Was ist ein unveränderliches Backup und die 3-2-1-1-0-Regel?
Ein unveränderliches Backup schützt Sicherungsdaten während einer festgelegten Frist vor Änderung oder Löschung. Das praxisgeprägte 3-2-1-1-0-Schema ergänzt drei Datenstände auf zwei Medien an mindestens zwei Orten um eine Offline- oder unveränderbare Kopie sowie geprüfte Wiederherstellungen ohne festgestellte Fehler.
Technische Einordnung: Die Ziffer „0“ bedeutet nicht, dass künftige Ausfälle ausgeschlossen wären. Sie setzt definierte und tatsächlich durchgeführte Prüfungen voraus, bei denen im geprüften Umfang und Zeitpunkt keine Fehler festgestellt wurden. Eine unveränderbare Kopie ersetzt weder die übrigen Datenstände noch praktische Wiederherstellungstests.
Welche Grundlage hat das Schema?
3-2-1-1-0 ist ein praxisgeprägtes Merkschema und kein amtlich einheitlich definierter technischer Standard. BSI und CISA beschreiben seine einzelnen Elemente: mehrere Datenstände auf unterschiedlichen Medien und an unterschiedlichen Orten, vom produktiven Netz getrennte beziehungsweise unveränderbare Sicherungen sowie wiederholte Prüfungen der Sicherungs- und Wiederherstellungsverfahren. Aus diesen Behördenempfehlungen folgt keine allgemeine Pflicht, gerade die vollständige Zahlenfolge umzusetzen.
Für wen ist die Strategie relevant?
Sie ist für Organisationen sowie deren IT- und Backup-Verantwortliche relevant, wenn Wiederherstellbarkeit gegen Datenverlust und insbesondere Ransomware geplant oder verbessert wird. Umfang, Sicherungsfrequenz und Testtiefe richten sich nach den kritischen Daten, dem akzeptablen Datenverlust und den Wiederanlaufzielen. Das Schema ersetzt weder Geschäftsfortführungsplanung noch eine risikobasierte Wiederanlaufstrategie.
Wann sollte eine getrennte Kopie vorgesehen werden?
Bei Ransomware- und Datenverlustrisiken sollte verhindert werden, dass ein Vorfall zugleich Primärdaten und alle erreichbaren Sicherungen beeinträchtigt. Eine Offline-Kopie wird deshalb nach dem Sicherungsvorgang vom produktiven Netz getrennt. Eine geeignete unveränderbare Kopie kann ergänzend oder alternativ Bestandteil der Architektur sein, ist aber nicht automatisch eine vollständig getrennte Wiederherstellungsumgebung.
Wie unterscheiden sich Offline-Aufbewahrung und Unveränderbarkeit?
Offline-Aufbewahrung trennt eine Sicherungskopie vom produktiven Netz. Unveränderbarkeit schützt gespeicherte Sicherungsdaten während einer festgelegten Aufbewahrung gegen Änderung oder Löschung. Beide Schutzmechanismen können kombiniert werden. Backup-Daten sollten außerdem verschlüsselt sein und die für den Wiederanlauf erforderliche Dateninfrastruktur und Konfiguration abdecken.
Warum genügen Synchronisation oder Replikation nicht ohne Weiteres als Backup?
Synchronisierte oder replizierte Daten können Änderungen und Schäden des Quellsystems übernehmen. Bei dauerhafter Cloud-Synchronisation können beispielsweise verschlüsselte lokale Dateien intakte Cloud-Daten überschreiben. Entscheidend ist daher eine tatsächlich verfügbare und integre, vom Schadensereignis unabhängige Sicherung zusammen mit einer erprobten Wiederherstellungsumgebung.
Wie wird die „0“ geprüft?
Backup-Verantwortliche sollten regelmäßig die Verfügbarkeit und Integrität der Sicherungen sowie die praktische Wiederherstellung in einem Disaster-Recovery-Szenario prüfen. Ein erfolgreicher Sicherungsjob genügt dafür nicht. Auch ein erfolgreicher Einzeltest belegt nur den geprüften Umfang und Zeitpunkt, nicht sämtliche Systeme oder zukünftige Vorfälle.
Welche Fristen oder Schwellenwerte gelten?
Aus dem 3-2-1-1-0-Schema selbst folgen keine allgemeine Frist, kein verbindlicher Sicherungs- oder Prüfungsrhythmus und kein Schwellenwert. Die Sicherungsfrequenz ist anhand des akzeptablen Datenverlusts, des Recovery Point Objective (RPO), festzulegen. Zugriff auf beziehungsweise Wiederherstellung des Backups müssen zum Recovery Time Objective (RTO) passen. Verträge oder sektorspezifische Regime können eigene Anforderungen enthalten; diese stammen nicht aus dem Zahlenschema.
Häufige Fehlannahmen
- „Unveränderlich bedeutet offline.“ Nein. Unveränderbarkeit schützt gegen Änderung oder Löschung während der Aufbewahrung; Offline-Aufbewahrung trennt die Kopie vom Netz.
- „3-2-1-1-0 garantiert Schutz vor Ransomware.“ Nein. Das Schema ist eine Resilienzstrategie und weder Schutzgarantie noch vollständiger Betriebsfähigkeitsnachweis.
- „Synchronisation oder Replikation ist automatisch ein unabhängiges Backup.“ Nein. Änderungen oder Verschlüsselung können auf das synchronisierte Ziel übertragen werden.
- „Ein erfolgreicher Backup-Job oder Einzeltest erfüllt dauerhaft die Null.“ Nein. Erforderlich sind definierte, wiederholte Prüfungen von Verfügbarkeit, Integrität und praktischer Wiederherstellung; jedes Ergebnis gilt nur für seinen Umfang und Zeitpunkt.
- „Die Zahlen geben gesetzliche Fristen vor.“ Nein. Frequenz, Aufbewahrung und Testtiefe werden risikobasiert anhand kritischer Daten sowie RPO und RTO festgelegt.
Was die Geschäftsleitung tun sollte
Praxisempfehlung: Die folgenden Schritte setzen die technischen Behördenempfehlungen risikobasiert um; sie sind keine allgemeine Pflicht zur exakten Anwendung des Zahlenschemas.
- Kritische Geschäftsprozesse, Daten, Systeme, Konfigurationen und Abhängigkeiten bestimmen.
- RPO und RTO festlegen und daraus Sicherungsfrequenz, Aufbewahrung, Testtiefe und Wiederanlaufprioritäten ableiten.
- Eine vom produktiven Netz getrennte Offline-Kopie oder eine geeignete unveränderbare Sicherung vorsehen und Backup-Daten verschlüsseln.
- Verfügbarkeit, Integrität und praktische Wiederherstellung regelmäßig nach dokumentierten Kriterien testen.
- Für den Ransomware-Fall die Wiederherstellung aus Offline-Sicherungen planen und nur saubere Systeme wieder verbinden, damit eine Reinfektion vermieden wird.
Für die Geschäftsleitung
3-2-1-1-0 ist ein Orientierungsrahmen, keine Garantie und keine allgemeine Pflicht. Die Leitungsentscheidung betrifft den tolerierbaren Datenverlust, die zulässige Wiederanlaufdauer und die dafür geeignete Kombination aus getrennten oder unveränderbaren Sicherungen. Belastbare Nachweise entstehen durch dokumentierte, risikobasiert wiederholte Tests von Verfügbarkeit, Integrität und tatsächlicher Wiederherstellung.
