Großvater-Vater-Sohn-Prinzip: wie weit die Sicherung zurückreicht

© KI-generiert (TenMedia)

Großvater-Vater-Sohn-Prinzip: wie weit die Sicherung reicht

Bei 25 Prozent aller Unternehmen haben Angreifer laut der Bitkom-Studie Wirtschaftsschutz 2026 Daten verschlüsselt und nur gegen Lösegeld freigeben wollen. Die drei Namen der Methode stehen für Sicherungen unterschiedlichen Alters, die zur selben Zeit vorrätig sind.

Das Großvater-Vater-Sohn-Prinzip ist ein Rotationsschema der Datensicherung, bei dem täglich, wöchentlich und monatlich je eine eigene Sicherung entsteht. Im Grundschema wird eine Tagessicherung (Sohn) nach einer Woche überschrieben, eine Wochensicherung (Vater) nach einem Monat und eine Monatssicherung (Großvater) nach einem Jahr. Junge Stände liegen dadurch dicht beieinander, ältere in größeren Abständen.

Wie weit muss ein Backup zurückreichen?

So weit, wie ein Schaden unbemerkt bleiben kann. Das BSI hält in seinem IT-Grundschutz-Baustein zum Datensicherungskonzept fest, dass ein Integritätsverlust durch Schadsoftware wahrscheinlich nicht sofort, sondern erst zeitlich versetzt auffällt. Zurückgegriffen werden muss dann auf eine Generation, die vor dem Befall entstanden ist. Ist die älteste Sicherung jünger als der Befall, trägt jede vorhandene Kopie den Schaden bereits in sich. Die Reichweite bemisst sich an der ältesten sauberen Generation. Fehlt sie, gibt es keinen Stand, den ein Disaster Recovery Test für den Wiederanlauf zurückspielen könnte.

Was die nötige Reichweite bestimmt

Wie viele Monate zurück ein Betrieb braucht, hängt zuerst an der Zeit, die ein Befall unentdeckt bleiben kann. Danach kommen die Kosten, denn jede zusätzliche Generation belegt Datenträger und Speicherplatz. Ob ein Schema mit weniger Datenträgern auf dieselbe Reichweite kommt, klärt der Vergleich zur Türme-von-Hanoi-Strategie. Eine Grenze setzt außerdem das Recht. Manche Geschäftsunterlagen unterliegen gesetzlichen Aufbewahrungsfristen, personenbezogene Daten dürfen nach der DSGVO dagegen nur so lange gespeichert werden, wie es ihr Zweck erfordert. Welche Daten wie lange bleiben, ist deshalb eine Frage der IT-Compliance und keine technische Voreinstellung.

Das Großvater-Vater-Sohn-Prinzip einfach erklärt

Das Schema arbeitet mit drei Zyklen, die nebeneinander laufen und sich nur in Abstand und Aufbewahrungsdauer unterscheiden. Es legt fest, wie lange welche Kopie bleibt. Wie viele Kopien an welchem Ort liegen, regelt dagegen die 3-2-1-Regel, die zu den Grundlagen der Datensicherung für Unternehmen gehört. Beide ergänzen sich, und keine der beiden Regeln ersetzt die andere.

Welche Stände an einem Stichtag vorhanden sind

Für das Großvater-Vater-Sohn-Prinzip Beispiele durchzurechnen, lohnt sich, weil erst ein Stichtag zeigt, was vorrätig ist. Im Szenario mit Fünftagewoche entsteht von Montag bis Donnerstag je eine Tagessicherung, freitags eine Wochensicherung und am letzten Tag des Monats eine Monatssicherung. Ein Betrieb, der nach dem Großvater-Vater-Sohn-Prinzip Backups so anlegt, hat an einem Abend Mitte März im zweiten Jahr diese Stände:

• Tagesstände der laufenden Woche
• Wochenstände der letzten vier Freitage
• Monatsstände von Ende März des Vorjahres an
• keinen Stand, der älter als ein Jahr ist

Ein Tagesstand aus der Vorwoche ist damit verloren, ein Wochenstand von vor zwei Wochen noch da. Je älter ein Stand ist, desto gröber das Raster, in dem er vorliegt.

Wann der Großvater entsteht

Im Großvater-Vater-Sohn-Prinzip fällt die Monatssicherung auf den letzten Tag des Monats, auch wenn er mitten in der Woche liegt. An diesem Tag entstehen zwei Sicherungen, die übliche Tagessicherung und die Monatssicherung auf einem eigenen Speichermedium. Endet ein Monat am Tag der Wochensicherung, wird die Wochensicherung zugleich zur Monatssicherung, und jeder Monat hinterlässt genau einen Großvater.

Welche Sicherungsart in welcher Generation steckt

Wer nach dem Generationenprinzip Datensicherungen plant, legt fest, wann eine Sicherung entsteht und wie lange sie bleibt. Ob sie vollständig oder nur als Teilsicherung angelegt wird, lässt das Prinzip offen. Das BSI bezeichnet jede vollständige Sicherung als eine Generation. Für Vater und Großvater bietet sich die Vollsicherung an, weil sie monatelang allein stehen müssen. Die täglichen Söhne können dagegen nur die Änderungen enthalten, etwa als inkrementelles Backup, denn sie werden nach einer Woche ohnehin ersetzt.

Generationen ohne Bandwechsel

Als Drei-Generationen-Prinzip ist das Verfahren seit Jahrzehnten bei Bandsicherungen im Einsatz, jede Generation auf einem eigenen Speichermedium. Aktuelle Sicherungssoftware kennzeichnet stattdessen ausgewählte vollständige Sicherungen als Wochen-, Monats- oder Jahresstand, in englischen Handbüchern als Grandfather-Father-Son oder kurz GFS-Prinzip. Manche Produkte sperren eine so gekennzeichnete Sicherung bis zum Ende ihrer Frist gegen Ändern und Löschen.

Generationenprinzip nach BSI: zwei Stellschrauben

Wie lange ein Generationenprinzip Datensicherungen aufbewahrt, legt jede Organisation selbst fest. Das BSI beschreibt es im IT-Grundschutz über zwei Größen: das Mindestalter der ältesten Generation und die Anzahl der verfügbaren Generationen. Beide wirken direkt auf die Kosten, weil jede Generation Datenträger und Speicherplatz bindet. Für Stellen, die nach IT-Grundschutz arbeiten, gehört die Festlegung in das Datensicherungskonzept nach Baustein CON.3.

Mindestalter und Zahl der Generationen

Je höher das Mindestalter der ältesten Generation, desto wahrscheinlicher existiert zu einer beschädigten Datei noch eine unversehrte Vorgängerversion. Je mehr Generationen vorhanden sind, desto näher liegt diese Version am Tag des Schadens.

Ein Beispiel für eine solche Festlegung: Bei täglicher Komplettsicherung bleiben die letzten sieben Sicherungen erhalten, dazu die Freitagabend-Sicherungen der letzten zwei Monate (BSI, Umsetzungshinweise zum Baustein CON.3 Datensicherungskonzept, 2022). Das ergibt rund 15 Generationen und eine Reichweite von zwei Monaten. Ein Befall, der erst nach zehn Wochen auffällt, ist mit diesem Plan nicht mehr zu beheben.

Das Mindestalter schützt vor Abbrüchen

Brechen automatisierte Sicherungsläufe wiederholt ab und starten neu, überschreibt jeder Versuch eine der Backup-Generationen, bis keine mehr übrig ist. Das BSI empfiehlt deshalb, vor dem Überschreiben das Mindestalter einer Generation zu prüfen und erst danach zu überschreiben. Ohne diese Prüfung fällt der Verlust womöglich erst auf, wenn eine alte Sicherung gebraucht wird.

Reicht das Generationenprinzip bei später Entdeckung?

Für Schäden, die möglicherweise erst sehr spät bemerkt werden, empfiehlt das BSI zusätzliche Quartals- oder Jahressicherungen. Die zwölf Monatsstände im Großvater-Vater-Sohn-Prinzip sind damit ein Ausgangspunkt und keine Obergrenze. „Viele Unternehmen haben sich auf Ransomware-Angriffe vorbereitet und können so Schäden verhindern oder minimieren“, sagt Dr. Ralf Wintergerst, Präsident des Digitalverbands Bitkom, in der Presseinformation zur Studie Wirtschaftsschutz 2026. Für die Datensicherung heißt Vorbereitung, dass der Plan festlegt, welche Generation im Ernstfall zuerst geprüft wird. Einen Notfallplan oder ein Notfallhandbuch haben allerdings nur 30 Prozent der Unternehmen (DIHK, DIHK-Digitalisierungsumfrage 2026, 2026). Fünf Prüffragen zeigen, ob der Aufbewahrungsplan trägt:

❓ Wie alt ist die älteste vorhandene Sicherung?
❓ Wie viele Generationen liegen dazwischen?
❓ Gibt es Quartals- oder Jahressicherungen?
❓ Wird das Mindestalter vor dem Überschreiben geprüft?
❓ Ist eine Generation gegen Überschreiben geschützt?

Lange Aufbewahrung trifft Löschpflicht

Je weiter der Großvater zurückreicht, desto länger liegen auch Daten in der Sicherung, deren Löschung längst verlangt wurde. Ein Löschantrag nach der DSGVO erreicht die Monatssicherung vom Vorjahr nicht von selbst. Bleiben die Daten dort bis zum Überschreiben, braucht das eine dokumentierte Begründung, und bei einer Wiederherstellung wird die Löschung nachgezogen. Bis dahin schützt eine Backup-Verschlüsselung solche Bestände vor unbefugtem Zugriff. Aufbewahrung und Löschung werden deshalb gemeinsam entschieden, im selben Konzept, das Zahl und Alter der Generationen festhält.

Backup-Rotation mit weniger Datenträgern im Vergleich

Das Großvater-Vater-Sohn-Prinzip ist nicht das einzige Schema, nach dem Sicherungsmedien wiederverwendet werden. Die einfache Rotation nach dem Prinzip „first in, first out“ und die Türme von Hanoi kommen mit weniger Datenträgern aus. Beide erkaufen das mit Lücken, die das Generationenprinzip vermeiden soll, und taugen eher für kurze Zeiträume.

Wie funktioniert die Türme-von-Hanoi-Backup-Strategie?

Das Schema folgt dem gleichnamigen Knobelspiel. Der erste Datenträger wird jeden zweiten Tag beschrieben, der zweite jeden vierten, der dritte jeden achten. Mit fünf Datenträgern reicht ein Türme-von-Hanoi-Backup 16 Tage zurück, und mit jedem weiteren Datenträger verdoppelt sich die Reichweite. Zurückholen lassen sich Stände von gestern, vorgestern und von vor vier, acht und sechzehn Tagen.

Dünne Abdeckung der letzten Tage

Die Hälfte der Sicherungen wird bei diesem Verfahren schon nach zwei Tagen überschrieben. Eine Datei von vor zwölf Tagen liegt deshalb nur in der Fassung von vor acht oder von vor sechzehn Tagen vor. Ein Betrieb, der nach dem Großvater-Vater-Sohn-Prinzip Backups anlegt, hat dagegen jeden Arbeitstag der laufenden Woche zur Hand, und sein Wechselplan folgt dem Kalender.

Einfache Rotation nach FIFO

Bei der einfachsten Backup-Rotation wird täglich der Datenträger mit dem ältesten Stand überschrieben. Mit 14 Datenträgern reicht sie lückenlos 14 Tage zurück, aber keinen Tag weiter. Fällt ein Fehler später auf, steckt er in jeder Sicherung. Die Übersicht zeigt die drei Schemata mit den Werten der Beispiele oben, je eine Sicherung pro Datenträger.

Ohne eigene IT-Abteilung gehört der Aufbewahrungsplan in die Vereinbarung über den Betrieb. TenMedia übernimmt im Rahmen von Wartung und Hosting die Datensicherung samt Wiederherstellung und legt mit dem Kunden fest, wie viele Generationen wie lange bleiben. Bei den Backups einer Plattform für Bewerberdaten laufen Sicherung und Protokollierung automatisiert als Teil des Betriebs.