Disaster Recovery
Abkürzung: DR
Disaster Recovery (DR) umfasst alles, was nötig ist, um IT-Systeme nach einem schweren Ausfall wieder in Betrieb zu nehmen: Ausweichstandort, Datensicherung, Wiederanlaufpläne und die Tests, die zeigen, dass das alles funktioniert. Gemeint sind Ereignisse, die mehr als ein einzelnes Gerät treffen — Brand im Rechenzentrum, Ransomware, ein Bedienfehler, der Daten auf allen Systemen löscht.
RTO und RPO
Zwei Kennzahlen bestimmen, wie aufwendig eine DR-Lösung sein muss:
| Kennzahl | Englisch | Frage | Beispiel |
|---|---|---|---|
| RTO | Recovery Time Objective | Wie lange darf der Ausfall dauern? | 4 Stunden bis zum Wiederanlauf |
| RPO | Recovery Point Objective | Wie viele Daten dürfen verloren gehen? | höchstens 15 Minuten |
Beide Werte kommen aus dem Geschäft, nicht aus der IT: Was kostet eine Stunde Stillstand, was kosten verlorene Buchungen? Je kleiner RTO und RPO, desto teurer wird die Lösung. Ein RPO von null verlangt synchrone Spiegelung, ein RTO von Minuten einen Standort, der ständig mitläuft.
Ausweichstandort
| Variante | Englisch | Zustand | RTO |
|---|---|---|---|
| Kalter Standort | Cold Site | Fläche, Strom, Netz; Hardware fehlt | Tage bis Wochen |
| Warmer Standort | Warm Site | Hardware steht, Daten werden regelmäßig übertragen | Stunden |
| Heißer Standort | Hot Site | läuft ständig mit, Daten gespiegelt | Minuten |
| Aktiv/Aktiv | Active-Active | beide Standorte tragen Last | kein Wiederanlauf nötig |
Der Abstand zwischen den Standorten folgt denselben Regeln wie bei der Georedundanz: weit genug, dass ein Ereignis nicht beide trifft, nah genug für die gewünschte Spiegelung.
Eine feste Mindestentfernung gibt es nicht. Die EU-Verordnung DORA verlangt für den Finanzsektor einen sekundären Standort in geografischer Entfernung mit eigenem Risikoprofil, ohne Kilometer zu nennen. Konkrete Werte nennt nur das BSI in seinen Standortkriterien: idealerweise rund 200 km, mindestens 100 km.
Datensicherung
Ohne Datensicherung kein Wiederanlauf. Eine Spiegelung schützt vor dem Ausfall eines Standorts, aber nicht vor Ransomware oder gelöschten Daten — die Spiegelung überträgt den Schaden sofort mit. Deshalb braucht es zusätzlich Sicherungen, die sich nicht nachträglich verändern lassen.
Verbreitet ist die 3-2-1-Regel: drei Kopien der Daten, auf zwei verschiedenen Medien, eine davon an einem anderen Ort. Heute kommt meist eine unveränderliche oder vom Netz getrennte Kopie dazu.
Testen
Ein DR-Plan, der nie geprobt wurde, ist eine Annahme. Übliche Stufen:
- Durchsprache. Der Plan wird am Tisch Schritt für Schritt durchgegangen.
- Teiltest. Einzelne Systeme werden am Ausweichstandort hochgefahren.
- Vollständiger Umschalttest. Der Betrieb läuft eine Zeit lang am Ausweichstandort.
Dabei fallen die Lücken auf, die im Plan nicht stehen: fehlende Lizenzen, abgelaufene Zertifikate, Abhängigkeiten, die niemand dokumentiert hat. Üblicherweise braucht es 2-3 Tests bis die Umschaltung fehlerfrei läuft.
Disaster Recovery as a Service
Statt eines eigenen Ausweichstandorts lässt sich DR als Dienst einkaufen (DRaaS). Der Anbieter repliziert Systeme in seine Cloud und fährt sie im Notfall dort hoch. Das spart den zweiten Standort, verlagert aber die Abhängigkeit zum Anbieter.
Abgrenzung
Business Continuity Management. Der übergeordnete Rahmen: Wie läuft das Geschäft weiter? DR ist der Teil, der die IT betrifft.
Ausweicharbeitsplatz. Stellt die Arbeitsplätze wieder her, DR die Systeme dahinter.
Hochverfügbarkeit. Verhindert den Ausfall durch Redundanz im laufenden Betrieb. DR setzt ein, wenn das nicht gereicht hat.
Normen
- BSI-Standard 200-4 – Business Continuity Management
- ISO 22301 – Business Continuity Management Systems
- ISO/IEC 27031 – IKT-Bereitschaft für Business Continuity