3-2-1 Backup-Regel: So schützt du deine NAS-Daten richtig

RAID ist kein Backup, diesen Satz unterschätzen 90 Prozent aller NAS-Einsteiger. RAID schützt ausschließlich vor dem Ausfall einer einzelnen Festplatte, nicht aber vor Ransomware, versehentlichem Löschen, Diebstahl, Brand oder Wasserschaden. Die 3-2-1-Backup-Regel ist seit Jahrzehnten der Industriestandard und die Minimalanforderung für echten Datenschutz. Wer sie umsetzt, übersteht praktisch jedes Datenverlust-Szenario.

Die 3-2-1-Regel im Detail erklärt

Die Regel besteht aus drei einfachen Prinzipien, die zusammen einen lückenlosen Schutz ergeben:

• 3 Kopien deiner Daten: Das Original auf dem NAS plus zwei vollständige Backup-Kopien an unterschiedlichen Orten
• 2 verschiedene Medientypen: Zum Beispiel NAS mit RAID-Verbund plus eine externe USB-Festplatte, so bist du gegen medienspezifische Fehler geschützt
• 1 Off-Site-Kopie: Mindestens eine Kopie außerhalb deines Zuhauses, entweder in der Cloud oder auf einem zweiten NAS an einem anderen physischen Standort

Der entscheidende Punkt ist die Kombination aller drei Prinzipien. Zwei Kopien auf demselben NAS sind kein Backup. Zwei Kopien im selben Raum schützen nicht vor Feuer. Erst die räumliche Trennung plus die Medienvielfalt ergeben echten Schutz.

Praktische Umsetzung mit Synology und QNAP

Beide großen NAS-Hersteller liefern die nötigen Backup-Tools direkt mit. Du brauchst keine zusätzliche Software zu kaufen oder komplizierte Skripte zu schreiben.

Lokales Backup auf USB-Festplatte einrichten

Schließe eine USB-Festplatte an den USB-3.0-Port deines NAS an. In Synology DSM öffnest du Hyper Backup und erstellst eine neue Aufgabe mit dem Ziel "Lokaler Ordner und USB". Wähle die zu sichernden Ordner aus und stelle den Zeitplan auf täglich um 3 Uhr nachts. Hyper Backup erstellt inkrementelle Backups, nach dem ersten Vollbackup werden nur noch geänderte Dateien gesichert, was Zeit und Platz spart.

Bei QNAP verwendest du HBS 3 (Hybrid Backup Sync) mit identischer Funktionalität. Erstelle einen Sync-Job oder Backup-Job auf das USB-Laufwerk mit täglichem Zeitplan.

Off-Site-Backup in die Cloud

Backblaze B2 ist der günstigste seriöse Cloud-Speicher für NAS-Backups. Bei 1 TB Datenvolumen zahlst du etwa 5 EUR pro Monat, deutlich weniger als Google One oder Dropbox für vergleichbare Kapazitäten. Synology Hyper Backup unterstützt Backblaze B2 nativ als Backup-Ziel. Die Daten werden vor dem Upload AES-256-verschlüsselt, sodass selbst Backblaze keinen Zugriff auf deine Dateien hat.

Alternative: Zweites NAS als Off-Site-Backup

Wenn du kein Cloud-Abo möchtest, kannst du ein günstiges 1-Bay-NAS (ab 140 EUR) bei Verwandten oder im Büro aufstellen und darauf per Hyper Backup oder HBS 3 über das Internet sichern. Der Vorteil gegenüber der Cloud: keine monatlichen Kosten nach der Anschaffung und volle Kontrolle über die Hardware. Der Nachteil: du brauchst am Zielort einen Internetanschluss mit ausreichend Upload-Bandbreite.

Häufige Fehler, die dein Backup nutzlos machen

• RAID als Backup betrachten: RAID schützt nur vor dem Ausfall einer einzelnen Festplatte. Ransomware verschlüsselt alle Dateien auf allen RAID-Platten gleichzeitig. Versehentliches Löschen wird sofort auf alle Platten synchronisiert
• Backup auf demselben NAS: Eine Kopie auf einem anderen Volume desselben NAS schützt nicht vor Geräteausfall, Diebstahl oder Stromschäden
• Kein Off-Site-Backup: Einbruch, Brand oder Wasserschaden vernichten alle lokalen Kopien gleichzeitig, egal wie viele USB-Festplatten im selben Raum liegen
• Backup nie testen: Prüfe mindestens vierteljährlich, ob die Wiederherstellung tatsächlich funktioniert. Ein Backup, das sich nicht wiederherstellen lässt, ist kein Backup
• USB-Festplatte dauerhaft angeschlossen lassen: Ransomware verschlüsselt auch angeschlossene USB-Laufwerke. Trenne die Platte nach dem Backup oder nutze den Aufgabenplaner, um sie nach dem Backup automatisch auszuwerfen
• Nur die wichtigsten Ordner sichern: Vergiss nicht die NAS-Konfiguration, Docker-Container-Einstellungen und Datenbanken. Hyper Backup kann die Systemkonfiguration mitsichern

Erweiterte Strategie: Die 3-2-1-1-0-Regel

Sicherheitsexperten empfehlen inzwischen eine Erweiterung der klassischen 3-2-1-Regel um zwei zusätzliche Punkte, die den Schutz gegen moderne Bedrohungen wie Ransomware deutlich verbessern:

• 3-2-1 wie oben: Drei Kopien, zwei Medien, ein Off-Site-Standort
• Plus 1 Offline-Kopie (Air-Gapped): Mindestens eine Kopie, die nicht permanent am Netzwerk hängt und nicht von Ransomware erreichbar ist. Eine USB-Festplatte, die du nur zum Backup anschließt und danach physisch trennst, erfüllt dieses Kriterium
• Plus 0 Fehler bei der Verifizierung: Jedes Backup wird nach der Erstellung automatisch auf Integrität geprüft. Hyper Backup bietet eine eingebaute Integritätsprüfung, die du im Aufgabenplaner aktivieren kannst

Versionierung als zusätzlicher Schutz gegen Ransomware

Sowohl Hyper Backup als auch HBS 3 unterstützen versionierte Backups. Das bedeutet, dass nicht nur die aktuelle Version einer Datei gesichert wird, sondern auch ältere Versionen über einen definierten Zeitraum erhalten bleiben. Wenn du versehentlich eine Datei überschreibst, ein Update fehlschlägt oder Ransomware deine Dateien verschlüsselt, kannst du jederzeit auf eine ältere, intakte Version zurückgreifen. Versionierung ist besonders gegen Ransomware wichtig, weil die Schadsoftware zwar die aktuellen Dateien verschlüsselt, aber die älteren Backup-Versionen in Hyper Backup unangetastet lässt.

Empfohlene Versionierungsstrategie

• Tägliche Versionen: Die letzten 30 Tage aufbewahren, sodass du bei Problemen bis zu einen Monat zurückgehen kannst
• Wöchentliche Versionen: Die letzten 12 Wochen aufbewahren für längerfristige Wiederherstellung
• Monatliche Versionen: Die letzten 6 Monate aufbewahren für seltene, aber wichtige Rückgriffe
• Speicherbedarf: Rechne mit dem 1,5- bis 2-fachen deiner Originaldatenmenge für die vollständige Versionierung

Immutable Snapshots als letzte Verteidigungslinie

Synology DSM und QNAP QTS bieten zusätzlich zur Versionierung sogenannte Immutable Snapshots. Diese Snapshots können nach der Erstellung für einen definierten Zeitraum weder verändert noch gelöscht werden, auch nicht vom Administrator. Selbst wenn ein Angreifer vollen Zugriff auf dein NAS erhält, bleiben die gesperrten Snapshots unantastbar. Aktiviere Immutable Snapshots auf dem Shared Folder, auf dem deine wichtigsten Daten liegen, und setze die Sperrfrist auf mindestens 14 Tage.