Stellen Sie sich eine Druckerei mit 40 Mitarbeitern vor. Ein Freitagabend im August. Der Server-Admin ist im Urlaub. Am Samstagmorgen ruft die Geschäftsführerin an: „Ich komme nicht mehr auf die Auftragsdaten. Der Bildschirm zeigt nur einen Text. Es steht was von Bitcoin drin.“ Was folgt, kennt jeder, der es schon einmal erlebt hat: Panik, Anrufe, Krisensitzung. Und die einzige Frage, die zählt: Gibt es ein Backup, das noch funktioniert?
Die 3-2-1-Regel gilt seit über 15 Jahren als Grundlage guter Datensicherung. 2026 reicht sie in ihrer klassischen Form nicht mehr aus. Moderne Ransomware sucht gezielt nach Backups, bevor sie die Produktivdaten verschlüsselt. In diesem Artikel klären wir, was die Regel bedeutet, warum die erweiterte Version 3-2-1-1-0 zum neuen Standard wird und was KMU 2026 konkret tun sollten.
Die klassische 3-2-1-Regel – kurz erklärt
Drei Zahlen, ein Grundprinzip:
- 3 – Es gibt mindestens drei Kopien der Daten (das Original plus zwei Backups).
- 2 – Die Kopien liegen auf mindestens zwei unterschiedlichen Medien (z.B. lokaler Server und Cloud, oder NAS und Bandlaufwerk).
- 1 – Mindestens eine Kopie liegt geografisch getrennt (offsite), zum Beispiel in einem Rechenzentrum in einer anderen Stadt.
Die Idee dahinter ist simpel: Wenn ein Ereignis (Wasserschaden, Brand, Diebstahl) einen Standort trifft, überleben die anderen Kopien. Wenn ein Medium (Festplatte) versagt, gibt es Alternativen. Sowohl das BSI als auch NIST empfehlen diese Regel als Minimum.
Warum die 3-2-1-Regel 2026 nicht mehr reicht
Ransomware hat sich in den letzten drei Jahren fundamental verändert. Aktuelle Statistiken belegen das Ausmaß: Laut Branchenerhebungen wurden 2025 rund 89 Prozent der von Ransomware betroffenen Unternehmen gezielt in ihren Backup-Repositories angegriffen. Moderne Angreifer bewegen sich oft wochenlang unentdeckt im Netzwerk, kartieren die Backup-Infrastruktur, löschen oder verschlüsseln Backups – und schlagen erst dann bei den Produktivsystemen zu.
Das Problem: Wenn Backups im selben Netzwerk erreichbar sind wie Produktivsysteme, sind sie für Ransomware genauso erreichbar wie für den Admin. Die klassische 3-2-1-Regel schützt gegen Hardware-ausfälle und Katastrophen. Nicht gegen einen Angreifer, der schon im Haus ist.
Die neue Version: 3-2-1-1-0
Als Reaktion auf die Ransomware-Realität hat sich in den letzten zwei Jahren die erweiterte Regel 3-2-1-1-0 durchgesetzt:
- 3 – Drei Kopien (wie bisher)
- 2 – Zwei Medien (wie bisher)
- 1 – Eine offsite (wie bisher)
- 1 – Eine Kopie ist entweder immutable (unveränderlich) oder air-gapped (physisch/logisch vom Netz getrennt). Diese Kopie kann nicht überschrieben oder gelöscht werden, auch nicht durch einen Admin mit vollen Rechten.
- 0 – Null Fehler in den Backups. Das bedeutet: Regelmäßig getestete Wiederherstellung. Ein Backup, das nie zurückgespielt wurde, ist im Ernstfall keine Sicherheit, sondern eine Hoffnung.
Immutable und air-gapped werden oft verwechselt, sind aber technisch unterschiedlich. Immutable-Backups nutzen Storage-Regeln, die Änderung oder Löschung für einen definierten Zeitraum verhindern – sie können weiterhin per Netzwerk erreichbar sein. Air-gapped-Backups sind physisch oder logisch vom Netzwerk getrennt und für Ransomware schlicht nicht erreichbar. In der Praxis lohnt sich oft eine Kombination.
Was das für KMU 2026 konkret heißt
Aus unserer Beratungspraxis: Drei realistische Setups für den Mittelstand.
- Grundsetup (5–20 Mitarbeitende): Lokale Backup-Appliance im Betrieb, tägliche Cloud-Replikation an einen deutschen Anbieter mit Immutable-Speicher (S3 Object Lock). Wöchentliche externe Backup-Rotation auf ein zweites Ziel oder ein verschlüsseltes Wechsellaufwerk, das offline gelagert wird.
- Erweitertes Setup (20–100 Mitarbeitende): Zusätzlich Segmentierung des Backup-Netzes (kein direkter Zugriff vom Produktivnetz), MFA für alle Admin-Zugänge, dediziertes Backup-Konto ohne Domänen-Berechtigungen. Backup-Server ist logisch von der Domäne getrennt.
- Managed Backup (jede Größe): Auslagerung der Backup-Verantwortung an einen [Managed Services](https://bavaria-informatics.com/services/#managed-services)-Partner mit dedizierter Ransomware-Schutzarchitektur. Der Partner betreibt das Backup, testet die Wiederherstellung, garantiert vertraglich die Recovery-Zeit.
Was 2026 unbedingt getestet werden muss
Das kritischste Element der 3-2-1-1-0-Regel ist die letzte Ziffer: die Null Fehler. In der Praxis werden Backups in 60 bis 70 Prozent der Betriebe nie im Rahmen einer echten Wiederherstellung getestet. Das ist gefährlich, weil viele Backup-Fehler erst beim Zurückspielen auffallen.
Konkret sollte jedes KMU zweimal jährlich eine Test-Wiederherstellung durchspielen: eine einzelne Datei, ein kompletter Server, ein virtueller Rechner. Idealerweise unter realen Bedingungen – also ohne dass der Admin im Vorfeld nachjustiert. Wer diese Tests dokumentiert, hat gleichzeitig einen wichtigen Compliance-Nachweis für Cyber-Versicherung und NIS-2. Versicherer machen die Wiederherstellungs-Fähigkeit inzwischen zur Bedingung für den Vertragsabschluss.
Wo KI und moderne Werkzeuge helfen
KI-gestützte Backup-Monitoring-Lösungen erkennen 2026 verdächtige Verschlüsselungs-Aktivitäten oft in den ersten Minuten und können die Backup-Kopien automatisch in einen schreibgeschützten Modus versetzen. Das ist keine Wunderwaffe, aber ein zusätzlicher Schutzring. In Verbindung mit [Managed Detection and Response](https://bavaria-informatics.com/services/#managed-services) entsteht ein Schutz-Verbund, der klassische Backup-Strategien deutlich ergänzt.
Fazit
Die 3-2-1-Regel bleibt 2026 die Basis der Datensicherung. Aber sie reicht nicht mehr allein. Die erweiterte 3-2-1-1-0-Version mit einer unveränderlichen Kopie und regelmäßig getesteter Wiederherstellung ist der neue Mindeststandard – und für Cyber-Versicherer und NIS-2-Anforderungen inzwischen praktisch Pflicht. Wer heute noch mit einer Backup-Festplatte im Serverschrank arbeitet, hat kein Backup. Er hat eine Hoffnung.
Wenn Sie wissen wollen, ob Ihre aktuelle Backup-Strategie einer Ransomware-Attacke standhält und welche Erweiterungen sich für Ihren Betrieb lohnen, sprechen Sie uns an. Wir analysieren Ihr Setup in einem Erstgespräch und zeigen den passenden Weg – kostenfrei und ohne Fachchinesisch.
