, laufen Schätzungen zufolge 63 % der Unternehmen Gefahr, genau die Infektion erneut einzuschleppen, die den Ausfall überhaupt erst verursacht hat – und machen so aus einem Wiederherstellungsversuch einen zweiten Vorfall.

Die „0“ existiert, weil ein Backup, das nie wiederhergestellt wurde, keine Kontrolle ist – sondern eine Annahme. Erst eine Verifizierung nach festem Zeitplan, gemessen an realistischen Recovery-Time-Zielen, macht aus dieser Annahme eine Tatsache, auf die man sich während eines echten Vorfalls verlassen kann.

Häufige Fehler bei der Umsetzung von 3-2-1-1-0

• Zwei Cloud-Regionen als „zwei Medien“ zählen. Medienvielfalt bedeutet wirklich unterschiedliche Speichertechnologien oder -plattformen, nicht zwei Instanzen desselben Object Store.
• Die zusätzliche „1“ als durch jede beliebige externe Kopie erfüllt betrachten. „Extern“ adressiert die Geografie, „unveränderlich“ oder „air-gapped“ adressiert kompromittierte Zugangsdaten. Eine regelkonforme externe Kopie, die dieselbe Identitätsebene wie die Produktivumgebung teilt, schließt nicht die Lücke, wegen der die Ziffer überhaupt eingeführt wurde.
• Die „0“ auslassen, weil Backup-Jobs grün melden. Ein erfolgreicher Backup-Job bestätigt, dass Daten geschrieben wurden. Er bestätigt nicht, dass die Daten wiederherstellbar, anwendungskonsistent oder frei von der Malware sind, die den Restore erst nötig machen wird.
• Die Regel unabhängig von der Kritikalität der Daten einheitlich anwenden. Tier-1-Systeme rechtfertigen in der Regel häufigere Verifizierung und kürzere RTOs als Archivdaten; eine einzige Retention- und Testrichtlinie über die gesamte Umgebung hinweg schützt meist ausgerechnet die wichtigsten Systeme zu wenig und investiert bei den unwichtigen zu viel.

Reicht 3-2-1-1-0 im Jahr 2026 noch aus?

Für die meisten Unternehmen schließt eine korrekte Umsetzung von 3-2-1-1-0 – mit einer wirklich durchgesetzten, nicht nur abgehakten zusätzlichen „1“ und „0“ – den größten Teil der Lücke, die Ransomware überhaupt erst dazu brachte, Backups gezielt anzugreifen. Als operativer Basisstandard bleibt die Regel sinnvoll, und sowohl CISA als auch NIST befürworten sie weiterhin als solchen.

Wo sie an ihre Grenzen stößt, ist die Architektur: 3-2-1-1-0 beantwortet „wie viele Kopien, wo und in welchem Zustand“, sagt aber nichts über Zugriffs-Governance, Netzwerksegmentierung und kontinuierliches Monitoring aus – also genau das, was darüber entscheidet, ob diese Kopien auch unter einem aktiven Angriff so bleiben, wie sie sein sollen. Genau diese Lücke soll BackupSecs eigene Fibonacci Rule of Backup Security (5-3-2-1-1-0) schließen, indem sie fünf grundlegende Sicherheitsprinzipien unter dieselbe Formel zur Kopienzahl legt. Für ein Unternehmen, das 3-2-1-1-0 gerade erst vollständig und nachweisbar umsetzt, ist das jedoch ein nächster Schritt – keine Voraussetzung.

Wo BackupSec ansetzt

Bei BackupSec helfen wir Enterprise-Teams dabei zu überprüfen, ob ihre 3-2-1-1-0-Umsetzung real ist – und nicht nur dokumentiert –, indem wir Backup-Sicherheit beobachtbar, beratbar und nachweisbar machen.

Unser Ansatz kombiniert drei Ebenen:

• ZeroMON liefert kontinuierliche Observability über die gesamte Backup-Landschaft – Veeam-ready Monitoring mit Echtzeit-Job-Tracking, automatisierten Sicherheitsprüfungen, forensischen Audit-Trails für Configuration Drift und Compliance-Reports per Klick. Diese Ebene macht aus der „0 Fehler“-Anforderung der Regel keine Hoffnung mehr, sondern einen Nachweis.
• ZeroTAM bietet dedizierte Expertenberatung für Backup-Architektur, die Konfiguration von Unveränderlichkeit und Ransomware-Recovery-Planung – die menschliche Ebene, die die meisten Unternehmen brauchen, um zu bestätigen, dass ihre zusätzliche „1“ wirklich isoliert ist und nicht nur geografisch entfernt.
• ZeroPEN pentestet Ihre Backup-Infrastruktur so, wie es ein echter Angreifer tun würde – mit Fokus auf Management-Ebenen, Zugriffskontrollen und Unveränderlichkeitseinstellungen – und führt anschließend reale Restore-Szenarien durch, um zu belegen, dass Sie sauber, vollständig und innerhalb Ihrer festgelegten RTO wiederherstellen können.

BackupSec wird On-Premise betrieben, verbindet sich über einen reinen Lesezugriff (Read-only API) mit Ihren Backup-Anwendungen und verschiebt niemals Backup-Daten außerhalb Ihrer Umgebung.

Sprechen Sie mit BackupSec über die Sicherheit Ihrer Backup-Umgebung →

Möchten Sie wissen, wie Ihre eigene Umgebung abschneidet? Bewerten Sie sie mit dem kostenlosen Backup Security Assessment.