Backup im Büro: Wie funktioniert die 3-2-1-Regel richtig?

Was bedeutet die 3-2-1-Regel genau?

Die Regel ist einfach und wird von der Plattform Onlinesicherheit des Bundes ebenso empfohlen wie von der WKO. Sie verhindert, dass ein einzelnes Ereignis alle Kopien gleichzeitig zerstört: ein Festplattendefekt, ein Wasserschaden, ein Diebstahl oder ein Verschlüsselungsangriff.

Gegen Ransomware reicht das allein nicht mehr. Angreifer suchen gezielt nach Sicherungen und löschen sie. Das Bundeskriminalamt rät daher, mindestens eine Sicherung offline aufzubewahren. In der Praxis heißt das: eine Kopie, die nicht dauerhaft mit dem Netzwerk verbunden ist oder sich für eine festgelegte Zeit nicht verändern lässt.

Warum sind RAID, Synchronisation und Papierkorb kein Backup?

• **RAID:** Mehrere Festplatten spiegeln sich gegenseitig. Das schützt vor dem Ausfall einer Platte, aber nicht vor Bedienfehlern, Löschungen oder Verschlüsselung. Darauf weist auch Onlinesicherheit.gv.at hin.
• **Synchronisation:** OneDrive, Dropbox oder ein Sync-Ordner übertragen jede Änderung sofort. Wird eine Datei gelöscht oder verschlüsselt, ist sie es überall.
• **Papierkorb und Wiederherstellung:** In Microsoft OneDrive bleiben gelöschte Dateien bei Geschäftskonten 93 Tage im Papierkorb, mit der Funktion „Dateien wiederherstellen“ lässt sich der Stand der letzten 30 Tage zurückholen. Das hilft im Alltag, liegt aber im selben Konto. Wer das Konto übernimmt, kommt auch daran.
• **Externe Festplatte am PC:** Ist sie dauerhaft angesteckt, wird sie bei einem Angriff mitverschlüsselt.

Welche Daten gehören in die Sicherung?

Die WKO empfiehlt, vor der Technik ein Konzept zu erstellen: Welche Daten gibt es, wo liegen sie, wie wichtig sind sie und wie schnell müssen sie wieder verfügbar sein? Diese Liste hilft beim Erfassen:

• Gemeinsame Ablage am Server, NAS oder in SharePoint
• Datenbanken von Branchensoftware, Buchhaltung und Lohnverrechnung
• E-Mail-Postfächer, Kalender und Kontakte
• OneDrive-Ordner einzelner Beschäftigter
• Daten der Registrierkasse, sofern sie lokal gespeichert sind
• Einstellungen von Router, Firewall und Telefonanlage
• Website mit Datenbank, siehe Website-Betreuung mit Backups
• Notfallzugang zum Passwort-Tresor, sicher verwahrt

Daten, die nur auf einzelnen Laptops liegen, sind das häufigste Loch. Legen Sie fest, dass Arbeitsdaten nur in der gemeinsamen Ablage gespeichert werden.

Welche Sicherungsarten gibt es?

Die WKO unterscheidet vier gängige Arten. Gute Sicherungsprogramme kombinieren sie automatisch, Sie müssen nur verstehen, was im Hintergrund passiert:

Wie oft sichern und wie lange aufbewahren?

Zwei Fragen bestimmen den Plan: Wie viel Arbeit dürfen Sie maximal verlieren, und wie lange darf ein Ausfall dauern? Die folgenden Werte sind Richtwerte aus der Praxis, keine Vorschrift.

Eine Sicherung ersetzt kein Archiv. Bücher und Aufzeichnungen müssen nach § 132 BAO grundsätzlich sieben Jahre aufbewahrt werden. Elektronische Aufbewahrung ist erlaubt, wenn die vollständige, geordnete und inhaltsgleiche Wiedergabe bis zum Ablauf der Frist möglich ist. Was das für Ihre Belege bedeutet, besprechen Sie im Zweifel mit Ihrer Steuerberatung.

Welche Variante passt zu Büros mit 3 bis 50 Arbeitsplätzen?

Ob ein eigener Server überhaupt nötig ist, besprechen wir im Beitrag Cloud oder eigener Server. Wie sich NAS und Cloud-Speicher im Alltag unterscheiden, erklärt der Ratgeber NAS oder Cloud-Speicher. Für Microsoft 365 gibt es eigene Einstellungen, die wir unter Microsoft 365 absichern beschreiben.

Wie testen Sie, ob die Wiederherstellung funktioniert?

Eine Sicherung ist erst etwas wert, wenn sie sich zurückspielen lässt. Die WKO rät ausdrücklich, Wiederherstellungen zu testen und zu dokumentieren. So läuft ein einfacher Test ab:

1. Einmal im Monat eine zufällige Datei und einen Ordner aus der Sicherung zurückholen, in einen Testordner.
2. Prüfen, ob sich die Dateien öffnen lassen und der Stand stimmt.
3. Einmal im Quartal die Datenbank der Buchhaltung oder Branchensoftware auf einem Testgerät wiederherstellen.
4. Einmal im Jahr den Ernstfall üben: Wie lange dauert es, bis ein Arbeitsplatz oder Server wieder läuft?
5. Datum, Ergebnis und Dauer in einem kurzen Protokoll festhalten.
6. Fehlermeldungen der Sicherungssoftware täglich prüfen lassen, nicht nur bei Problemen.

Was verlangen DSGVO und NIS2 bei der Datensicherung?

Die DSGVO verlangt in Art. 32 unter anderem die Fähigkeit, die Verfügbarkeit personenbezogener Daten und den Zugang zu ihnen nach einem Zwischenfall rasch wiederherzustellen. Für Einrichtungen unter dem NISG 2026 gehört Backup-Management ausdrücklich zu den Mindestmaßnahmen. Ob Ihr Betrieb darunter fällt, erklärt unser Beitrag zu NIS2 in Österreich. Sicherungen mit personenbezogenen Daten sollten verschlüsselt sein. Den Schlüssel erzeugen Sie zum Beispiel mit dem Passwort-Generator im Browser und verwahren ihn getrennt von der Sicherung.

Welche Fehler sehen wir am häufigsten?

• Die Sicherung läuft seit Monaten mit Fehlern, und niemand liest die Meldungen.
• Alle Kopien sind mit demselben Administratorkonto erreichbar.
• Die Sicherung im Büro steht im selben Raum wie der Server.
• Laptops werden nicht gesichert, weil „eh alles am Server liegt“.
• Der Schlüssel für die verschlüsselte Sicherung ist nur einer Person bekannt.
• Es gibt keinen Plan, in welcher Reihenfolge Systeme wiederhergestellt werden. Das gehört in den Notfallplan für Ransomware.

Was kostet eine Datensicherung für das Büro?

Bei uns kostet das Einrichten einer Datensicherung ab 390 € netto zum Festpreis: automatische Sicherung nach der 3-2-1-Regel, mit einem Test, ob sich die Daten wirklich zurückholen lassen. Die laufende Kontrolle der Sicherungen ist Teil der IT-Betreuung um 35 € netto je Arbeitsplatz und Monat, ab drei Arbeitsplätzen und monatlich kündbar. Alle Preise finden Sie auf der Preisübersicht.

Beispielrechnung für ein Büro mit 8 Arbeitsplätzen, Annahme: ein NAS und ein Cloud-Ziel sind bereits vorhanden. Einrichtung ab 390 € einmalig, IT-Betreuung 8 × 35 € = 280 € netto im Monat. Geräte, Festplatten und Cloud-Speicher kommen je nach Datenmenge dazu und stehen nach dem IT-Check im Angebot.

Ihr nächster Schritt: Prüfen, wie gut Ihre Daten gesichert sind

Der IT-Sicherheits-Check fragt unter anderem Ihre Datensicherung ab und zeigt, wo Lücken sind. Wenn Sie es genau wissen wollen, beginnt unser IT-Support für Büros mit dem IT-Check um 290 € netto. Danach haben Sie schriftlich, was gesichert wird, was fehlt und was zuerst zu tun ist. Fragen dazu können Sie uns direkt schreiben.