Die 3-2-1-Regel bedeutet: Halte drei Kopien deiner Daten auf zwei verschiedenen Speichermedien vor, und lagere eine davon außer Haus. Für Selbstständige genügen dafür meist eine externe Festplatte oder ein NAS plus ein Cloud-Speicher mit Versionierung.
Nur etwa jeder fünfte Internetnutzer sichert laut BSI regelmäßig seine Daten. Unternehmen trifft ein Datenverlust härter: 34 % der von Bitkom 2025 befragten Firmen meldeten Schäden durch Ransomware. Die 3-2-1-Regel schützt vor Defekt, Diebstahl, Brand und Fehlbedienung, die Erweiterung 3-2-1-1-0 zusätzlich vor Verschlüsselungstrojanern. Mit dem 5-Fragen-Backup-Plan unten legst du schriftlich fest, was du wie oft wohin sicherst und wie du die Wiederherstellung prüfst.
Was bedeutet die 3-2-1-Regel beim Backup?
Die 3-2-1-Regel verlangt drei Kopien deiner Daten, gespeichert auf zwei unterschiedlichen Medien, davon eine an einem anderen Ort. Die Originaldaten zählen als erste Kopie. Fällt ein Gerät aus oder brennt das Büro, bleibt immer mindestens eine intakte Sicherung übrig.
Jede Zahl steht für ein anderes Risiko:
- 3 Kopien: Eine einzelne Sicherung kann selbst defekt sein. Mit zwei Sicherungen neben dem Original bist du gegen diesen Fall abgesichert.
- 2 Medien: Liegen alle Kopien auf demselben Gerät oder derselben Art Datenträger, kann ein einziger Fehler alles treffen, etwa ein defekter Controller oder ein Überspannungsschaden.
- 1 Kopie außer Haus: Einbruch, Brand oder Wasserschaden betreffen alles, was im selben Raum steht. Das BSI rät ausdrücklich, Sicherungsmedien getrennt vom gesicherten Rechner aufzubewahren.
Die Regel ist keine Norm, sondern eine Faustregel. Der Hessische Datenschutzbeauftragte empfiehlt sie in seinem 51. Tätigkeitsbericht ebenso wie das niederländische Nationale Cyber Security Centrum. Eine kompakte Definition findest du im Glossar unter 3-2-1-Backup: Bedeutung einfach erklärt.
Warum reicht Cloud-Synchronisation nicht als Backup?
Synchronisation spiegelt jede Änderung sofort auf alle Geräte, also auch Löschungen, Überschreibungen und von Ransomware verschlüsselte Dateien. Ein Backup dagegen hält ältere Stände fest, auf die du zurückgehen kannst, wenn das Original beschädigt oder verschwunden ist.
Dienste wie OneDrive, Google Drive oder Dropbox bieten zwar Papierkorb und Versionsverlauf, diese sind aber zeitlich begrenzt und liegen im selben Konto. Wird das Konto übernommen, gesperrt oder versehentlich geleert, sind Original und Versionen gleichzeitig betroffen.
Für die 3-2-1-Regel zählt ein Sync-Ordner deshalb höchstens als Arbeitskopie. Die eigentlichen Sicherungen brauchen eine eigene Software, die Versionen anlegt, und einen getrennten Zugang. Wie du solche Zugänge mit einem zweiten Faktor schützt, erklärt Zwei-Faktor-Authentifizierung: Bedeutung einfach erklärt.
Welche Daten müssen Selbstständige sichern?
Sichern musst du alles, was du nicht in vertretbarer Zeit neu beschaffen kannst: Buchhaltung und Rechnungen, Kundendaten, Verträge, Projektdateien, E-Mails, Zugangsdaten sowie die Website. Programme selbst lassen sich meist neu installieren, ihre Einstellungen und Lizenzschlüssel dagegen oft nicht.
Hilfreich ist eine kurze Inventur nach Speicherort, denn bei Selbstständigen liegen Daten selten nur auf einem Rechner:
- Rechner: Dokumente, Projektordner, Belege im Download-Ordner.
- Smartphone: Fotos von Quittungen, Kontakte, Chats mit Kunden.
- Cloud-Dienste: Postfach, Online-Buchhaltung, geteilte Ordner.
- Website und Shop: Datenbank, Uploads, Theme und Plugins.
Aus der DSGVO folgt dabei eine konkrete Pflicht: Art. 32 Abs. 1 lit. c verlangt die Fähigkeit, die Verfügbarkeit personenbezogener Daten nach einem physischen oder technischen Zwischenfall rasch wiederherzustellen. Wer Kundendaten verarbeitet, braucht also ein funktionierendes Backup, nicht nur eine Absicht. Den Gesamtrahmen beschreibt IT-Sicherheit für kleine Unternehmen: Die wichtigsten Schutzmaßnahmen.
Wie setzt du die 3-2-1-Regel konkret um?
Für ein kleines Büro reicht meist eine automatische Sicherung auf externe Festplatte oder NAS plus eine verschlüsselte Sicherung in einen Cloud-Speicher. Die Originaldaten auf dem Arbeitsrechner sind Kopie eins, das lokale Backup Kopie zwei, das Cloud-Backup Kopie drei.
| Kopie | Medium | Ort | Typisches Werkzeug | Rhythmus |
|---|---|---|---|---|
| 1 – Original | interne SSD des Arbeitsrechners | Büro | – | laufend |
| 2 – lokales Backup | externe Festplatte oder NAS | Büro, getrennt vom Rechner | Time Machine (macOS), Dateiversionsverlauf bzw. Systemabbild (Windows), NAS-Backup-App | täglich bis stündlich, automatisch |
| 3 – externes Backup | Cloud-Speicher oder zweite Festplatte | Rechenzentrum oder anderer Standort | Backup-Software mit Verschlüsselung und Versionierung (z. B. Restic, Borg, Anbieter-Client) | täglich, automatisch |
Eigene Darstellung nach den Empfehlungen von BSI und HBDI. Die genannten Werkzeuge sind Beispiele, keine Produktempfehlung.
Cloud-Speicher für Backups ist inzwischen günstig. Die Hetzner Storage Box BX11 bietet zum Beispiel 1 TB mit zehn Snapshots für 3,81 € im Monat inklusive Mehrwertsteuer, mit Standorten in Deutschland und Finnland (Stand Oktober 2026). Verschlüssele Sicherungen, bevor sie dein Büro verlassen; der Schlüssel gehört nicht nur auf den gesicherten Rechner. Wie moderne Verschlüsselung ohne großen Aufwand funktioniert, zeigt Age statt PGP: Wie moderne Verschlüsselung E-Mail-Komfort und Sicherheit vereinbart.
Damit du nichts vergisst, hilft der 5-Fragen-Backup-Plan. Beantworte jede Frage schriftlich, am besten in einer einseitigen Notiz, die auch auf Papier liegt:
- Was? Welche Ordner, Postfächer und Dienste gehören ins Backup?
- Wohin? Welche zwei Medien, und welcher Speicherort liegt außer Haus?
- Wie oft? Wie viele Stunden Arbeit darfst du höchstens verlieren?
- Wie lange? Wie viele Versionen und wie viele Jahre bewahrst du auf?
- Wer prüft? Wer testet wann die Wiederherstellung und dokumentiert das Ergebnis?
Die Frage „Wie oft?“ beantwortest du am besten rückwärts: Überlege, wie viele Stunden Arbeit du im schlimmsten Fall wiederholen könntest. Wer täglich Rechnungen und Angebote schreibt, verliert mit einer nächtlichen Sicherung bis zu einen Arbeitstag. Ist das zu viel, stell die lokale Sicherung auf stündlich um; die externe Kopie darf dann ruhig täglich laufen.
Wie schützt du Backups vor Ransomware?
Gegen Ransomware hilft mindestens eine Kopie, die offline, physisch getrennt oder unveränderbar gespeichert ist. Erpressungssoftware verschlüsselt in der Regel alles, was sie über das Netzwerk erreicht, also auch dauerhaft angeschlossene Festplatten und frei beschreibbare Netzlaufwerke.
Das Risiko ist real: Im Bitkom-Wirtschaftsschutzbericht 2025 gaben 34 % der 1.002 befragten Unternehmen an, in den vergangenen zwölf Monaten Schäden durch Ransomware erlitten zu haben. Von den Unternehmen, die von Ransomware betroffen waren, zahlten 15 % Lösegeld. Den Gesamtschaden durch Datendiebstahl, Spionage und Sabotage beziffert Bitkom für 2025 auf rund 289,2 Mrd. Euro.
Der Backup-Hersteller Veeam hat die Regel deshalb zu 3-2-1-1-0 erweitert:
- +1: Eine Kopie ist offline, vom Netz getrennt oder unveränderbar (immutable).
- 0: Null Fehler, belegt durch regelmäßige Wiederherstellungstests.
Für Selbstständige lässt sich das einfach umsetzen. Eine externe Festplatte, die du nach der Sicherung abziehst, ist offline. Viele Cloud-Speicher bieten Snapshots oder eine Objektsperre, die Sicherungen für eine festgelegte Zeit vor dem Löschen schützt. Wichtig ist außerdem, dass der Backup-Zugang ein eigenes Passwort hat. Ransomware kommt oft über eine Phishing-Mail ins Büro; Erkennungszeichen erklärt Phishing: Bedeutung einfach erklärt.
💬 Meine Einschätzung
Viele Kleinunternehmer halten ihr Backup für erledigt, sobald eine Software „Sicherung erfolgreich“ meldet. Ich halte das für den gefährlichsten Irrtum beim Thema. Der Hessische Datenschutzbeauftragte hebt unter allen Mindestanforderungen an ein Backup-Konzept ausgerechnet das regelmäßige Testen besonders hervor, und Veeam macht „null Fehler bei der Wiederherstellung“ zum festen Bestandteil der Regel. Ein Backup, das nie zurückgespielt wurde, ist eine Annahme, keine Sicherung.
Wie oft solltest du sichern und wie lange aufbewahren?
Arbeitsdaten sicherst du mindestens täglich und automatisch, weil manuelle Sicherungen erfahrungsgemäß einschlafen. Wie lange du Sicherungen aufbewahrst, hängt vom Zweck ab: Versionen für den Notfall reichen Wochen zurück, steuerlich relevante Unterlagen müssen jahrelang lesbar bleiben.
Eine Datensicherung ersetzt dabei kein Archiv. Für steuerlich relevante Unterlagen gelten die Aufbewahrungsfristen der Abgabenordnung, und die Daten müssen während der gesamten Frist lesbar bleiben:
| Unterlage | Aufbewahrungsfrist | Rechtsgrundlage |
|---|---|---|
| Bücher, Inventare, Jahresabschlüsse, Lageberichte | 10 Jahre | § 147 Abs. 3 AO |
| Buchungsbelege, z. B. Rechnungen und Kontoauszüge | 8 Jahre (seit 1.1.2025, zuvor 10 Jahre) | § 147 Abs. 3 AO in der Fassung des Bürokratieentlastungsgesetzes IV |
| Empfangene und versendete Handels- und Geschäftsbriefe | 6 Jahre | § 147 Abs. 3 AO |
Quellen: § 147 AO (gesetze-im-internet.de); Lexware, Bürokratieentlastungsgesetz IV. Die Frist beginnt mit dem Ende des Kalenderjahres, in dem die Unterlage entstanden ist.
Die Angaben zu Aufbewahrungsfristen und DSGVO-Pflichten sind eine allgemeine Orientierung und ersetzen keine Rechts- oder Steuerberatung. Für Sonderfälle, etwa beaufsichtigte Finanzunternehmen, gelten abweichende Regeln; die verkürzte Frist für Buchungsbelege greift dort laut Lexware erst ein Jahr später. Kläre Details mit deiner Steuerberatung. Preise für Cloud-Speicher sind Anbieterangaben mit dem genannten Stand.
Wie prüfst du, ob dein Backup funktioniert?
Ob ein Backup taugt, zeigt nur eine echte Wiederherstellung. Spiele mindestens einmal im Quartal eine einzelne Datei und einmal im Jahr einen kompletten Ordner oder Rechner zurück, und notiere Datum, Dauer und Ergebnis. Erst dann weißt du, dass der Notfallplan funktioniert.
Ein einfacher Prüfablauf für Selbstständige:
- Protokolle lesen: Einmal pro Woche einen Blick in die Backup-Meldungen werfen. Fehlermeldungen per E-Mail zu erhalten ist gut, aber keine Meldung kann auch bedeuten, dass gar nichts läuft.
- Stichprobe zurückspielen: Eine aktuelle Datei aus jeder Kopie wiederherstellen und öffnen.
- Ernstfall üben: Einmal im Jahr auf einem Ersatzgerät prüfen, wie lange die komplette Wiederherstellung dauert.
- Zugänge prüfen: Liegen Passwort und Schlüssel für die Cloud-Sicherung auch außerhalb des Rechners vor?
Auch die DSGVO verlangt diesen Schritt: Art. 32 Abs. 1 lit. d fordert ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit technischer und organisatorischer Maßnahmen. Wer zusätzlich die übrige IT durchleuchten will, findet Anregungen in Security-Audit 2026: IT-Infrastruktur professionell prüfen und IT-Sicherheit für KMU: 7 Schwachstellen beheben.
- 3-2-1: drei Kopien, zwei Medien, eine außer Haus; das Original zählt mit.
- Cloud-Synchronisation ist kein Backup, weil sie Löschungen und Verschlüsselungen mit überträgt.
- Gegen Ransomware hilft eine Offline- oder unveränderbare Kopie (3-2-1-1-0).
- Buchungsbelege müssen seit 2025 acht Jahre, Bücher und Jahresabschlüsse zehn Jahre aufbewahrt werden.
- Der 5-Fragen-Backup-Plan legt Was, Wohin, Wie oft, Wie lange und Wer prüft schriftlich fest.
Häufige Fragen zur Backup-Strategie
Diese Fragen kommen bei Selbstständigen und kleinen Teams besonders oft.
Reicht eine externe Festplatte als Backup?
Für den Anfang ist sie besser als nichts, erfüllt die 3-2-1-Regel aber nicht. Es fehlt die Kopie außer Haus, und eine dauerhaft angeschlossene Festplatte kann bei einem Ransomware-Angriff mitverschlüsselt werden. Ergänze sie um eine Cloud-Sicherung oder eine zweite Festplatte, die an einem anderen Ort lagert.
Muss ich die Daten verschlüsseln, bevor sie in die Cloud gehen?
Empfehlenswert ist es, besonders bei Kundendaten. Viele Backup-Programme verschlüsseln vor dem Hochladen. Bewahre das Passwort oder den Schlüssel getrennt auf, etwa im Passwortmanager und zusätzlich auf Papier an einem sicheren Ort, sonst ist die Sicherung im Notfall wertlos.
Wie sichere ich meine WordPress-Website?
Sichere Datenbank und Dateien getrennt vom Webspace, etwa mit einem Backup-Plugin, das in einen externen Speicher schreibt. Hoster-Backups sind eine gute Ergänzung, liegen aber oft beim selben Anbieter. Mehr zum Betrieb einer eigenen Seite steht in Was kostet eine Website für kleine Unternehmen? Preise und Angebots-Check.
Ist ein RAID im NAS schon ein Backup?
Nein. Ein RAID schützt vor dem Ausfall einer einzelnen Festplatte, spiegelt aber Löschungen, Fehlbedienungen und Verschlüsselungen sofort auf alle Platten. Es erhöht die Verfügbarkeit, ersetzt aber keine Sicherung mit älteren Versionen an einem zweiten Ort.
Quellen
Stand der Recherche: Oktober 2026.
- World Backup-Day: BSI ruft zur Datensicherung auf · borncity.com · BSI-Empfehlungen, Verweis auf den Cybersicherheitsmonitor 2025 (31.03.2026).
- Nur jeder Fünfte sichert seine Daten · cybernews.com · BSI-Zahl zur Backup-Quote, 3-2-1-Regel nach NCSC (31.03.2026).
- Wirtschaftsschutz 2025 – Studienbericht · bitkom.org · Ransomware-Schäden, Lösegeldzahlungen, Gesamtschaden, Methodik (Dezember 2025).
- 3-2-1-1-0 Rule · bp.veeam.com · Definition der erweiterten Backup-Regel (abgerufen Oktober 2026).
- Mindestanforderung an ein Backup-Konzept als TOM laut HBDI · dr-datenschutz.de · Anforderungen aus dem 51. Tätigkeitsbericht und BSI-Baustein CON.3 (05.02.2024).
- Storage Box BX11 · hetzner.com · Preis, Speicherplatz, Snapshots, Standorte (abgerufen Oktober 2026).
- § 147 Abgabenordnung – Ordnungsvorschriften für die Aufbewahrung von Unterlagen · gesetze-im-internet.de · Aufbewahrungsfristen.
- Bürokratieentlastungsgesetz · lexware.de · Verkürzung der Frist für Buchungsbelege auf acht Jahre (abgerufen Oktober 2026).
- Art. 32 DSGVO – Sicherheit der Verarbeitung · eur-lex.europa.eu · Wiederherstellbarkeit und regelmäßige Überprüfung.