Laut dem Clusit-Bericht 2026 sind schwerwiegende Cyberangriffe in Italien im Jahr 2025 um 42 % gestiegen. Auch KMU sind nicht sicher – sie sind oft bevorzugte Ziele, gerade weil ihre Abwehr schwächer ist als die großer Unternehmen. Das Problem beschränkt sich nicht auf Ransomware. Ein Hardwareschaden, ein Brand, ein menschlicher Fehler – das reicht, um einen Betrieb tagelang oder dauerhaft lahmzulegen.

Warum Backup eine Frage des Überlebens ist

Die Zahlen sind eindeutig. Laut mehreren Fachquellen schließen 60 % der KMU, die alle ihre Daten verlieren, innerhalb von sechs Monaten. Das ist keine technische Frage – das ist eine Frage der Betriebskontinuität.

Dennoch verfügt ein erheblicher Teil der deutschen und italienischen KMU noch immer über kein strukturiertes und getestetes Backup-System. Viele haben noch nicht einmal einen Disaster-Recovery-Plan – also einen Plan, der die Frage beantwortet: Wenn wir morgen früh alles verlieren, wie starten wir neu?

Die gute Nachricht: Sich zu schützen erfordert kein großes Budget und keine tiefen IT-Kenntnisse. Es erfordert Methode. Und die einfachste Methode heißt 3-2-1-Regel.

Die 3-2-1-Regel: was sie in der Praxis bedeutet

Die 3-2-1-Regel stammt ursprünglich aus der professionellen Fotografie – wo ein verlorenes Bild unwiederbringlich ist – und wird seit Jahrzehnten in der IT eingesetzt. Sie lässt sich in dreißig Sekunden erklären:

  • 3 Kopien Ihrer Daten: das Original plus zwei separate Backups.
  • 2 verschiedene Speichermedien: zum Beispiel ein NAS im Büro und ein dedizierter Cloud-Backup-Dienst.
  • 1 Kopie außerhalb des Standorts: mindestens eine Kopie muss sich physisch an einem anderen Ort als dem Hauptbüro befinden.

Der Grund für verschiedene Speichermedien ist simpel: Wenn Sie zwei Kopien auf derselben externen Festplatte haben und die Festplatte defekt ist, sind beide verloren. Wenn alles im Büro liegt und es einen Wasserschaden oder Brand gibt, ist keine Kopie sicher.

Die externe Kopie – früher ein Band oder eine Festplatte in einem anderen Gebäude – wird heute fast immer über die Cloud umgesetzt. Aber Vorsicht: Es kommt sehr darauf an, welche Cloud Sie nutzen.

Das häufigste Missverständnis: die Cloud ist kein Backup

Hier machen viele KMU einen Fehler, der teuer werden kann.

Microsoft 365 sichert Ihre Daten nicht. Google Workspace auch nicht.

Dateien auf SharePoint, Teams oder in einer SaaS-Anwendung sind verfügbar und synchronisiert – aber sie sind kein Backup im technischen Sinne. Wenn Sie eine Datei aus Versehen löschen und es erst nach 30 bis 60 Tagen bemerken (die typische Aufbewahrungsfrist dieser Dienste), ist die Datei unwiederbringlich verloren.

Auch große Cloud-Anbieter sind nicht vor physischen Ausfällen gefeit. Im Sommer 2026 verursachte ein Brand in einer Google-Cloud-Infrastruktur in Indien über eine Woche lang Ausfälle für tausende Unternehmen, die sich auf diese Infrastruktur verlassen hatten. Das ist kein Science-Fiction-Szenario – es ist passiert.

Der Punkt ist dieser: Die Cloud ist eine Infrastruktur, keine Backup-Strategie. Sie als Ziel eines dedizierten, strukturierten Backups zu nutzen, ist richtig. Sie als Backup zu betrachten, weil „die Dateien online sind", ist ein Fehler.

Die Weiterentwicklung: die 3-2-1-1-0-Regel

In den letzten Jahren hat sich die 3-2-1-Regel mit der massiven Verbreitung von Ransomware weiterentwickelt. Die aktualisierte Version heißt 3-2-1-1-0 und fügt zwei wesentliche Elemente hinzu:

  • 1 unveränderliche Kopie: eine Kopie, die weder geändert noch gelöscht werden kann – auch nicht von jemandem mit Systemzugriff und auch nicht von Ransomware, die das Netzwerk bereits kompromittiert hat. In der Fachsprache spricht man von einem Immutable Backup oder WORM (Write Once, Read Many).
  • 0 verifizierte Fehler: Backups müssen getestet werden. Ein ungetestetes Backup ist keine Garantie – es ist eine Hoffnung.

Die unveränderliche Kopie ist zum empfohlenen Mindeststandard geworden, weil moderne Ransomware, sobald sie im Netzwerk ist, aktiv nach Backups sucht und diese verschlüsselt oder löscht, bevor sie die Hauptdaten angreift. Wenn Ihre Sicherungskopie vom infizierten Netzwerk aus erreichbar ist, ist sie nicht sicher.

Der Wiederherstellungstest: der Schritt, den fast niemand macht

Laut den Veeam Data Protection Trends 2025 schlagen 37 % der Backups beim Wiederherstellungsversuch fehl. Die Gründe sind vielfältig: beschädigte Speichermedien, im Laufe der Zeit geänderte Konfigurationen, unvollständige Backups, deutlich längere Wiederherstellungszeiten als erwartet.

Das bedeutet: Ein Backup zu erstellen reicht nicht. Sie müssen prüfen, ob es funktioniert – bevor Sie es brauchen.

So gehen Sie konkret vor:

  1. Planen Sie mindestens alle drei Monate einen vollständigen Wiederherstellungstest.
  2. Simulieren Sie einen echten Notfall: Stellen Sie die Daten in einer isolierten Umgebung wieder her, nicht im Produktivsystem.
  3. Prüfen Sie, ob die Daten vollständig sind und ob die Wiederherstellungszeit für Ihren Betrieb akzeptabel ist.
  4. Dokumentieren Sie das Ergebnis: Wenn der Test fehlschlägt, müssen Sie das jetzt wissen – nicht im Ernstfall.

Der Quartalstest ist kein Luxus für große Unternehmen. Er ist der einzige Weg, um zu wissen, ob Ihr Backup real ist oder nur auf dem Papier existiert.

Wo Sie als KMU anfangen sollten

Sie müssen nicht mit einer komplexen Lösung starten. Sie müssen mit etwas starten, das funktioniert.

Ein vernünftiges Minimalschema für ein KMU mit 5 bis 50 Mitarbeitern:

  • Ein NAS im Büro, das täglich automatisch die kritischen Daten sichert (Server, freigegebene Ordner, Verwaltungssoftware).
  • Ein dedizierter Cloud-Backup-Dienst – nicht Dropbox oder OneDrive, sondern Werkzeuge, die dafür entwickelt wurden: Veeam, Acronis, Duplicati oder branchenspezifische Lösungen.
  • Eine unveränderliche Kopie in der Cloud mit konfigurierter Aufbewahrungsfrist (mindestens 30 Tage Versionshistorie).
  • Ein dokumentierter Quartalstest, durchgeführt von der Person, die das IT-Management übernimmt – intern oder extern.

Die Kosten einer solchen Konfiguration hängen von der Unternehmensgröße und der Datenmenge ab – in vielen Fällen sprechen wir von wenigen hundert Euro pro Monat. Die Kosten, sie nicht zu haben, können im Ernstfall die Geschäftsaufgabe bedeuten.

Eines ist sicher: Kein Backup-System ist zu klein, um notwendig zu sein. Und kein Unternehmen ist zu klein, um Ziel eines Angriffs zu werden.