Backup gegen Ransomware 2026: 3-2-1-1-0-Regel erklärt

Ein verschlüsselter Fileserver ist in wenigen Stunden wiederhergestellt – wenn ein sauberes Backup existiert. Fehlt es, dauert die Wiederherstellung oft Wochen. Laut Branchenberichten zahlen viele betroffene Unternehmen am Ende trotzdem Lösegeld, weil auch ihre Sicherungen verschlüsselt wurden. Genau diese Lücke schließen klassische Backup-Konzepte gegen moderne Ransomware nicht mehr. Die 3-2-1-1-0-Regel erweitert die altbekannte 3-2-1-Regel um zwei Punkte, die speziell gegen Verschlüsselungstrojaner wirken: eine unveränderliche Kopie und eine geprüfte Fehlerfreiheit. Dieser Beitrag zeigt, wie die Regel im Mittelstand konkret umgesetzt wird – inklusive Medien-Vergleich, Einführungsplan und der Möglichkeit, das Monitoring als Managed Service betreiben zu lassen.

Warum die klassische 3-2-1-Regel gegen Ransomware nicht mehr reicht

Die 3-2-1-Regel (drei Kopien, zwei Medientypen, eine externe Kopie) stammt aus einer Zeit, in der Datenverlust vor allem durch Hardware-Defekte oder Feuer drohte. Moderne Ransomware-Gruppen verhalten sich anders: Sie verschaffen sich vor der Verschlüsselung gezielt Zugriff auf Backup-Server und Sicherungssoftware, um genau diese letzte Rettungsleine zu kappen. Ist das Backup-Repository im selben Netzwerk erreichbar wie die Produktivsysteme, wird es in vielen dokumentierten Angriffsfällen als Erstes angegriffen.

Die Folge: Unternehmen mit technisch korrekter 3-2-1-Sicherung stehen trotzdem ohne nutzbare Kopie da, weil auch die externe Kopie über dieselben Anmeldedaten erreichbar war. Die 3-2-1-1-0-Regel schließt genau diese Lücke.

Was bedeutet die 3-2-1-1-0-Regel im Detail?

Die Formel liest sich sperrig, folgt aber einer klaren Logik. Jede Ziffer steht für eine Anforderung an die Backup-Architektur:

Die vierte Ziffer – Offline oder Immutable – ist der eigentliche Ransomware-Schutz. Die fünfte – die Null-Fehler-Prüfung – wird in der Praxis am häufigsten vernachlässigt, obwohl sie über Erfolg oder Misserfolg im Ernstfall entscheidet.

Wie funktioniert die 3-2-1-1-0-Regel gegen Ransomware?

Die Offline- oder Immutable-Kopie schützt vor Verschlüsselung, weil sie technisch vom Netzwerk getrennt oder per Software-Sperre unveränderlich ist. Selbst mit vollen Admin-Rechten im Produktivnetz können Angreifer diese Kopie weder löschen noch verschlüsseln. Die regelmäßige Wiederherstellungsprüfung – die „0“ in der Regel – stellt zusätzlich sicher, dass sie im Ernstfall tatsächlich nutzbar ist.

Backup-Medien im Vergleich: Cloud, NAS, Tape und Immutable Storage

Für die Offline- oder Immutable-Kopie stehen vier gängige Optionen zur Wahl, die sich in Kosten, Wiederherstellungszeit und Schutzniveau unterscheiden:

Für die meisten mittelständischen Betriebe ist eine Kombination aus Immutable Cloud Storage und einer periodisch offline gelagerten Kopie der praktikabelste Weg. Beide Varianten lassen sich ohne zusätzliche Hardware im Serverraum betreiben. Hersteller wie Sophos bündeln das Monitoring solcher Backup-Ziele inzwischen auch in ihre Managed-Security-Pakete ein.

Schritt für Schritt: Die 3-2-1-1-0-Regel im Mittelstand einführen

Die Umstellung lässt sich in überschaubaren Etappen umsetzen, ohne den laufenden Betrieb zu unterbrechen:

1. Bestandsaufnahme: Welche Systeme werden aktuell gesichert, mit welcher Backup-Software und auf welchem Medium?
2. Backup-Software härten: Separates Admin-Konto für die Backup-Umgebung, MFA-Pflicht, kein Domain-Join des Backup-Servers.
3. Zweite Kopie extern anlegen: Cloud-Ziel oder zweiter Standort für die Offsite-Kopie einrichten.
4. Immutable-/Offline-Kopie ergänzen: Object-Lock-Bucket konfigurieren oder Rotationsplan für offline gelagerte Medien festlegen.
5. Restore-Tests terminieren: Feste, dokumentierte Testwiederherstellung – mindestens vierteljährlich, bei kritischen Systemen häufiger.
6. Monitoring aufsetzen: Fehlgeschlagene Backup-Jobs müssen aktiv alarmieren, nicht erst bei manueller Prüfung auffallen.

Wer diese Schritte nicht selbst betreiben möchte, kann Backup-Monitoring und Restore-Tests auch als Teil eines Managed-Detection-and-Response-Vertrags abdecken lassen, bei dem ein SOC (Security Operations Center) ungewöhnliche Zugriffe auf die Backup-Infrastruktur zusätzlich überwacht.

Häufige Fehler bei der Backup-Strategie gegen Ransomware

• Backup-Server im selben Active Directory wie die Produktivumgebung – ein kompromittiertes Domain-Konto reicht dann für den Zugriff auf beide Seiten.
• Keine Wiederherstellungstests, sodass Sicherungsfehler erst im Ernstfall auffallen.
• Zu lange Aufbewahrungslücken: Wird nur die letzte Nacht gesichert, sind auch ältere, bereits kompromittierte Zustände nicht mehr verfügbar.
• Immutable-Einstellung falsch konfiguriert: Object-Lock-Perioden, die sich per Admin-Zugriff nachträglich verkürzen lassen, bieten keinen echten Schutz.
• Fehlender Alarm bei ausbleibenden Backups: Ein stiller Fehlschlag über mehrere Tage bleibt oft unbemerkt.

Was kostet eine 3-2-1-1-0-Backup-Strategie?

Die Kosten hängen stark vom Datenvolumen und der gewählten Medienkombination ab. Als grobe Orientierung: Immutable Cloud Storage wird meist nach Speichervolumen abgerechnet und liegt für KMU-Datenmengen oft im niedrigen dreistelligen Bereich pro Monat. Ein Managed-Backup-Vertrag mit Monitoring und Restore-Support macht die laufenden Kosten oft planbarer als der reine Speicherpreis. Ein Angebot auf Basis der tatsächlichen Datenmenge liefert der Produktberater.

FAQ: 3-2-1-1-0-Backup-Regel

Reicht ein Cloud-Backup allein gegen Ransomware aus?

Nein, nur wenn es unveränderlich (Immutable/Object Lock) konfiguriert ist. Ein normales, jederzeit löschbares Cloud-Backup lässt sich mit kompromittierten Admin-Zugangsdaten ebenso verschlüsseln oder löschen wie ein lokales.

Was bedeutet „air-gapped“ bei Backups genau?

Air-gapped bezeichnet eine physisch oder logisch vollständig vom Netzwerk getrennte Kopie, etwa ein ausgelagertes Tape oder ein Speicherziel, das nur zum Sicherungszeitpunkt kurz verbunden wird.

Wie oft sollte die Wiederherstellung getestet werden?

Für kritische Systeme empfiehlt sich ein Test mindestens einmal pro Quartal, für weniger kritische Daten reicht meist eine halbjährliche Prüfung – wichtig ist, dass Tests dokumentiert und nicht nur stichprobenartig durchgeführt werden.

Ersetzt ein gutes Backup eine Cyber-Versicherung?

Nein. Ein funktionierendes Backup verkürzt die Ausfallzeit und reduziert den Erpressungsdruck, ersetzt aber keine Deckung für Betriebsunterbrechung, Drittschäden oder forensische Kosten.

Ist die 3-2-1-1-0-Regel auch für kleine Unternehmen sinnvoll?

Ja. Der Aufwand skaliert mit dem Datenvolumen, nicht mit der Unternehmensgröße – Object-Lock-Speicher und Air-Gap-Rotation lassen sich auch mit wenigen Terabyte kosteneffizient umsetzen.

Wer überwacht, ob Backups überhaupt noch laufen?

Das lässt sich intern per Monitoring-Tool lösen oder an einen Managed-Service auslagern, der Backup-Jobs und ungewöhnliche Zugriffe auf die Sicherungsumgebung durchgehend beobachtet.

3-2-1-1-0-Backup-Regel als letzte Verteidigungslinie gegen Ransomware

Die 3-2-1-1-0-Regel entscheidet häufig darüber, ob ein Ransomware-Vorfall ein teurer Zwischenfall oder ein existenzbedrohendes Ereignis wird. Sie ersetzt aber keine präventive Endpoint- und Netzwerksicherheit, die einen Angriff im Idealfall gar nicht erst zur Verschlüsselung kommen lässt. Wie ein vollständiger Incident-Response-Plan aussieht, wenn es trotzdem passiert, zeigt der verlinkte Leitfaden – welche Backup-Kombination zur eigenen Infrastruktur passt, klärt ein kurzes Gespräch mit dem Produktberater.