Georedundanz

Georedundanz bezeichnet die Auslegung einer IT-Infrastruktur auf zwei räumlich getrennte Standorte, die so weit auseinanderliegen, dass ein Schadensereignis nicht beide gleichzeitig erfasst.

Der Unterschied zur gewöhnlichen Redundanz ist grundsätzlich: Zwei Netzteile, zwei Klimaanlagen und zwei Stromeinspeisungen schützen vor dem Ausfall eines Bauteils. Gegen Hochwasser, einen Großbrand, eine Explosion in der Nachbarschaft oder einen Bagger im Zuleitungsgraben helfen sie nicht — denn all das trifft das Gebäude als Ganzes.

Die Entfernungsfrage

Lange galten wenige Kilometer als ausreichend. Das BSI hat diese Empfehlung deutlich angehoben: Als georedundant gelten Standorte heute in der Regel erst ab etwa 200 Kilometern Abstand. Unterhalb von rund 100 Kilometern erwartet die Behörde eine ausdrückliche Begründung und eine Risikoanalyse, warum der geringere Abstand im konkreten Fall genügt.

Der Grund für die Verschärfung sind großflächige Ereignisse. Ein Hochwasser entlang eines Flusslaufs, ein ausgedehnter Stromausfall, ein Sturmtief oder ein überregionaler Netzausfall betreffen Gebiete, die weit über einen Stadtrand hinausreichen. Zwei Rechenzentren in derselben Region sind dann zwei Gebäude in demselben Schadensraum.

Der Zielkonflikt

Hier wird es unangenehm, denn Entfernung kostet etwas, das sich nicht verhandeln lässt: Zeit.

Licht in einer Glasfaser legt gut 200 Kilometer in etwa einer Millisekunde zurück, und für Hin- und Rückweg verdoppelt sich das. Bei synchroner Spiegelung — jeder Schreibvorgang wird erst bestätigt, wenn er an beiden Orten liegt — schlägt diese Laufzeit auf jede einzelne Transaktion durch. Datenbanken werden dadurch spürbar langsamer, und ab einer gewissen Entfernung ist der Betrieb nicht mehr sinnvoll.

Asynchrone Spiegelung löst das, indem sie die Bestätigung nicht abwartet. Sie erlaubt beliebige Entfernungen und nimmt dafür in Kauf, dass bei einem Ausfall die zuletzt geschriebenen Daten fehlen.

Damit steht die Entscheidung zwischen zwei Übeln, und sie wird über zwei Kennzahlen gefällt:

• RPO, der zulässige Datenverlust — wie viele Minuten darf die Kopie zurückliegen?
• RTO, die zulässige Ausfallzeit — wie lange darf die Umschaltung dauern?

Ein RPO von null verlangt synchrone Spiegelung und damit Nähe. Wer beides will, baut drei Standorte: zwei nahe beieinander für die synchrone Kopie, einen weit entfernten für den Katastrophenfall.

Was zur Georedundanz dazugehört

Zwei Gebäude allein genügen nicht. Entscheidend ist, dass die beiden Standorte keine gemeinsamen Abhängigkeiten haben:

• getrennte Stromnetze, möglichst von verschiedenen Versorgern
• getrennte Glasfaserwege, die nicht im selben Kabelkanal liegen — zwei Leitungen im selben Graben sind eine Leitung
• unterschiedliche Einzugsgebiete für Personal, damit nicht ein Streik oder ein Schneefall beide Standorte lahmlegt
• getrennte Zugänge und getrennte Verwaltung

Der häufigste Fehler ist die gemeinsame Trasse. Zwei Anbieter liefern zwei Leitungen, und auf einem Teilstück liegen beide im selben Rohr. Das fällt erst auf, wenn der Bagger kommt.

Regelmäßig prüfen

Eine Georedundanz, die nie erprobt wurde, ist eine Annahme. Der Schwenk auf den zweiten Standort gehört deshalb geübt — mit echter Umschaltung, nicht am Reißbrett. In der Praxis scheitern Übungen regelmäßig nicht an der Technik, sondern an Kleinigkeiten: eine Lizenz, die an eine Adresse gebunden ist, ein Zertifikat, das nur am Hauptstandort liegt, eine Telefonliste, die niemand gepflegt hat.

Abgrenzung

Redundanz im Haus schützt vor Bauteilausfall und wird in Stufen angegeben — doppelt vorhanden, einfach in Reserve. Siehe Verfügbarkeitsklassen.

Datensicherung ist etwas anderes als Spiegelung. Eine gespiegelte Datenbank übernimmt auch den Fehler: Wird ein Datensatz versehentlich gelöscht, ist er Sekunden später an beiden Standorten weg. Georedundanz schützt vor dem Verlust eines Standorts, nicht vor falschen Eingaben und nicht vor Verschlüsselungstrojanern.