Die 3-2-1-Regel und was Sie sichern müssen

Modul 6: Backups · Lesezeit: 10 Minuten

Lernziel: Nach dieser Lektion können Sie bestimmen, was Sie sichern müssen (auch Ihre Clouddienste und Ihre E-Mail), den Unterschied zwischen Synchronisation und einem Backup erklären und ein einfaches 3-2-1-Schema für Ihr eigenes Unternehmen aufstellen.
Kernbegriffe: Backup, Synchronisation, 3-2-1, Version, Aufbewahrungsfrist, Cloud ist nicht automatisch Backup, geteilte Verantwortung

Warum ein Backup Ihr letztes Sicherheitsnetz ist

Alle anderen Massnahmen in diesem Kurs verringern die Wahrscheinlichkeit, dass etwas schiefgeht. Ein Backup bewirkt etwas anderes: Es sorgt dafür, dass Sie weitermachen können, wenn etwas schiefgeht. Ein Laptop, der aus dem Auto gestohlen wird, ein Kollege, der aus Versehen einen Ordner mit Angeboten löscht, ein Update, das Ihren Webshop zerstört, Ransomware, die alles verschlüsselt: in all diesen Fällen lautet die Frage nicht mehr "Wie verhindern wir das?", sondern "Wie schnell sind wir wieder einsatzbereit?".

Ein Backup ist eine Kopie Ihrer Daten, die vom Original getrennt ist und mit der Sie einen früheren Zustand wiederherstellen können. Die letzten vier Wörter sind wichtig. Eine Kopie, die sich sofort mit dem Original mitändert, hilft Ihnen nicht, wenn das Original beschädigt oder verschlüsselt ist.

Das BSI formuliert es in seinen Hinweisen zum Vorgehen bei einem Ransomware-Angriff unmissverständlich: Gibt es keine Möglichkeit, die Verschlüsselung rückgängig zu machen, sind Backups die einzige Möglichkeit, Ihre Dateien zurückzubekommen.

Synchronisation ist kein Backup

Viele Unternehmer glauben, ein Backup zu haben, weil ihre Dateien "in der Cloud liegen". Meist meinen sie damit Synchronisation: einen Ordner auf Ihrem Laptop, der automatisch mit einem Ordner in einem Clouddienst abgeglichen wird, oft auch mit Ihrem Telefon und dem Laptop eines Kollegen.

Synchronisation ist praktisch, tut aber genau das, was sie verspricht: alles gleichhalten. Auch die Fehler.

Viele Synchronisationsdienste haben einen Papierkorb und Versionen: Eine gelöschte Datei bleibt eine Zeit lang abrufbar, und von einer geänderten Datei speichert der Dienst ältere Stände. Das ist ein echtes Sicherheitsnetz und oft die schnellste Möglichkeit, etwas zurückzuholen. Aber es ist begrenzt. Der Papierkorb wird nach einer festen Frist geleert, Versionen werden ausgedünnt, und wer Ihr Konto übernimmt, kann diesen Papierkorb auch leeren. Betrachten Sie es als Erste Hilfe, nicht als Ihr einziges Backup.

Die 3-2-1-Regel

Eine einfache Faustregel, die auch das BSI empfiehlt, ist die 3-2-1-Regel:

• 3 Kopien Ihrer Daten: das Original plus zwei Backups;
• auf 2 verschiedenen Arten von Speicher (zum Beispiel der Server Ihres Hostinganbieters und eine externe Festplatte, oder Ihr Laptop und ein separater Backupdienst);
• von denen 1 an einem anderen Ort liegt, ausserhalb Ihres Büros oder in einem anderen Rechenzentrum.

Die Idee dahinter: Ein einzelnes Ereignis darf niemals alle Kopien gleichzeitig treffen. Ein Brand in Ihrem Büro betrifft den Laptop und die daneben liegende externe Festplatte, aber nicht die Kopie an einem anderen Standort. Eine Störung bei einem Clouddienst betrifft diesen Dienst, aber nicht die Festplatte in Ihrer Schublade. Ransomware betrifft alles, was verbunden ist, aber nicht das, was getrennt ist (dazu mehr in Lektion 6.2).

Ein Beispiel für die Bäckerei Example:

1. Original: die Buchhaltung und Rezepte im Cloudspeicher, die Website und E-Mail beim Hostinganbieter.
2. Kopie 1: die automatischen Backups, die der Hostinganbieter jede Nacht erstellt, auf separaten Speicherservern.
3. Kopie 2: einmal pro Woche ein Backup der wichtigsten Ordner und ein Download des Website-Backups auf eine externe Festplatte, die danach getrennt und mit nach Hause genommen wird.

Was gehört in Ihre Liste?

Die meisten Backupprobleme entstehen nicht, weil das Backup fehlschlägt, sondern weil etwas nie darin enthalten war. Erstellen Sie daher zunächst eine Liste von allem, worauf Ihr Unternehmen läuft. Denken Sie an:

• Dateien: Dokumente, Angebote, Fotos, Entwürfe, auf Laptops, einem Netzwerkspeicher (NAS) und im Cloudspeicher.
• E-Mail: alle Postfächer, auch gemeinsam genutzte wie info@example.com und factuur@example.com. Achtung: Wer E-Mail mit POP3 abruft, hat die E-Mails oft nur noch auf diesem einen Computer.
• Website und Webshop: Dateien und Datenbank. Eine Website ohne die zugehörige Datenbank ist meist wertlos.
• Clouddienste: die Buchhaltungssoftware, das Kassensystem, die Planung, das CRM. Können Sie davon einen Export erstellen, und wie oft tun Sie das?
• Konfiguration: DNS-Einträge Ihrer Domain, Einstellungen Ihres Routers, Passwort-Tresor (mit den Wiederherstellungsdaten an einem sicheren Ort, siehe Modul 2).
• Telefone: Fotos von Belegen, Kontakte, Chatverlauf, falls dieser geschäftlich wichtig ist.

Schreiben Sie pro Bestandteil auf: wo es liegt, wer davon ein Backup erstellt, wie oft, wo dieses Backup liegt und wie lange es aufbewahrt wird. Eine leere Zelle in dieser Tabelle ist eine Lücke.

Geteilte Verantwortung bei Clouddiensten

"Es liegt bei Microsoft (oder Google, oder meinem Hostinganbieter), also ist es sicher." Das stimmt nur zur Hälfte. Grosse Anbieter arbeiten mit einem Modell geteilter Verantwortung: Der Anbieter sorgt für die Server, das Rechenzentrum und das Funktionieren des Dienstes; Sie selbst bleiben verantwortlich für Ihre eigenen Daten, Konten und Einstellungen.

Microsoft erklärt in seiner eigenen Dokumentation wörtlich, dass der Kunde bei jeder Form von Clouddienst, auch bei fertiger Software wie Microsoft 365, für seine Daten, seine Konten und den Zugriff darauf verantwortlich bleibt. Was die Dienste selbst aufbewahren, ist begrenzt und zeitlich befristet. Zwei Beispiele aus der offiziellen Dokumentation:

• Exchange Online (die E-Mail von Microsoft 365) bewahrt endgültig gelöschte E-Mails standardmässig 14 Tage lang auf, vom Administrator verlängerbar auf maximal 30 Tage. Danach sind sie weg.
• Google Drive löscht Dateien, die länger als 30 Tage im Papierkorb liegen, endgültig. Nach dem Leeren des Papierkorbs kann ein Administrator Dateien noch 25 Tage lang wiederherstellen; danach sind sie laut Google nicht mehr wiederherstellbar.

Das sind gute Sicherheitsnetze für ein Versehen von letzter Woche. Entdecken Sie aber erst nach zwei Monaten, dass ein ausgeschiedener Mitarbeiter einen Ordner geleert hat, helfen sie nicht. Lesen Sie bei jedem Dienst, den Sie nutzen, nach, was der Anbieter selbst über Aufbewahrung und Wiederherstellung sagt, und fragen Sie Ihren Anbieter, wenn es nicht klar ist. Nutzen Sie den Dienst für wichtige Daten, richten Sie ein eigenes Backup oder einen festen Export ein.

In der Praxis: So sieht es aus

Beim Beispielanbieter WebOké bestehen mehrere Arten von Backups nebeneinander, und sie funktionieren unterschiedlich:

• WebOké Backups erstellt jede Nacht automatisch ein vollständiges Backup eines Hostingpakets: Dateien, Datenbanken, Postfächer und Einstellungen. Diese Backups liegen verschlüsselt auf separaten Speicherservern in einem anderen Rechenzentrum, und Sie können selbst aus den Backups der letzten 30 Tage wiederherstellen.
• Darüber hinaus können Sie in DirectAdmin selbst ein Backup erstellen. Dieses landet in Ihrem eigenen Paket, zählt zu Ihrem Speicherplatz und liegt damit am selben Ort wie das Original. Eine solche Kopie wird erst dann zu einer echten zusätzlichen Kopie, wenn Sie sie herunterladen und anderswo aufbewahren.
• In Nextcloud sind der Papierkorb und die Versionen das Sicherheitsnetz für die tägliche Arbeit: Gelöschte Dateien und Versionen bleiben bis zu 31 Tage erhalten (früher weg, falls der Speicherplatz benötigt wird). Die Systembackups der Server dienen Notfällen und sind für Kunden nicht zugänglich. Die Anleitung empfiehlt selbst, von unverzichtbaren Dateien zusätzlich eine eigene Kopie aufzubewahren.
• Zwei Einschränkungen, die die Wissensdatenbank nennt: Eine E-Mail, die am selben Tag eingeht und wieder gelöscht wird, ist in keinem nächtlichen Backup enthalten, und E-Mail, die per POP3 nur noch auf Ihrem Computer liegt, ebenfalls nicht.

Bei anderen Anbietern kann dies ähnlich oder ganz anders geregelt sein: andere Aufbewahrungsfristen, Backups nur gegen Bezahlung, oder nur ein Backup für Notfälle, auf das Sie selbst keinen Zugriff haben. Fragen Sie Ihren Anbieter und schreiben Sie die Antwort in Ihre Liste.

Zusammenfassung

• Ein Backup ist eine separate Kopie, mit der Sie einen früheren Zustand wiederherstellen können; Synchronisation überträgt auch Fehler und Verschlüsselung überall hin.
• Papierkorb und Versionen in Clouddiensten sind praktisch, aber zeitlich befristet und kein Ersatz für ein Backup.
• 3-2-1: drei Kopien, zwei Arten von Speicher, eine an einem anderen Ort.
• Erstellen Sie zunächst eine Liste von allem, worauf Ihr Unternehmen läuft, einschliesslich E-Mail, Datenbanken, Clouddienste und Konfiguration.
• Bei Clouddiensten bleiben Sie für Ihre Daten verantwortlich: prüfen Sie, was Ihr Anbieter aufbewahrt und wie lange.

Quiz

Aufgabe

Aufgabe D6.1: Ihre Backup-Liste und das 3-2-1-Schema. Erstellen Sie eine Tabelle von allem, worauf Ihr Unternehmen läuft: Dateien, Postfächer, Website und Datenbank, Clouddienste, Konfiguration und Telefone. Tragen Sie pro Zeile ein, wo es liegt, wer davon ein Backup erstellt, wie oft, wo das Backup liegt und wie lange es aufbewahrt wird. Recherchieren Sie für mindestens zwei Clouddienste, was der Anbieter selbst über Aufbewahrung und Wiederherstellung sagt. Markieren Sie jede Zeile, die nicht der 3-2-1-Regel entspricht, und schreiben Sie auf, was Sie dagegen unternehmen.

Weiterführende Informationen

Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es ähnlich oder anders. Fragen Sie Ihren Anbieter.

• DirectAdmin Anleitung 16.1: Welche Arten von Backups es bei WebOké gibt
• WebOké Anleitung 6.10: WebOké Backups: Dateien wiederherstellen
• Nextcloud-Anleitung 6.6: Backups bei WebOké: was wir sichern und was Sie selbst tun können
• WebOké Backups: Ein Backup ansehen, wiederherstellen oder herunterladen
• BSI, Ransomware-Angriffe: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Cyber-Sicherheitslage/Analysen-und-Prognosen/Ransomware-Angriffe/ransomware-angriffe_node.html
• Microsoft, Shared responsibility in the cloud (Englisch): https://learn.microsoft.com/en-us/azure/security/fundamentals/shared-responsibility
• Microsoft, Recoverable Items folder in Exchange Online (Englisch): https://learn.microsoft.com/en-us/exchange/security-and-compliance/recoverable-items-folder/recoverable-items-folder
• Google Workspace, Recover deleted files and folders for Drive users (Englisch): https://knowledge.workspace.google.com/admin/drive/recover-deleted-files-and-folders-for-drive-users