# Backup-Strategie für KMU: 3-2-1 in der Praxis

> Was 3-2-1 bedeutet und was die Regel nicht sagt, wie ein typisches Büro sichert, warum Microsoft 365 ein eigenes Backup braucht und wie du die Wiederherstellung testest.

- Veröffentlicht: 2026-09-27
- Aktualisiert: 2026-09-27
- Quelle: https://art-kon-tor-digital.de/wissen/backup-strategie-kmu/

---

Eine brauchbare Backup-Strategie für ein kleines oder mittleres Unternehmen folgt der [3-2-1-Regel](/glossar/backup-3-2-1/): drei Kopien deiner Daten, auf zwei verschiedenen Speichern, eine davon außer Haus, und mindestens eine, die ein Angreifer mit Admin-Rechten nicht löschen kann. Entscheidend ist aber nicht die Regel, sondern der Test: Ein Backup, dessen Wiederherstellung nie geprüft wurde, ist eine Vermutung. In diesem Artikel beschreibt Laurens aus unserem IT-Team, wie wir 3-2-1 bei Kunden umsetzen, welche Werkzeuge wir nutzen und woran Backups in der Praxis scheitern.

## Was 3-2-1 bedeutet: und was die Regel nicht sagt

Die Regel ist alt und einfach. Drei Kopien heißt: die Originaldaten plus zwei Sicherungen. Zwei verschiedene Speicher heißt: nicht beide Sicherungen auf demselben NAS, derselben Festplatte oder im selben System. Eine Kopie außer Haus heißt: Wenn das Büro abbrennt, geflutet oder ausgeräumt wird, liegt irgendwo anders noch ein Stand.

Was die Regel nicht sagt, ist inzwischen wichtiger als das, was sie sagt. Sie stammt aus einer Zeit, in der Festplattendefekte und Brände die größten Gefahren waren. Heute ist es Ransomware, und die sucht gezielt nach Backups, bevor sie verschlüsselt. Deshalb erweitern wir die Regel in der Praxis zu 3-2-1-1-0:

- **1 Kopie unveränderbar oder offline.** Ein Speicher, auf dem Sicherungen für eine festgelegte Zeit nicht gelöscht oder überschrieben werden können, auch nicht mit Admin-Zugang. Oder ein Datenträger, der physisch vom Netz getrennt ist.
- **0 Fehler bei der Prüfung.** Sicherungen werden automatisch verifiziert, und Wiederherstellungen werden regelmäßig getestet. Ein grünes Häkchen im Protokoll reicht nicht.

## Erst klären: Wie viel Datenverlust und wie viel Ausfall verträgst du?

Bevor wir über Speicher reden, stellen wir zwei Fragen. Wie viel Arbeit darf im schlimmsten Fall verloren gehen, ein Tag, eine Stunde, fünf Minuten? Und wie lange darf ein System stehen, bis es wieder läuft? Im Fachjargon heißen die beiden Werte RPO und RTO. Die Antworten fallen je nach System sehr unterschiedlich aus.

| System | Typische Anforderung | Was daraus folgt |
| --- | --- | --- |
| Warenwirtschaft, ERP, Praxis- oder Kanzleisoftware | Wenig Datenverlust, schneller Wiederanlauf | Mehrmals täglich sichern, Wiederherstellung auf Ersatzhardware vorbereiten |
| Dateiablage, Nextcloud, Fileserver | Ein Arbeitstag Verlust ist ärgerlich, aber tragbar | Nächtliche Sicherung plus Snapshots tagsüber |
| E-Mail und Microsoft 365 | Einzelne Postfächer und Dateien wiederherstellen können | Eigene Sicherung außerhalb des Microsoft-Mandanten |
| Website und Shop | Stand von gestern reicht meist | Tägliche Sicherung von Dateien und Datenbank beim Hoster und an einem zweiten Ort |
| Konfigurationen von Firewall, Switches, Hypervisor | Selten geändert, im Ernstfall dringend gebraucht | Export nach jeder Änderung, abgelegt in der Dokumentation |

Stand: 09/2026. Beispiele aus unserer Praxis, keine Norm.

Die Tabelle zeigt, warum „ein Backup für alles“ selten passt. Wer die Anforderungen einmal pro System festhält, kann danach Werkzeug und Rhythmus begründen, und weiß im Ernstfall, was zuerst wiederhergestellt wird.

## So sieht 3-2-1 bei einem typischen Büro aus

Ein Beispiel aus dem Alltag: ein Büro mit zwanzig Arbeitsplätzen, einem Virtualisierungsserver mit [Proxmox](/it/open-source-infrastruktur/), darauf Warenwirtschaft, Dateiablage und ein paar Dienste, dazu Microsoft 365 oder eine eigene [Nextcloud](/it/nextcloud/).

- **Kopie 1, vor Ort.** Ein Proxmox Backup Server im Haus, in einem anderen Brandabschnitt als der Hauptserver, wenn das Gebäude es hergibt. Er sichert die virtuellen Maschinen nachts vollständig und tagsüber inkrementell. Wiederherstellungen gehen von hier am schnellsten.
- **Kopie 2, außer Haus.** Der Backup-Server gleicht seine Sicherungen verschlüsselt mit einem zweiten Backup-Server in einem Rechenzentrum ab. Den Schlüssel hast du, nicht der Rechenzentrumsbetreiber.
- **Die unveränderbare Kopie.** Entweder ein Speicher mit Löschsperre für einen festgelegten Zeitraum oder wechselnde Datenträger, die im Tresor liegen. Welche Variante passt, hängt davon ab, ob jemand im Haus den Wechsel zuverlässig übernimmt, ehrlich gesagt klappt das seltener, als man denkt.
- **Cloud-Daten extra.** Microsoft 365 sichert deine Postfächer und Dateien nicht gegen Löschung durch dich oder einen Angreifer mit deinem Konto. Papierkorb und Aufbewahrungsrichtlinien sind kein Backup. Deshalb gibt es eine eigene Sicherung in einen Speicher außerhalb des Mandanten.

Für Windows-Umgebungen setzen wir je nach Bestand auch Veeam ein, für einzelne Linux-Server Restic oder Borg. Das Werkzeug ist weniger wichtig als die Trennung: Der Backup-Server gehört nicht zur Windows-Domäne, hat eigene Zugangsdaten mit [Mehrfaktor-Anmeldung](/glossar/mfa/) und ist aus dem Büronetz nur dort erreichbar, wo es nötig ist.

## Wiederherstellung testen: mit Stoppuhr

Der häufigste Befund, wenn wir eine IT übernehmen, ist nicht „kein Backup“, sondern „Backup, das nie jemand zurückgespielt hat“. Dann stellt sich im Ernstfall heraus, dass die Datenbank im laufenden Betrieb inkonsistent gesichert wurde, dass ein Laufwerk seit Monaten fehlt oder dass niemand das Verschlüsselungspasswort kennt.

Unser Mindeststandard für Wiederherstellungstests:

- Monatlich eine Stichprobe: einzelne Dateien, ein Postfach, eine Datenbank. Dauert eine halbe Stunde und findet die meisten Fehler.
- Quartalsweise ein komplettes System: eine virtuelle Maschine wird in eine isolierte Umgebung zurückgespielt und gestartet. Die Zeit bis zum Login wird notiert.
- Einmal im Jahr der Ernstfall auf dem Papier: Der Hauptserver ist weg. Was wird in welcher Reihenfolge wiederhergestellt, wer entscheidet, wo steht die Ersatzhardware?
- Jeder Test wird protokolliert, Datum, System, Dauer, Probleme. Das Protokoll ist auch das, was ein Kunde, ein Versicherer oder ein Prüfer sehen will.

Wer unter [NIS2](/it/cyber-security/nis2/) fällt, hat einen zusätzlichen Grund: Die Maßnahmenliste der Richtlinie nennt Backup-Management und Wiederherstellung ausdrücklich. Was sich daraus technisch ergibt, steht im Artikel [NIS2: Bin ich betroffen?](/wissen/nis2-bin-ich-betroffen-und-was-ist-technisch-zu-tun/).

## Woran Backups in der Praxis scheitern

- **Das Backup liegt im selben Netz und mit denselben Zugangsdaten.** Wer den Domänen-Admin hat, löscht zuerst die Sicherungen. Das ist kein theoretisches Szenario, sondern der übliche Ablauf eines Ransomware-Angriffs.
- **Fehlermeldungen gehen an ein Postfach, das niemand liest.** Monitoring gehört in die Überwachung des Dienstleisters, mit Alarm, nicht in eine Sammelmail.
- **Neue Systeme werden vergessen.** Die neue Datenbank, der zusätzliche Server, das Team, das jetzt in einer anderen Cloud arbeitet. Die Liste der gesicherten Systeme braucht eine Pflegeroutine.
- **Niemand kennt die Schlüssel.** Verschlüsselungspasswörter gehören in einen Passwort-Manager, der dir gehört, Vaultwarden, und zusätzlich versiegelt in den Notfallordner.
- **Die Wiederherstellung ist nie durchgespielt.** Dann dauert sie im Ernstfall Tage statt Stunden, weil erst herausgefunden werden muss, wie sie geht.

Wenn ein Systemausfall nachts oder am Wochenende teuer wird, etwa in der Produktion oder im Onlineshop, bieten wir die Wiederherstellung optional mit 24/7-Bereitschaft an. Für die meisten Büros reicht die Reaktion zu Geschäftszeiten, solange die Überwachung rund um die Uhr läuft.

[**10 Fragen an deinen IT-Dienstleister**Wo liegen die Backups, wer kennt die Schlüssel, wann war der letzte Test? Die Checkliste mit den Fragen, die du deinem Dienstleister stellen solltest.*PDF herunterladen →*](https://art-kon-tor-digital.de/wp-content/uploads/2026/09/10-fragen-an-deinen-it-dienstleister.pdf)

## Fazit

Eine Backup-Strategie für KMU besteht aus drei Kopien auf zwei Speichern mit einer außer Haus, einer Kopie, die ein Angreifer nicht löschen kann, und regelmäßigen Wiederherstellungstests mit Protokoll. Dazu kommt eine eigene Sicherung für Cloud-Dienste wie Microsoft 365. Nichts davon ist teuer im Vergleich zu einem Ausfall, aufwendig ist nur die Disziplin, es dauerhaft zu prüfen. Genau das übernehmen wir in der [IT-Betreuung](/it/it-betreuung/); wie wir Server und Speicher betreiben, steht unter [Hosting und Managed Server](/it/hosting-managed-server/).

## Häufige Fragen

Reicht ein NAS als Backup?
Ein NAS ist ein guter erster Speicher, aber allein kein Backup-Konzept. Es steht im selben Raum wie der Server, hängt im selben Netz und ist oft mit denselben Zugangsdaten erreichbar. Mit einer zweiten Kopie außer Haus und Snapshots, die nicht einfach gelöscht werden können, wird es Teil einer 3-2-1-Strategie.

Muss ich Microsoft 365 wirklich extra sichern?
Ja, wenn du Daten nach versehentlichem oder böswilligem Löschen zuverlässig zurückholen willst. Microsoft sorgt dafür, dass der Dienst läuft, nicht dafür, dass deine gelöschten Inhalte dauerhaft verfügbar bleiben. Papierkorb und Aufbewahrungsrichtlinien helfen, ersetzen aber keine Sicherung außerhalb des Mandanten.

Wie oft sollte ich die Wiederherstellung testen?
Wir empfehlen monatliche Stichproben einzelner Dateien und Postfächer und mindestens quartalsweise die Wiederherstellung eines kompletten Systems in einer isolierten Umgebung. Wichtig ist das Protokoll mit Dauer und Problemen, nicht nur das Ergebnis.

Was ist ein unveränderbares Backup?
Eine Sicherung, die für einen festgelegten Zeitraum weder gelöscht noch überschrieben werden kann, auch nicht mit Administratorrechten. Das schützt gegen Ransomware, die gezielt nach Backups sucht. Alternativ erfüllt ein Datenträger, der physisch vom Netz getrennt ist, denselben Zweck.

Wo sollte die Kopie außer Haus liegen?
In einem Rechenzentrum in Deutschland oder der EU, verschlüsselt, mit einem Schlüssel, den nur du und dein Dienstleister kennen. Ein Datenträger, den der Chef mit nach Hause nimmt, ist besser als nichts, scheitert aber meist an der Regelmäßigkeit.

*Stand: September 2026, wir aktualisieren diesen Artikel, wenn sich Rechtslage oder Technik ändern.*