Backup-Checkliste: 3-2-1-1-0 mit Offline-Kopie und getesteter Wiederherstellung

• 3Kopien

  Drei Kopien wichtiger Daten: das Original und zwei Sicherungen (BSI-Hilfsmittel zum Standard 200-4, ENISA, CISA).

• 2Speichermedien

  Auf zwei unterschiedlichen Speichermedien (BSI-Hilfsmittel zum Standard 200-4, ENISA, CISA).

• 1Kopie an einem anderen Ort

  Eine Kopie an einem anderen Ort, räumlich getrennt, möglichst in einem anderen Brandabschnitt (BSI CON.3.A12, ENISA, CISA).

• 1Kopie offline

  Eine Kopie offline: nach der Sicherung von den übrigen Systemen getrennt (BSI-Maßnahmenkatalog Ransomware, CISA #StopRansomware Guide).

• 0Fehler bei der Wiederherstellung

  Null Fehler: Die Wiederherstellung ist getestet, die Daten kommen einwandfrei und rechtzeitig zurück (BSI CON.3.A15, CISA CPG 2.0).

3-2-1 empfehlen das BSI (Hilfsmittel zum BCM-Standard 200-4), die EU-Agentur ENISA und die US-Behörde CISA. Die Erweiterung zu 3-2-1-1-0 ist keine Norm, sondern ein von Herstellern geprägter Begriff. Ihre beiden Zusätze, eine Offline-Kopie und eine geprüfte Wiederherstellung, empfehlen BSI und CISA aber ausdrücklich.

Datenspiegelungen über RAID gelten nicht als Datensicherung (BSI CON.3, Beschreibung). Für Einrichtungen unter NIS2 gehört Backup-Management ausdrücklich zu den Risikomanagementmaßnahmen (§ 32 Abs. 4 lit. c NISG 2026).

• Für jedes System sind die Rahmenbedingungen erhoben: zu sichernde Daten, Speicher- und Änderungsvolumen, Verfügbarkeit, Vertraulichkeit, rechtliche Anforderungen, Löschvorgaben und Zuständigkeiten (CON.3.A1).
• Art, Häufigkeit und Zeitpunkt der Sicherungen sind festgelegt, ebenso Speichermedien, Transport und Aufbewahrung (CON.3.A2).
• Je System oder Systemgruppe gibt es einen Datensicherungsplan: was gesichert wird, Reihenfolge der Wiederherstellung, Vorgehen, Aufbewahrungsdauer, Schutz vor Zugriff und Überschreiben, eingesetzte Hard- und Software (CON.3.A4).
• Für jedes System ist festgelegt, wie viel Datenverlust höchstens tragbar ist (Recovery Point Objective, CON.3.A6).
• Die Pläne zur Wiederherstellung sind auch dann greifbar, wenn das Datensicherungssystem selbst ausfällt, etwa zusätzlich auf Papier (CON.3.A6; Gefährdung 2.4 nennt Ransomware als Grund).
• Alle Mitarbeitenden kennen die Regeln zur Datensicherung und ihre eigenen Aufgaben dabei (CON.3.A5).
• Online-Speicher ist vertraglich geregelt: Speicherort, Verfügbarkeit, Anmeldung, Verschlüsselung gespeicherter und übertragener Daten (CON.3.A9).

• Sicherungen liegen immer auf eigenen Speichermedien, nicht nur auf dem gesicherten System (CON.3.A2).
• Die Medien liegen räumlich getrennt von den gesicherten Systemen, möglichst in einem anderen Brandabschnitt (CON.3.A12).
• Mindestens eine Kopie ist offline und nach der Sicherung von den übrigen Systemen getrennt (BSI-Maßnahmenkatalog Ransomware; CON.3.A2 für besonders schützenswerte Medien).
• Probe der Trennung: Ein Domänen-Administrator versucht testweise, auf die getrennten Kopien zuzugreifen. Das darf nicht gelingen (BSI-Maßnahmenkatalog Ransomware).
• Sicherungen können weder absichtlich noch versehentlich überschrieben werden; Schreibzugriff haben nur autorisierte Sicherungs- und Administrationsvorgänge (CON.3.A14).
• Sicherungen sind verschlüsselt, die Schlüssel getrennt gesichert, und verschlüsselte Daten lassen sich auch nach längerer Zeit noch einspielen (CON.3.A13, bei erhöhtem Schutzbedarf).

Eine automatische Synchronisation in die Cloud ist allein kein ausreichendes Backup: Verschlüsselt ein Angreifer die lokalen Dateien, werden die verschlüsselten Fassungen mit synchronisiert (CISA #StopRansomware Guide).

• Es wird regelmäßig getestet, ob gesicherte Daten einwandfrei und in angemessener Zeit zurückgespielt werden können (CON.3.A15).
• Mindestens einmal im Jahr wird die Wiederherstellung geprüft (CISA CPG 2.0; WKO-Leitfaden zu technischen und organisatorischen Maßnahmen).
• Geübt wird die Wiederherstellung von Daten und ganzen Systemen, nicht nur das Sichern (BSI-Maßnahmenkatalog Ransomware).
• Die Reihenfolge der Wiederherstellung richtet sich nach der Wichtigkeit der Dienste (CON.3.A4; CISA #StopRansomware Guide).
• Regelmäßig wird kontrolliert, ob das Datensicherungskonzept so umgesetzt ist wie beschrieben (CON.3.A6).
• Ergebnis und Dauer jeder Probe sind dokumentiert; Fehler werden behoben und erneut getestet.

Der letzte Punkt ist eine Empfehlung von TOMORIS: Erst eine dokumentierte, erfolgreiche Probe zeigt, dass die Null in 3-2-1-1-0 erreicht ist.