Wichtig sind klare Ziele, wie viel Datenverlust und wie lange Ausfall maximal tragbar sind (RPO und RTO).
Wie funktioniert Disaster Recovery?
Disaster Recovery ist der geplante, geübte Ablauf, wie IT-Systeme nach einem schweren Ausfall wieder in Betrieb gehen: Serverausfall, Cyberangriff, Brand oder ein grosser Stromausfall. Zentral sind zwei vom BSI-Standard 200-4 definierte Kennzahlen: die Recovery Time Objective (RTO), deutsch die geforderte Wiederanlaufzeit, also die maximale Zeit bis zur Wiederinbetriebnahme, und die Recovery Point Objective (RPO), der maximal zulässige Datenverlust bis zum letzten brauchbaren Sicherungsstand.
Beide Werte werden nicht von der IT allein festgelegt, sondern gemeinsam mit den Fachbereichen anhand einer Business Impact Analyse, die zeigt, welche Prozesse zeitkritisch sind und welcher Ausfall welchen Schaden verursacht.
Wen betrifft Disaster Recovery in der Praxis?
Jedes Unternehmen mit IT-gestützten, zeitkritischen Prozessen braucht einen Plan für den Fall, dass diese Prozesse ausfallen, unabhängig von der Grösse. Besonders betroffen sind Unternehmen mit knapper Personaldecke, weil im Notfall dieselben wenigen Personen sowohl den Wiederanlauf steuern als auch das Tagesgeschäft am Laufen halten müssen, sowie Unternehmen in regulierten Branchen wie Luftfahrt, Finanzwesen oder MedTech, wo ein dokumentiertes Notfallkonzept unter NIS2, DORA oder ISO 27001 explizit gefordert oder Voraussetzung für eine Zertifizierung ist.
Was gehört in einen wirksamen Disaster-Recovery-Plan?
Ein wirksamer Plan beginnt mit einer Business Impact Analyse, aus der RTO und RPO je System abgeleitet werden, und endet mit einer regelmässig geübten Wiederanlaufübung, nicht nur mit einem Dokument im Ordner.
- Business Impact Analyse mit priorisierten, zeitkritischen Prozessen
- RTO und RPO je System oder Systemgruppe
- Dokumentierter Wiederanlaufplan mit klaren Zuständigkeiten
- Ausweichressourcen oder Ersatzsysteme für den Notbetrieb
- Regelmässig geübte Wiederanlaufübung, technisch oder als Tabletop
Welche Fehler passieren bei Disaster Recovery am häufigsten?
Der häufigste Fehler ist ein Notfallplan, der nur auf Papier oder als Datei auf dem betroffenen System selbst existiert und im Ernstfall nicht erreichbar ist. Fast ebenso häufig werden RTO und RPO gar nicht bewusst festgelegt, sodass im Ernstfall unklar ist, wie schnell ein System wieder laufen muss.
Ein dritter Fehler ist das Verwechseln von Disaster Recovery mit Business Continuity: Disaster Recovery bringt die IT-Systeme zurück, Business Continuity Management sorgt dafür, dass der gesamte Geschäftsbetrieb auch während des Ausfalls handlungsfähig bleibt, und beides braucht eigene Massnahmen.
Aufwand und Kostentreiber bei Disaster Recovery
Der Aufwand hängt von der Anzahl zeitkritischer Prozesse ab, von der Straffheit der gewünschten RTO, je kürzer, desto aufwendiger die Ausweichlösung, und davon, ob bereits Ausweichressourcen wie ein zweiter Standort oder eine Cloud-Ausweichumgebung existieren. Eine Business Impact Analyse als erster Schritt liefert die Grundlage, um den Aufwand priorisiert statt pauschal zu planen.
Zusammenhang mit anderen Normen
Disaster Recovery ist Teil des Business Continuity Management nach BSI-Standard 200-4 und, international, nach ISO 22301, und ein zentraler Baustein von ISO 27001. NIS2 und DORA verlangen von betroffenen Unternehmen ausdrücklich dokumentierte und getestete Resilienzmassnahmen, die ohne eine funktionierende Disaster-Recovery-Planung nicht erfüllbar sind.
Häufige Fragen
Was ist der Unterschied zwischen RTO und RPO?
RTO (Recovery Time Objective) legt fest, wie lange ein Ausfall maximal dauern darf, RPO (Recovery Point Objective), wie viel Datenverlust bis zum letzten brauchbaren Stand maximal tragbar ist. Beide werden laut BSI-Standard 200-4 je System individuell festgelegt.
Was ist der Unterschied zwischen Disaster Recovery und Business Continuity?
Disaster Recovery bringt IT-Systeme wieder zum Laufen, Business Continuity Management sichert den gesamten Geschäftsbetrieb während eines Ausfalls, auch ausserhalb der IT.
Braucht ein kleines Unternehmen wirklich einen Disaster-Recovery-Plan?
Ja, in vereinfachter Form. Auch ein kleines Unternehmen verliert bei einem IT-Ausfall Umsatz und Vertrauen, und ein knapper, geübter Plan ist wirksamer als kein Plan.
Wie oft sollte ein Wiederanlauf geübt werden?
Regelmässig, mit einer Häufigkeit, die sich am Risiko und an der Kritikalität der betroffenen Prozesse orientiert. Eine ungeübte Übung im Dokument ersetzt keine echte Übung.
Was ist eine Business Impact Analyse?
Eine strukturierte Untersuchung, die zeitkritische Geschäftsprozesse identifiziert und ermittelt, welcher Schaden bei ihrem Ausfall entsteht. Sie ist laut BSI-Standard 200-4 die Grundlage für die Ableitung von RTO und RPO.
Quellen
- Glossar und Abkürzungsverzeichnis, BSI-Standard 200-4, Bundesamt für Sicherheit in der Informationstechnik (BSI), 2023
- CON.3 Datensicherungskonzept, IT-Grundschutz-Kompendium, Bundesamt für Sicherheit in der Informationstechnik (BSI), 2023