De 3-2-1 backup-regel: dataverlies definitief voorkomen.

De 3-2-1 backup-regel is bekend. Veel organisaties denken dat ze ‘m volgen — tot ze getest worden door ransomware. Dan blijkt dat de “backup” ook vastzat op dezelfde netwerkschijf en dus meeversleuteld is. Dit artikel legt uit wat de regel écht inhoudt, en waarom we ‘m anno 2026 uitbreiden naar 3-2-1-1-0.

De klassieke 3-2-1

• 3 kopieën van uw data — het origineel plus 2 backups.
• 2 verschillende media — bijvoorbeeld intern disk + NAS, of NAS + cloud.
• 1 kopie offsite — fysiek weg van uw kantoor, voor brand, diefstal en overstroming.

Prima als uitgangspunt. Onvoldoende voor moderne dreigingen.

Waarom 3-2-1 niet meer volstaat

Moderne ransomware doet drie dingen vóór hij versleutelt: kijkt welke backup-software u draait, zoekt de credentials in geheugen, en versleutelt of verwijdert de backups eerst. Als uw backup-disk of NAS bereikbaar is vanaf de aangevallen machine — is hij dood. Zelfs cloud-backups worden geraakt als de API-sleutel op de server staat.

De moderne 3-2-1-1-0

• 3 kopieën van data (origineel + 2 backups).
• 2 verschillende media (disk + cloud, disk + tape, etc.).
• 1 kopie offsite (andere lokatie of cloud-regio).
• 1 kopie offline of immutable (air-gapped tape, WORM-cloudopslag, of immutable S3-bucket).
• 0 backup-fouten na de laatste herstel-test.

Het belangrijkste onderdeel: punt “0”

Meer dan de helft van de bedrijven die wij onderzoeken, heeft een backup die op papier draait maar niet herstelbaar is. Redenen: versleutelingswachtwoord kwijt, schema stopt na twee maanden, tape-rotatie die al jaren niet gelopen is, cloud-opslag vol zonder dat iemand het merkt. Een backup die niet getest is, is geen backup — het is een hoop.

Doe minimaal vier keer per jaar een herstel-test: pak een willekeurig bestand, pak een volledige VM, pak een mailbox van een ex-medewerker. Werkt het? Goed. Werkt het niet? Nu weet u het — voordat u het écht nodig heeft.

Concrete tooling die wij aanbevelen

• Bestandsserver / NAS: Synology DSM + Hyper Backup naar externe Synology + C2 cloud. Immutable snapshots aan.
• Microsoft 365: Synology Active Backup for M365 (of een vergelijkbare third-party backup-oplossing) — native M365 retentie is géén backup.
• Servers / VM’s: een backup-platform met immutable repository (XFS reflink + sudo-less) — wij configureren dit per klant op basis van bestaande infrastructuur.
• Werkstations: worden NIET los geback-upt — uw team werkt in de cloud (OneDrive/Drive) waar versiegeschiedenis en retentie aanstaan.

Waar u morgen mee kunt beginnen

1. Check of uw backups vanaf uw fileserver te verwijderen zijn met een admin-account. Zo ja: dat is geen backup.
2. Plan deze week een herstel-test. Niet een “backup is groen” check — een échte herstel-test.
3. Zorg dat minimaal één kopie immutable of air-gapped is.
4. Documenteer RPO (Recovery Point Objective) en RTO (Recovery Time Objective) per datatype.