Backup-Strategie
3-2-1-Regel + Immutable Backup gegen Ransomware
TL;DR
Eine Backup-Strategie definiert Backup-Frequenz, Speicherort, Aufbewahrungsdauer und Test-Verfahren. Industrie-Standard 3-2-1: 3 Kopien, 2 Medien, 1 offsite.
Was ist Backup-Strategie?
Backup-Mindeststandard 2026:
- 3 Kopien der Daten (Original + 2 Backups)
- 2 verschiedene Medien (z.B. lokale SAN + Cloud)
- 1 offsite (Cloud, anderer Standort)
- Immutable (gegen Ransomware) — Veeam Hardened Repos, Object-Lock S3
- Quartalsweise Restore-Tests
Praxisbeispiel
KMU mit 5 TB Datenvolumen: tägliches Inkrementelles Backup auf NAS, wöchentliches Voll-Backup auf Bandkassette + immutable S3-Backup. RTO 4h, RPO 24h.
Häufig gestellte Fragen
Wie lange aufbewahren?
Cloud sicher?
Rechtsgrundlage: Deutschland und Österreich
Backup-Management gehört zu den gesetzlichen Mindestmaßnahmen des NIS2-Risikomanagements (unionsrechtlich Art. 21 Abs. 2 der NIS-2-Richtlinie (EU) 2022/2555). Die 3-2-1-Regel und Immutable Backups sind dabei anerkannter Industriestandard, keine gesetzlich vorgeschriebene Norm. Die konkrete Fundstelle unterscheidet sich je nach Rechtsraum:
Deutschland
In Deutschland fällt Backup-Management unter die „Aufrechterhaltung des Betriebs" nach § 30 Abs. 2 Nr. 3 BSIG: „Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement". Zuständige Behörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI). Nicht einschlägig ist § 30 Abs. 2 Nr. 5 BSIG — diese Ziffer betrifft Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von IT-Systemen einschließlich Schwachstellenmanagement.
Österreich
In Österreich ist Business Continuity und Backup-Management eine Risikomanagementmaßnahme nach § 32 Abs. 4 NISG 2026 (Netz- und Informationssystemsicherheitsgesetz, BGBl. I Nr. 94/2025). Zuständige Behörde ist die Cybersicherheitsbehörde (nachgeordnete Behörde des Bundesministers für Inneres) — nicht das BSIG bzw. das BSI.