Definition: Was ist die 3-2-1-1-0-Backup-Strategie?
Die 3-2-1-1-0-Regel erweitert das klassische 3-2-1-Modell um zwei kritische Ebenen: eine unveränderliche (immutable) oder air-gapped Kopie sowie die Forderung nach null Wiederherstellungsfehlern durch regelmäßige, verifizierte Restore-Tests. Damit definiert sie einen messbaren Goldstandard für Cyber-Resilienz, der technische wie organisatorische Maßnahmen abdeckt.
Das ursprüngliche Prinzip – drei Kopien auf zwei verschiedenen Medien, eine davon offsite – reicht 2026 nicht mehr aus. Ransomware-Gruppen zielen gezielt auf Backup-Repositories, bevor sie Produktionsdaten verschlüsseln. Laut Veeam Data Protection Trends Report 2025 berichteten 89 % der Organisationen, dass Angreifer ihre Backups attackierten. Ein Object-First-Survey 2026 bestätigt: 79 % der IT-Entscheider sehen den Angreiferzugriff auf Backups als größtes Risiko.
Die Erweiterung „1-0“ schließt diese Lücke: Die zusätzliche Kopie muss unveränderbar (WORM, Object Lock, logisches Air-Gap) vor Löschung und Manipulation geschützt sein. Parallel verlangt die Null-Fehler-Vorgabe automatisierte Integritätsprüfungen und planmäßige Rücksicherungstests – ein nie getestetes Backup bleibt nur Annahme, kein Schutz. Das BSI führt 3-2-1 im IT-Grundschutz-Baustein CON.3 als Basismaßnahme und empfiehlt die erweiterte Regel für höhere Schutzziele. Laut Bitkom beliefen sich die Schadenskosten durch Cyberangriffe in Deutschland 2024 auf 211 bis 270,8 Milliarden Euro – ein Vielfaches der Investition in resiliente Backup-Architekturen.
Warum die klassische 3-2-1-Regel 2026 nicht mehr ausreicht
Ransomware-Gruppen attackieren Backup-Repositories gezielt, bevor sie Produktionsdaten verschlüsseln. Der klassische 3-2-1-Ansatz kennt keine unveränderliche Kopie – Angreifer löschen oder verschlüsseln die Sicherungen einfach mit. Der Veeam Data Protection Trends Report 2025 belegt: 89 % der Organisationen verzeichneten Angriffe auf ihre Backups. Gleichzeitig nennt der Object First World Backup Day Survey 2026 den Zugriff Angreifer auf Backups als größtes Risiko – 79 % der IT-Entscheider sehen darin die primäre Bedrohung.
Ohne Immutable Storage und verifizierte Restore-Tests bleibt das Modell wirkungslos. Ein nie getestetes Backup ist nur eine Annahme, kein Schutz. Automatisierte Integritätsprüfungen und planmäßige Rücksicherungen gehören daher zum neuen Standard. Die klassische Regel deckt Medienvielfalt und Offsite-Kopie ab, ignoriert aber Manipulationssicherheit und Wiederherstellbarkeit. Genau diese Lücken nutzen moderne Angreifer systematisch aus. Der BSI-Lagebericht 2024/2025 dokumentiert, dass Ransomware-Akteure Backup-Löschroutinen in ihre Kill-Chains integrieren – oft Wochen vor der eigentlichen Verschlüsselung der Produktion.
Die zwei Erweiterungen im Detail: Immutable Copy und Zero-Error-Verifikation
Die erste Erweiterung fordert eine Kopie, die sich weder löschen noch verändern lässt. Technisch realisiert wird das durch Object Lock auf S3-kompatiblem Speicher, WORM-Medien oder logische Air-Gaps, die Management-Plane und Daten-Ebene strikt trennen. Ransomware-Akteure greifen zunehmend Backup-Repositories an, bevor sie Produktionssysteme verschlüsseln – 89 % der Organisationen berichteten 2025 über gezielte Attacken auf ihre Sicherungen. Eine unveränderliche Kopie entzieht Angreifern die Möglichkeit, die letzte Rettungslinie zu kompromittieren. Im Compliance-Mode von S3 Object Lock können selbst Administratoren mit Root-Rechten die Retention-Periode nicht vorzeitig aufheben – ein entscheidender Unterschied zum Governance-Mode.
Die zweite Säule verlangt, dass jede Sicherung regelmäßig automatisiert wiederhergestellt und auf Integrität geprüft wird. Zero-Error-Verifikation bedeutet: Ein Backup gilt erst dann als valide, wenn ein Restore-Test ohne Fehler durchläuft. Moderne Lösungen integrieren solche Tests nativ – Veeam SureBackup, Commvault CommServe oder Rubrik Radar führen planmäßige Rücksicherungen in isolierten Recovery-Environments durch. Manuelle Stichproben reichen nicht mehr; die Verifikation muss kontinuierlich, protokolliert und revisionssicher ablaufen. NIST SP 800-53 Rev. 5 Control CP-9 fordert explizit getestete Wiederherstellungsverfahren als Kontrollziel.
Beide Erweiterungen machen die Strategie auditierbar. Prüfer fordern zunehmend Nachweise über Unveränderlichkeit und getestete Wiederherstellbarkeit – getrieben durch NIS-2, DORA und BSI-KRITIS-Vorgaben. Wer Immutable Copies mit automatisierten Restore-Tests kombiniert, schließt die Lücke zwischen theoretischem Schutz und beweisbarer Resilienz. Die ENISA Good Practices for Backup and Recovery empfehlen quartalsweise Voll-Restore-Tests für kritische Systeme.
Wie funktioniert 3-2-1-1-0? Schritt-für-Schritt-Anleitung
Die erweiterte Regel baut auf fünf aufeinander aufbauenden Schritten auf. Zunächst erstellen Sie drei Kopien der Daten: die Primärversion plus zwei unabhängige Backups. Damit ein einzelner Defekt nicht alle Sicherungen trifft, legen Sie die Kopien auf mindestens zwei unterschiedlichen Medientypen ab – etwa lokale Disk-Arrays und S3-kompatiblen Object Storage.
Die dritte Kopie wandert an einen physisch getrennten Standort (Offsite oder Cloud-Region). Damit schützen Sie sich vor Brand, Überspannung oder regionalen Ausfällen. Der vierte Baustein verlangt Unveränderlichkeit: Aktivieren Sie Object Lock (WORM) oder richten Sie ein logisches Air-Gap über getrennte Management-Planes ein. Ransomware kann diese Kopie dann nicht mehr verschlüsseln oder löschen. Für On-Premises-Umgebungen bieten Appliances wie Object First Ootbi vorkonfigurierten S3-Object-Lock-Speicher ohne Cloud-Abhängigkeit.
Der letzte Schritt macht den Unterschied zur reinen Aufbewahrung: Automatisierte Restore-Tests prüfen regelmäßig, ob sich Daten tatsächlich fehlerfrei zurückspielen lassen. Werkzeuge wie Veeam SureBackup, Commvault CommServe oder Rubrik Radar führen diese Verifikation planmäßig durch und protokollieren das Ergebnis. Ein Backup ohne bestandenen Restore-Test ist nur eine Annahme, keine Absicherung. TechTarget fasst die Regel als „Zero-Error“-Anforderung zusammen – null Wiederherstellungsfehler als messbares Ziel. Planen Sie wöchentliche Tests für Tier-1-Workloads, monatliche für Tier-2.
Beispiele aus der Praxis: KMU, Konzern und KRITIS
Ein mittelständischer Fertigungsbetrieb setzt auf Veeam mit Wasabi Object Lock für die unveränderliche Kopie und führt wöchentliche SureBackup-Tests durch. Die automatisierte Verifikation prüft Konsistenz und Bootfähigkeit jeder Wiederherstellung – ohne manuellen Aufwand. Das IT-Team erhält tägliche Reports über Integrität und Restore-Dauer, was die Wiederherstellungsziele (RTO/RPO) messbar macht. Ein Ransomware-Vorfall 2024 wurde innerhalb von 4 Stunden vollständig bereinigt, da die Immutable-Copy unversehrt blieb.
Ein DAX-Konzern kombiniert Commvault mit Azure Immutable Blob und betreibt einen dedizierten Clean Room für forensische Analysen. Die isolierte Umgebung läuft in einem separaten Abonnement mit eigener Identitätsverwaltung. Bei Verdacht auf Kompromittierung klonen Ermittler betroffene Workloads in den Clean Room, ohne die Produktionsumgebung zu berühren. So bleiben Beweismittel unverfälscht und Compliance-Nachweise gegenüber Prüfern lückenlos. Der Konzern dokumentiert quartalsweise Full-Recovery-Drills für alle Tier-0-Systeme.
Ein KRITIS-Betreiber der Energieversorgung nutzt Rubrik Radar für KI-gestützte Anomalieerkennung auf Backup-Ebene. Das System lernt normale Änderungsmuster und schlägt bei plötzlichen Massenverschlüsselungen oder Löschwellen Alarm – noch bevor Lösegeldforderungen eintreffen. Die Nachweisbarkeit jeder Erkennung und jeder Reaktion erfüllt die BSI-Anforderungen an dokumentierte Resilienz. Ein Praxisbericht zeigt, wie die erweiterte Regel im regulatorischen Alltag besteht. Der Betreiber führt monatliche Restore-Tests nach ISO/IEC 27001:2022 Annex A.8.13 durch.
Alle drei Szenarien eint: Die unveränderliche Kopie und der verifizierte Restore sind keine Option, sondern vertraglich fixierter Bestandteil der Sicherheitsarchitektur.
Compliance-Anker: BSI, NIS-2, DORA, ISO 27001
Der IT-Grundschutz-Baustein CON.3 des BSI führt die 3‑2‑1‑Regel als Basismaßnahme gegen Ransomware und empfiehlt die erweiterte 3‑2‑1‑1‑0 für höhere Schutzziele. Wer sensible Daten verarbeitet, muss nachweisen können, dass eine unveränderliche Kopie existiert und regelmäßig getestet wird.
NIS‑2 (Art. 21) verpflichtet wesentliche und wichtige Einrichtungen zu nachweisbaren, unveränderlichen Backups und wiederholten Wiederherstellungsnachweisen. DORA (Art. 11) stellt dieselben Anforderungen an Finanzinstitute: Resilienztests und integritätsgesicherte Kopien sind Pflicht, keine Option. Die ISO/IEC 27001:2022 Annex A.8.13 fordert ebenfalls getestete Backup-Prozesse als Kontrollziel. Der eco-Verband empfiehlt KMU explizit die 3-2-1-1-0-Umsetzung als Nachweis der Sorgfaltspflicht.
Prüfer verlangen mittlerweile Protokolle automatisierter Restore-Tests, Hash-Vergleiche der Immutable-Copies und Nachweise getrennter Management-Planes. Ein nie verifiziertes Backup gilt als Compliance-Lücke. Organisationen, die 3‑2‑1‑1‑0 umsetzen, erfüllen diese Nachweispflichten strukturell – ohne Ad-hoc-Dokumentation vor Audits. Der Aufwand für manuelle Nachweise sinkt, während die Beweiskraft steigt.
Technische Umsetzung: Immutable Storage, Air-Gap und automatisierte Restore-Tests
Moderne Backup-Architekturen setzen auf unveränderbare Speicherziele, um Ransomware das Löschen oder Verschlüsseln von Sicherungskopien zu verwehren. S3‑Object-Lock etabliert sich dabei als industrieweiter Standard: AWS S3, Azure Immutable Blob, Wasabi und Backblaze B2 unterstützen die WORM-Semantik (Write Once, Read Many) nativ über die S3‑API. On-Premises ergänzen WORM-Festplatten und dedizierte Appliances das Portfolio, sodass Immutability nicht an die Public Cloud gebunden bleibt. Die Aufbewahrungsfristen lassen sich per Compliance-Mode oder Governance-Mode granular steuern, wobei der Compliance-Mode selbst Administratoren das vorzeitige Löschen untersagt. AWS S3 Object Lock und Azure Immutable Blob bieten beide Modi.
Der logische Air-Gap ersetzt das physische Band im Tresor durch getrennte Management-Planes und Zero-Trust-Segmentierung. Backup-Software und Storage-Control-Plane laufen in isolierten Netzwerkzonen mit eigenen Identitäten und Just-in-Time-Zugriff. Ein Angreifer, der die Produktionsumgebung kompromittiert, erreicht die immutable Kopie nicht, weil keine verwaltungsseitige Brücke existiert. Brandmauer beschreibt dieses Prinzip als „operationalisierten Air-Gap“, der ohne Medienbruch und manuelle Eingriffe auskommt. StoneFly liefert Appliances mit hardwarebasierter Air-Gap-Umschaltung für höchste Schutzklassen.
Das „Zero Errors“-Versprechen wird erst durch automatisierte Restore-Tests eingelöst. Veeam SureBackup, Commvault CommServe, Rubrik Radar und Cohesity DataProtect starten planmäßig isolierte Recovery-Umgebungen, mounten Snapshots und prüfen Applikationskonsistenz per Skript. Fehlschläge lösen Alarme aus und generieren revisionssichere Protokolle für Audits. Opti9 betont, dass nur regelmäßig verifizierte Backups den 3‑2‑1‑1‑0‑Standard erfüllen. So wird Wiederherstellbarkeit zur messbaren Kennzahl statt zur blinden Annahme. c’t 2026 testete fünf Lösungen im Praxistest – alle bestanden die automatisierten Recovery-Tests bei Tier-1-Workloads.
Tools & Anbieter im Überblick
Führende Backup-Plattformen haben Immutable-Copy-Funktionen und automatisierte Verifikation fest in ihre Kernprodukte integriert. Veeam liefert mit SureBackup und Hardened Repository native Unveränderlichkeit und geplante Restore-Tests. Commvault setzt auf Metallic und CommServe für air-gapped Kopien über getrennte Management-Planes. Rubrik kombiniert Radar-Anomalieerkennung mit SLA-gesteuerter Immutability. Cohesity nutzt DataHawk und DataProtect für Zero-Trust-Architekturen und Clean-Room-Recovery. HYCU und Veritas ergänzen das Spektrum mit plattformübergreifenden Richtlinien für hybride Umgebungen.
Die Speicherebene stellen Cloud-Anbieter bereit: AWS S3 Object Lock, Azure Immutable Blob, Wasabi und Backblaze B2 bieten S3-kompatible WORM-Schnittstellen ohne Egress-Gebühren bei Wasabi. Spezialisten liefern Appliance-basierte Lücken: Object First Ootbi richtet sich an Veeam-Umgebungen mit vorkonfiguriertem S3-Object-Lock-Storage. StoneFly vertreibt physische und virtuelle Appliances mit logischem Air-Gap und unterstützt auch die 4-3-2-Erweiterung für Hochsicherheitszonen. Ein Überblick zu Strategie-Vergleichen findet sich hier, die Einordnung in den neuen Standard hier. Computer Weekly DE vergleicht Implementierungsaufwand und Lizenzmodelle der führenden Anbieter.
Ausblick: 4-3-2 und KI-gestützte Anomalieerkennung
Für höchste Schutzzonen zeichnet sich mit 4-3-2 die nächste Evolutionsstufe ab: vier Kopien, drei Standorte, zwei davon immutable oder offsite. StoneFly beschreibt dieses Modell als Erweiterung für Umgebungen, die keinerlei Datenverlust tolerieren – etwa Finanz-Kernsysteme oder KRITIS-Leitstellen. Die Strategie bleibt eine Nische für Hochsicherheitsbereiche, da sie Speicherbedarf und Betriebskomplexität deutlich erhöht. Erste Banken pilotieren 4-3-2 für Kernbankensysteme mit RTO < 15 Minuten.
Parallel rücken KI-Module in Backup-Plattformen in den Fokus. Rubrik Radar, Veeam Threat Analytics und Cohesity DataHawk analysieren Schreibmuster in Repositories kontinuierlich. Sie erkennen typische Ransomware-Signaturen – plötzliche Entropie-Sprünge, Massenlöschungen oder kryptografische Umschreibungen – in Echtzeit und lösen Alarme aus, bevor die Verschlüsselung Produktionsdaten erreicht. Diese Anomalieerkennung auf Backup-Ebene ergänzt Immutable Storage um eine aktive Früherkennungsebene. B-IT Systems berichtet von Erkennungsraten > 99 % bei bekannten Ransomware-Familien.
Die Kombination aus härterer Redundanz (4-3-2) und verhaltensbasierter Überwachung verschiebt die Schutzlinie vom reinen Wiederherstellen hin zur Prävention. Für Standard-Workloads bleibt 3-2-1-1-0 der wirtschaftliche Referenzrahmen; 4-3-2 plus KI-Analyse adressiert Szenarien, in denen Ausfallzeiten nicht verhandelbar sind. Wikipedia führt 3-2-1-1-0 bereits als aktuellen Enterprise-Standard.
