Es gibt eine einzige Massnahme, die aus einem katastrophalen Cyberangriff einen bloss schlechten Tag macht: ein Backup, das funktioniert. Verschlüsselt Ransomware sämtliche Ihrer Dateien, geht es nicht mehr darum, den Angriff zu verhindern, sondern darum, ob Sie ohne Zahlung wieder loslegen können.
Die 3-2-1-Regel ist der Standard, der diese Frage beantwortet. Sie ist einfach zu verstehen, und viele Unternehmen glauben, sie anzuwenden, während ihnen genau das entscheidende Element fehlt.
Die 3-2-1-Regel auf einen Blick
Das Original plus zwei Backups. Eine einzige Ersatzkopie reicht nicht: Sie kann genau in dem Moment ausfallen, in dem Sie sie brauchen.
Zum Beispiel eine externe Festplatte und ein Online-Dienst. Zwei Kopien auf derselben Hardware verschwinden bei einem Defekt, Diebstahl oder Brand gemeinsam.
In einem anderen Gebäude, oder bei einem Hosting-Anbieter. Vor allem: zwischen zwei Backups vom Netzwerk getrennt, damit sie unerreichbar bleibt.
Die 3-2-1-Regel angewendet auf ein KMU. Der dritte Punkt fehlt am häufigsten, und genau er schützt vor Ransomware.
Warum gibt es diese Regel überhaupt?
Jede Zahl beantwortet eine bestimmte Art von Ausfall. Das ist kein willkürliches Rezept, sondern eine Antwort auf drei unterschiedliche Wege, alles zu verlieren.
Drei Kopien beantworten den Hardwaredefekt. Eine Festplatte fällt ohne Vorwarnung aus. Wenn Ihr einziges Backup auf dieser Platte liegt und sie genau an dem Tag ausfällt, an dem auch Ihr Server ausfällt, haben Sie nichts mehr. Redundanz deckt dieses Risiko ab.
Zwei verschiedene Medien beantworten den systematischen Ausfall. Zwei am gleichen Tag gekaufte Festplatten desselben Modells altern gleich und fallen oft innerhalb wenigen Wochen Abstand aus. Vor allem verschwinden zwei im selben Gebäude gelagerte Kopien gemeinsam bei einem Brand, einem Wasserschaden oder einem Diebstahl.
Eine externe Kopie beantwortet den Cyberangriff und den Schadenfall. Das ist der entscheidende Punkt, und genau der, den KMU am meisten vernachlässigen.
Der Fehler, der alles Übrige zunichtemacht
Ransomware verschlüsselt nicht nur den Computer, den sie infiziert. Sie sucht aktiv alles, was von diesem Gerät aus erreichbar ist: Netzlaufwerke, Server, angeschlossene externe Festplatten, freigegebene Ordner und oft auch synchronisierte Cloud-Speicher.
Die externe Festplatte, die am Server angeschlossen bleibt, «damit das Backup von selbst läuft», wird zusammen mit dem Rest verschlüsselt. Am Morgen nach dem Angriff stellt das Unternehmen fest, dass seine Backups genauso unbrauchbar sind wie seine Dateien. Eine Kopie muss getrennt oder bei einem Dritten mit einem Löschschutz gespeichert werden.
Die gleiche Logik gilt für Synchronisationstools. OneDrive, Dropbox und Google Drive kopieren getreu, was auf Ihrem Gerät passiert. Werden Ihre Dateien lokal verschlüsselt, wandert die verschlüsselte Version in die Cloud und überschreibt die gute Fassung. Diese Dienste behalten in der Regel einen Versionsverlauf, der manchmal helfen kann, doch er ist zeitlich begrenzt und stellt keine Backup-Strategie dar.
Was die Schweizer Lage zeigt
Ransomware bleibt eine konstante Bedrohung für Schweizer Organisationen. Im zweiten Halbjahr 2025 wurden dem Bundesamt für Cybersicherheit direkt 57 Ransomware-bezogene Vorfälle gemeldet, wobei die Variante Akira im Land am weitesten verbreitet war.
Diese Zahlen erfassen nur die gemeldeten Fälle. Viele KMU melden nichts, aus Unwissenheit oder aus Sorge um ihren Ruf. Die tatsächliche Grössenordnung liegt also höher.
Entscheidend für eine Geschäftsführung ist nicht die Anzahl der Angriffe, sondern deren Folge. Ein Unternehmen, dessen Backups funktionieren, ist innerhalb weniger Tage wieder betriebsbereit. Ein Unternehmen ohne nutzbares Backup steht vor einer Entscheidung, die kein Unternehmer treffen möchte: ein Lösegeld zahlen, ohne Garantie, überhaupt etwas wiederzubekommen, oder seine Historie verlieren.
Wie setzt man die Regel konkret um?
Hier eine realistische Konfiguration für ein KMU mit fünf bis fünfzig Mitarbeitenden. Liegt Ihre Belegschaft ausserhalb dieser Bandbreite, zeigt unser Aktionsplan nach Unternehmensgrösse, wo Backups in Ihrer Prioritätenliste stehen sollten.
| Kopie | Wo | Häufigkeit | Rolle |
|---|---|---|---|
| Kopie 1 | Ihre Arbeitsdaten, auf dem Server oder den Arbeitsplätzen | Fortlaufend | Das Original |
| Kopie 2 | Externe Festplatte oder NAS, in Ihren Räumlichkeiten | Täglich, automatisch | Schnelle Wiederherstellung bei Defekt oder Löschung |
| Kopie 3 | Online-Backup-Dienst, oder eine anderswo gelagerte Festplatte | Täglich oder wöchentlich | Schutz vor Ransomware, Brand, Diebstahl |
Drei Anforderungen zählen genauso viel wie die Anzahl der Kopien.
Die Automatisierung. Ein Backup, das davon abhängt, dass jemand daran denkt, am Freitagabend eine Festplatte anzuschliessen, findet irgendwann nicht mehr statt. Alles, was auf das menschliche Erinnern angewiesen ist, versagt früher oder später.
Die Überwachung. Richten Sie einen Alarm für Fehlschläge ein. Das häufigste Szenario ist nicht das Fehlen eines Backups, sondern ein Backup, das monatelang stillschweigend fehlschlägt, ohne dass es jemand bemerkt.
Die Unveränderlichkeit, sofern Ihr Dienstleister sie anbietet. Manche Angebote erlauben es, Backups für eine bestimmte Dauer zu sperren: Selbst ein Angreifer mit Ihren Zugangsdaten kann sie dann weder verändern noch löschen. Das ist derzeit der beste verfügbare Schutz, und er verbreitet sich zunehmend.
Lassen Sie einmal pro Jahr einen wichtigen Ordner vollständig wiederherstellen und stoppen Sie die Zeit dafür. So prüfen Sie drei Dinge gleichzeitig: dass das Backup existiert, dass es nutzbar ist, und wie lange Ihr Unternehmen stillstehen würde. Viele Geschäftsführer stellen dabei fest, dass die Wiederherstellung mehrere Tage dauern würde.
Diese Zeitmessung hat einen Nutzen, der über das Technische hinausgeht: Sie liefert Ihnen die tatsächliche Wiederherstellungszeit, die Ihr Unternehmen einhalten müsste. Das ist einer der Punkte, die in einem Notfallplan festgehalten werden, dem ein- bis zweiseitigen Dokument, das beschreibt, wer was tut an dem Tag, an dem sich die Dateien nicht mehr öffnen lassen.
Und was gilt für den Datenschutz?
Ein Backup ist nicht nur eine gute technische Praxis. Das Datenschutzrecht verlangt geeignete Massnahmen zur Sicherheit von Personendaten, und die Verfügbarkeit gehört dazu: der endgültige Verlust der Daten Ihrer Kundschaft ist eine Verletzung ihres Schutzes, nicht nur ein internes Problem.
Zwei Punkte verdienen dabei Aufmerksamkeit. Ihre Backups enthalten Personendaten, sie müssen also verschlüsselt und der Zugriff darauf eingeschränkt sein. Und ist Ihr Backup-Anbieter im Ausland niedergelassen, muss diese Übermittlung auf einer gültigen Grundlage beruhen. Diese Anforderungen sind ausführlich in unserem Artikel zu den nDSG-Pflichten für KMU beschrieben.
Um Ihr allgemeines Schutzniveau einzuordnen, widmet der Cyber-Check-up mehrere Fragen den Backups und ihrer Prüfung. Die übrigen vorrangigen Massnahmen sind im Pfeiler Best Practices zusammengefasst.