Die 3-2-1-Regel für Backups

Was die 3-2-1-Regel aussagt und woher sie kommt

Die 3-2-1-Regel fasst ein Grundprinzip der Datensicherung in drei Zahlen zusammen. Sie wird häufig dem Fotografen Peter Krogh zugeschrieben und hat sich als Merkformel in der IT-Praxis und in Empfehlungen zur Datensicherung verbreitet. Die Regel besteht aus drei Teilen:

Ihre Stärke liegt in der Einfachheit. Sie zwingt dazu, über Ausfallursachen nachzudenken, die gern übersehen werden: den Defekt des Datenträgers, den Ausfall des gesamten Systems, den Verlust des Gebäudes. Ihre Schwäche liegt, wie weiter unten gezeigt wird, in dem, was sie nicht sagt.

• 3 Kopien Ihrer Daten: das Original im Produktivsystem und zwei weitere Kopien
• 2 verschiedene Speichermedien oder Speicherarten, damit ein einzelner technischer Fehler nicht alle Kopien betrifft
• 1 Kopie an einem anderen Standort, damit ein Ereignis am Hauptstandort nicht alle Kopien betrifft

Das eigentliche Prinzip: Unabhängigkeit der Ausfallursachen

Hinter den drei Zahlen steht ein probabilistischer Gedanke. Wenn zwei Kopien unabhängig voneinander ausfallen können, ist die Wahrscheinlichkeit, dass beide gleichzeitig verloren gehen, deutlich geringer als die Ausfallwahrscheinlichkeit einer einzelnen Kopie. Dieser Effekt tritt jedoch nur ein, wenn die Ausfälle tatsächlich unabhängig sind. Teilen sich zwei Kopien dieselbe Schwachstelle, ist der Gewinn durch die zweite Kopie gering oder entfällt ganz. In der Zuverlässigkeitstechnik spricht man von Ausfällen mit gemeinsamer Ursache (Common-Mode-Failures).

Je weniger Gemeinsamkeiten zwischen den Kopien bestehen, desto größer ist der Schutz. Die Regel ist damit weniger eine Zählaufgabe als ein Entwurfsprinzip.

Die drei Zahlen der Regel lassen sich daher als Aufforderung lesen, Fehlerdomänen systematisch zu trennen. Mögliche gemeinsame Ursachen sind:

• Hardware: derselbe Datenträger, dasselbe Speichersystem, dieselbe Charge oder dieselbe Firmware
• Standort: derselbe Raum, dasselbe Gebäude, dieselbe Stromversorgung, dasselbe Netzsegment
• Software: dasselbe Dateisystem oder dieselbe Backup-Software in derselben Version mit demselben Fehler
• Administration: dieselben Zugangsdaten, dieselbe Verwaltungsdomäne, dieselben Berechtigungen
• Zeit: dieselbe Aufbewahrung, sodass ein unbemerkter Fehler alle Generationen gleichzeitig betrifft

Die drei Zahlen im Einzelnen

Drei Kopien. Das Original zählt mit. Eine zweite Kopie schützt vor dem Ausfall der Produktivdaten. Die dritte deckt den Fall ab, dass die erste Sicherung beim Zurückspielen nicht lesbar ist oder gleichzeitig mit dem Original betroffen wird. Wichtig ist, dass es sich um eigenständige Kopien handelt und nicht um Verweise auf dieselben Daten.

Zwei Speicherarten. Gemeint ist Diversität, beispielsweise ein lokaler Datenträger und Objektspeicher in der Cloud. Das Ziel ist nicht, möglichst ungewöhnliche Medien zu verwenden, sondern zu vermeiden, dass ein Fehler in einer Technologie alle Kopien zugleich unbrauchbar macht. Zwei baugleiche Festplatten im selben Server erfüllen diesen Gedanken nicht.

Eine Kopie an einem anderen Ort. Brand, Wasserschaden, Einbruch, Stromausfall und großflächige Störungen betreffen meist einen Standort als Ganzes. Entscheidend ist, dass die externe Kopie auch gegen Angriffe über das Netzwerk getrennt ist. Eine Kopie im Nachbarraum, die über dasselbe Netz und mit denselben Zugangsdaten erreichbar ist, ist räumlich getrennt, aber nicht logisch getrennt.

Die erweiterte Variante 3-2-1-1-0

Angesichts von Ransomware, die gezielt auch Sicherungen sucht und löscht, wird die Regel häufig um zwei Ziffern erweitert:

• 1 zusätzliche Kopie, die offline, logisch isoliert oder unveränderbar ist, zum Beispiel durch Sperrfristen, die ein Löschen während des festgelegten Zeitraums verhindern
• 0 Fehler: Die Sicherungen werden validiert und die Wiederherstellung wird regelmäßig getestet, sodass Fehler vor dem Ernstfall auffallen

Was die Erweiterung verändert

Die erste Ergänzung adressiert Angreifer mit administrativen Rechten, die zweite das Risiko stiller Fehler. Auch dieses Modell ist keine Zusicherung. Es verschiebt die Frage von „Wie viele Kopien?“ zu „Wer kann welche Kopie verändern oder löschen?“. Zu den Möglichkeiten und Grenzen von Sperrfristen siehe Immutable Backup und Sperrfristen.

Typische Konstruktionsfehler

Viele Umgebungen erfüllen die Regel auf dem Papier und verfehlen sie in der Praxis. Häufige Muster:

• Die „zweite Kopie“ ist ein per Laufwerksbuchstaben eingebundenes Netzlaufwerk, das mit denselben Benutzerrechten beschrieben und gelöscht werden kann wie die Produktivdaten.
• Eine Synchronisation, etwa ein Cloud-Ordner, wird als Backup gezählt, obwohl sie Löschungen und Verschlüsselungen auf die Gegenseite überträgt und keine früheren Stände vorhält.
• Snapshots auf demselben Speichersystem gelten als eigene Kopie, obwohl sie von diesem System abhängen.
• Alle Kopien werden mit denselben Zugangsdaten verwaltet, sodass ein gestohlenes Administratorkonto alle Kopien erreicht.
• Die externe Kopie existiert, wurde aber nie zurückgespielt, und niemand weiß, ob sie vollständig und lesbar ist.
• Die Georedundanz eines Speicherdienstes wird als zweite Kopie gewertet, obwohl es sich um eine Replikation handelt, die auch Fehler überträgt.

Gemeinsames Muster: Anzahl stimmt, Unabhängigkeit nicht

Gemeinsam ist diesen Mustern, dass die Anzahl der Kopien stimmt, die Unabhängigkeit aber nicht. Eine Bewertung nach bloßer Zählung genügt deshalb nicht.

Ein konstruiertes Beispiel: Wie lässt sich eine Umgebung bewerten?

Das Beispiel ist konstruiert und dient der Veranschaulichung. Ein kleines Unternehmen betreibt einen Dateiserver. Es gibt eine nächtliche Sicherung auf ein Speichersystem im Serverraum und eine zweite Sicherung in einen Cloud-Speicher in einem Rechenzentrum. Die Kopien sind: Original auf dem Server, lokale Sicherung, Cloud-Sicherung. Zwei Speicherarten und ein externer Standort sind damit formal erfüllt. Ob die Konstruktion belastbar ist, zeigt erst die Prüfung typischer Ereignisse:

• Defekt des Server-Datenträgers: Die lokale Sicherung genügt für eine schnelle Wiederherstellung.
• Brand im Serverraum: Original und lokale Sicherung sind betroffen, die Cloud-Sicherung bleibt erhalten. Die Wiederherstellung dauert länger, weil die Daten über die Leitung kommen.
• Ransomware mit Domänenadministrator-Rechten: Sind die Zugangsdaten der Sicherung dieselben wie die der Domäne, sind lokale und möglicherweise auch Cloud-Sicherung angreifbar. Getrennte Zugangsdaten, Mehr-Faktor-Authentifizierung und Sperrfristen verändern das Ergebnis erheblich.
• Versehentliches Löschen eines Ordners: Entscheidend ist, wie viele frühere Stände aufbewahrt werden und wie lange. Ein Ordner, der vor drei Wochen gelöscht und erst heute vermisst wird, ist nur wiederherstellbar, wenn die Aufbewahrung entsprechend lang ist.
• Unbemerkt fehlerhafte Sicherung: Ohne Validierung und Test fällt der Fehler erst im Ernstfall auf.

Ergebnis der Szenarioprüfung

Das Beispiel zeigt: Nicht die Zahl der Kopien entscheidet, sondern das Ergebnis der Szenarioprüfung.

Was die Regel nicht beantwortet

Die 3-2-1-Regel macht keine Aussage zu mehreren Fragen, die für die Wiederherstellung wesentlich sind:

• Wie schnell? Die Regel sagt nichts über Wiederherstellungsdauer und RTO, siehe RPO und RTO einfach erklärt.
• Wie aktuell? Das Sicherungsintervall und damit das RPO bleiben offen.
• Wie konsistent? Dateikopien einer laufenden Datenbank können unbrauchbar sein, wenn die Anwendung nicht berücksichtigt wird.
• Wie lange? Aufbewahrung und Anzahl der Generationen sind nicht geregelt.
• Wer darf was? Berechtigungen und Schutz vor Löschung sind nicht Teil der Regel.
• Wo genau und unter welchen rechtlichen Bedingungen? Speicherort, Verschlüsselung, Auftragsverarbeitung und Löschfristen sind separat zu klären.

Einordnung als Baustein einer Strategie

Die Regel ist daher ein Baustein innerhalb einer Backup-Strategie und nicht deren Ersatz. Einen Überblick über das Vorgehen gibt der Beitrag Backup-Strategie für KMU.

Kopien sind nicht gleich Generationen

Die Regel zählt Kopien, nicht Zeitpunkte. Für die Wiederherstellung ist aber ebenso wichtig, wie viele frühere Stände einer Datei oder eines Systems vorliegen. Drei identische Kopien desselben Zustands helfen nicht, wenn ein Fehler schon vor dem letzten Sicherungslauf entstanden ist und unbemerkt mitgesichert wurde, etwa eine schleichend beschädigte Datenbank oder eine versehentliche Änderung, die erst Wochen später auffällt.

Deshalb wird die Zahl der Kopien in der Praxis durch ein Generationenkonzept ergänzt: Tägliche Stände werden über eine kurze Zeit vorgehalten, wöchentliche und monatliche über längere Zeiträume. Wie viele Generationen sinnvoll sind, hängt davon ab, wie lange es typischerweise dauert, bis ein Fehler bemerkt wird, und wie groß der Speicherbedarf ausfällt. Die Aufbewahrungsdauer ist somit eine eigene Entwurfsentscheidung neben der 3-2-1-Struktur und sollte für jede Systemgruppe ausdrücklich festgelegt werden.

Die Regel bei Cloud-Diensten wie Microsoft 365

Auch Daten in Cloud-Diensten unterliegen der Frage nach den Kopien. Liegen E-Mails, Dateien und Teams-Inhalte bei einem Anbieter, ist der Dienst selbst das „Original“. Die Redundanz, die der Anbieter für den eigenen Betrieb vorhält, dient der Verfügbarkeit des Dienstes und ist nicht ohne weiteres eine für Sie zugängliche, unabhängige Sicherungskopie mit definierten Aufbewahrungsfristen.

Eine unabhängige Kopie entsteht erst, wenn die Daten in einen getrennten Speicher gesichert werden, mit eigenen Zugangsdaten und eigener Aufbewahrung. Für Microsoft 365 und Google Workspace ist das als Cloud-to-Cloud-Backup ohne Agent möglich, siehe Microsoft 365 und Google Workspace sichern und den Beitrag Braucht Microsoft 365 ein Backup?.

Anpassung an Schutzbedarf, Datenmenge und Budget

Ob 3-2-1, 3-2-1-1-0 oder eine andere Ausprägung angemessen ist, hängt von Schutzbedarf, Datenmenge, Recovery-Anforderungen, Budget, Bedrohungsmodell und Betriebsumgebung ab. Nicht jedes System braucht denselben Aufwand. Ein Testserver verträgt eine schlankere Lösung als die Warenwirtschaft. Sinnvoll ist daher, Systeme nach Kritikalität einzuteilen und die Regel gestuft anzuwenden.

In der Praxis wirken zwei Größen als Bremse: Speicherbedarf und Bandbreite. Jede weitere Kopie vervielfacht den Speicher, und große Datenbestände lassen sich nicht beliebig oft über die Leitung schicken. Bei der erstmaligen Sicherung sehr großer Datenmengen kann der physische Datenversand eine Alternative zur Übertragung über das Internet sein. Danach werden nur noch Änderungen übertragen.

Umsetzung mit der Plattform

Mit der Plattform lassen sich lokale Kopien und eine Kopie im Cloud-Speicher kombinieren. Der Cloud-Speicher liegt im Rechenzentrum in Frankfurt am Main und kann optional an einen zweiten Standort gespiegelt werden (in der Regel Berlin, gegen Aufpreis). Die Übertragung erfolgt verschlüsselt, die Speicherung ebenfalls, zusätzlich lassen sich einzelne Backup-Archive verschlüsseln. Auf unterstützten Zielen können Sie Sicherungen für einen festgelegten Zeitraum sperren, sodass sie in dieser Zeit weder verändert noch gelöscht werden können. Sicherungen lassen sich außerdem validieren.

Beachten Sie die Einordnung der Georedundanz: Sie ist eine Replikation des Speichers an einen zweiten Standort. Sie verringert das Risiko eines Standortausfalls, ersetzt aber keine unabhängige Sicherungskopie mit eigenen früheren Ständen. Die Prüfung der Backups und Restore-Tests liegen bei Ihnen oder werden auf Wunsch gegen Vergütung von uns übernommen. Passende Szenarien beschreibt die Lösung Server und Datenbanken sichern.

So wenden Sie die Regel in fünf Schritten an

Für die praktische Anwendung hat sich eine kurze Abfolge bewährt:

• Systeme und Daten erfassen und nach Kritikalität einteilen.
• Pro Gruppe festlegen, welche Kopien an welchen Orten und auf welchen Speicherarten liegen sollen.
• Fehlerdomänen prüfen: gemeinsame Hardware, Standorte, Zugangsdaten und Verwaltungswege identifizieren und trennen.
• Aufbewahrung, Sperrfristen und Verschlüsselung festlegen.
• Die Wiederherstellung aus der externen Kopie testen, Ergebnis und Dauer dokumentieren und den Test regelmäßig wiederholen.