Die 3-2-1-Regel: die Backup-Strategie für Einsteiger erklärt

Kurzantwort: Die 3-2-1-Regel besagt: Halten Sie 3 Kopien Ihrer Daten auf 2 verschiedenen Medien, davon 1 Kopie an einem externen Ort. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt diese Strategie als Grundlage jeder Datensicherung. 2026 gilt die erweiterte 3-2-1-1-Regel: Eine Kopie sollte zusätzlich unveränderlich (immutable) oder offline sein – als Schutz vor Ransomware.

<div class="key-takeaways">

Das Wichtigste in Kürze

• 3 Kopien Ihrer Daten, auf 2 verschiedenen Medien, 1 Kopie extern (z. B. Cloud) – das ist die vom BSI empfohlene Basis jeder Datensicherung.
• Der häufigste Irrtum: Eine externe Festplatte neben dem Rechner ist kein „externer Ort" – bei Einbruch oder Brand sind beide weg.
• 2026er Standard ist 3-2-1-1: Eine Kopie zusätzlich offline oder unveränderlich speichern – sonst verschlüsselt Ransomware auch Ihr Backup.
• Backups müssen regelmäßig auf Wiederherstellbarkeit getestet werden – ein ungeprüftes Backup ist ein Gerücht, keine Sicherheit.
• Stand: September 2026. Die Regel selbst ist zeitlos; die Bedrohungslage (Ransomware) macht die Erweiterung nötig.

</div>

Was die 3-2-1-Regel besagt

Die 3-2-1-Regel ist keine Software und kein Produkt – sie ist eine Denkweise, die seit Jahrzehnten gilt und vom Bundesamt für Sicherheit in der Informationstechnik (BSI) als Grundlage der Datensicherung empfohlen wird. Auch staatliche Digitalinitiativen wie digital-sicher.nrw vermitteln sie als Standard für kleine Unternehmen und Privathaushalte: Für eine effektive Backup-Strategie sollten Sie der 3-2-1-Regel folgen.

Die Regel in einem Satz: Sorgen Sie dafür, dass von Ihren wichtigen Daten immer drei Kopien existieren, die auf zwei unterschiedlichen Medientypen liegen – und dass mindestens eine dieser Kopien räumlich getrennt von den anderen aufbewahrt wird.

Warum drei Zahlen statt einer simplen Anweisung wie „mach ein Backup"? Weil jede Zahl eine eigene Ausfallursache abdeckt. Die Regel ist im Kern eine Versicherung gegen das Zusammentreffen unglücklicher Umstände – und genau darin liegt ihre Stärke: Sie funktioniert unabhängig von Anbietern, Geräten und Trends.

Die drei Zahlen im Detail

3 – Drei Kopien Ihrer Daten

Das Original auf Ihrem Rechner zählt als Kopie Nummer eins. Dazu kommen zwei Sicherungskopien. Drei Kopien klingen nach viel, aber die Mathematik dahinter ist nüchtern: Speichermedien fallen aus – Festplatten sterben, SSDs geben ohne Vorwarnung auf, Cloud-Konten werden gesperrt. Bei drei Kopien müssen drei voneinander unabhängige Systeme gleichzeitig versagen, damit Ihre Daten verloren sind. Die Wahrscheinlichkeit dafür ist verschwindend gering – vorausgesetzt, die Kopien sind wirklich unabhängig (dazu gleich mehr).

Wichtig: „Kopie" meint hier eigenständige, vollständige Sicherungen, keine Verknüpfungen. Ein Ordner, der per Synchronisation 1:1 in die Cloud gespiegelt wird, ist im Ernstfall keine unabhängige Kopie: Löschen Sie eine Datei versehentlich, löscht die Synchronisation sie überall. Echte Backups haben eine Versionierung – sie bewahren auch ältere Stände auf.

2 – Zwei verschiedene Medientypen

Zwei Kopien auf demselben Medientyp teilen sich dessen Schwächen. Zwei externe Festplatten desselben Herstellers aus derselben Charge können denselben Fertigungsfehler haben; zwei Cloud-Konten beim selben Anbieter teilen sich dessen Infrastruktur und dessen AGB.

Praktische Medien-Paare für den Haushalt:

• Externe Festplatte + Cloud-Speicher (die klassische Kombination)
• NAS (Netzwerkspeicher) + Cloud-Speicher (komfortabler, siehe unsere Hybrid-Strategie)
• Zwei verschiedene Cloud-Anbieter (z. B. EU-Anbieter plus US-Anbieter – unterschiedliche Rechtssysteme, unterschiedliche Infrastrukturen)

1 – Eine Kopie an einem externen Ort

„Extern" heißt: räumlich getrennt – ein anderer Brandabschnitt, ein anderes Gebäude, im Idealfall ein anderer Ort. Der Grund ist simpel: Feuer, Wasser, Einbruch und Überspannungsschäden machen vor Ihrer Wohnung nicht halt. Eine Backup-Festplatte in der Schublade neben dem Laptop schützt vor Festplattenausfall, aber nicht vor dem Wohnungsbrand.

Der bequemste externe Ort 2026 ist die Cloud: automatisiert, ohne dass Sie daran denken müssen, und geografisch getrennt. Die Alternative – eine Festplatte bei Verwandten oder im Bankschließfach, die Sie alle paar Monate aktualisieren – funktioniert auch, erfordert aber Disziplin. Seien Sie ehrlich zu sich: Die Cloud gewinnt diesen Vergleich fast immer.

Ein Praxis-Beispiel für den Haushalt

Theorie ist gut, ein konkreter Plan ist besser. So könnte die 3-2-1-Umsetzung für einen Zwei-Personen-Haushalt mit Laptop, zwei Smartphones und rund 800 GB Daten aussehen:

• Kopie 1 (Original): Die Daten auf den Geräten selbst – Laptop-Festplatte, Smartphone-Speicher.
• Kopie 2 (lokal, anderes Medium): Eine externe Festplatte (2 TB, einmalig ca. 70–80 Euro), die einmal pro Woche per Backup-Software aktualisiert wird. Danach wird sie vom Rechner getrennt – das ist wichtig für den Ransomware-Schutz.
• Kopie 3 (extern, Cloud): Ein Cloud-Tarif mit 1–2 TB, der Fotos und Dokumente automatisch sichert – etwa pCloud (ab 47,88 Euro/Jahr für 500 GB, 95,88 Euro für 2 TB) oder ein Anbieter mit deutschem Rechenzentrum. Die Kosten haben wir in Was kostet ein Cloud-Backup wirklich? durchgerechnet.

Gesamtkosten im ersten Jahr: unter 180 Euro. Das ist weniger als ein Smartphone – für den Schutz aller digitalen Erinnerungen und Dokumente eines Haushalts. Die wöchentliche Festplatten-Sicherung dauert nach der Ersteinrichtung wenige Minuten; die Cloud-Sicherung läuft automatisch.

Für Smartphone-Fotos gilt übrigens dasselbe Prinzip im Kleinen: automatischer Cloud-Upload (Kopie 2) plus gelegentliche Sicherung auf den Rechner oder die Festplatte (Kopie 3). Details dazu in Handy-Backup: iPhone und Android in der Cloud sichern.

Warum eine einzige Kopie nicht reicht

„Aber ich habe doch eine externe Festplatte!" – der Satz, den wir in der Backup-Werkstatt am häufigsten hören. Eine einzige Sicherungskopie ist besser als keine, aber sie hat vier blinde Flecken:

1. Gleicher Ort: Festplatte neben dem Rechner – bei Einbruch, Brand oder Wasserschaden sind beide weg.
2. Gleiches Medium: Zwei Festplatten desselben Typs teilen Ausfallursachen (Fertigungscharge, Alterung, Dateisystemfehler).
3. Synchronisations-Falle: Viele „Backups" sind in Wahrheit Spiegelungen. Ransomware, die Ihre Dateien verschlüsselt, wird von der Sync-Software brav in die Cloud übertragen – inklusive Verschlüsselung. Ohne Versionierung ist dann auch die Cloud-Kopie wertlos.
4. Ungeprüfte Wiederherstellung: Das häufigste Backup-Versagen ist nicht der fehlende Speicher, sondern die fehlende Wiederherstellung. Backups, die nie testweise zurückgespielt wurden, scheitern im Ernstfall erschreckend oft – wegen beschädigter Archive, vergessener Passwörter oder veralteter Software.

Die 3-2-1-Regel adressiert alle vier Punkte systematisch: räumliche Trennung, Medienvielfalt, echte Versionierung statt reiner Spiegelung – und als implizite Aufforderung: Prüfen Sie Ihre Backups.

Die 2026er Erweiterung: 3-2-1-1

Die Bedrohungslage hat sich verändert – und mit ihr die Regel. Moderne Ransomware verschlüsselt nicht nur Ihre Arbeitsdateien, sondern sucht gezielt nach erreichbaren Backups: angeschlossene USB-Platten, gemappte Netzlaufwerke, synchronisierte Cloud-Ordner. Ein Backup, das vom infizierten Rechner aus erreichbar ist, ist kein Schutz, sondern das nächste Opfer.

Deshalb gilt 2026 die erweiterte 3-2-1-1-Regel: Die zusätzliche „1" steht für eine Kopie, die offline oder unveränderlich (immutable) aufbewahrt wird. Konkret heißt das:

• Offline: Eine externe Festplatte, die nur für die Sicherung angeschlossen und danach physisch getrennt wird. Was nicht angeschlossen ist, kann nicht verschlüsselt werden.
• Unveränderlich (immutable): Cloud-Speicher mit Objekt-Sperre (Object Lock) oder Versionierung, bei der selbst der Kontoinhaber vorhandene Versionen für einen definierten Zeitraum nicht löschen oder überschreiben kann. Ransomware kann dann nur neue, verschlüsselte Versionen hinzufügen – die sauberen alten bleiben erhalten.

Manche Quellen führen die Regel noch weiter als 3-2-1-1-0: Die „0" steht für null Fehler – also die Pflicht, Backups regelmäßig auf Konsistenz und Wiederherstellbarkeit zu prüfen. Ob Sie es 3-2-1-1 oder 3-2-1-1-0 nennen, ist zweitrangig; entscheidend ist der Gedanke: Ein Backup, das Ransomware erreichen kann, ist 2026 kein Backup.

Die ausführliche Bedrohungsanalyse finden Sie in Ransomware und Backups: warum unveränderliche Kopien 2026 Standard sind.

Die häufigsten Fehler bei der Umsetzung

Aus unserer Recherche – und aus den Fragen, die Leser uns stellen – sind dies die fünf Klassiker:

1. Die Festplatte bleibt angesteckt. Das bequemste Backup ist das unsicherste: Eine dauerhaft angeschlossene USB-Platte ist für Ransomware genauso erreichbar wie die interne. Regel: Nach der Sicherung trennen – oder automatisiert per Zeitplan sichern und danach auswerfen lassen.
2. Cloud-Sync wird mit Backup verwechselt. Dropbox, Google Drive & Co. synchronisieren – sie versionieren nur begrenzt. Prüfen Sie, wie lange Ihr Anbieter alte Dateiversionen aufbewahrt (bei Gratis-Tarifen oft nur 30 Tage oder weniger).
3. Nur ein Anbieter für alles. Bequem, aber ein Single Point of Failure: Kontosperrung, Preiserhöhung, Dienst-Einstellung – all das trifft dann alle Kopien gleichzeitig. Die zweite Kopie gehört zu einem anderen Anbieter oder auf ein lokales Medium.
4. Verschlüsselung vergessen – oder Passwort verloren. Ein Backup mit Zero-Knowledge-Verschlüsselung, dessen Passwort niemand mehr kennt, ist Datenschrott. Bewahren Sie das Wiederherstellungspasswort getrennt auf – etwa im Passwort-Manager plus auf Papier im Safe.
5. Nie getestet. Spielen Sie mindestens einmal im Jahr eine Testwiederherstellung durch: ein paar Dateien aus jedem Backup zurückholen und öffnen. Dauert 15 Minuten, erspart im Ernstfall den Schock.

Ihre 3-2-1-Checkliste

Zum Ausdrucken und Abhaken – in dieser Reihenfolge umsetzen:

• [ ] Inventur: Welche Daten sind unersetzlich? (Fotos, Dokumente, E-Mails, Projekte) – Wie viel Speicher belegen sie?
• [ ] Kopie 2 (lokal): Externe Festplatte oder NAS anschaffen, Backup-Software einrichten, erste Vollsicherung durchführen.
• [ ] Kopie 3 (extern): Cloud-Tarif passender Größe wählen – auf EU-Serverstandort und Versionierung achten.
• [ ] Automatisierung: Cloud-Backup auf „automatisch" stellen; lokale Sicherung als wöchentlichen Termin einplanen.
• [ ] Trennung: Externe Platte nach jeder Sicherung abstecken (Ransomware-Schutz).
• [ ] Versionierung prüfen: Wie lange bewahrt die Cloud alte Dateiversionen auf? Mindestens 30 Tage sollten es sein.
• [ ] Wiederherstellung testen: Je eine Datei aus lokalem Backup und Cloud-Backup zurückholen und öffnen.
• [ ] Passwörter sichern: Backup- und Verschlüsselungspasswörter getrennt vom Backup aufbewahren.
• [ ] Jahres-Check: Einmal pro Jahr alle Punkte wiederholen – und prüfen, ob der Speicher noch reicht.

Häufig gestellte Fragen

Empfiehlt das BSI wirklich die 3-2-1-Regel?

Ja. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt die 3-2-1-Regel als Grundlage der Datensicherung – für Unternehmen wie für Privathaushalte. Staatliche Digitalinitiativen wie digital-sicher.nrw vermitteln sie ebenfalls als Standard. Es handelt sich um eine allgemeine Sicherheitsempfehlung, keine Rechtsvorschrift.

Reicht die Cloud allein als Backup nach der 3-2-1-Regel?

Nein – die Cloud allein erfüllt die Regel nicht. Sie liefert zwar die externe Kopie (die „1"), aber es fehlen die zweite Kopie auf einem anderen Medium und die Unabhängigkeit vom Anbieter. Mindestens eine zusätzliche lokale Kopie (externe Festplatte oder NAS) gehört dazu. Umgekehrt reicht auch die Festplatte allein nicht – sie steht am selben Ort wie der Rechner.

Was ist der Unterschied zwischen 3-2-1 und 3-2-1-1?

Die klassische 3-2-1-Regel (3 Kopien, 2 Medien, 1 externer Ort) stammt aus einer Zeit, in der Ransomware noch kein Massenphänomen war. Die Erweiterung um eine vierte „1" verlangt eine zusätzliche Kopie, die offline oder unveränderlich ist – also von Ransomware nicht erreicht oder nicht verändert werden kann. 2026 gilt 3-2-1-1 als Stand der Technik.

Wie oft sollte ich Backups erstellen?

So oft, wie Sie es sich leisten können, Daten zu verlieren. Für Arbeitsdateien: täglich (automatisiert in die Cloud). Für das Gesamt-Backup: wöchentlich auf das lokale Medium. Faustregel: Der Abstand zwischen zwei Backups ist die maximale Datenmenge, die Sie im Ernstfall verlieren. Automatisieren Sie, was sich automatisieren lässt – manuelle Backups sind statistisch Monate alt, wenn man sie braucht.

Zählt ein NAS als „externer Ort"?

Nein – ein NAS im selben Haushalt steht am selben Ort wie Ihre Rechner. Es zählt als zweites Medium (die „2"), nicht als externer Ort (die „1"). Die externe Kopie muss räumlich getrennt sein: Cloud-Speicher oder eine Festplatte an einem anderen Ort. Die Kombination NAS plus Cloud ist allerdings eine der besten Umsetzungen der Regel überhaupt – siehe NAS plus Cloud: die Hybrid-Backup-Strategie.

Quellen und Methode

• digital-sicher.nrw (Landesinitiative, BSI-Partnerkontext): Backup-Guide für KMU – vermittelt die 3-2-1-Regel (3 Kopien, 2 Medien, 1 externer Ort) als Standard effektiver Backup-Strategien. Verifiziert via Suchrecherche, September 2026. https://www.digital-sicher.nrw/fileadmin/Ratgeber/Sicherheitskopien/2022-02_Backup-Guide_fuer_KMU_final.pdf
• SYNAXON Handout „Die 3-2-1-1-0-Regel": dokumentiert die erweiterte Regel (3 Kopien, 2 Medien, 1 extern, 1 offline/unveränderlich, 0 Fehler bei der Prüfung) als aktuellen Standard. Verifiziert via Suchrecherche, September 2026. https://files.synaxon.de/dl/Handout_3-2-1-1-0-Regel.pdf
• windowspower.de (geöffnet und geprüft, September 2026): bestätigt die 3-2-1-Regel als Grundlage solider Datensicherung im Kontext von Cloud-Speicher-Kaufentscheidungen. https://www.windowspower.de/pcloud-rabatt-tag-der-deutschen-einheit/

Methode: Die 3-2-1-Regel ist eine etablierte, vom BSI empfohlene Sicherheitsstrategie – keine Produktwerbung und kein Testergebnis. Wir beschreiben sie auf Basis öffentlich dokumentierter Quellen und ergänzen sie um Praxis-Erfahrungswerte, die als solche gekennzeichnet sind. Dies ist allgemeine Information, keine Rechts- oder Sicherheitsberatung. Stand: September 2026.