Datensicherung mit NAS: die 3-2-1-Regel für Betriebe

„Wir haben doch ein NAS im Serverschrank.“ Dieser Satz fällt in fast jedem Erstgespräch zur Datensicherung im Betrieb – und er beruhigt trügerisch. Ein Netzwerkspeicher (NAS) ist eine sinnvolle Sache, aber er ist noch kein Backup. Wer seine Datensicherung ausschließlich auf ein NAS im eigenen Netz stützt, steht im Ernstfall – etwa bei einem Verschlüsselungsangriff – schnell ohne zweite Kopie da. Die gute Nachricht: Die anerkannte 3-2-1-Regel, nach der große IT-Abteilungen arbeiten, lässt sich auch in einem Betrieb mit fünf oder zehn Mitarbeitenden mit überschaubarem Aufwand umsetzen. Dieser Beitrag erklärt ruhig und Schritt für Schritt, warum ein NAS allein nicht reicht und wie ein belastbares Backup konkret aussieht.

„Wir haben doch ein NAS“ – der teure Irrtum

Ein NAS arbeitet in den meisten Betrieben mit einem RAID-Verbund: Mehrere Festplatten spiegeln sich gegenseitig, damit der Ausfall einer einzelnen Platte die Daten unberührt lässt. Genau hier liegt das Missverständnis. RAID und Synchronisation schützen vor einem Hardware-Defekt – aber sie replizieren jede Änderung sofort auf alle Platten. Wird eine Datei versehentlich gelöscht, überschrieben oder von Schadsoftware verschlüsselt, dann geschieht das auf allen gespiegelten Kopien im selben Moment. Die Synchronisation fängt den Fehler nicht ab, sie schreibt ihn mit.

Dazu kommt ein zweites, oft übersehenes Risiko: NAS-Geräte von Herstellern wie Synology und QNAP sind selbst ein beliebtes Angriffsziel. Schadsoftware wie eCh0raix und DeadBolt hat gezielt NAS-Systeme befallen und deren Inhalte verschlüsselt. Ein NAS im selben Netz ist also eine Redundanz gegen den Ausfall einer Festplatte – aber kein Schutz vor den häufigsten Ursachen echten Datenverlusts. Redundanz und Backup sind zwei verschiedene Dinge, und nur eines davon rettet Sie im Ernstfall.

Der entscheidende Unterschied lautet Verfügbarkeit gegen Historie. Ein NAS mit RAID hält Ihre Daten verfügbar, solange die Hardware lebt. Ein Backup dagegen bewahrt einen Stand der Vergangenheit auf – einen Zustand von gestern, von letzter Woche, von vor dem Angriff. Nur diese Zeitreise zurück hilft, wenn Daten beschädigt oder verschlüsselt wurden. Deshalb gehört zu jeder tragfähigen Sicherung eine Versionierung, die mehrere frühere Stände vorhält, statt immer nur den aktuellen – womöglich bereits beschädigten – Zustand zu spiegeln.

Warum das existenzbedrohend ist

Datenverlust ist kein abstraktes IT-Thema, sondern ein reales Geschäftsrisiko – gerade für Betriebe. In Deutschland sind rund 80 Prozent der Ransomware-Opfer kleine und mittlere Unternehmen (BSI-Lagebericht 2025). Angriffe laufen automatisiert; „zu klein, um interessant zu sein“ gibt es dabei nicht.

Besonders wichtig für dieses Thema: Angreifer nehmen gezielt die Sicherungen ins Visier. Laut Sophos versuchen 94 Prozent der Ransomware-Angreifer, die Backups zu attackieren – und bei 57 Prozent gelingt das auch. Wer nur eine erreichbare Kopie im Netz hat, verliert im Angriffsfall genau die Rettungsleine, auf die es ankommt. Die durchschnittlichen Wiederherstellungskosten nach einem Angriff liegen in Deutschland bei 1,56 Millionen US-Dollar (Sophos 2025). Und trotzdem sichern 24 Prozent der KMU nicht einmal wöchentlich (GDV/Forsa).

Hinter jeder dieser Zahlen steht dasselbe konkrete Szenario: Tage ohne Zugriff auf Angebote, Rechnungen, Kundendaten und Warenwirtschaft – und die bange Frage, ob und wann der Betrieb wieder arbeitsfähig ist. Wer eine getrennte, unangetastete Kopie besitzt, verkürzt genau diese Zeit von Wochen auf Stunden. Diese Zahlen sollen keine Angst machen, sondern die Prioritäten klären: Ein sauberes Backup ist die günstigste Versicherung, die Sie abschließen können.

Die 3-2-1-Regel – und ihre moderne Erweiterung

Die 3-2-1-Regel ist der bewährte Standard für Datensicherung und leicht zu merken:

• 3 Kopien Ihrer Daten (die Originaldaten plus zwei Sicherungen).
• 2 verschiedene Medientypen (zum Beispiel NAS und Cloud, nicht zweimal dasselbe).
• 1 Kopie außer Haus (räumlich getrennt, damit Brand, Diebstahl oder ein Netzangriff höchstens einen Standort trifft).

Jede Ziffer hat einen Grund. Zwei verschiedene Medientypen schützen davor, dass ein systematischer Fehler – eine fehleranfällige Plattenserie, ein Software-Bug – beide Kopien auf einen Schlag unbrauchbar macht. Die Kopie außer Haus sorgt dafür, dass kein einzelnes Ereignis am Standort, ob Feuer, Diebstahl oder Netzangriff, alle Sicherungen gleichzeitig erwischt.

Moderne Empfehlungen erweitern das zu 3-2-1-1-0: die zusätzliche 1 steht für eine unveränderliche (immutable) oder offline gehaltene Kopie, die selbst ein Angreifer mit Vollzugriff nicht überschreiben kann; die 0 steht für null Fehler beim Restore-Test. Der IT-Grundschutz des BSI (Baustein CON.3 „Datensicherungskonzept“) fordert ausdrücklich mindestens eine netzgetrennte Sicherungskopie. Genau diese getrennte Kopie ist das, was ein NAS im Produktivnetz nicht leisten kann.

So sieht das konkret für 10 Mitarbeitende aus

Ein tragfähiges Setup für einen Betrieb mit rund zehn Mitarbeitenden muss nicht kompliziert sein. Es kombiniert Schnelligkeit für den Alltag mit echter Ausfallsicherheit:

• Kopie 1 – die Produktivdaten: Ihre laufenden Daten auf Server und Arbeitsplätzen.
• Kopie 2 – das NAS im Haus: tägliche, automatische Sicherung. Es sorgt für schnelle Wiederherstellung, wenn einmal nur eine Datei oder ein Ordner zurückgeholt werden muss.
• Kopie 3 – das Cloud-Backup außer Haus: eine Sicherung zu einem Anbieter mit Versionierung und Immutability. Diese Kopie liegt räumlich getrennt und lässt sich nicht einfach überschreiben – sie ist Ihre Rückversicherung, wenn das lokale Netz kompromittiert ist.

Dazu gehört fest ein monatlicher Restore-Test (dazu gleich mehr). Damit erfüllt das Setup die 3-2-1-Regel und die moderne Erweiterung um eine unveränderliche Kopie.

Wichtig ist außerdem, dass die Sicherungen automatisch laufen und überwacht werden. Ein Backup, das seit Wochen leise fehlschlägt, ohne dass es jemand bemerkt, ist genauso wertlos wie gar keines. Eine kurze, verlässliche Erfolgs- oder Fehlermeldung pro Tag gehört deshalb zum Konzept – so bleibt die Sicherung eine Gewissheit und wird nicht selbst zur unsichtbaren Lücke.

Zu den Kosten sagen wir ehrlich: Die laufenden Ausgaben bestehen im Wesentlichen aus einem überschaubaren monatlichen Abo für das Cloud-Backup plus der einmaligen Anschaffung des NAS. Konkrete Zahlen hängen vom Datenvolumen und den Wiederherstellungsanforderungen ab und sollten für den eigenen Betrieb ehrlich durchgerechnet werden, statt mit Pauschalpreisen zu arbeiten.

Backup ohne Restore-Test ist nur Hoffnung

Der am häufigsten übersehene Schritt ist der wichtigste: Ein Backup, das nie zurückgespielt wurde, ist kein Backup – es ist eine Annahme. Erst der Restore-Test beweist, dass die Sicherung im Ernstfall wirklich funktioniert.

Ein Restore-Test ist unspektakulär und schnell erledigt: Sie spielen in regelmäßigen Abständen – idealerweise monatlich, mindestens quartalsweise – gezielt Daten aus der Sicherung zurück und prüfen, ob sie vollständig und lesbar sind. Einmal eine einzelne Datei, ab und zu einen kompletten Ordner oder ein ganzes System. Das Ziel ist die 0 aus der 3-2-1-1-0-Regel: null Fehler beim Zurückspielen. Wer das ein paarmal geübt hat, verliert im echten Notfall keine wertvollen Stunden mit der Frage, ob und wie die Wiederherstellung überhaupt läuft.

Was das Gesetz verlangt

Datensicherung ist nicht nur eine gute Idee, sondern in Teilen Pflicht. Zwei Vorgaben sind für Betriebe besonders relevant:

• GoBD: Steuerrelevante Daten müssen unveränderbar aufbewahrt werden. Eine reine Spiegelung auf einem NAS, die jederzeit überschrieben werden kann, erfüllt die geforderte Unveränderbarkeit nicht ohne Weiteres.
• DSGVO, Artikel 32: Die Verordnung verlangt die Fähigkeit, die Verfügbarkeit personenbezogener Daten nach einem Zwischenfall rasch wiederherzustellen. Wiederherstellbarkeit ist damit keine Kür, sondern gesetzliche Pflicht – und ohne getrenntes, geprüftes Backup ist sie nicht belegbar.

Beide Punkte führen zum selben Ergebnis wie die technische Betrachtung: Eine einzelne Kopie im eigenen Netz reicht nicht. Wer eine unveränderliche, außer Haus liegende Sicherung nachweisen und regelmäßig testen kann, ist technisch und rechtlich auf der sicheren Seite.