RPO – Recovery Point Objective
Abkürzung: RPO
Die Recovery Point Objective (RPO) legt fest, wie weit der wiederhergestellte Datenstand höchstens hinter dem Zeitpunkt des Ausfalls liegen darf. Eine RPO von einer Stunde heißt: Nach einer Wiederherstellung dürfen die Änderungen der letzten Stunde vor dem Ausfall fehlen, aber nicht mehr. Auf Deutsch spricht man vom maximal tolerierbaren Datenverlust.
Die RPO wird in Zeit angegeben, nicht in Datenmenge. Wie viele Datensätze eine Stunde bedeutet, hängt davon ab, wie viel in dieser Zeit passiert.
RPO und RTO
Die RPO blickt vom Ausfall zurück, die Recovery Time Objective (RTO) nach vorn:
| Recovery Point Objective | Recovery Time Objective | |
|---|---|---|
| Frage | Bis zu welchem Stand müssen die Daten zurückkommen? | Wann muss das System wieder laufen? |
| Bestimmt | Sicherungs- und Spiegelungsintervall | Wiederherstellungsverfahren und Ersatzsysteme |
| Typischer Fehler | Sicherung zu selten | Wiederherstellung dauert länger als gedacht |
Was die RPO technisch verlangt
| RPO | Typische Lösung |
|---|---|
| 24 Stunden | tägliche Datensicherung, etwa nachts |
| einige Stunden | mehrere Sicherungen am Tag oder Snapshots im Stundentakt |
| Minuten | laufende Übertragung der Änderungen an einen zweiten Standort, Sicherung der Datenbank-Transaktionsprotokolle |
| null | synchrone Spiegelung: Ein Schreibvorgang gilt erst als abgeschlossen, wenn beide Standorte ihn bestätigt haben |
Synchron und asynchron
Eine RPO von null verlangt synchrone Spiegelung. Jeder Schreibvorgang wartet, bis der zweite Standort ihn bestätigt hat. Das kostet Zeit: Das Signal braucht in Glasfaser rund eine Millisekunde für 100 Kilometer hin und zurück, und jeder Schreibvorgang trägt diese Verzögerung. Synchrone Spiegelung ist deshalb nur über begrenzte Entfernungen praktikabel.
Asynchrone Spiegelung bestätigt sofort und überträgt im Hintergrund. Sie funktioniert über beliebige Entfernungen, verliert im Ernstfall aber die Daten, die noch unterwegs waren — eine RPO von Sekunden bis Minuten.
Daraus ergibt sich ein Zielkonflikt mit der Georedundanz: Je weiter die Standorte auseinanderliegen, desto sicherer sind sie gegen ein gemeinsames Ereignis, desto schwerer aber eine RPO von null.
Spiegelung ersetzt keine Sicherung
Eine Spiegelung mit RPO null schützt vor dem Ausfall eines Standorts. Gegen gelöschte Daten, fehlerhafte Software oder Ransomware hilft sie nicht: Sie überträgt den Schaden sofort an den zweiten Standort. Für diese Fälle braucht es Sicherungen, die frühere Stände aufbewahren. Ihre RPO ist meist deutlich länger.
In der Praxis gibt es deshalb oft zwei Werte: eine kurze RPO für den Ausfall eines Standorts und eine längere für logische Fehler und Angriffe. Nach einem Ransomware-Angriff ist die tatsächliche RPO der Abstand zur letzten Sicherung, die nachweislich sauber ist — und das kann Tage oder Wochen zurückliegen, wenn der Angreifer lange unbemerkt im Netz war.
Im Rechenzentrum
Für die RPO ist das Rechenzentrum selten allein verantwortlich: Sicherung und Spiegelung liegen meist beim Betreiber der Anwendung. Das Rechenzentrum liefert die Voraussetzungen, etwa Leitungen zum zweiten Standort mit ausreichender Bandbreite und geringer Laufzeit, oder einen Sicherungsdienst als Zusatzleistung.
Normen
- BSI-Standard 200-4: Business Continuity Management
- ISO 22301: Business Continuity Management Systems