3-2-1-1-0: Warum die alte Backup-Regel ein Update bekommen hat

Jeder in der IT kennt die 3-2-1-Regel. Drei Kopien der Daten, auf zwei unterschiedlichen Medien, davon eine ausgelagert. Dieses Prinzip hat über Jahrzehnte gute Dienste geleistet. Im Ransomware-Zeitalter reicht es nicht mehr. Die aktualisierte Variante lautet 3-2-1-1-0 und ergänzt zwei entscheidende Dimensionen. Die zusätzliche Eins steht für eine unveränderliche Kopie. Immutable Backups, meist realisiert über Object Lock, WORM-Storage oder Tape, können auch bei voller Kompromittierung der Backup-Umgebung nicht mehr gelöscht oder verändert werden. Das ist der entscheidende Unterschied zu klassischen Snapshots, die ein Angreifer mit hinreichenden Rechten problemlos vernichten kann. Wir haben in Incident-Response-Einsätzen mehrfach gesehen, dass Angreifer gezielt zuerst die Backups zerstören, bevor sie die Produktivdaten verschlüsseln. Die Null steht für null Fehler im Restore-Test. Ein ungetestetes Backup ist kein Backup, sondern eine Hoffnung. Wir erleben es regelmäßig bei Übernahme neuer Kunden, dass Backups zwar fehlerfrei durchlaufen, der Restore einzelner Maschinen aber scheitert, weil Agenten veraltet sind, Hypervisor-Versionen nicht mehr passen oder Wiederherstellungsschlüssel verloren gingen. In der Praxis bedeutet das konkret, regelmäßig ganze virtuelle Maschinen in einer isolierten Sandbox hochzufahren, Applikationsdaten auf Konsistenz zu prüfen und die Wiederherstellungszeit zu messen. Wer nicht weiß, wie lange ein Restore des ERP-Systems dauert, kann im Krisenfall auch keine belastbare Aussage gegenüber der Geschäftsleitung treffen. Offline-Medien haben übrigens ein Comeback. Tape-Libraries, die vor einigen Jahren noch als Dinosaurier galten, sind in Zeiten professioneller Ransomware-Angriffe wieder ein ernstzunehmendes Element in Backup-Strategien. Nichts ist so unveränderlich wie ein Band, das physisch nicht im Laufwerk steckt. Wir unterstützen bei der Planung moderner Backup-Architekturen, von der Definition sinnvoller RPO- und RTO-Werte über die Auswahl passender Software bis zum regelmäßigen Disaster-Recovery-Test. Wer das Thema ernst nimmt, schläft ruhiger.