Die 3-2-1-Backup-Regel und 3-2-1-1-0 erklärt

Von Lucas Flores, IT Systeme Flores UG. Zuletzt aktualisiert am 2026-10-21

Was bedeuten die drei Zahlen der 3-2-1-Regel?

Die Regel besteht aus drei kurzen Anweisungen, und jede zielt auf eine Art, Daten zu verlieren.

„Kopie“ meint eine unabhängige Kopie. Ein Ordner, der mit einer anderen Platte oder einem Cloud-Laufwerk synchronisiert wird, spiegelt jede Änderung, auch eine Löschung oder ein Überschreiben; er ist ein zweiter Speicherort der Live-Daten, keine Backup-Kopie. Das BSI sagt dasselbe: Eine Spiegelung allein ersetzt keine Datensicherung, weil sich Löschungen und Verschlüsselung durch Ransomware sofort auf die Kopie auswirken.

Woher kommt die 3-2-1-Regel?

Die Regel wird dem Fotografen Peter Krogh zugeschrieben, der sie in seinem Buch The DAM Book: Digital Asset Management for Photographers darlegt. Das Papier Data Backup Options von US-CERT (2012) nennt die Regel als drei Anweisungen und verweist auf Seite 207 der zweiten Auflage des Buchs (O'Reilly Media, 2009).

Die erste Auflage des Buchs erschien 2005. Diese Seite behauptet nicht, dass die Regel schon darin stand, weil wir die erste Auflage nicht geprüft haben. Sagen lässt sich, dass keine Normungsstelle hinter der Regel steht: Sie ist ein Rat, den Behörden und Hersteller weit verbreitet haben. In Deutschland nennt ihn auch das BSI: In seinen Vorschlägen zu Business-Continuity-Strategien heißt es, eine 3-2-1-Regel sei für die erfolgreiche Umsetzung einer Backup-Strategie empfehlenswert: drei aktuelle Versionen wichtiger Dateien auf zwei verschiedenen Medien und an mindestens einem weiteren Ort.

Was ergänzt 3-2-1-1-0?

Die Erweiterung fügt zwei Zahlen hinzu. Veeam beschreibt sie und hat sie bekannt gemacht; sie ist kein Standard, und andere im Umlauf befindliche Zahlenfolgen haben keine einheitliche Definition. Lesen Sie die Definition, die eine Quelle angibt, bevor Sie sich auf eine Variante verlassen.

Unveränderlich (auch „unveränderbar“, englisch immutable) heißt, dass der Speicher durchsetzt, dass die Daten für einen festgelegten Zeitraum weder geändert noch gelöscht werden können. Amazon S3 Object Lock ist ein weit verbreitetes Beispiel: Es nutzt das Modell Write Once Read Many (WORM), und im Compliance-Modus kann kein Benutzer, auch nicht der Root-Benutzer des Kontos, eine gesperrte Objektversion vor Ablauf ihres Aufbewahrungszeitraums löschen. Offline oder per Air Gap getrennt heißt, dass die Kopie getrennt ist, wenn sie nicht gerade geschrieben wird; das NIST beschreibt einen Air Gap als Schnittstelle zwischen zwei Systemen, die nicht physisch verbunden sind, wobei jede logische Verbindung nicht automatisiert ist.

Null Fehler betrifft die Prüfung. Ein Backup gilt erst als gut, wenn es zurückgelesen und eine Wiederherstellung versucht wurde. Es verspricht nicht, dass nie etwas schiefgeht; es heißt, dass kein ungeprüftes Backup für ein gutes gehalten wird und dass jeder Fehler bearbeitet wird. Siehe wie man beweist, dass ein Backup wiederhergestellt werden kann.

Wie kann ein kleines Unternehmen mit Microsoft 365 die Regel anwenden?

Das ist ein Beispiel für ein Unternehmen mit 25 Nutzern auf Exchange Online und OneDrive. Die Zahlen sind veranschaulichend; auf die Form kommt es an. Wenn Sie auch SharePoint oder Teams nutzen, prüfen Sie, ob Ihr Backup-Werkzeug sie abdeckt: Die Regel gilt für jeden Datenbestand einzeln.

Nur ein Beispiel. Die Anbieternamen sind Platzhalter; zwei beliebige unabhängige Anbieter oder Standorte passen.

Kopie 1 sind die Live-Daten. Microsoft hält sie mit eigener Replikation verfügbar, aber das ist keine Kopie, aus der Sie über Papierkörbe und Aufbewahrung hinaus nach Bedarf wiederherstellen können. Siehe Sichert Microsoft 365 Ihre Daten?

Kopie 2 ist ein Backup, das Sie kontrollieren. Unabhängigkeit zählt mehr als Entfernung: Wenn ein einziges gekapertes Administratorkonto die Live-Daten und die Backups löschen kann, sind sie eine Ausfalldomäne, egal wie weit die Server auseinanderstehen. Nutzen Sie einen anderen Anbieter und einen anderen Zugang als beim Microsoft-365-Mandanten.

Kopie 3 liegt woanders, auf etwas anderem. Ein NAS im Büro und ein Bucket bei einem Anbieter sind zwei Arten von Speicher an zwei Standorten, dieser Aufbau erfüllt also die Anweisungen „zwei Arten von Speicher“ und „ein anderer Ort“ mit Luft nach oben. Machen Sie diese zur unveränderlichen oder Offline-Kopie: ein Bucket mit Object Lock oder eine Platte, die nach dem Job getrennt und rotiert wird. Ob Ihr Backup-Werkzeug auf solchen Speicher schreiben kann, ohne seine eigene Bereinigung zu stören, sollten Sie testen, bevor Sie sich darauf verlassen. Wie Governance- und Compliance-Modus sich unterscheiden und was eine Offline-Kopie ergänzt, steht unter unveränderliche Backups, WORM, Air Gap und Ransomware.

Die Null ist eine Routine. Lesen Sie jede Woche eine Stichprobe jedes Backups zurück und vergleichen Sie sie mit den Prüfsummen, die beim Erstellen des Backups aufgezeichnet wurden, und stellen Sie einmal im Quartal ein Postfach in ein Testpostfach wieder her und vergleichen. Dieser Rhythmus ist unser Vorschlag, keine Regel aus einem Standard.

Was deckt die 3-2-1-Regel nicht ab?

Die Regel sagt, wie viele Kopien es gibt und wo sie liegen. Mehrere Fragen lässt sie offen, und ein Plan braucht auf jede eine Antwort:

• Wie oft gesichert wird, also Ihr Recovery Point Objective (RPO); siehe RPO und RTO erklärt.
• Wie schnell Sie wieder laufen müssen, also Ihr Recovery Time Objective (RTO).
• Wie lange Sicherungsstände aufbewahrt werden, also die Aufbewahrung; siehe Generationenprinzip (Großvater-Vater-Sohn).
• Wer Backups löschen oder ändern darf, und mit welchen Zugangsdaten.
• Ob die Backups funktionieren, also die Prüfung, und ob Sie die Verschlüsselungsschlüssel noch haben: Eine Kopie, die Sie nicht entschlüsseln können, ist keine Kopie.

Behandeln Sie die Regel als Anfang eines Plans, nicht als den Plan.

Ist die Regel mit Cloud-Speicher noch sinnvoll?

Ja, wenn Sie „zwei Arten von Speicher“ als „zwei Ausfalldomänen“ lesen. Die Formulierung stammt aus der Zeit von Platten und Bändern; mit Cloud-Speicher bleibt die Absicht hinter den Zahlen, die Unabhängigkeit. Zwei Buckets bei einem Anbieter, in einem Konto, teilen sich Anbieter, Zugang und Vertragsbeziehung, ein Vorfall kann also beide erreichen. Zwei Buckets bei verschiedenen Anbietern oder ein Bucket und eine Platte in Ihrem eigenen Büro tun das nicht. Wie lokale Platte, NAS, Objektspeicher und Band bei Kosten, Haltbarkeit und Restore-Tempo abschneiden, steht unter Backup-Speicher wählen.

So macht es Restow

Restow hilft bei den Kopien, bei der Null und seit 0.4.0 bei der unveränderbaren Kopie, und es sagt, wo jede davon endet. Im Einzelnen:

Die „0“: Wiederherstellbarkeit

Jede Woche zieht Restow aus dem neuesten Backup jedes Postfachs, OneDrive, jeder SharePoint-Website und jedes IMAP-Kontos eine zufällige Stichprobe (20 Mails, 20 Dateien und einige Kalendereinträge und Kontakte), liest sie über den Restore-Pfad zurück, einschließlich Entschlüsselung, und vergleicht sie mit den SHA-256-Prüfsummen, die beim Sichern aufgezeichnet wurden. Ein Backup, das nicht geprüft wurde, steht in der Ansicht Wiederherstellbarkeit auf „Nicht nachgewiesen“, nie auf Grün. Es ist eine Stichprobe, und die Prüfung stellt nicht in ein produktives Postfach wieder her. Server, Clients und Freigaben werden nach jedem neuen Backup geprüft: Bis zu 20 Stichproben-Dateien werden zurückgelesen und verglichen. Proxmox-VE-Gäste (eine Preview) werden seit 0.4.2 binnen Minuten nach jedem neuen Sicherungsstand zurückgelesen und lassen sich außerdem per Startprüfung testen, die den neuesten Sicherungsstand als isolierten temporären Gast wiederherstellt und prüft, ob er startet. Ein vollständiger Test-Restore in ein separates Ziel für jede Art von Backup ist geplant. Siehe wie Restow belegt, dass Backups wiederherstellbar sind und die Verifizierungsseite.

Speicher, den Sie wählen

Backups gehen in ein Repository, das Sie wählen: eine lokale Platte, S3-kompatibler Objektspeicher (mit einer Voreinstellung für Hetzner Object Storage) oder ein NFS-Netzlaufwerk. Eine von Restow betriebene Cloud gibt es nicht. Das Einbinden von NFS über die Weboberfläche und die Hetzner-Voreinstellung wurden noch nicht gegen einen echten NFS-Server oder einen echten Hetzner-Bucket getestet. Eine SMB-Freigabe oder ein NFS-Export ist etwas, das Restow sichert, kein Ort, an den es speichert; siehe Dateifreigaben (SMB und NFS). Zum Speicher siehe Speicher.

Eine zweite Kopie

Restow kann die zweite Kopie selbst schreiben. Die Repositories eines Mandanten haben Rollen: Das primäre erhält jedes neue Backup zuerst, und beliebig viele Kopie-Repositories erhalten dieselben Daten. Daten, die vor dem Anlegen einer Kopie geschrieben wurden, werden bei der wöchentlichen Speicherprüfung auf sie gespiegelt und per SHA-256 geprüft. Das gilt für Mail, Kalender, Kontakte, OneDrive, SharePoint, IMAP und VM-Daten von Proxmox VE. Es gilt nicht für Server und Clients, Freigaben oder Container von Proxmox VE: Deren Backups bleiben im primären Repository. Für eine Freigabe ist ein Kopierjob in eine andere Freigabe mit „Keine Sicherung: keine Versionen am Ziel“ gekennzeichnet, also ein zweiter Ort für die aktuellen Dateien, keine zweite Sicherung. Restow kann nicht erkennen, ob eine Kopie mit dem primären Repository eine Ausfalldomäne teilt; einen anderen Anbieter oder Standort zu wählen, ist Ihre Entscheidung.

Die unveränderbare Kopie

Seit 0.4.0 hat jedes Repository eine Einstellung für Unveränderbarkeit, aus, bis ein Administrator sie einschaltet. Bei einem S3-Bucket, der mit Object Lock angelegt wurde (Compliance- oder Governance-Modus, 1 bis 3650 Tage), lehnt der Speicher selbst ab, gesperrte Backup-Daten vor ihrem Datum zu löschen oder zu überschreiben. Ein Kopie-Repository auf einem solchen Bucket bei einem anderen Anbieter ist damit die unveränderbare Kopie von 3-2-1-1-0 für die Daten, die Kopie-Repositories abdecken. Bei Servern, Clients, Freigaben und Containern von Proxmox VE, die im primären Repository bleiben, muss das primäre selbst das unveränderbare sein, und das Standard-Repository der Installation lässt sich nicht unveränderbar machen: Geben Sie dem Mandanten ein eigenes Repository. Eine lokale Platte oder ein NFS-Netzlaufwerk bekommt nur eine Löschverzögerung, die Restow selbst erzwingt und die keine Unveränderbarkeit ist. Object Lock lässt sich nur beim Anlegen eines Buckets einschalten. Es wurde gegen einen simulierten S3-Dienst getestet, noch nicht gegen einen echten, und wir haben Restow nicht gegen einen Bucket mit einer Standard-Aufbewahrung von Object Lock getestet; behandeln Sie diese Kombination als ungetestet. Was gesperrt ist, was nicht und wovor es nicht schützt, steht auf der Speicherseite und in unveränderliche Backups, WORM, Air Gap und Ransomware. Bei Servern und Clients erzwingt Restow außerdem append-only auf dem Server: Ein gekaperter Rechner kann Backups hinzufügen, sie aber nicht löschen. Das schützt vor dem Rechner; die Sperre schützt vor jemandem mit Zugriff auf den Restow-Server oder den Speicherschlüssel, wobei jemand, der Restow kontrolliert, neue Sperren trotzdem anhalten kann.

Häufig gestellte Fragen

Quellen

Gelesen am 21. Oktober 2026.

1. BSI: Vorschläge zu Business-Continuity-Strategien (BC-Strategien), Hilfsmittel zum BSI-Standard 200-4. Nennt eine 3-2-1-Regel für eine Backup-Strategie empfehlenswert: drei aktuelle Versionen auf zwei verschiedenen Medien und an mindestens einem weiteren Ort (Seite 8)
2. BSI: Umsetzungshinweise zum Baustein CON.3 Datensicherungskonzept. Eine Spiegelung ersetzt keine Datensicherung, weil sich Löschungen und Verschlüsselung durch Ransomware sofort auf die Kopie auswirken
3. Ruggiero, P. und Heckathorn, M.: Data Backup Options (US-CERT, Carnegie Mellon University, 2012, englisch). Nennt die 3-2-1-Regel und verweist für sie auf Krogh
4. Krogh, P.: The DAM Book: Digital Asset Management for Photographers, 2. Auflage (O'Reilly Media, 2009, englisch). Das Buch, auf das US-CERT für die Regel verweist, Seite 207
5. Veeam: The 3-2-1 backup rule (englisch). Beschreibt 3-2-1-1-0 als Erweiterung um eine unveränderliche oder per Air Gap getrennte Kopie und null Fehler bei der Wiederherstellung
6. Amazon S3 Benutzerhandbuch: Sperren von Objekten mit Object Lock. Das Modell Write Once Read Many und der Compliance-Modus
7. NIST-Glossar: air gap (englisch). Definition eines Air Gap

Verwandte Artikel

• Sichert Microsoft 365 Ihre Daten? Was Microsoft aufbewahrt und wie lange (Papierkorb, Versionsverlauf, Aufbewahrung), warum Aufbewahrung kein Backup ist und was Microsoft 365 Backup ist.
• Voll, inkrementell, differenziell und synthetisch voll Vergleichstabelle zu Speicherbedarf, Sicherungsdauer, Restore-Aufwand und Kettenrisiko, dazu Forever-Incremental, Changed Block Tracking und Deduplizierung.
• Generationenprinzip (GFS) Tägliche, wöchentliche, monatliche und jährliche Sicherungsstände mit Kalenderbeispiel, der Unterschied zu „alles N Tage aufbewahren“ und die Übertragung von Band auf Platte und Objektspeicher.
• Unveränderliche Backups, WORM und Air Gap Wie Angreifer Backups ins Visier nehmen, was Object Lock im Governance- und Compliance-Modus leistet, was eine Offline-Kopie ergänzt und was davon nichts abdeckt.
• Backup-Speicher wählen Lokale Platte, NAS und NFS, S3-kompatibler Objektspeicher, Band und Cloud-Archivklassen im Vergleich bei Kosten, Haltbarkeit, Unveränderlichkeit und Restore-Tempo.
• Backup-Glossar Nachschlagewerk Kurze Definitionen zu Backup, Restore, Aufbewahrung, Speicher und DSGVO, von 3-2-1-Regel bis WORM, mit Links zu den Artikeln und Funktionsseiten.