Die klassische 3-2-1-Regel – 3 Kopien, 2 auf unterschiedlichen Datenträgern, 1 extern – war in den 1990er-Jahren für Hardwareausfälle und Naturkatastrophen optimiert. Ein Ransomware-Angreifer würde sie im Jahr 2026 typischerweise folgendermaßen aufschlüsseln:
- 3 Kopien → alle drei können gelöscht werden, wenn die Authentifizierung des Backup-Administrators kompromittiert wurde.
- 2 verschiedene Medien → "dasselbe Netzwerk" für NAS und Dateiserver
- 1. Offsite → Wenn die Cloud-Synchronisierung aktiviert ist, wird die verschlüsselte Datei auch mit dem Offsite synchronisiert.
Die neue Regel lautet 3-2-1-1-0
Die moderne Best Practice – die 2023 von Veeam und später von ENISA und NIST übernommen wurde – fügt zwei neue Elemente hinzu:
- 1 unveränderliche / vom Internet isolierte Kopie – physisch oder logisch getrennt, nur lesbar
- 0 Fehler – kontrollierter, dokumentierter Wiederherstellungstest (mindestens vierteljährlich)
Was bedeutet „immutable“ in der Praxis?
Ein Backup ist unveränderlich, wenn die Speicherschicht es innerhalb eines bestimmten Zeitraums technisch nicht ändern oder löschen kann. Es handelt sich dabei nicht um eine Konfigurationseinstellung (da ein Administrator diese überschreiben kann), sondern um eine Hardware- oder Betriebssystemgarantie.
Bei ViVeSecBox basiert dies auf WORM-Speicher (Write-Once-Read-Many), einem gehärteten Betriebssystem und einer Hardware-TPM-Root-of-Trust-Kette – sodass ein herkömmlicher Windows-/Linux-Administrator die Speicherschicht nicht erreichen kann, unabhängig davon, welche Rechte er im Unternehmensnetzwerk beeinträchtigt hat.
„Unveränderlich“ ist nur dann nützlich, wenn der Angreifer es noch für unüberwindbar hält. Lässt es sich durch eine schnelle administrative Bereinigung entfernen, ist es lediglich ein Marketing-Etikett.
Wo sollte ein Unternehmen anfangen, wenn es sich jetzt modernisieren will?
Unser praktischer Vorschlag: Ersetzen Sie nicht die gesamte Backup-Infrastruktur auf einmal. Nutzen Sie das bestehende System weiterhin als produktive Kapazität und verlagern Sie die unveränderlichen Backups kritischer Systeme (ERP, Dateiserver, E-Mail) auf ein gehärtetes Gerät wie ViVeSecBox. Dies lässt sich innerhalb eines Werktages realisieren und erfüllt sofort die Mindestanforderungen der NIS2-Backup-Compliance.