Die 3-2-1-1-0-Regel erklärt

Was die 3-2-1-1-0-Regel tatsächlich besagt

Die 3-2-1-1-0-Regel ist eine Formel für den Datenschutz: wie viele Kopien Ihrer Daten Sie vorhalten, auf welchen Medien und wie Sie nachweisen, dass sie tatsächlich funktionieren:

• 3 Kopien Ihrer Daten: die Produktionskopie plus mindestens zwei Backups.
• 2 verschiedene Medien oder Speicherplattformen, damit ein einzelner Technologieausfall oder ein Ausfall bei einem Anbieter nicht alle Kopien auf einmal zerstören kann.
• 1 Kopie offsite, geografisch vom primären Standort getrennt.
• 1 zusätzliche Kopie, die unveränderlich (immutable) oder per Air-Gap getrennt ist, sodass sie selbst von einem Angreifer mit administrativen Zugangsdaten weder verändert noch erreicht werden kann.
• 0 Fehler: Jedes Backup ist verifiziert, und Restores sind getestet, statt dass man nur annimmt, dass sie funktionieren.

Die ersten drei Ziffern sind die klassische 3-2-1-Regel. Die zweite „1" und die „0" kamen später hinzu. Veeam sagt, es habe "extended the rule to 3-2-1-1-0" (die Regel zu 3-2-1-1-0 erweitert), und nennt den Grund für die zusätzliche Kopie direkt: "ransomware increasingly targets backups." (Ransomware nimmt zunehmend Backups ins Visier.) Zu verstehen, warum die beiden Ziffern hinzugefügt wurden, erklärt mehr über moderne Backup-Strategie als die Checkliste allein.

Woher die Regel stammt

Der Teil „3-2-1" des Namens ist älter als Ransomware als verbreitete Bedrohung. Er wird dem Fotografen Peter Krogh und seinem Buch The DAM Book: Digital Asset Management for Photographers zugeschrieben. Krogh hat die Idee redundanter Offsite-Kopien nicht erfunden; er gab ihr einen Namen, der einfach genug ist, um ihn sich zu merken.

Ein 2012 für US-CERT verfasstes Papier, Data Backup Options, ist der übliche Bezugspunkt. Es formuliert die Regel als "Keep 3 copies of any important file: 1 primary and 2 backups" (Bewahren Sie 3 Kopien jeder wichtigen Datei auf: 1 primäre und 2 Backups), "Keep the files on 2 different media types to protect against different types of hazards" (Bewahren Sie die Dateien auf 2 verschiedenen Medientypen auf, um sich gegen unterschiedliche Arten von Gefahren zu schützen) und "Store 1 copy offsite" (Lagern Sie 1 Kopie extern) und nennt die zweite Auflage von Kroghs Buch aus dem Jahr 2009 als Quelle.

Dieselben Grundlagen finden sich noch in aktuellen Leitlinien. NISTs Cybersecurity Framework 2.0 führt das Ergebnis "Backups of data are created, protected, maintained, and tested" (Backups von Daten werden erstellt, geschützt, gepflegt und getestet) auf (PR.DS-11). Der #StopRansomware Guide der CISA fordert Organisationen auf, "maintain offline, encrypted backups of critical data, and regularly test the availability and integrity of backups in a disaster recovery scenario." (offline gehaltene, verschlüsselte Backups kritischer Daten vorzuhalten und die Verfügbarkeit und Integrität der Backups regelmäßig in einem Disaster-Recovery-Szenario zu testen).

Die ursprüngliche 3-2-1-Regel wurde für die Bedrohungen ihrer Zeit entworfen: Festplattenausfall, Feuer, Hochwasser, Diebstahl und versehentliches Löschen. Ihre Kernannahme lautete, dass kein einzelnes physisches Ereignis realistischerweise drei Kopien von Daten zerstören kann, die über zwei Medientypen und zwei Standorte verteilt sind.

Warum 3-2-1 allein nicht mehr ausreichte

Die Annahme brach zusammen, als Ransomware-Betreiber begannen, Backup-Infrastruktur als primäres Ziel zu behandeln statt als Hindernis, das man umgeht. Drei Kopien auf zwei Medientypen, davon eine offsite, erfüllen 3-2-1 vollständig, selbst wenn alle drei mit demselben Satz kompromittierter Zugangsdaten erreichbar sind. Genau nach diesem Szenario suchen moderne Ransomware-Gruppen. Der Leitfaden der CISA sagt es unumwunden: "most ransomware actors attempt to find and subsequently delete or encrypt accessible backups to make restoration impossible unless the ransom is paid." (Die meisten Ransomware-Akteure versuchen, erreichbare Backups zu finden und anschließend zu löschen oder zu verschlüsseln, um eine Wiederherstellung unmöglich zu machen, solange das Lösegeld nicht gezahlt wird.)

Die Umfragedaten weisen in dieselbe Richtung. Veeams 2025 Ransomware Trends Report, basierend auf einer Umfrage unter 1.300 Organisationen, von denen 900 in den vorangegangenen 12 Monaten von Ransomware getroffen worden waren, stellte fest, dass es der Angreifer bei 89 % der angegriffenen Organisationen auf die Backup-Repositories abgesehen hatte und dass im Durchschnitt 34 % ihrer Backup-Repositories verändert oder gelöscht wurden. Sophos' State of Ransomware 2025, eine Umfrage unter 3.400 IT- und Cybersecurity-Verantwortlichen, deren Organisationen von Ransomware getroffen wurden, ergab, dass nur 54 % der Organisationen, deren Daten verschlüsselt wurden, sie mithilfe von Backups wiederherstellten, was Sophos als niedrigste Quote seit sechs Jahren bezeichnet. Von den 151 Organisationen in dieser Umfrage, die mehr als die ursprüngliche Forderung des Angreifers zahlten, gaben 38 % an, ihre Backups seien ausgefallen oder hätten nicht richtig funktioniert.

Drei geografisch getrennte Kopien tun nichts gegen einen Angreifer, der bereits die Zugangsdaten besitzt, um alle drei zu löschen. Genau diese Lücke sollen die beiden zusätzlichen Ziffern schließen.

Die zusätzliche „1": eine Kopie, die Angreifer wirklich nicht erreichen können

Die zusätzliche „1" verlangt mindestens eine Kopie, die entweder unveränderlich oder per Air-Gap getrennt ist. Unveränderlich bedeutet, dass sie für eine festgelegte Aufbewahrungsdauer vor Veränderung oder Löschung geschützt ist, typischerweise über Object Lock auf Cloud-Objektspeicher, WORM-Hardware (Write Once Read Many) oder ein gehärtetes Repository, das die Aufbewahrung auf der Speicherebene durchsetzt. Air-Gap bedeutet, dass es überhaupt keinen dauerhaften Netzwerkpfad von der Produktion zur Kopie gibt.

Diese Anforderung ist strenger, als sie zunächst scheint. Zwei Cloud-Regionen desselben Anbieters, die beide mit demselben Administratorkonto erreichbar sind, erfüllen sie nicht: Geografische Trennung ohne Trennung der Zugangsdaten schützt Sie nicht vor einem Angreifer, der bereits Domain-Admin-Rechte hat. Die CISA macht einen verwandten Punkt zu Cloud-Backups und schlägt einen Multi-Cloud-Ansatz vor, "in case all accounts under the same vendor are impacted." (für den Fall, dass alle Konten beim selben Anbieter betroffen sind). Stärkere Umsetzungen kombinieren oft unveränderlichen Cloud-Speicher für die schnelle Wiederherstellung mit einer Offline- oder Air-Gap-Kopie für den schlimmsten Fall, in dem sogar die Management-Ebene der unveränderlichen Speicherebene kompromittiert wurde.

Immutability hat ihre eigenen Zielkonflikte. Der Leitfaden der CISA merkt an, dass manche Cloud-Anbieter unveränderlichen Speicher anbieten, der Daten ohne separate Umgebung schützt, und fügt eine Warnung hinzu: "Use immutable storage with caution as it does not meet compliance criteria for certain regulations and misconfiguration can impose significant cost." (Unveränderlichen Speicher mit Vorsicht einsetzen, da er die Compliance-Kriterien bestimmter Vorschriften nicht erfüllt und Fehlkonfigurationen erhebliche Kosten verursachen können.)

Die „0": der Nachweis, dass das Backup tatsächlich funktioniert

Die „0" ist die operative Hälfte der Regel und diejenige, die sich am leichtesten überspringen lässt. Sie verlangt null unverifizierte Backups: Jedes Backup wird auf Integrität geprüft, und jeder Wiederherstellungsweg wird regelmäßig von Anfang bis Ende getestet, statt nur auf eine grüne Meldung „Job erfolgreich" zu achten. Veeam beschreibt die Ziffer als "zero recovery errors" (null Wiederherstellungsfehler); die Fassung der CISA lautet, "regularly test the availability and integrity of backups." (die Verfügbarkeit und Integrität von Backups regelmäßig zu testen).

Ein erfolgreicher Backup-Job und ein sauberer Restore sind zwei verschiedene Dinge. Veeams 2024 Ransomware Trends Report stellte fest, dass nur 37 % der befragten angegriffenen Organisationen während der Wiederherstellung irgendeine Art von Sandbox nutzten. Ohne einen Staging-Bereich, in dem wiederhergestellte Daten gescannt werden, bevor sie in die Produktion zurückkehren, kann ein Restore die Malware des Angreifers gleich mit zurückbringen und aus einer Wiederherstellung einen zweiten Vorfall machen.

Die „0" gibt es, weil ein Backup, das nie wiederhergestellt wurde, keine Kontrolle ist. Es ist eine Annahme. Eine Verifizierung, die nach Zeitplan erfolgt und an realistischen Zielen für die Wiederherstellungszeit gemessen wird, macht aus dieser Annahme eine Tatsache, auf die Sie sich bei einem echten Vorfall verlassen können.

Häufige Fehler bei der Umsetzung von 3-2-1-1-0

• Zwei Cloud-Regionen als „zwei Medien" zählen. Vielfalt der Medientypen bedeutet wirklich unterschiedliche Speichertechnologien oder Plattformen, nicht zwei Instanzen desselben Objektspeichers.
• Die zusätzliche „1" durch irgendeine Offsite-Kopie als erfüllt betrachten. Offsite adressiert die Geografie; unveränderlich oder per Air-Gap getrennt adressiert die Kompromittierung von Zugangsdaten. Eine regelkonforme Offsite-Kopie, die eine Identitätsebene mit der Produktion teilt, schließt nicht die Lücke, derentwegen die Ziffer hinzugefügt wurde.
• Die „0" überspringen, weil Backup-Jobs grün melden. Ein erfolgreicher Backup-Job bestätigt, dass Daten geschrieben wurden. Er bestätigt nicht, dass die Daten wiederherstellbar, anwendungskonsistent oder frei von der Malware sind, die den Restore notwendig machen wird.
• Die Regel unabhängig von der Kritikalität der Daten einheitlich anwenden. Tier-1-Systeme rechtfertigen in der Regel häufigere Verifizierung und kürzere RTOs als Archivdaten; eine einzige Aufbewahrungs- und Testrichtlinie für die gesamte Umgebung schützt die wichtigsten Systeme meist zu wenig und gibt für die unwichtigen zu viel aus.

Reicht 3-2-1-1-0 im Jahr 2026 noch aus?

Für die meisten Organisationen schließt eine korrekte Umsetzung von 3-2-1-1-0 einen erheblichen Teil der Lücke, durch die Ransomware die Backup-Infrastruktur zum Ziel machen kann. Korrekt heißt, dass die unveränderliche oder isolierte Kopie und die Wiederherstellungsverifizierung tatsächlich durchgesetzt und nicht nur abgehakt werden.

Sie bleibt eine solide operative Grundlage. Veeam befürwortet das Modell 3-2-1-1-0 ausdrücklich. NIST und die CISA stützen die zugrunde liegenden Kontrollen: geschützte Backups, Offline-Kopien und regelmäßige Tests. Die CISA erwähnt unveränderlichen Speicher zudem als Option, mit den oben zitierten Vorbehalten.

Die Regel greift nicht bei der Redundanz zu kurz, sondern bei der umgebenden Sicherheitsarchitektur. Sie sagt uns, wie viele Kopien vorzuhalten sind, wo sie liegen sollen und in welchem Zustand sie sein sollen. Sie definiert nicht vollständig die Zugriffssteuerung, die administrativen Vertrauensgrenzen, die Netzwerksegmentierung, das Monitoring und die Recovery-Architektur, die nötig sind, um diese Kopien während einer aktiven Kompromittierung zu schützen.

Genau diese Lücke soll die Fibonacci-Regel der Backup-Sicherheit (5-3-2-1-1-0) von BackupSec adressieren. Sie ersetzt 3-2-1-1-0 nicht, sondern erweitert die Regel um fünf grundlegende Sicherheitsprinzipien.

Für Organisationen, die noch auf eine vollständig umgesetzte und regelmäßig verifizierte 3-2-1-1-0-Strategie hinarbeiten, kommt dieses Fundament zuerst. Die Fibonacci-Regel ist die architektonische Ebene, die darauf aufbaut.

Wo BackupSec ins Spiel kommt

BackupSec arbeitet an der Veeam-Seite dieses Problems. Vier unserer Services lassen sich der Regel zuordnen:

• ZeroMON überwacht Veeam Backup & Replication. Es läuft on-premises als OVA, verbindet sich mit einem Read-only-Konto und sendet nichts an BackupSec oder Dritte. Es verfolgt den Zustand der Jobs, zeichnet Konfigurationsänderungen auf (wer was wann geändert hat), führt eine Security-Checkliste aus und zeigt den Immutability-Status an, den Veeam aus seinen eigenen Repository-Einstellungen meldet. Alarme kommen per E-Mail und als In-App-Benachrichtigung. ZeroMON liest Veeams Konfiguration aus; es verifiziert keine Sperren auf dem Speicher selbst und führt keine Restore-Tests durch. Es meldet Ihnen, wenn sich die Bedingungen hinter Ihrer „1" und Ihrer „0" ändern; Restore-Tests sind eine eigene Aufgabe.
• ZeroVault ist S3-kompatibler Cloud-Objektspeicher mit Object Lock, der als unveränderliches Offsite-Ziel für Veeam-Backups dient. Anders als ZeroMON hält er Backup-Daten bewusst außerhalb Ihrer Umgebung, denn genau das ist eine Offsite-Kopie.
• ZeroTAM stellt Ihnen einen dedizierten Backup-Security-Berater für Architektur, Kapazität, Planung der Ransomware-Wiederherstellung und priorisierten Support in der Krise zur Seite. Es ist Beratungsarbeit, keine Software: die Person, die Sie fragen, ob Ihre zusätzliche „1" wirklich isoliert oder nur weit weg ist.
• ZeroPEN ist ein bedrohungsorientierter Penetrationstest von Veeam Backup & Replication, Veeam ONE und Enterprise Manager. Er simuliert eine Ransomware-Kill-Chain in acht auf MITRE ATT&CK abgebildeten Phasen, vom Erstzugriff über den Zugriff auf Repositories und die Neutralisierung von Backups bis zum Nachweis der Verschlüsselungsfähigkeit. Er ist nicht destruktiv: ZeroPEN "never deletes real backups, performs real encryption, or stops production or backup services." (löscht niemals echte Backups, führt keine echte Verschlüsselung durch und stoppt weder Produktions- noch Backup-Dienste). Das Engagement umfasst außerdem die Verifizierung der Restore-Integrität und der Immutability, endet mit einem auditfähigen Berichtspaket und beinhaltet einen Retest kritischer Befunde.

Sprechen Sie mit BackupSec über Ihre Backup-Sicherheitslage →

Möchten Sie zuerst einen schnellen Selbsttest? Das kostenlose Backup Security Assessment stellt 28 Fragen in sieben Bereichen, von der Backup-Strategie und Zugriffskontrolle bis zu Recovery-Tests.