Backup-Strategie für KMU: 3-2-1-Regel, Ransomware, M365

Warum Backups gerade für KMU zählen

Der aktuelle BSI-Lagebericht 2025 nennt dazu Zahlen des Bundeskriminalamts für das Jahr 2024: 950 Ransomware-Angriffe wurden bei der Polizei angezeigt, etwas weniger als im Vorjahr. 72 Prozent dieser angezeigten Fälle gingen mit Datenleaks oder deren Androhung einher, und rund 80 Prozent der 2024 angezeigten Angriffe zielten auf kleine und mittlere Unternehmen. Angreifer nehmen laut BSI zunehmend auch kleine und Kleinstunternehmen mit schwach geschützten Systemen ins Visier, selbst wenn dort weniger Lösegeld zu holen ist. Das Fazit des BSI: Backups bleiben essenziell gegen Ransomware, helfen aber nicht gegen Datenleaks. Dazu kommt laut BSI, dass Cyberversicherungen in ihren Bedingungen Sicherheitsmaßnahmen wie ein geeignetes Backup-Konzept vorgeben und im Schadensfall genau auf Versäumnisse prüfen.

RPO und RTO: erst die Ziele, dann die Technik

Jede Sicherung braucht zwei Zielwerte aus dem Notfallmanagement. Der BSI-Standard 200-4 definiert sie so:

• RPO (Recovery Point Objective), der maximal zulässige Datenverlust: wie alt verfügbare Daten höchstens sein dürfen, um im Notbetrieb sinnvoll weiterzuarbeiten. Daraus folgt der Sicherungszyklus. Wer höchstens einen Arbeitstag verlieren darf, braucht mindestens eine tägliche Sicherung.
• RTO (Recovery Time Objective), die geforderte Wiederanlaufzeit: der Zeitraum vom Ausrufen des Notfalls bis zur geforderten Inbetriebnahme, etwa bis ein IT-System auf den letzten gesicherten Stand zurückgesetzt ist.

Der IT-Grundschutz-Baustein CON.3 Datensicherungskonzept verlangt, die Anforderungen je IT-System mit den Fachverantwortlichen zu erheben, von Datenmenge und Änderungsvolumen bis zu rechtlichen Vorgaben. Daraus entstehen Datensicherungspläne: welche Daten wie gesichert werden, in welcher Reihenfolge Systeme wiederhergestellt werden, wie lange Sicherungen aufbewahrt und wie sie vor unbefugtem Zugriff geschützt werden. Auch Router, Switches und andere Geräte mit gespeicherten Konfigurationen gehören laut BSI dazu.

Sicherungsarten: voll, inkrementell, differenziell, Snapshot, Image

Moderne Software verwischt die Grenzen: Der Proxmox Backup Server überträgt nur Änderungen, trotzdem verweist laut Hersteller jede Sicherung auf alle Daten und ist damit eine Vollsicherung. Und ein RAID-Verbund ist kein Backup. Das BSI begründet das so: Gespiegelte Daten werden gleichzeitig verändert, RAID schützt also vor einer defekten Festplatte, nicht vor versehentlichem Überschreiben oder Schadsoftware.

Die 3-2-1-Regel und die Erweiterung 3-2-1-1-0

Die bekannteste Faustregel lautet 3-2-1. Das BSI empfiehlt sie in einem Hilfsmittel zum Standard 200-4: drei aktuelle Versionen wichtiger Dateien, auf zwei verschiedenen Medien, an mindestens einem weiteren Ort. Ein Papier der Carnegie Mellon University für das US-CERT von 2012 präzisiert: das Original und zwei Backups, auf zwei Medientypen, eine Kopie außer Haus. Für die Regel verweist es auf Peter Kroghs Buch „The DAM Book“ über digitale Bildverwaltung für Fotografen (2. Auflage 2009).

Die Erweiterung 3-2-1-1-0 stellt der Backup-Hersteller Veeam als eigene Erweiterung der Regel vor; sie ist ein Herstellerbegriff und keine Norm und kommt in den hier ausgewerteten BSI-Dokumenten nicht vor. Veeam ergänzt eine unveränderliche oder vom Netz getrennte Kopie (die zweite 1) und null Fehler bei der Wiederherstellung, belegt durch Prüfungen und Tests (die 0). Inhaltlich deckt sich das mit zwei BSI-Empfehlungen: mindestens eine Kopie offline und regelmäßige Wiederherstellungstests.

Offline und unveränderlich: die Kopie, die Angreifer nicht erreichen

Laut Maßnahmenkatalog Ransomware des BSI suchen Angreifer mit erbeuteten Administratorrechten gezielt nach allen Backups und verschlüsseln sie mit. Deshalb soll mindestens je eine Kopie offline liegen, also nach der Sicherung von den übrigen Systemen getrennt sein (Air Gap): auf getrennten Bändern, in einem Archiv mit physischem Zugriff oder in einem komplett vom eigenen Netz getrennten Cloud-Speicher.

• Trennung prüfen: Ein Domänen-Administrator versucht testweise, auf die getrennten Kopien zuzugreifen. Laut BSI darf das nicht gelingen.
• Schreibrechte begrenzen: Sicherungen müssen laut CON.3 vor Überschreiben geschützt sein; besonders schützenswerte Medien sollen nur während Sicherung und Wiederherstellung verbunden sein.
• Räumlich trennen: Sicherungsmedien gehören getrennt von den gesicherten Systemen, möglichst in einen anderen Brandabschnitt.
• Unveränderlich speichern (Immutability): Vorhandene Sicherungen lassen sich nicht nachträglich ändern. Microsoft 365 Backup nutzt dafür nur anhängend beschreibbaren Speicher, der Proxmox Backup Server überschreibt vorhandene Datenblöcke nicht, WORM-Bänder lassen sich weder löschen noch überschreiben.
• Weit genug zurück sichern: Angreifer bewegen sich laut BSI teils mehrere Wochen im Netz und können so bereits im Backup stecken. Vor einer Wiederherstellung gehört eine Prüfung auf Schadsoftware dazu.

Verschlüsselung und Zugangsdaten getrennt aufbewahren

Eine Sicherung bündelt die wertvollsten Daten des Unternehmens. Bei erhöhtem Schutzbedarf empfiehlt CON.3, alle Sicherungen zu verschlüsseln und die Schlüssel mit einer eigenen, getrennten Sicherung zu schützen. Der Baustein nennt auch den Grund: Ist mit dem Datenverlust auch der Schlüssel weg, lässt sich die Sicherung nicht mehr einspielen.

• Schlüssel getrennt aufbewahren: Die Proxmox-Dokumentation empfiehlt Passwortmanager plus USB-Stick an einem sicheren Ort, der Hauptschlüssel lässt sich als QR-Code ausdrucken. Die Verschlüsselung (AES-256-GCM) ist dort nicht standardmäßig aktiv.
• Notfallunterlagen auf Papier: Wichtige Dokumente, Kontaktdaten und Passwörter ausgedruckt bereitzuhalten, kann laut BSI nötig sein, damit sie auch bei verschlüsselten Systemen verfügbar sind.
• Administratorkonten absichern: Privilegierte Konten nur für Administration und immer mit Zwei-Faktor-Authentisierung, so das BSI. Das gilt auch für die Backup-Software.

Wiederherstellung regelmäßig testen

CON.3 macht den Test zur Basis-Anforderung: Es muss regelmäßig geprüft werden, ob gesicherte Daten einwandfrei und in angemessener Zeit zurückgespielt werden können. Ein festes Intervall nennt das BSI nicht. Die Proxmox-Dokumentation empfiehlt automatisierte Tests oder zumindest Stichproben, etwa wöchentlich oder monatlich, immer in eine neue VM statt über die laufende.

• Einzelne Datei und ganzes System üben, nicht nur die Datei aus dem Papierkorb.
• Zeit messen: Passt die tatsächliche Dauer zur RTO?
• Integrität prüfen lassen: Verifikationsjobs vergleichen Prüfsummen. Proxmox nennt sie selbst eine zusätzliche, aber keine ausreichende Schutzmaßnahme.

Microsoft 365: Wer sichert Ihre Daten?

In Microsofts Modell geteilter Verantwortung liegen Kundendaten, Konfigurationen und Identitäten bei allen Cloud-Modellen, ausdrücklich auch bei Microsoft 365, in der Verantwortung des Kunden; Microsoft betreibt Rechenzentren, Hardware und Plattform. Laut Microsoft ist das Modell eine Orientierung, keine vertragliche Aussage. Die eingebaute Wiederherstellung ist begrenzt:

Für längere Zeiträume gibt es das kostenpflichtige Microsoft 365 Backup für SharePoint, OneDrive und Exchange, mit einem Wiederherstellungsfenster von 3, 6, 12 oder 24 Monaten. Der Listenpreis liegt laut Microsoft bei 0,15 US-Dollar pro GB geschützter Daten und Monat, Wiederherstellungen sind kostenlos (Stand Oktober 2026). Die Sicherungen sind unveränderlich, solange der Backup-Administrator sie nicht ausdrücklich über das Offboarding löscht.

Aufbewahrungsrichtlinien und Archive sind ebenfalls kein Backup. Wie Exchange Online mit Blick auf die GoBD einzuordnen ist, steht im Beitrag Exchange Online und GoBD; wie ich E-Mail-Archivierung plane und betreue, unter E-Mail-Archivierung.

Virtualisierung: Backups mit dem Proxmox Backup Server

Für Proxmox VE gibt es den quelloffenen Proxmox Backup Server. Laut Dokumentation (Version 4.2) bietet er unter anderem:

• Inkrementelle Übertragung, Deduplizierung, SHA-256-Prüfsummen und zeitgesteuerte Verifikationsjobs; Verschlüsselung auf dem Client und Übertragung per TLS.
• Synchronisation auf einen entfernten Backup-Server; mit abgeschalteter Option „remove vanished“ kann ein übernommener Quellserver auf dem Ziel nichts löschen.
• Bandsicherung, auch auf WORM-Bänder, als zweites Medium und zum Auslagern.
• Feingranulare Rechte: Die Berechtigung Datastore.Backup erlaubt nur das Anlegen von Sicherungen. Proxmox empfiehlt, alte Sicherungen auf dem Backup-Server selbst auszudünnen, statt den Hosts Löschrechte zu geben.

Was die Subscriptions kosten, steht im Lizenzkostenvergleich Proxmox gegen VMware. Für die Strategie zählt: Ein Backup-Server im selben Raum wie die Hosts ist eine Kopie am selben Ort. Die Eins der 3-2-1-Regel erfüllen erst die Synchronisation an einen zweiten Standort oder ausgelagerte Bänder.

Notfallplan: wenn alle Systeme verschlüsselt sind

Für den schlimmsten Fall, alle Systeme verschlüsselt und eine Erpressungsforderung auf dem Tisch, empfiehlt das BSI eine Notfallplanung, die regelmäßig geübt wird, auch praktisch bis zum Schwarzstart, dem Wiederanlauf aller Systeme. Die Wiederherstellung kann laut BSI Wochen oder Monate dauern. Hinein gehören:

• Die geschäftskritischen Systeme und die Reihenfolge ihrer Wiederherstellung.
• Kommunikationswege außerhalb des betroffenen Netzes, Telefonnummern und Ansprechpartner auf Papier, eine Liste von Dienstleistern für Wiederherstellung und Forensik.
• Interne und externe Kommunikation einschließlich Meldepflichten und der Umgang mit einer Erpressungsforderung.
• Das Datensicherungskonzept selbst, laut CON.3 so gesichert, dass es auch bei Ausfall der Sicherungssysteme verfügbar ist.

Planbesprechungen am Tisch sind ein guter Anfang, doch erst ein echter Wiederaufbau zeigt, ob der Plan trägt.

Rechtlicher Rahmen: DSGVO, Aufbewahrung, NIS2

Art. 32 DSGVO nennt unter den technischen und organisatorischen Maßnahmen ausdrücklich die Fähigkeit, die Verfügbarkeit personenbezogener Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen (Abs. 1 lit. c), und ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit dieser Maßnahmen (lit. d). Ein regelmäßig getestetes Backup ist ein naheliegender Baustein, um beides zu erfüllen und nachzuweisen.

Steuerlich gilt als Orientierung: Die Aufbewahrungsfristen nach § 147 Abs. 3 AO betragen je nach Unterlage zehn, acht oder sechs Jahre, und digitale Unterlagen müssen die ganze Frist über verfügbar und unverzüglich lesbar sein. Das ist Aufgabe der Archivierung; das BSI behandelt sie nicht in CON.3, sondern im eigenen Baustein OPS.1.2.2. Für Unternehmen, die unter NIS2 fallen, nennt das BSI-Gesetz Backup-Management und Wiederherstellung nach einem Notfall als Mindestmaßnahme (§ 30 Abs. 2 Satz 2 Nr. 3 BSIG). Ob Sie betroffen sind, klärt der Beitrag NIS2 für KMU.

Ich habe für Unternehmen IT-Infrastrukturen mit Netzwerken, Servern und Backups aufgebaut und betreue sie aus der Ferne. Wie ich Systeme laufend überwache, beschreibt der Beitrag zu RMM und Managed IT; das Angebot steht unter IT-Infrastruktur.