IT-Grundwissen für kleine Betriebe: 3-2-1

Die 3-2-1-Regel

Das Fundament jeder Datensicherung passt in eine Zeile: drei Kopien deiner Daten, auf zwei verschiedenen Medien, davon eine außer Haus.

In der Praxis: Arbeitsdaten auf dem Server, ein Backup auf einem NAS im Gebäude, ein zweites verschlüsselt in der Cloud. Wichtig ist die Kopie außer Haus — ein Verschlüsselungstrojaner nimmt das NAS im selben Netz gleich mit. Und: mindestens einmal im Jahr testweise wiederherstellen. Ein Backup, das noch nie zurückgespielt wurde, ist keine Sicherung, sondern ein Gerücht.

Wer es eine Stufe genauer mag: Am Ende zählen zwei Zahlen — wie viel Datenverlust der Betrieb verkraftet (ein Tag? eine Stunde?) und wie schnell alles wieder laufen muss. Aus diesen beiden Antworten ergibt sich das Setup, nicht aus dem Prospekt des Anbieters.

Praxisnahe Grundlagen dazu veröffentlicht das BSI für Unternehmen.

Cyber-Versicherung: die Rückfallebene

Wenn es trotzdem passiert, zahlt eine Cyber-Versicherung Forensik, Wiederherstellung und Betriebsunterbrechung — je nach Tarif auch Schäden Dritter. Für einen Betrieb, der zwei Wochen keine Rechnung schreiben kann, ist das schnell existenzrelevant.

Aber: Die Versicherer machen die Datensicherung zur Vertragspflicht („Obliegenheit“). Übliche Klauseln verlangen regelmäßige — oft tägliche — Backups, davon eine Kopie offline beziehungsweise getrennt vom Firmennetz. Das ist im Kern genau die 3-2-1-Regel. Wer dagegen verstößt, riskiert im Schadensfall Kürzung bis hin zur kompletten Leistungsverweigerung. Ein Backup, das es nur auf dem Papier gibt, fällt spätestens dem Gutachter des Versicherers auf — und der schaut genau deshalb hin.

Dazu kommen je nach Anbieter weitere Auflagen: aktuelle Updates, Zwei-Faktor-Anmeldung, teils benannte Verantwortliche. Die Versicherung ersetzt die Punkte oben also nicht — sie setzt sie voraus. Einen herstellerneutralen Überblick gibt der Gesamtverband der Deutschen Versicherungswirtschaft (GDV).

IT-Dienstleister auswählen — und den Vertrag lesen

Die meisten kleinen Betriebe brauchen keinen IT-Leiter, sondern einen verlässlichen Dienstleister. Den erkennt man weniger am Prospekt als an den Antworten auf vier Fragen:

• Reaktionszeit, schriftlich (SLA). Was heißt „wir kümmern uns schnell“ in Stunden? Steht die Zahl im Vertrag — oder nur im Verkaufsgespräch?
• Vorsorge oder Feuerwehr? Werden Updates und Monitoring aktiv betrieben, oder wird repariert, wenn es brennt — abgerechnet nach Aufwand?
• Wem gehören die Zugänge? Admin-Passwörter, Lizenzen und Dokumentation gehören dem Betrieb. Wer beim Wechsel die eigenen Passwörter nicht bekommt, hatte keinen Dienstleister, sondern einen Vermieter.
• Exit-Regelung. Was passiert bei Kündigung — Übergabe, Fristen, Kosten? Das liest man besser vor der Unterschrift als im Streit.