Die 3-2-1-Regel: Backups, die auch Ransomware überleben
Eine USB-Platte, die dauerhaft am Rechner hängt, ist kein Backup. Ransomware verschlüsselt sie gleich mit. Die 3-2-1-Regel in Alltagsdeutsch: drei Kopien, zwei Medien, eine außer Haus. Und der Test, den kaum ein Betrieb macht.
Montagmorgen, kurz vor acht. Der Rechner in der Buchhaltung startet, aber statt der Auftragsliste steht da eine Lösegeldforderung. Alle Dateien verschlüsselt: Angebote, Rechnungen, Kundendaten, die Projektfotos aus zwölf Jahren.
Kein Drama, denken Sie. Es gibt ja ein Backup. Auf der USB-Platte, die hinten am Rechner hängt. Seit drei Jahren. Dauerhaft.
Genau die ist jetzt auch verschlüsselt. Ihr Backup ist weg. Zusammen mit allem anderen.
Ransomware, also Erpressersoftware, die Ihre Dateien verschlüsselt und für die Freigabe Geld verlangt, begnügt sich nicht mit einem Rechner. Sie nimmt alles mit, was erreichbar ist: Netzlaufwerke, den Server, die angesteckte Sicherungsplatte. Den Weg in den Betrieb findet sie meist über eine einzige gefälschte Mail – woran Sie solche Phishing-Mails erkennen, zeige ich an konkreten Beispielen. Wie Sie einen solchen Angriff überstehen, wenn es Sie doch erwischt, steht an anderer Stelle. Heute geht es darum, dass es gar nicht erst so weit kommt.
Warum die angesteckte USB-Platte kein Backup ist
Eine Festplatte, die dauerhaft am Rechner hängt, ist keine Sicherung. Sie ist eine zweite Kopie am selben Tatort.
Alles, was den Rechner trifft, trifft sie gleich mit. Die Ransomware verschlüsselt beide. Der Einbrecher packt beide ein. Die Überspannung nach dem Gewitter fragt nicht, auf welchem Gerät die wichtigen Daten lagen. Und beim Wasserschaden schwimmt die Platte neben dem Rechner.
Verstehen Sie mich nicht falsch: Die USB-Platte ist nicht nutzlos. Als eine von mehreren Kopien, die nach der Sicherung abgezogen wird, leistet sie gute Dienste. Als einzige Sicherung ist sie ein Versprechen, das im Ernstfall platzt.
Die 3-2-1-Regel, übersetzt
Die 3-2-1-Regel ist die Backup-Strategie, die sich für kleine Unternehmen seit Jahren bewährt. Sie klingt nach Fachbuch, ist aber Alltagslogik:
- 3 Kopien Ihrer Daten: das Original, mit dem Sie täglich arbeiten, plus zwei Sicherungen.
- 2 verschiedene Medien: nicht zweimal dieselbe Technik am selben Ort, sondern zum Beispiel ein Netzwerkspeicher im Büro und ein Speicher bei einem Anbieter.
- 1 Kopie außer Haus: räumlich getrennt vom Betrieb. Was nicht im Gebäude liegt, brennt nicht mit ab.
Das ist keine Erfindung von Beratern, die etwas verkaufen wollen. Auch das BSI, das Bundesamt für Sicherheit in der Informationstechnik, rät zu regelmäßigen, räumlich getrennten Sicherungen.
So sieht das für einen Betrieb mit zehn Leuten aus
| Kopie | Wo sie liegt | Wovor sie schützt |
|---|---|---|
| Original | Server oder zentrale Ablage im Büro | Damit arbeiten Sie. Das ist keine Sicherung. |
| Sicherung 1 | NAS im Büro (Netzwerkspeicher, ein kleiner Kasten mit Festplatten), sichert automatisch jede Nacht und bewahrt ältere Dateiversionen auf | Versehentliches Löschen, defekte Festplatte, schnelles Zurückholen im Alltag |
| Sicherung 2 | Verschlüsselt bei einem deutschen oder europäischen Anbieter, alternativ eine Wechselplatte, die regelmäßig getauscht und außer Haus gelagert wird | Brand, Einbruch, Wasserschaden, Ransomware |
Das ist kein Großprojekt. Eingerichtet ist so ein Aufbau an einem Tag, danach läuft er automatisch. Der Punkt ist wichtig: Eine Sicherung, an die jemand denken muss, wird vergessen. Immer.
Offline oder unveränderbar: die Kopie, an die niemand herankommt
Der entscheidende Gedanke gegen Ransomware: Mindestens eine Kopie muss so liegen, dass ein Angreifer sie nicht erreichen kann. Dafür gibt es zwei Wege.
Offline heißt physisch getrennt. Eine Wechselplatte, die nur für die Sicherung angeschlossen und danach abgezogen wird. Was nicht verbunden ist, kann niemand verschlüsseln.
Unveränderbar, im Fachjargon »immutable«, heißt: Der Speicher nimmt neue Daten an, aber Löschen und Überschreiben sind für eine festgelegte Zeit gesperrt, etwa 30 Tage. Das gilt auch für Sie selbst. Und damit auch für einen Angreifer, der Ihre Zugangsdaten erbeutet hat. Den Zugang zu diesem Konto sichern Sie zusätzlich mit einem zweiten Faktor beim Anmelden ab – gestohlene Zugangsdaten allein reichen dann nicht mehr.
Eine Ihrer Kopien sollte eine dieser beiden Eigenschaften haben. Sonst haben Sie drei Kopien, die alle gemeinsam untergehen.
Ehrlich: RAID und Cloud-Sync sind keine Backups
Zwei Missverständnisse begegnen mir immer wieder.
»Unser Server hat doch RAID.« RAID bedeutet: Mehrere Festplatten spiegeln sich gegenseitig. Das schützt vor genau einem Fall, dem Ausfall einer Platte. Löschen Sie eine Datei, ist sie auf allen gespiegelten Platten gelöscht, im selben Moment. Verschlüsselt Ransomware den Server, spiegelt das RAID die Verschlüsselung zuverlässig mit. RAID sorgt dafür, dass Sie weiterarbeiten können, wenn Hardware stirbt. Mehr nicht.
»Unsere Dateien liegen doch bei OneDrive.« Ein Sync-Ordner tut, was der Name sagt: Er synchronisiert. Auch den Schaden. Wird eine Datei auf dem Rechner verschlüsselt oder gelöscht, ist sie Sekunden später auch in der Cloud verschlüsselt oder gelöscht. Papierkörbe und Versionsverläufe gibt es, ja. Aber deren Fristen diktiert der Anbieter, und tausende Dateien einzeln über den Versionsverlauf zurückzuklicken ist keine Strategie, sondern eine Strafarbeit. Cloud-Sync ist ein Verteiler, kein Tresor.
Der Restore-Test: 15 Minuten pro Quartal
Ein Backup, das nie testweise zurückgespielt wurde, ist kein Backup. Es ist ein Gerücht.
Sicherungen, die monatelang Vollzug melden und dabei den falschen Ordner sichern, sind keine Seltenheit. Auffallen tut das erst, wenn es zu spät ist. Deshalb der Restore-Test, das probeweise Zurückholen von Daten aus der Sicherung:
- Legen Sie einen wiederkehrenden Kalendereintrag an: alle drei Monate, 15 Minuten, Titel »Backup-Probe«.
- Suchen Sie eine beliebige Datei aus, die es vor zwei Monaten schon gab. Eine Rechnung, ein Angebot.
- Holen Sie genau diese Datei aus der Sicherung zurück, in einen Testordner oder auf einen anderen Rechner.
- Öffnen Sie die Datei. Ist sie lesbar? Stimmt der Inhalt?
- Notieren Sie, wie lange es gedauert hat. Wenn etwas hakt: sofort klären, nicht vertagen.
Klingt banal? Ist es auch. Trotzdem macht es kaum ein Betrieb. Wer den Test macht, weiß, dass seine Sicherung funktioniert. Alle anderen glauben es nur.
Wenn Sie das nicht selbst im Blick behalten wollen: In meiner IT-Betreuung ab 149 Euro im Monat gehört die Kontrolle der Sicherungen dazu, einschließlich der regelmäßigen Probe, ob sich Daten wirklich zurückholen lassen.
Wenn es eine Nummer kleiner auch tut
Ich rede Ihnen keine Ausstattung ein, die Sie nicht brauchen. Nicht jeder Betrieb braucht Server, NAS und Spezialsoftware.
Sie arbeiten allein, Ihre Daten passen bequem auf eine kleine Festplatte, es gibt keine Branchensoftware mit Datenbank? Dann reicht die 3-2-1-Regel im Kleinformat: zwei verschlüsselte Wechselplatten, die Sie im Wochenrhythmus tauschen und von denen eine zu Hause oder im Schließfach liegt, dazu eine automatische, verschlüsselte Sicherung zu einem europäischen Anbieter. Anschaffung: zwei Festplatten. Laufende Kosten: wenige Euro im Monat für den Speicher.
Was dagegen kein Betrieb dieser Größe braucht: ein US-Abo, das pro Nutzer und Monat kassiert, Ihre Daten nach Übersee spiegelt und beim Kündigen auf das Kleingedruckte verweist. Die Regel bleibt dieselbe, die Werkzeuge dürfen mit dem Betrieb schrumpfen.
Rechnen Sie kurz gegen: Ein durchdachtes Backup kostet zwei Festplatten und einen Tag Einrichtung. Die zwölf Jahre Projektfotos, die ein Montagmorgen verschlüsselt, kosten Sie alles. Diese beiden Zahlen stehen in keinem Verhältnis. Und falls Sie stattdessen auf die Police hoffen: Ob eine Cyberversicherung im Ernstfall zahlt, hängt oft genau davon ab, ob solche Sicherungen nachweisbar liefen. Wenn Sie nicht mit Sicherheit sagen können, ob Ihre Backup-Strategie einen Ransomware-Befall übersteht, schauen wir da gemeinsam drauf. Ein erstes Gespräch kostet Sie keinen Cent, dauert eine halbe Stunde und läuft über Bildschirmübertragung, egal wo Ihr Betrieb steht. Ich sage Ihnen dann klar, wo Ihre Sicherung Lücken hat, was schon reicht und was es kostet, den Rest dichtzumachen. Einrichten können Sie es danach selbst, oder ich übernehme es. Beides ist ein guter Weg.
