Die Regel auf einen Blick
Die 3-2-1-Backup-Regel reduziert die Abhängigkeit von einem einzelnen System oder Standort. Ihre Schwäche ist, dass keine Kopie Löschung oder Änderung widerstehen muss — und ein Angreifer, der das Backup-Administratorkonto kompromittiert, kann Backup-Jobs löschen, die Aufbewahrung verkürzen, Cloud-Repositories leeren und Wiederherstellungskonten deaktivieren, genauso leicht wie ein legitimer Betreiber.
Das 3-2-1-1-0-Modell stärkt die traditionelle Strategie durch zwei zusätzliche Anforderungen: eine geschützte Kopie und null unverifizierte Wiederherstellungsfehler. Das vollständige Modell lautet:
Das britische National Cyber Security Centre erklärt, dass Cloud- und On-Premises-Backups nicht standardmäßig ransomware-resistent sind. Seine Grundsätze fordern Schutz vor destruktiven Aktionen, fortbestehenden Kundenzugriff, Wiederherstellung aus älteren Versionen, robustes Schlüsselmanagement und Benachrichtigungen bei wesentlichen oder privilegierten Änderungen.
Warum das zusätzliche eine und die Null wichtig sind
Mehrere Kopien helfen bei Hardwareausfällen und versehentlichem Löschen. Sie erfüllen zwei unterschiedliche Aufgaben:
Veeam beschreibt das 3-2-1-1-0-Modell als Erweiterung der klassischen Regel um eine unveränderliche oder air-gapped Kopie und null Wiederherstellungsfehler. Der Begriff ist ein Branchen-Framework für Backups und kein universeller regulatorischer Standard.
Offline, Air-Gapped und unveränderlich sind nicht dasselbe
Diese Begriffe werden oft zusammen genannt, beschreiben aber unterschiedliche Kontrollen.
Offline-Backup
Ein Offline-Backup ist physisch oder logisch getrennt, wenn es nicht verwendet wird — ein ausgeworfenes LTO-Tape, eine abgezogene USB-Festplatte oder ein Repository, das zwischen kontrollierten Backup-Fenstern abgeschaltet ist. Malware kann nicht direkt auf nicht angeschlossene Medien zugreifen. Die Nachteile sind manuelle Handhabung, langsamere Wiederherstellung und das Risiko, dass die Rotation ausgelassen wird.
Air-Gapped-Backup
Ein Air Gap schafft Isolation zwischen dem geschützten Backup und der Produktionsumgebung. Ein physischer Air Gap nutzt getrennte Medien oder Netzwerke. Ein logischer Air Gap kann separate Zugangsdaten, separate Identitätssysteme, eingeschränkte Netzwerkrouten, verzögerte Synchronisierung oder einen Dienst nutzen, der direkte destruktive Befehle blockiert. Ein logischer Air Gap ist nur so stark wie seine Konfiguration — ein als air-gapped beschriebenes Repository kann trotzdem exponiert sein, wenn dasselbe Administratorkonto sowohl Produktion als auch Backup kontrolliert.
Unveränderliches Backup
Ein unveränderliches Backup kann während eines definierten Aufbewahrungszeitraums nicht überschrieben oder gelöscht werden. Amazon S3 Object Lock etwa nutzt ein Write-Once-Read-Many-Modell und kann verhindern, dass geschützte Objektversionen während der Aufbewahrung gelöscht oder überschrieben werden. Object Lock erfordert S3 Versioning und schützt einzelne Objektversionen. Unveränderlichkeit lässt das Backup online und für die Wiederherstellung verfügbar bleiben, während es vor normaler Löschung geschützt ist — aber falsch konfigurierte Aufbewahrung, übermäßiger Speicherverbrauch oder ein Konto, das Governance-Kontrollen umgehen kann, bleiben Risiken. Unveränderlichkeit schützt einen Wiederherstellungspunkt vor Änderungen; sie beweist nicht, dass der Wiederherstellungspunkt sauber oder nutzbar ist.
Welche geschützte Kopie sollten Sie wählen?
Offline-Tape nutzen, wenn
Unveränderlichen Objektspeicher nutzen, wenn
Ein gehärtetes Repository nutzen, wenn
Rotierte Wechseldatenträger nutzen, wenn
Rotierte Festplatten können die Anforderung an die geschützte Kopie erfüllen, aber nur, wenn der Prozess konsequent eingehalten wird.
Referenzarchitekturen
Eine praktische Proxmox-Architektur
Die aktuelle Proxmox-Backup-Server-Dokumentation empfiehlt wiederkehrende Verifizierungs-Jobs und eine erneute Verifizierung aller Backups mindestens einmal im Monat, da zuvor gültige Daten im Laufe der Zeit degradieren können. Auf die Verifizierung sollten periodische VM- und Anwendungswiederherstellungstests folgen — eine reine Prüfsummen-Verifizierung kann nicht bestätigen, dass ein Betriebssystem startet oder eine Anwendung korrekt funktioniert.
Eine praktische Homelab-Architektur
Kritische Wiederherstellungsinformationen sollten ebenfalls geschützt werden: Verschlüsselungsschlüssel, Wiederherstellungsdetails des Passwort-Managers, Netzwerk- und Hypervisor-Konfiguration, DNS-Einträge, Anwendungs-Secrets und die Konfiguration der Backup-Software.
Eine praktische Architektur für kleine Unternehmen
Der Wiederherstellungsplan sollte davon ausgehen, dass normale Unternehmenssysteme nicht verfügbar sein könnten — bewahren Sie die einzige Kopie der Wiederherstellungsanweisungen nicht in der Umgebung auf, die diese Anweisungen wiederherstellen sollen.
Wie Sie das zusätzliche eine umsetzen
Die kritischen Wiederherstellungspunkte auswählen
Nicht jedes Backup benötigt denselben Schutz. Beginnen Sie mit Systemen, deren Verlust den Betrieb stoppen oder dauerhaften Datenverlust verursachen würde: Identitätsdienste, Virtualisierungsmanagement, Datenbanken, Kundendatensätze, Finanzsysteme, Quellcode, Konfigurations-Repositories, Verschlüsselungsschlüssel, Dateiserver, Backup-Kataloge.
Den Schutzmechanismus wählen
Wählen Sie offline, air-gapped oder unveränderlichen Speicher basierend auf Wiederherstellungsgeschwindigkeit, Datenmenge, Änderungsrate, Aufbewahrungszeitraum, verfügbarer Bandbreite, operativem Know-how, Compliance-Anforderungen, Budget, physischer Sicherheit und Wiederherstellungsort.
Administrative Kontrolle trennen
Das Konto, das die Produktion verwaltet, sollte nicht automatisch jedes Backup zerstören können. Nutzen Sie separate Backup-Administratorkonten, Multi-Faktor-Authentifizierung, eingeschränkte Löschrechte, separate Cloud-Konten oder -Abonnements, geschützte Notfall-Zugangsdaten und Benachrichtigungen bei destruktiven Operationen.
Das NCSC empfiehlt Kontrollen, die verhindern, dass kompromittierte Kundenkonten Backup-Daten löschen können, sowie separate Mechanismen für außergewöhnliche destruktive Anfragen.
Einen realistischen Aufbewahrungszeitraum festlegen
Unveränderlichkeit erfordert vorausschauende Planung. Ein zu kurzer Zeitraum kann ablaufen, bevor ein Angriff entdeckt wird; ein zu langer verursacht unnötige Speicherkosten und verhindert legitime Löschung. Berücksichtigen Sie, wie lange eine Kompromittierung unentdeckt bleiben kann, gesetzliche Aufbewahrungspflichten, verfügbare Kapazität und die tägliche/monatliche Änderungsrate.
Schlüssel und Wiederherstellungs-Zugangsdaten schützen
Verschlüsselte Backups können unwiederherstellbar werden, wenn ihre Schlüssel verloren gehen. Bewahren Sie geschützte Kopien von Verschlüsselungsschlüsseln, Wiederherstellungspasswörtern, Cloud-Konto-Wiederherstellungscodes, Hardware-Sicherheitsschlüsseln, Backup-Konfiguration und benötigten Lizenzinformationen auf — getrennt von der Produktionsumgebung gespeichert.
Geschützten Speicher überwachen
Schutz sollte Nachweise erzeugen. Überwachen Sie fehlgeschlagene Backup- und Verifizierungs-Jobs, Änderungen der Aufbewahrungsrichtlinie, ungewöhnliche Löschversuche, unerwartetes Wachstum, Repository-Kapazität, deaktivierte Benachrichtigungen, neue privilegierte Konten und Synchronisierungsverzögerungen. Einem stillen Backup-System ist schwer zu vertrauen.
Die Null erreichen
Die abschließende Null erfordert mehrere Teststufen, von der Überwachung bis zur vollständigen Disaster-Recovery-Übung.
CISA empfiehlt, offline verschlüsselte Backups zu führen und deren Verfügbarkeit und Integrität regelmäßig in einem Disaster-Recovery-Szenario zu testen, da Ransomware häufig versucht, erreichbare Backups zu löschen oder zu verschlüsseln.
Empfohlener Verifizierungsplan
Kritische Systeme benötigen möglicherweise häufigere Tests.
Häufige Fehler bei 3-2-1-1-0
Cloud-Speicher wird nicht unveränderlich, nur weil er extern liegt. Aufbewahrungskontrollen müssen aktiviert, durchgesetzt und getestet werden.
Ein kompromittiertes Konto sollte nicht Produktion, lokale Backups, Cloud-Speicher und Aufbewahrungsrichtlinien kontrollieren.
Snapshots können zusammen mit dem Produktionssystem gelöscht werden, sofern sie nicht auf ein unabhängiges geschütztes Ziel repliziert werden.
Eine dauerhaft am Backup-Server angeschlossene Wechselfestplatte ist Online-Speicher. Trennen Sie sie, nachdem Backup und Verifizierung abgeschlossen sind.
Gesperrte Daten können nicht bereinigt werden, bevor die Aufbewahrung abläuft. Schätzen Sie das Speicherwachstum, bevor Sie lange Aufbewahrungszeiträume aktivieren.
Prüfsummen-Verifizierung kann beweisen, dass gespeicherte Blöcke sich nicht geändert haben. Sie kann nicht beweisen, dass eine Datenbank konsistent ist oder ein wiederhergestellter Dienst startet.
Ein intaktes verschlüsseltes Repository ist nutzlos, wenn der Entschlüsselungsschlüssel bei der Wiederherstellung nicht auffindbar ist.
Ein aktuelles Backup kann beschädigte, verschlüsselte oder bereits kompromittierte Daten enthalten. Testen Sie die Wiederherstellung von verschiedenen Punkten im Aufbewahrungsfenster.
Der Plan könnte während des Vorfalls unzugänglich werden. Bewahren Sie eine geschützte Offline-Kopie mit den nötigen Kontakten, Zugangsdaten und Wiederherstellungsschritten auf.
3-2-1-1-0-Bewertungs-Checkliste
0 / 18Ein niedriger Wert bedeutet nicht zwangsläufig, dass Sie ein neues Backup-Produkt benötigen — meist bedeutet es, dass die aktuellen Systeme stärkere Trennung, Aufbewahrung, Überwachung oder Tests brauchen.
Häufig gestellte Fragen
Sie ist eine Erweiterung der traditionellen 3-2-1-Backup-Strategie. Sie empfiehlt drei Kopien der Daten, zwei Speichersysteme oder Medien, eine externe Kopie, eine offline, air-gapped oder unveränderliche Kopie und null unverifizierte Wiederherstellungsfehler.
Die moderne 3-2-1-1-0-Terminologie wird besonders mit Veeam in Verbindung gebracht, das sie als Erweiterung der klassischen 3-2-1-Backup-Regel beschreibt. Die zugrunde liegenden Praktiken – Offline-Backups, geschützte Aufbewahrung und Wiederherstellungstests – werden auch durch staatliche Cybersicherheits-Richtlinien gestützt.
Nein. Ein externes Backup kann trotzdem online, veränderbar und über dieselben kompromittierten Zugangsdaten kontrollierbar sein. Die geschützte Kopie sollte Löschung oder Änderung widerstehen.
Nicht immer. Unveränderlicher Online-Speicher bietet schnellen Zugriff und geschützte Aufbewahrung. Offline-Medien bieten stärkere physische Trennung. Wichtige Umgebungen nutzen möglicherweise beides.
Ja, wenn das Tape ausgeworfen, sicher aufbewahrt und nicht über die Produktionsumgebung zugänglich ist. Tape-Handling, Verschlüsselung und Wiederherstellungstests bleiben trotzdem wichtig.
Das kann er, wenn Anbieter und Backup-Anwendung erzwungene Objekt-Aufbewahrung oder gleichwertige Unveränderlichkeit unterstützen. Versionierung allein ist nicht dasselbe wie unveränderliche Aufbewahrung.
Es bedeutet, dass Backup- und Wiederherstellungsfehler erkannt, untersucht und behoben werden. Es bedeutet auch, dass wichtige Backups durch echte Wiederherstellung verifiziert werden, nicht nur durch Abschlussberichte der Jobs.
Überwachen Sie jeden Backup-Lauf, verifizieren Sie regelmäßig die Integrität des Repositorys und führen Sie periodisch Datei-, System- und Anwendungswiederherstellungen durch. Die genaue Häufigkeit sollte sich nach der Wichtigkeit und den Wiederherstellungszielen des Workloads richten.
Ja. Eine zweite Maschine, eine verschlüsselte Cloud-Kopie, eine rotierte Offline-Festplatte und ein geplanter Wiederherstellungstest ermöglichen eine praktische Umsetzung ohne Enterprise-Software.
Es kann einen Angriff nicht verhindern. Es verbessert die Chance, einen nutzbaren Wiederherstellungsweg zu behalten, nachdem Produktionssysteme oder gewöhnliche Online-Backups kompromittiert wurden.
Für die Wiederherstellung bauen, nicht für abgeschlossene Backups
Der stärkste Teil der 3-2-1-1-0-Regel ist die abschließende Null. Die geschützte Kopie verhindert, dass ein Angreifer leicht jeden Wiederherstellungspunkt zerstören kann. Die Verifizierung zeigt, dass die geschützte Kopie etwas enthält, das Sie tatsächlich nutzen können.
Ein Backup-Dashboard voller erfolgreicher Jobs kann falsches Vertrauen erzeugen. Wiederherstellungsvertrauen entsteht durch unabhängige Kopien, eingeschränkten destruktiven Zugriff, geschützte Zugangsdaten und wiederholte Wiederherstellung. Beginnen Sie damit, einen kritischen Workload zu schützen — erstellen Sie ein unabhängiges lokales Backup, verschieben Sie eine weitere Kopie extern, schützen Sie einen Wiederherstellungspunkt vor Löschung und schließen Sie eine echte Wiederherstellung ab. Wiederholen Sie den Prozess dann für das nächste System.