Schützen Sie Ihre Unternehmensdaten: Die 3-2-1-Regel für Backups

Die 3-2-1-Regel auf einen Blick

3 – Es existieren drei Ausführungen Ihrer Unternehmensdaten: ein Primärsystem mit dem Sie arbeiten und zwei Backups.
2 – Die beiden Backups werden auf zwei unterschiedlichen Speichermedien untergebracht, um die Wahrscheinlichkeit eines gleichzeitigen Ausfalls zu verringern.
1 – Eines der beiden Backups wird offsite gelagert, um Katastrophenfällen wie einem Brand vorzubeugen. Besonders einfach geht das in der Cloud.

Warum Datensicherung so wichtig ist

Kundeninformationen, interne Dokumente, häufig benötigte Vorlagen – Unternehmen arbeiten jeden Tag mit einer Vielzahl von wichtigen Daten. Aber was, wenn diese Daten plötzlich verloren gehen? Die Folgen können Kunden- und Imageverluste sein. Im schlimmsten Fall steht sogar die Existenz des Unternehmens auf dem Spiel.

Dabei handelt es sich nicht um Drohszenarien. Laut einer Dell-Studie waren im Jahr 2019 bereits 82 Prozent aller Unternehmen von Datenverlusten betroffen, z. B. durch Hard- oder Softwareausfälle, aber auch durch Cyberangriffe. Im Vorjahr waren es noch 76 Prozent.

Die geschätzten durchschnittlichen Kosten für solche Datenverluste beliefen sich auf rund 900.000 Euro pro Unternehmen.Diese Zahlen machen deutlich: Eine effektive Datensicherung gehört zu den wichtigsten Aufgaben Ihrer IT. Hier kommt die 3-2-1-Regel für Backups zum Tragen. Sie besagt, dass drei Datensätze auf zwei unterschiedlichen Speichermedien existieren sollten, wobei ein Medium extern untergebracht sein muss. Die statistische Wahrscheinlichkeit für einen Daten-Totalverlust wird so sehr gering gehalten.

Entwickelt wurde die Regel von dem amerikanischen Fotografen und Experten für Digital-Asset-Management, Peter Krogh. Bekannt ist sein Ausspruch, dass es nur zwei Sorten von Menschen gibt: solche, die bereits von einem Datenverlust betroffen waren und jene, die es noch sein werden.

Der Datenverlust wird also eintreten – entscheidend ist, wie Sie sich auf ihn vorbereiten.

So funktioniert die 3-2-1-Regel im Detail

Die 3-2-1-Regel umfasst drei Anforderungen:

• Drei identische Datensätze werden erzeugt
• Zwei unterschiedliche Speichermedien werden verwendet
• Ein Datensatz wird räumlich getrennt gelagert

1. Erzeugen Sie drei identische Datensätze

Um die 3-2-1-Regel anzuwenden, benötigen Sie zunächst drei Ausführungen Ihrer Daten: das Original und zwei Backups. Bei dem Original handelt es sich um den Datensatz auf Ihrem Primärsystem, z. B. Ihre Kundendatei auf dem Firmenserver. Die beiden Backups sind identisch zum Original, werden aber vom Primärsystem getrennt gelagert, z. B. auf zwei separaten Backupservern.

Im Gegensatz zur herkömmlichen Datensicherung arbeitet die 3-2-1-Regel also mit einem doppelten Schutz: Es werden nicht nur eine sondern zwei Sicherheitskopien erstellt. Das bewirkt eine deutlich höhere Wiederherstellungswahrscheinlichkeit, als wenn nur ein Backup existieren würde.

2. Verwenden Sie zwei unterschiedliche Speichermedien

Die zweite Anforderung der 3-2-1-Regel: Die beiden Backup-Datensätze sollten unabhängig vom primären Datensatz auf zwei unterschiedlichen Speichermedien abgelegt werden. Beispielsweise kann ein Backup auf einer RDX-Kassette gespeichert werden, während Sie für das zweite Backup ein optisches Speichermedium oder die Cloud verwenden.

Die Begründung für dieses Vorgehen: Unterschiedliche Speichermedien sind unterschiedlich anfällig gegenüber bestimmten Arten von Bedrohungen. So kann ein Festplatten-Backup anfälliger für mechanische Erschütterungen sein, wie sie z. B. durch ein Erdbeben ausgelöst werden. Ein optisches Speichermedium geht damit leichter um, weist dafür aber eine geringere Materialbeständigkeit auf. Indem Sie Ihre beiden Backups auf unterschiedlichen Medien ablegen, streuen Sie also Ihr Risiko. Dieses Prinzip wird auch als gewollter Medienbruch bezeichnet.

3. Lagern Sie einen Datensatz räumlich getrennt

Die letzte Anforderung der 3-2-1-Regel besagt, dass Sie eine Ihrer beiden Backupdateien offsite lagern sollten. Sitzt Ihr Unternehmen beispielsweise in Dortmund, könnten Sie eines Ihrer Backups in Ihrer Zweigstelle in Bochum ablegen. Auf diese Weise sind Sie auch dann geschützt, wenn Ihre Daten onsite durch eine physische Katastrophe wie einen Brand zerstört werden.

Sehr gut lässt sich diese räumliche Trennung durch ein Cloud-Backup erreichen. Wird Ihr primäres System kompromittiert, lagern Ihre Daten nach wie vor im Rechenzentrum des Cloud-Betreibers. Dies ist auch eine ideale Lösung für Unternehmen, die nur über einen Standort verfügen. Spezialisierte Managed-Services-Anbieter stellen nicht nur die komplette Backup-Abwicklung für Sie.

Worauf Sie bei der Umsetzung achten sollten

Die 3-2-1-Regel ist nur so gut wie ihre Umsetzung. Mit diesen vier Tipps machen Sie alles richtig.

1. Evaluieren Sie Ihr Sicherheitslevel

Die 3-2-1-Regel bietet im Vergleich zu herkömmlichen Backups bereits ein überdurchschnittlich hohes Maß an Sicherheit. Für Branchen, die besonders sensible Daten handhaben, genügt das aber unter Umständen nicht. Ein Beispiel ist der Public Sector. Weil hier große Mengen personenbezogener Informationen verarbeitet werden, hätte ein Datenverlust gravierende Konsequenzen.

In solchen Fällen kann es Sinn machen, aus der 3-2-1-Regel eine 6-4-2-Regel zu machen, um das Risiko weiter zu minimieren. Also sechs Datensätze, vier unterschiedliche Speichermedien und zwei Offsite Backups.

2. Entwickeln Sie einen Verfahrensplan

Damit Backups zuverlässig das gleiche Ergebnis liefern, sollten Sie im Vorfeld einen Verfahrensplan entwickeln. Dieser beantwortet die folgenden Fragen:

• Was genau soll gesichert werden?
• Wie oft soll gesichert werden?
• Welche Software kommt dafür zum Einsatz?
• Auf welche Systeme wird gesichert?
• Wie werden Offsite Backups gehandhabt?
• Wie genau erfolgt die Wiederherstellung der Daten?

Das Ergebnis ist ein standardisierter Prozess, der nun von Ihren Mitarbeitern durchgängig umgesetzt werden kann.

3. Klären Sie Zuständigkeiten

Häufig scheitern Backupsysteme nicht am Prozess, sondern an ungeklärten Zuständigkeiten. Benennen Sie deshalb einen Backup-Beauftragten für Ihr Unternehmen, der das System verantwortet. Schulen Sie außerdem eine Vertretungsperson, für den Fall dass der primär Verantwortliche einmal ausfällt.

Eine weitere Möglichkeit besteht in der Beauftragung eines Managed Services Providers. Das hat den Vorteil, dass Ihre Mitarbeiter mehr Zeit für ihre Kernaufgaben zur Verfügung haben. Außerdem verfügt ein spezialisierter Anbieter häufig über mehr Sicherheits-Know-how und setzt technische Neuerungen zeitnah um.

4. Prüfen Sie das Potential der Cloud

Eine Cloud-Backup-Lösung bietet viele Vorteile. Sie kann z. T. automatisiert oder an einen Anbieter übertragen werden. Sie erfolgt offsite, erfüllt also die Voraussetzung der 3-2-1-Regel an ein räumlich getrenntes Backup. Und sie lässt sich leicht skalieren. Das ist wichtig, weil Unternehmensdaten im Zuge der digitalen Transformation überdurchschnittlich schnell anwachsen.

Achten Sie aber darauf, einen Anbieter mit deutschen Rechenzentren auszuwählen. Andernfalls riskieren Sie Verstöße gegen die Datenschutzgrundverordnung (DSGVO). Diese besagt, dass personenbezogene Daten nur in europäischen Ländern und sicheren Drittstaaten gespeichert werden dürfen.

Die konsequente Anwendung der 3-2-1-Regel resultiert in signifikant mehr Sicherheit für Ihre Unternehmensdaten. So meistern Sie problemlos Datenausfälle, die sich zwangsläufig früher oder später einstellen.