Wie lange darf ein Ausfall dauern? Die Frage vor der Datensicherung

Die Frage nach der Datensicherung wird fast immer als technische gestellt. Die wichtigere ist kaufmännisch: Wie lange darf ein Ausfall dauern, und wie viel Arbeit darf verloren gehen? Diese beiden Zahlen sind der Ausgangspunkt für die Frage, welche Sicherung nötig ist und was sie kosten darf. Eine dritte Anforderung kommt hinzu, und dazu weiter unten mehr.

Zwei Zahlen, an denen alles hängt

In der Fachsprache heißen sie RTO und RPO. Dahinter stehen zwei schlichte Fragen, die sich ohne IT-Kenntnisse beantworten lassen. Ohne die Antwort lässt sich die Technik nicht sinnvoll auswählen.

• Die Wiederherstellungszeit (RTO, Recovery Time Objective): Wie lange darf es dauern, bis wieder gearbeitet werden kann? Eine Stunde, ein halber Tag, drei Tage? Zwischen diesen Antworten liegen unterschiedliche Bauformen und deutlich unterschiedliche Kosten.
• Der Wiederherstellungspunkt (RPO, Recovery Point Objective): Wie viel Arbeit darf verloren gehen? Wird einmal nachts gesichert, kann im schlimmsten Fall ein ganzer Arbeitstag fehlen. Wer das nicht hinnehmen kann, braucht häufigere Sicherungspunkte.

Der Zusammenhang ist unangenehm einfach: Beide Zahlen kleiner zu machen kostet Geld. Deshalb ist die Frage nicht, wie klein sie sein können, sondern wie klein sie sein müssen. Die Antwort hängt davon ab, was ein Stillstand pro Stunde kostet.

Beide Zahlen gehören nicht von der IT allein festgelegt. Den Bedarf benennen die Fachabteilungen, die mit dem System arbeiten; entschieden und getragen wird er von der Geschäftsführung. Die IT rechnet aus, was daraus technisch folgt, und sagt, was davon machbar ist.

Warum die Antwort je Anwendung anders ausfällt

Ein Warenwirtschaftssystem, das den Versand steuert, verträgt weniger Ausfall als ein Archiv, in das einmal im Quartal jemand hineinsieht. Eine einheitliche Vorgabe für alle Systeme führt dazu, dass entweder zu viel bezahlt oder an der falschen Stelle gespart wird.

• Systeme, ohne die niemand arbeiten kann: kurze Wiederherstellungszeit, häufige Sicherungspunkte
• Systeme, die einen Tag warten können: Standardsicherung, ein Sicherungspunkt je Nacht
• Archive und Ablagen: lange Aufbewahrung und geprüfte Lesbarkeit. Wie oft gesichert wird, hängt hier nicht daran, wie oft jemand hineinsieht, sondern daran, wie oft sich etwas ändert. Und: Sicherung und rechtssichere Aufbewahrung sind zwei Dinge. Eine Sicherung ist kein Archiv, und ein Archiv ersetzt keine Sicherung.

Wie man von der Zahl zur Bauform kommt

Sobald beide Zahlen je Anwendung feststehen, ergibt sich die Technik daraus fast von selbst. Eine Wiederherstellungszeit von Stunden verlangt, dass die Sicherung schnell erreichbar ist. Bänder aus einem entfernten Auslagerungslager erfüllen das in der Regel nicht, denn zur Rücksicherung kommt der Weg dorthin. Maßgeblich ist immer die gemessene Gesamtdauer, nicht das Speichermedium. Ein Wiederherstellungspunkt von Minuten verlangt fortlaufende Sicherung statt eines nächtlichen Laufs.

Eine dritte Eigenschaft kommt hinzu, und sie entscheidet im Ernstfall über die anderen beiden: die Sicherung muss unveränderbar sein. Bei einem Verschlüsselungsangriff ist die Sicherung ein Hauptziel. Wer sie löschen oder mitverschlüsseln kann, macht jede zugesagte Wiederherstellungszeit wertlos. Dagegen gibt es drei verschiedene Mittel, die sich ergänzen und nicht ersetzen: ein Schreibschutz für eine festgelegte Dauer, der auch für Verwalter gilt; eine getrennte Verwaltung, damit ein übernommenes Konto nicht beides erreicht; und eine Kopie, die nicht am Netz hängt. Nur das erste ist echte Unveränderbarkeit; die beiden anderen verkleinern das Risiko, heben es aber nicht auf. „Schnell erreichbar" und „nicht manipulierbar" sind jedenfalls zwei Anforderungen, nicht eine.

Umgekehrt gilt auch: Wo ein Tag Ausfall tragbar ist, muss man nicht die teuerste Lösung kaufen. Die Zahlen schützen also in beide Richtungen, vor zu wenig und vor zu viel.

Der Test, den niemand macht

Eine Wiederherstellung, die nie geprobt wurde, ist eine Annahme. Der Ernstfall ist der denkbar schlechteste Zeitpunkt, um festzustellen, dass die Sicherung zwar lief, sich aber nicht zurückspielen lässt, oder dass es länger dauert als zugesagt.

Ein Test muss nicht groß sein, um etwas zu zeigen. Eine einzelne Datei, ein einzelnes Postfach, ein einzelner Server, mit Stoppuhr: Das zeigt, ob die Sicherung überhaupt lesbar ist und wie lange ein Einzelfall braucht. Was es nicht zeigt, ist die Wiederherstellungszeit eines ganzen Dienstes. Dazu gehören Abhängigkeiten, Reihenfolge und Netz, und das lässt sich nur in einer größeren Probe messen. Ein regelmäßiger kleiner Test und ein seltener großer sind zwei verschiedene Dinge, und beide sind nötig.

Damit eine gemessene Dauer etwas bedeutet, braucht sie einen festgelegten Anfang und ein festgelegtes Ende, vom Auslösen bis zu dem Punkt, an dem tatsächlich wieder gearbeitet werden kann, nicht bis zum Ende des Kopiervorgangs. Und zum Wiederherstellungspunkt gehört die zweite Frage: Wie alt war der Stand, der zurückkam?

Wer die Tests mitschreibt (Datum, Umfang, gemessene Dauer, aufgetretene Fehler), hat zweierlei: eine belastbare Grundlage für die eigene Planung und eine Unterlage, wenn jemand danach fragt. Vor Überraschungen schützt das nicht vollständig; es verkleinert sie.

Was eine betreute Sicherung dabei leisten muss, steht auf unserer Seite zum Cloud-Backup; die konzeptionelle Seite (Aufbewahrung, Strategie, Prüfung) behandeln wir unter Datensicherung und Backup. Über die richtigen Zeiten für Ihr Haus sprechen wir gern in einem ersten Gespräch. Das kostet nichts.