Georedundanz
Georedundanz bezeichnet die Auslegung einer IT-Infrastruktur auf zwei räumlich getrennte Standorte, die so weit auseinanderliegen, dass ein Schadensereignis nicht beide gleichzeitig erfasst.
Der Unterschied zur gewöhnlichen Redundanz ist grundsätzlich: Zwei Netzteile, zwei Klimaanlagen und zwei Stromeinspeisungen schützen vor dem Ausfall eines Bauteils. Gegen Hochwasser, einen Großbrand, eine Explosion in der Nachbarschaft oder einen Bagger im Zuleitungsgraben helfen sie nicht — denn all das trifft das Gebäude als Ganzes.
Die Entfernungsfrage
Lange galten wenige Kilometer als ausreichend. Das BSI hat diese Empfehlung deutlich angehoben: Als georedundant gelten Standorte heute in der Regel erst ab etwa 200 Kilometern Abstand. Unterhalb von rund 100 Kilometern erwartet die Behörde eine ausdrückliche Begründung und eine Risikoanalyse, warum der geringere Abstand im konkreten Fall genügt.
Der Grund für die Verschärfung sind großflächige Ereignisse. Ein Hochwasser entlang eines Flusslaufs, ein ausgedehnter Stromausfall, ein Sturmtief oder ein überregionaler Netzausfall betreffen Gebiete, die weit über einen Stadtrand hinausreichen. Zwei Rechenzentren in derselben Region sind dann zwei Gebäude in demselben Schadensraum.
Wie weit? Die Empfehlung des BSI
Das BSI nennt in seinen *Kriterien für die Standortwahl von Rechenzentren* (Version 2.1, Dezember 2024) konkrete Werte für Rechenzentren mit hohem und sehr hohem Verfügbarkeitsbedarf:
| Anforderung | Wert | ||
|---|---|---|---|
| Abstand georedundanter Rechenzentren | etwa 200 km | ||
| absolute Untergrenze, nur mit Begründung und Risikoanalyse | 100 km | ||
| Flusssysteme | höchstens ein Rechenzentrum der Gruppe pro Flusssystem, außer es liegt mindestens 5 m über dem höchsten Hochwasser seit 1960 | ||
| Stromnetz | höchstens eines pro Segment des 380/220-kV-Transportnetzes; Ausnahme bei drei oder mehr Standorten mit Notstrom für 120 Stunden Volllast | ||
| Erdbeben | alle Standorte höchstens in Zone 1; mehrere in Zone 1 mindestens 200 km auseinander | ||
| Wind | höchstens ein Standort in Windzone 4 |
Bis 2018 galt eine deutlich kleinere Empfehlung; die 200 km haben damals vor allem bei Banken und Behörden Umbauten ausgelöst.
Der Abstand hat einen Preis: Ab etwa 100 km Leitungslänge erwartet das BSI Probleme mit synchroner Datenspiegelung, weil die Laufzeit steigt. Georedundante Rechenzentren spiegeln deshalb meist asynchron und nehmen einen kleinen Datenverlust im Katastrophenfall in Kauf. Wer synchron spiegeln muss, kombiniert zwei betriebsredundante Standorte im Abstand von 5 bis 15 km mit einem dritten, georedundanten.
Der Zielkonflikt
Hier wird es unangenehm, denn Entfernung kostet etwas, das sich nicht verhandeln lässt: Zeit.
Licht in einer Glasfaser legt gut 200 Kilometer in etwa einer Millisekunde zurück, und für Hin- und Rückweg verdoppelt sich das. Bei synchroner Spiegelung — jeder Schreibvorgang wird erst bestätigt, wenn er an beiden Orten liegt — schlägt diese Laufzeit auf jede einzelne Transaktion durch. Datenbanken werden dadurch spürbar langsamer, und ab einer gewissen Entfernung ist der Betrieb nicht mehr sinnvoll.
Asynchrone Spiegelung löst das, indem sie die Bestätigung nicht abwartet. Sie erlaubt beliebige Entfernungen und nimmt dafür in Kauf, dass bei einem Ausfall die zuletzt geschriebenen Daten fehlen.
Damit steht die Entscheidung zwischen zwei Übeln, und sie wird über zwei Kennzahlen gefällt:
- RPO, der zulässige Datenverlust — wie viele Minuten darf die Kopie zurückliegen?
- RTO, die zulässige Ausfallzeit — wie lange darf die Umschaltung dauern?
Ein RPO von null verlangt synchrone Spiegelung und damit Nähe. Wer beides will, baut drei Standorte: zwei nahe beieinander für die synchrone Kopie, einen weit entfernten für den Katastrophenfall.
Was zur Georedundanz dazugehört
Zwei Gebäude allein genügen nicht. Entscheidend ist, dass die beiden Standorte keine gemeinsamen Abhängigkeiten haben:
- getrennte Stromnetze, möglichst von verschiedenen Versorgern
- getrennte Glasfaserwege, die nicht im selben Kabelkanal liegen — zwei Leitungen im selben Graben sind eine Leitung
- unterschiedliche Einzugsgebiete für Personal, damit nicht ein Streik oder ein Schneefall beide Standorte lahmlegt
- getrennte Zugänge und getrennte Verwaltung
Der häufigste Fehler ist die gemeinsame Trasse. Zwei Anbieter liefern zwei Leitungen, und auf einem Teilstück liegen beide im selben Rohr. Das fällt erst auf, wenn der Bagger kommt.
Regelmäßig prüfen
Eine Georedundanz, die nie erprobt wurde, ist eine Annahme. Der Schwenk auf den zweiten Standort gehört deshalb geübt — mit echter Umschaltung, nicht am Reißbrett. In der Praxis scheitern Übungen regelmäßig nicht an der Technik, sondern an Kleinigkeiten: eine Lizenz, die an eine Adresse gebunden ist, ein Zertifikat, das nur am Hauptstandort liegt, eine Telefonliste, die niemand gepflegt hat.
Betriebsredundanz
Nicht jedes zweite Rechenzentrum muss 200 km entfernt sein. Das BSI unterscheidet davon die Betriebsredundanz: zwei Standorte, die einander vertreten, aber nahe genug für synchrone Spiegelung liegen. Sie schützt vor örtlichen Ereignissen wie Großbrand, Gefahrgutunfall oder Bombenfund, die Sperrungen mit bis zu 1.500 m Radius auslösen. Daraus leitet das BSI einen Mindestabstand von rund 5 km ab, besser 10 bis 15 km. Beide Standorte sollen nicht an derselben Umspannstation hängen, und ihre Versorgungstrassen dürfen an keiner Stelle näher als 10 m beieinander liegen. Wer beides braucht, kombiniert zwei betriebsredundante Standorte mit einem dritten, georedundanten.
Abgrenzung
Redundanz im Haus schützt vor Bauteilausfall und wird in Stufen angegeben — doppelt vorhanden, einfach in Reserve. Siehe Verfügbarkeitsklassen.
Datensicherung ist etwas anderes als Spiegelung. Eine gespiegelte Datenbank übernimmt auch den Fehler: Wird ein Datensatz versehentlich gelöscht, ist er Sekunden später an beiden Standorten weg. Georedundanz schützt vor dem Verlust eines Standorts, nicht vor falschen Eingaben und nicht vor Verschlüsselungstrojanern.