Backups für Kleinunternehmen: Die 3-2-1-Regel in 20 Minuten pro Woche

Ein kleines Unternehmen ist gesichert, wenn es drei Kopien von allem besitzt, was es für den Geschäftsbetrieb braucht, auf zwei Arten von Speichern, mit einer Kopie an einem anderen Ort und offline, und wenn im letzten Monat jemand aus jeder Kopie eine Datei wiederhergestellt hat. Das ist die 3-2-1-Regel, die das National Cyber Security Centre empfiehlt. Sie kostet etwa £10 im Monat plus ein Laufwerk für £90, und die Routine passt in 20 Minuten pro Woche. Dieser Leitfaden zeigt, was Sie kopieren, wo Sie die Kopien aufbewahren und wie Sie sie testen.

Die meisten Inhaber halten sich für abgesichert, weil der Laptop mit der Cloud synchronisiert wird. Der Cyber Security Breaches Survey der britischen Regierung, veröffentlicht im April 2026, ergab, dass 43% der britischen Unternehmen im Vorjahr eine Sicherheitsverletzung oder einen Angriff festgestellt haben, bei kleinen Firmen 46%, und dass 74% in einen Cloud-Dienst sichern. Doch als der Ransomware-Angriff auf Tuckers Solicitors im Jahr 2020 972,191 Dateien verschlüsselte, wurden die Backups der Kanzlei gleich mit verschlüsselt, und der Information Commissioner verhängte eine Strafe von £98,000. Backups für Kleinunternehmen scheitern auf zwei Arten: Die Kopie liegt im selben Netzwerk wie das Original, oder niemand hat je versucht, sie wiederherzustellen.

Im Folgenden: was 3-2-1 bedeutet und wer den Begriff geprägt hat, die Liste dessen, was ein Kleinunternehmen tatsächlich kopieren muss, die drei Kopien und was jede im Oktober 2026 kostet, die Aufbewahrungsfristen, die Ihre Cloud-Werkzeuge bereits bieten, der Wiederherstellungstest, den die meisten Firmen auslassen, und die Verwaltungsarbeit, die ein KI-Agent übernehmen kann, damit die wöchentliche Kontrolle stattfindet, ob Sie daran denken oder nicht.

So haben wir bewertet

1. Zuerst offizielle Leitlinien. Die Regeln stammen aus dem Leitfaden des NCSC für kleine Organisationen, veröffentlicht am 9. April 2026, und aus seinem Ratgeber "Offline backups in an online world", aktualisiert im Juli 2026.
2. Staatliche Statistiken. Die Zahlen zu Sicherheitsverletzungen und Backups stammen aus dem Cyber Security Breaches Survey 2025/26 des Department for Science, Innovation and Technology.
3. Reale Fälle. Die Strafbescheide des ICO, keine Schauergeschichten von Anbietern.
4. Preise, abgelesen am 24. Oktober 2026 auf den eigenen Seiten der Anbieter, in Pfund, wo der Anbieter Pfund nennt.
5. Nichts, was ein Ein-Personen-Betrieb nicht leisten kann. Jeder Schritt funktioniert mit einem Laptop, einem externen Laufwerk und einem Cloud-Konto für Privatkunden.

Was die 3-2-1-Regel bedeutet

Drei Kopien Ihrer Daten, auf zwei verschiedenen Speichertypen, mit einer Kopie an einem anderen Ort. Der Fotograf Peter Krogh prägte den Begriff Mitte der 2000er Jahre beim Schreiben der ersten Auflage von The DAM Book, und das NCSC formuliert ihn genauso: mindestens drei Kopien, auf zwei Geräten, eine davon an einem anderen Ort. Die Variante "3-2-1-1-0" von Veeam fügt eine Kopie hinzu, die offline oder unveränderbar ist, sowie null Fehler nach einer geprüften Wiederherstellung. Für ein Kleinunternehmen sieht die praktische Version so aus:

Synchronisation ist kein Backup. Wird eine Datei auf dem Laptop verschlüsselt oder gelöscht, kopiert der Sync-Ordner den Schaden getreu mit. Der Versionsverlauf der Cloud gibt Ihnen ein Zeitfenster, um das rückgängig zu machen, doch dieses Fenster ist kurz und schließt sich.

Was ein Kleinunternehmen tatsächlich kopieren muss

Erstellen Sie die Liste, bevor Sie Werkzeuge wählen. Für die meisten Firmen ist sie kürzer als befürchtet:

• Buchhaltung und Steuern. Rechnungen, Belege, Bankexporte und die Buchhaltungsdatei. HMRC erwartet, dass Unterlagen mindestens fünf Jahre nach der Abgabefrist am 31. Januar aufbewahrt werden, ein verlorenes Jahr ist also ebenso ein Steuerproblem wie ein organisatorisches.
• Kundendaten. Der CRM-Export, die Buchungsliste, die Mailingliste, unterschriebene Verträge und Angebote.
• E-Mail. Ein Postfach ist ein Geschäftsdokument. Google Workspace und Microsoft 365 halten es auf ihren Servern vor, aber ein geschlossenes oder gekapertes Konto nimmt es mit; exportieren Sie es zweimal im Jahr.
• Die Website und der Shop. Die Datenbank, die Produktbilder, das Theme und die Zugangsdaten der Domain. Die meisten Hoster führen eigene Backups, lesen Sie aber nach, wie lange.
• Fotos und Entwürfe. Die Logodateien, die Vorher-nachher-Aufnahmen, die Gestaltung der Broschüre.
• Passwörter und Schlüssel. Der verschlüsselte Export des Passwortmanagers, ausgedruckte Wiederherstellungscodes und die Backup-Codes der Zwei-Faktor-Authentifizierung, aufbewahrt beim lokalen Laufwerk, nicht auf dem Laptop.

Alles, was Sie brauchen würden, um das Unternehmen innerhalb einer Woche neu aufzubauen, gehört auf die Liste. Alles, was Sie bei einem Lieferanten erneut herunterladen könnten, nicht.

Kopie eins: die Arbeitskopie, und was die Synchronisation wirklich bietet

Der Cloud-Sync-Ordner ist bereits Ihre erste Kopie, und er ist besser als nichts. Jeder große Dienst bewahrt gelöschte Dateien und alte Versionen eine Zeit lang auf, und die Frist zu kennen ist wichtig, denn sie entscheidet zwischen Rückgängigmachen und Verlust:

Das Muster: Ein Monat ist fast überall der Standard. Verschlüsselt Ransomware Ihre Dateien an einem Freitag und Sie bemerken es sechs Wochen später, hat der Sync-Dienst die guten Versionen bereits vergessen. Dafür sind die Kopien zwei und drei da.

Kopie zwei: das externe Laufwerk, das Sie abstecken

Kaufen Sie eine externe 2-TB-Festplatte, die Preisvergleichsseiten im Oktober 2026 mit etwa £85 bis £100 führten, und lassen Sie das Betriebssystem die Arbeit erledigen. Auf einem Mac ist Time Machine kostenlos: Laufwerk anschließen, und es legt 24 Stunden lang stündliche Backups an, einen Monat lang tägliche und danach wöchentliche, bis die Platte voll ist. Apple empfiehlt ein Laufwerk, das mindestens doppelt so groß ist wie der Speicher des Mac. Unter Windows leisten File History und die eingebauten Backup-Werkzeuge dasselbe.

Stecken Sie es danach ab. Der Leitfaden des NCSC für kleine Organisationen sagt, dass das Backup-Laufwerk nicht angeschlossen bleiben sollte, wenn es nicht benutzt wird, denn Ransomware verschlüsselt jedes Laufwerk, das sie sieht. Der Fall Tuckers zeigt, wie das aussieht: Die Kanzlei hatte keine Multi-Faktor-Authentifizierung, ein kritischer Patch wurde fünf Monate zu spät eingespielt, und die Angreifer erreichten die Backups über dasselbe Netzwerk wie alles andere.

Bewahren Sie das Laufwerk nicht neben dem Laptop auf. Eine Schreibtischschublade schützt vor einem Laptop-Ausfall; das Handschuhfach oder Ihr Zuhause schützt vor einem Einbruch in die Geschäftsräume.

Kopie drei: an einem anderen Ort und automatisch

Die dritte Kopie sollte ohne Ihr Zutun entstehen. Zwei Wege funktionieren für eine kleine Firma:

• Ein Backup-Dienst. Backblaze verlangt $9 im Monat oder $99 im Jahr für unbegrenzte Daten von einem Computer, mit standardmäßig 30 Tagen Versionsverlauf und einem kostenlosen Jahr, wenn Sie es einschalten. Er läuft im Hintergrund, und eine Wiederherstellung können Sie auf der Website in zwei Minuten testen.
• Eine zweite Cloud mit längerem Zeitfenster. iCloud+ mit 2 TB kostet £8.99 im Monat; Dropbox Standard bewahrt Versionen 180 Tage auf; Microsoft 365 für Unternehmen bündelt den OneDrive-Speicher pro Nutzer. Nutzen Sie sie für eine monatliche Kopie der wichtigen Ordner, getrennt vom Konto der täglichen Synchronisation.

Schützen Sie die Kopie an einem anderen Ort mit der Bestätigung in zwei Schritten und einem Passwort, das nirgendwo sonst verwendet wird. Das NCSC nennt das nicht ohne Grund als letzten Schritt: Ein Backup-Konto, das sich mit demselben Passwort öffnet wie die kompromittierte E-Mail, liegt nicht in einem Sinne an einem anderen Ort, der zählt.

Die Ransomware-Realität für Firmen mit und ohne Backups

Der Bericht State of Ransomware 2026 von Sophos, eine zwischen Januar und März 2026 durchgeführte Umfrage unter 2,158 Organisationen mit 100 bis 5,000 Beschäftigten, ergab, dass bei 56% bei einem Angriff Daten verschlüsselt wurden. Davon stellten 66% aus Backups wieder her und 48% zahlten ein Lösegeld, bei durchschnittlichen Wiederherstellungskosten von $1.70 Millionen und einem Median von $375,000. In der britischen Stichprobe, veröffentlicht im Juli 2026, sank der Anteil der Zahlenden von 54% im Jahr 2025 auf 18% im Jahr 2026, während der Anteil derer, die aus Backups wiederherstellten, von 39% auf 78% stieg. Das sind größere Firmen als die meisten Leser dieses Blogs, aber die Richtung ist die Lehre: Die Unternehmen, die zahlten, waren überwiegend diejenigen, die nicht wiederherstellen konnten.

Das NCSC befürwortet keine Zahlung. Sein Rat ist für einen Zwei-Personen-Betrieb derselbe wie für ein Krankenhaus: aktuelle Offline-Backups vorhalten, prüfen, ob Sie daraus wiederherstellen können, und das Backup vor der Wiederherstellung scannen, damit Sie das Problem nicht erneut einspielen.

Der Wiederherstellungstest, den niemand durchführt

Der Backup-Bericht 2025 von Kaseya, gestützt auf mehr als 3,000 IT-Fachleute, ergab, dass 60% glaubten, innerhalb von 24 Stunden wiederherstellen zu können, aber nur 35% es nachgewiesen hatten, und dass nur 15% Backups täglich und 25% wöchentlich testen. Ein Kleinunternehmen braucht keine täglichen Tests. Es braucht einen monatlichen, der zehn Minuten dauert:

1. Wählen Sie eine Datei, die Sie letzte Woche bearbeitet haben. Löschen Sie sie vom Laptop.
2. Stellen Sie sie vom externen Laufwerk wieder her. Öffnen Sie sie.
3. Stellen Sie die Version des letzten Monats einer zweiten Datei aus dem Cloud-Backup wieder her. Öffnen Sie sie.
4. Tragen Sie das Datum und das Ergebnis in ein einzeiliges Protokoll ein.

Scheitert einer der Schritte, war das Backup nie ein Backup. Das an einem ruhigen Dienstag herauszufinden kostet zehn Minuten; es nach einem Diebstahl herauszufinden kostet das Unternehmen.

Die 20 Minuten pro Woche

• Montag, 5 Minuten. Laufwerk anschließen, Time Machine oder File History laufen lassen, abstecken, sobald das Licht aufhört zu blinken.
• Montag, 5 Minuten. Den Backup-Dienst öffnen und das Datum des letzten erfolgreichen Laufs sowie die Größe prüfen. Ein Backup, das seit drei Wochen "läuft", ist ein Backup, das stehen geblieben ist.
• Montag, 5 Minuten. Alles exportieren, was nur in einer Web-App liegt: die Buchungsliste, die CRM-Kontakte, die Shop-Bestellungen. Den Export im gesicherten Ordner ablegen.
• Am ersten Montag des Monats, 5 Minuten zusätzlich. Der oben beschriebene Wiederherstellungstest sowie die Kontrolle, dass die Codes für die Bestätigung in zwei Schritten der Backup-Konten noch ausgedruckt und auffindbar sind.

Wie ein KI-Agent Ihnen hilft, die Regel einzuhalten

Das Schwierige an 3-2-1 ist nicht die Technik. Es ist, jahrelang jede Woche dieselbe kleine Sache zu tun. Genau diese Art von Aufgabe erledigt ein Agent, ohne sich zu langweilen.

• Führt die wöchentlichen Exporte aus. Geben Sie dem Agenten Zugriff auf das Buchungswerkzeug, das CRM und den Shop, und er zieht jeden Montag die Exporte in den gesicherten Ordner und benennt sie nach Datum. Die Automatisierungen von Jobbit laufen nach Zeitplan, ohne dass Sie einen Laptop öffnen.
• Prüft, ob das Backup wirklich gelaufen ist. Er liest den Status des Backup-Dienstes und nennt Ihnen das Datum des letzten guten Laufs in einer einzeiligen Nachricht, statt in einem Dashboard, das Sie nie öffnen.
• Führt das Wiederherstellungsprotokoll. Er erinnert Sie am ersten Montag, hält das Ergebnis fest und meldet einen versäumten Monat.
• Schreibt den Wiederherstellungsplan. Ein einseitiges Dokument: wo jede Kopie liegt, welches Konto sie wiederherstellt, wer die Codes besitzt, in der Reihenfolge, in der Sie sie am schlimmsten Tag brauchen würden.
• Beobachtet die Aufbewahrungsfristen. Ändert Dropbox oder Google eine Richtlinie oder läuft ein Abonnement aus, sagt er es Ihnen, bevor die Frist abläuft.
• Entwirft die Meldung, falls das Schlimmste eintritt. Das ICO erwartet eine Meldung der Datenschutzverletzung innerhalb von 72 Stunden; der Agent bereitet die Fakten im Format der Behörde vor, während Sie sich um das Geschäft kümmern.

ChatGPT, Claude, Gemini, Microsoft Copilot, Manus und Metas Muse erklären Ihnen alle Backups und schreiben eine Checkliste. Was sie nicht tun, ist, ein Jahr lang die Montagsroutine auszuführen. Ein Jobbit-Agent führt den Zeitplan aus, pflegt das Protokoll und holt, wenn die Aufgabe Hände braucht, eine geprüfte Person aus dem Netzwerk, die das Laufwerk einrichtet oder den Shop wiederherstellt.

Ihre erste Woche

• Tag 1: die Liste erstellen. Die sechs oben genannten Kategorien, jeweils mit dem Ordner oder der App, in der sie liegen.
• Tag 2: das Laufwerk bestellen. 2 TB, von einer bekannten Marke, und ein beschrifteter Umschlag für die Wiederherstellungscodes.
• Tag 3: die Kopie an einem anderen Ort einschalten. Ein Backup-Dienst oder ein zweites Cloud-Konto, Bestätigung in zwei Schritten aktiv, das Passwort im Manager.
• Tag 4: erstes lokales Backup. Durchlaufen lassen, abstecken, verwahren.
• Tag 5: erster Wiederherstellungstest. Eine Datei aus jeder Kopie, protokolliert.
• Tag 7: die Montagserinnerung einrichten, oder die Routine dem Agenten übergeben.

Als Nächstes lesen

• Best Password & Privacy Tools in 2026 (1Password, Bitwarden, Proton & More)
• AI Scams in 2026: 9 Tricks Aimed at Small Businesses and How to Spot Each One
• 50 AI Automation Ideas for Small Businesses in 2026 (With Examples)

Häufig gestellte Fragen

Was ist die 3-2-1-Backup-Regel?

Drei Kopien Ihrer Daten, auf zwei verschiedenen Speichertypen, mit einer Kopie an einem anderen Ort. Das NCSC empfiehlt sie in genau diesen Worten. Für ein Kleinunternehmen bedeutet das: die Arbeitskopie auf dem Laptop samt Sync-Ordner, eine wöchentliche Kopie auf einem externen Laufwerk, das danach abgesteckt wird, und eine automatische Kopie bei einem Cloud-Backup-Dienst oder in einem zweiten Cloud-Konto.

Ist Cloud-Synchronisation wie Google Drive oder OneDrive ein Backup?

Nur teilweise. Die Synchronisation kopiert jede Änderung, auch eine Löschung oder eine Verschlüsselung, und schützt daher vor einem verlorenen Laptop, nicht aber vor Ransomware oder einem Fehler, den Sie spät bemerken. Google Drive bewahrt gelöschte Dateien 30 Tage auf, OneDrive für die Arbeit 93 Tage; danach sind sie weg. Betrachten Sie die Synchronisation als Kopie eins und ergänzen Sie die beiden anderen.

Wie oft sollte ein Kleinunternehmen sichern?

Laufend beim Sync-Ordner, wöchentlich beim externen Laufwerk und automatisch jeden Tag beim Dienst an einem anderen Ort. Testen Sie die Wiederherstellung einmal im Monat. Die Umfrage von Kaseya 2025 ergab, dass nur 35% der Organisationen nachgewiesen hatten, innerhalb eines Tages wiederherstellen zu können, gegenüber 60%, die es glaubten.

Wie viel kostet das Backup eines Kleinunternehmens?

Etwa £85 bis £100 einmalig für ein externes 2-TB-Laufwerk, dazu $9 im Monat für Backblaze oder £8.99 im Monat für 2 TB iCloud+, zu den Preisen vom Oktober 2026. Die Backup-Software des Betriebssystems, Time Machine auf einem Mac und File History unter Windows, ist kostenlos.

Soll ich eine Lösegeldforderung zahlen, wenn ich kein Backup habe?

Das NCSC befürwortet keine Zahlung, und eine Zahlung garantiert nicht, dass die Daten zurückkommen. In der britischen Umfrage von Sophos 2026 stellten 78% der betroffenen Firmen aus Backups wieder her und 18% zahlten, nach 54% im Jahr davor. Die Offline-Kopie auf einem abgesteckten Laufwerk ist die günstigste Versicherung dagegen, überhaupt entscheiden zu müssen.

Kann ein KI-Agent meine Backups verwalten?

Er kann die Teile übernehmen, die jede Woche anfallen: die Exporte aus Web-Apps, die Kontrolle, dass der Backup-Dienst durchgelaufen ist, die monatliche Erinnerung an den Wiederherstellungstest und das Protokoll. Ein Jobbit-Agent erledigt das nach Zeitplan, mit 100 kostenlosen Credits pro Tag und ohne Karte, und holt eine geprüfte Person, wenn die Aufgabe jemanden vor Ort braucht.