Die 3-2-1-Backup-Regel: So sicherst du Daten richtig

Ein Administrator sichert den Dateiserver täglich auf eine USB-Festplatte, die neben dem Server im Schrank liegt. Das fühlt sich gründlich an. Dann gibt es einen Wasserschaden im Serverraum, und beide Geräte sind hin. Die Sicherung war da, und doch sind die Daten weg.

Im Beitrag RAID ist kein Backup hast du gesehen, warum Redundanz allein nicht reicht und was ein richtiges Backup ausmacht. Jetzt geht es um die Frage, wie viele Kopien du brauchst und wo sie liegen sollten. Die Antwort liefert eine Faustregel, die in der IT fast jeder kennt: die 3-2-1-Regel.

Die Regel

Die Zahlen stehen für drei Anforderungen:

• 3 Kopien deiner Daten: das Original und mindestens zwei Sicherungen.
• 2 verschiedene Speichermedien oder -techniken, damit ein Fehler, der ein Medium trifft, nicht alle Kopien betrifft.
• 1 Kopie an einem anderen Ort, außer Haus, damit ein Ereignis wie Brand, Wasser oder Diebstahl nicht alles auf einmal vernichtet.

Bekannt wurde die Regel durch den Fotografen Peter Krogh. Sie ist so einfach, dass man sie sich merken kann, und trotzdem deckt sie die meisten Ausfallszenarien ab.

Warum drei Kopien? Die Wahrscheinlichkeit

Jedes Speichermedium kann ausfallen. Angenommen, die Wahrscheinlichkeit, dass eine Kopie in einem Jahr verloren geht, beträgt 1 Prozent. Sind die Ausfälle unabhängig voneinander, ist die Wahrscheinlichkeit, dass alle Kopien gleichzeitig ausfallen, das Produkt der Einzelwahrscheinlichkeiten:

Anzahl Kopien	Rechnung	Wahrscheinlichkeit, alle zu verlieren
1	0,01	1 %
2	0,01 × 0,01 = 0,0001	0,01 %
3	0,01 × 0,01 × 0,01 = 0,000001	0,0001 %

Jede zusätzliche Kopie senkt das Risiko um den Faktor 100. Die Rechnung gilt aber nur, wenn die Ausfälle wirklich unabhängig sind. Genau dafür sorgen die beiden anderen Zahlen: Wenn zwei Kopien auf demselben Medium liegen oder im selben Raum, hängt ihr Schicksal zusammen, und die Rechnung stimmt nicht mehr. Ein Brand trifft beide gleichzeitig. Das ist der Grund für „2“ und „1“.

Warum zwei Medien?

Bauteile derselben Serie können denselben Fehler haben, etwa einen Firmware-Fehler oder ein Problem, das bei einer Charge von Platten auftritt. Außerdem schützen verschiedene Techniken vor verschiedenen Gefahren. Die gängigen Medien im Überblick:

Medium	Vorteil	Nachteil	Typische Rolle
Festplatten, NAS oder Backup-Server	Schnell, günstig, gut zu automatisieren	Dauerhaft am Netz erreichbar und damit angreifbar	Lokale Sicherung, schnelle Wiederherstellung
Wechselfestplatte (USB)	Kann nach dem Backup vom Rechner getrennt werden	Muss jemand tauschen und wegbringen, wird gern vergessen	Offline- und Auslagerungskopie
Bandlaufwerk (zum Beispiel LTO)	Offline, sehr haltbar, große Kapazität (LTO-9 rund 18 TB je Band ohne Kompression)	Laufwerk und Verwaltung kosten, sequentieller Zugriff	Archiv und Langzeitsicherung, Offsite-Kopie
Cloud-Speicher (Objektspeicher)	Standortunabhängig, Skalierung, Unveränderlichkeit möglich	Laufende Kosten, Upload- und Download-Zeit, Datenschutz zu klären	Offsite-Kopie

Warum eine Kopie außer Haus?

Alles, was im selben Gebäude passiert, kann alle dortigen Kopien treffen: Feuer, Wasser, Einbruch, ein Stromschlag durch Blitzeinschlag. Die dritte Kopie muss deshalb an einem anderen Ort liegen: in einem anderen Gebäude, bei einer anderen Niederlassung oder in der Cloud.

Rechenbeispiel: Wie lange dauert der Upload?

Bei einer Offsite-Kopie über das Internet zählt die Upload-Geschwindigkeit. Im Beitrag LAN, WLAN und WAN war der Upload am Hauptsitz mit 50 Mbit/s das Nadelöhr. Das erste Vollbackup mit 2 TB:

2 TB = 2.000.000 MB = 16.000.000 Mbit
16.000.000 Mbit ÷ 50 Mbit/s = 320.000 s ≈ 88,9 Stunden ≈ 3,7 Tage

Fast vier Tage Dauerbetrieb für die erste Übertragung. Danach muss nur noch das Geänderte hochgeladen werden. Ändern sich täglich 2 Prozent der Daten, sind das 40 GB:

40 GB = 40.000 MB = 320.000 Mbit
320.000 Mbit ÷ 50 Mbit/s = 6.400 s ≈ 1,8 Stunden

Das passt gut in eine Nacht. Umgekehrt ist die Wiederherstellung aus der Cloud viel langsamer als vom lokalen Backup. Bei einer Download-Rate von 100 Mbit/s dauern die 2 TB:

16.000.000 Mbit ÷ 100 Mbit/s = 160.000 s ≈ 44,4 Stunden

Das sind fast zwei Tage. Deshalb ist die Cloud-Kopie für den Notfall gedacht, wenn das ganze Gebäude betroffen ist. Für den normalen Ausfall gibt es die lokale Kopie, die schnell wieder einspielbar ist. Das ist die RTO-Überlegung aus dem vorigen Beitrag.

Erweiterung: 3-2-1-1-0

Seit Ransomware viele Backups gleich mit zerstört, ergänzt man die Regel häufig zu 3-2-1-1-0:

• Eine weitere 1: Mindestens eine Kopie ist offline oder unveränderlich (englisch immutable). Eine Schadsoftware kann sie nicht erreichen oder löschen, etwa weil das Medium getrennt ist oder der Speicher sie für eine feste Zeit gegen Änderung sperrt.
• Die 0 steht für null Fehler: Die Sicherungen werden automatisch geprüft, und Wiederherstellungstests laufen regelmäßig.

Backup-Arten: Voll, inkrementell, differentiell

Wie viel gesichert wird und wie viel Speicher es braucht, hängt von der Art des Backups ab:

• Vollsicherung: Alle Daten werden jedes Mal komplett kopiert. Wiederherstellung ist einfach, aber der Speicherbedarf und die Dauer sind hoch.
• Inkrementell: Gesichert wird nur, was sich seit der letzten Sicherung (egal welcher Art) geändert hat. Das ist schnell und spart Platz. Zur Wiederherstellung braucht man die letzte Vollsicherung und alle Inkremente danach.
• Differentiell: Gesichert wird, was sich seit der letzten Vollsicherung geändert hat. Die Sicherung wird täglich größer, aber zur Wiederherstellung genügen die Vollsicherung und die letzte Differenzsicherung.

Speicherbedarf nachgerechnet

Ein Datenbestand von 2 TB (2.000 GB), täglich ändern sich 2 Prozent, also 40 GB. Wöchentlich gibt es eine Vollsicherung am Sonntag, an den sechs anderen Tagen eine inkrementelle oder differentielle:

Strategie	Größe pro Tag	Rechnung für eine Woche	Wiederherstellung benötigt
Täglich voll	2.000 GB	7 × 2.000 = 14.000 GB	Ein Backup
Wöchentlich voll, sonst inkrementell	40 GB	2.000 + 6 × 40 = 2.240 GB	Vollsicherung und bis zu 6 Inkremente
Wöchentlich voll, sonst differentiell	40, 80, 120 … 240 GB	2.000 + (40+80+120+160+200+240) = 2.840 GB	Vollsicherung und die letzte Differenzsicherung

Die Differenz-Werte gelten unter der Annahme, dass jeden Tag andere Dateien geändert werden. Bei einer Aufbewahrung von vier Wochen heißt das für die inkrementelle Strategie 4 × 2.240 GB = 8.960 GB, also rund 9 TB. Moderne Backup-Programme sparen zusätzlich Platz durch Kompression und Deduplizierung, bei der doppelte Datenblöcke nur einmal gespeichert werden.

Aufbewahrung: Wie lange behält man Sicherungen?

Ein Backup, das nur den Stand von gestern enthält, hilft nicht, wenn ein Fehler erst nach einer Woche bemerkt wird. Deshalb hebt man mehrere Zeitstände auf, in gestaffelter Dichte. Ein bewährtes Schema ist das sogenannte Großvater-Vater-Sohn-Prinzip: täglich, wöchentlich und monatlich. Das Beispiel der Firma: täglich für zwei Wochen, wöchentlich für drei Monate:

Tägliche Sicherungen:   14
Wöchentliche:           ca. 13 (drei Monate)
Gesamt:                 rund 27 Wiederherstellungspunkte

Wie lange genau, richtet sich nach dem Bedarf und nach rechtlichen Aufbewahrungspflichten. Zu Letzterem klärst du Fragen im Zweifel mit der Geschäftsleitung oder einer Rechtsberatung.

Weitere Punkte, die oft vergessen werden

• Konsistenz: Datenbanken und laufende virtuelle Maschinen müssen so gesichert werden, dass sie in einem sauberen Zustand ankommen, zum Beispiel über Snapshots oder die Backup-Schnittstellen der Anwendung. Sonst ist die Kopie nicht verwendbar.
• Verschlüsselung: Besonders bei Kopien außer Haus. Die Schlüssel müssen getrennt aufbewahrt werden, sonst ist die Sicherung bei einem Totalausfall wertlos.
• Datenschutz: Bei Cloud-Backups mit personenbezogenen Daten sind Standort des Anbieters und Verträge zur Auftragsverarbeitung zu klären.
• Trennung der Zugangsdaten: Das Backup soll nicht mit demselben Administratorkonto erreichbar sein wie die Produktionssysteme. Wie du Netze trennst, zeigt später der Beitrag Netzwerksegmentierung.
• Systemwiederherstellung: Nicht nur Dateien sichern, sondern auch die Konfiguration und genug Information, um einen Server neu aufzusetzen.

Praxisbeispiel: 3-2-1-1-0 in der Firma

Die Firma setzt die Regel für den Dateiserver so um:

Kopie	Wo?	Medium	Rhythmus	Schützt vor
1 (Original)	srv-files (192.168.10.140)	Festplatten im RAID 6	Laufend	Plattenausfall
2 (lokales Backup)	srv-backup (192.168.10.150), getrenntes Gerät	Festplatten, Zugriff nur zum Hinzufügen	Täglich um 22 Uhr	Löschen, Ausfall des Servers, schnelle Wiederherstellung
3 (Offsite)	Cloud-Objektspeicher in der EU, verschlüsselt, mit Sperre gegen Änderungen	Cloud	Täglich nach dem lokalen Backup	Brand, Wasser, Diebstahl, Ransomware
Zusatz (offline)	USB-Festplatte, monatlich getrennt und außer Haus gelagert	Wechselfestplatte	Monatlich	Schadsoftware, die erreichbare Backups angreift

Die Prüfung gegen die Regel: Drei Kopien (Original, lokal, Cloud), zwei Medientypen (Festplatten und Cloud-Speicher), eine außer Haus (Cloud), dazu eine offline (USB-Platte). Die 0 Fehler erreicht die Firma durch tägliche Prüfung der Sicherungen und den Restore-Test einmal im Quartal.

Ein Werkzeug als Beispiel: restic

Wie ein solches Backup aussehen kann, zeigt das freie Programm restic. Es verschlüsselt, spart Platz durch Deduplizierung und legt mehrere Zeitstände an. Das ist nur ein Beispiel unter vielen. Zuerst legst du ein Backup-Archiv (Repository) auf dem Backup-Server an:

restic -r sftp:backup@192.168.10.150:/backup/restic init

Der Befehl fragt nach einem Passwort, mit dem das Archiv verschlüsselt wird. Verlierst du es, sind die Daten nicht wiederherstellbar. Dann sicherst du den Ordner /daten:

restic -r sftp:backup@192.168.10.150:/backup/restic backup /daten

Jeder Lauf erzeugt einen Zeitstand (Snapshot). Alle vorhandenen listest du so auf:

restic -r sftp:backup@192.168.10.150:/backup/restic snapshots

Für die „0 Fehler“ prüfst du das Archiv regelmäßig auf Unversehrtheit:

restic -r sftp:backup@192.168.10.150:/backup/restic check

Und für den Restore-Test spielst du den letzten Stand in ein Testverzeichnis zurück:

restic -r sftp:backup@192.168.10.150:/backup/restic restore latest --target /wiederherstellung

Alte Zeitstände räumst du nach dem Schema aus dem Beispiel (14 täglich, 13 wöchentlich) so auf:

restic -r sftp:backup@192.168.10.150:/backup/restic forget --keep-daily 14 --keep-weekly 13 --prune

Die Option --prune löscht die nicht mehr benötigten Daten wirklich. Führe diesen Befehl nur mit einem eigenen, dafür berechtigten Konto aus, nicht vom Server, den du schützen willst. Sonst ist die Sperre gegen Löschen wirkungslos. Alle Pfade und Adressen sind Beispiele.

Typische Fehler und Missverständnisse

• Nur eine Sicherung neben dem Original. Dann fehlt schon die Hälfte der Regel.
• Alle Kopien im selben Raum oder Gebäude. Ein Ereignis trifft alles.
• Zwei Kopien auf demselben Medium oder Gerät. Sie zählen praktisch als eine.
• Die Offsite-Kopie wird nie aktualisiert. Eine Sicherung vom letzten Jahr hilft wenig.
• Gleiche Zugangsdaten für Produktion und Backup. Wer das eine übernimmt, löscht auch das andere.
• Unverschlüsselte Kopie außer Haus. Gerät oder Konto können in falsche Hände geraten.
• Backup nie getestet. Erst die erfolgreiche Wiederherstellung beweist, dass es funktioniert.
• Verschlüsselungs-Schlüssel nur auf dem gesicherten System. Geht das System verloren, ist die Sicherung unlesbar.
• Upload- und Download-Zeiten nicht berechnet. Die Wiederherstellung aus der Cloud kann Tage dauern.
• Datenschutz ignorieren. Bei personenbezogenen Daten ist der Standort wichtig.

Zum Üben

1. Was bedeuten die Zahlen 3, 2 und 1 in der 3-2-1-Regel?
2. Die Wahrscheinlichkeit, dass eine Kopie in einem Jahr ausfällt, beträgt 2 Prozent. Wie hoch ist die Wahrscheinlichkeit, dass bei drei unabhängigen Kopien alle ausfallen?
3. Wie lange dauert der Upload von 1,5 TB bei 100 Mbit/s?
4. Ein Datenbestand von 1 TB wird wöchentlich voll gesichert, an den anderen sechs Tagen inkrementell. Täglich ändern sich 2 Prozent. Wie groß ist die Woche insgesamt?
5. Was braucht man zur Wiederherstellung bei einer inkrementellen und was bei einer differentiellen Strategie?
6. Was fordern die beiden zusätzlichen Zahlen in 3-2-1-1-0?
7. Ein NAS und eine zweite USB-Platte stehen im selben Raum wie der Server. Ist das 3-2-1? Begründe.

Lösungen: (1) Drei Kopien (Original und zwei Sicherungen), zwei verschiedene Medien, eine Kopie an einem anderen Ort. (2) 0,02 × 0,02 × 0,02 = 0,000008, das sind 0,0008 Prozent. (3) 1,5 TB = 1.500.000 MB = 12.000.000 Mbit. 12.000.000 ÷ 100 = 120.000 s, rund 33,3 Stunden. (4) 2 Prozent von 1.000 GB sind 20 GB. Woche: 1.000 + 6 × 20 = 1.120 GB. (5) Inkrementell: letzte Vollsicherung und alle Inkremente danach. Differentiell: letzte Vollsicherung und die letzte Differenzsicherung. (6) Eine Kopie offline oder unveränderlich und null Fehler durch automatische Prüfung und Wiederherstellungstests. (7) Nein. Es fehlt die Kopie an einem anderen Ort. Ein Brand oder Wasserschaden im Raum trifft alle drei Kopien.

Das solltest du dir merken

• 3-2-1: Drei Kopien, zwei verschiedene Medien, eine Kopie an einem anderen Ort.
• Jede unabhängige Kopie senkt das Risiko um ein Vielfaches. Die Rechnung gilt nur, wenn die Ausfälle unabhängig sind.
• 3-2-1-1-0 ergänzt eine Offline- oder unveränderliche Kopie und null Fehler durch Prüfung.
• Voll, inkrementell und differentiell unterscheiden sich in Speicherbedarf, Dauer und Aufwand der Wiederherstellung.
• Rechne Upload- und Wiederherstellungszeiten nach: Datenmenge geteilt durch Übertragungsrate.
• Verschlüssele Kopien außer Haus und bewahre die Schlüssel getrennt auf.
• Teste die Wiederherstellung regelmäßig und trenne die Zugangsdaten von Backup und Produktion.

Ein Backup, das heimlich fehlschlägt, ist gefährlicher als gar keines, weil man sich sicher fühlt. Wie du bei Servern, Netzwerk und Sicherungen früh merkst, wenn etwas nicht stimmt, zeigt der nächste Beitrag: Monitoring verstehen.