RPO und RTO: was sie bedeuten und wie Sie die Werte je System festlegen

Was RPO und RTO bedeuten

Beide beschreiben denselben Vorfall von zwei Seiten.

RPO (Recovery Point Objective) ist, wie weit Sie in der Zeit zurückgehen wollen. Es ist die Menge Arbeit, deren Verlust Sie hinnehmen. Ist die letzte brauchbare Kopie eine Stunde alt, ist alles aus dieser Stunde weg und muss aus Papier, E-Mail oder Erinnerung neu erfasst werden. Der RPO wird davon bestimmt, wie oft kopiert wird.

RTO (Recovery Time Objective) ist, wie lange das Unternehmen wartet, vom Beginn des Vorfalls, bis die Leute wieder arbeiten. (Der Leitfaden des NIST zur Notfallplanung, SP 800-34 Rev. 1, nennt diese ganze Uhr Maximum Tolerable Downtime und verwendet RTO für die Zeit, die jedes System innerhalb dieser Uhr höchstens ausfallen darf; welchen Begriff Sie auch verwenden, messen Sie die ganze Uhr.) Der RTO wird davon bestimmt, wie schnell etwas wieder zum Laufen gebracht werden kann, nicht davon, wie schnell die Daten gefunden sind.

Sie sind unabhängig voneinander, und sie zu verwechseln erzeugt teure Fehler. Man kann einen ausgezeichneten RPO und einen katastrophalen RTO haben: alle fünf Minuten an einen zweiten Standort repliziert, aber ohne Server dort, auf dem sich das starten ließe, sodass der Wiederanlauf auf eine Hardwarebestellung wartet. Eine solche Umgebung verliert fast keine Daten, aber ihre Wiederanlaufzeit hängt davon ab, wie lange neue Server bis zur Lieferung und Einrichtung brauchen.

Warum die Kosten steil steigen, je näher RPO und RTO an null kommen

Die Kosten steigen steil, je näher einer der Zielwerte an null kommt, aus den Gründen in der Tabelle.

Illustrative Branchenstufen für den Wiederherstellungspunkt, um die Form der Kurve zu zeigen, keine Zusage; die Wiederherstellung aus einer nächtlichen Sicherung kann trotzdem Tage dauern, und die Werte in Ihrem SLA ergeben sich aus Ihrer eigenen Auswirkungsanalyse

Teuer ist der Schritt von „einige Stunden“ auf „Minuten“, denn dort hören Sie auf, Speicher zu kaufen, und beginnen, eine zweite laufende Umgebung zu kaufen. Werden für jedes System Zielwerte nahe null verlangt, ist dieser Schritt meist noch nicht bepreist worden.

Systeme in Stufen einteilen, dann jede Stufe bepreisen

Ein Zielwert für alle Systeme führt zu einem von zwei Ergebnissen: Sie zahlen für schnellen Wiederanlauf bei Systemen, die ihn nicht brauchen, oder Sie nehmen langsamen Wiederanlauf bei den Systemen in Kauf, die den Umsatz bringen. Stufen vermeiden beides, und die Übung ist kurz.

Setzen Sie sich mit den Prozessverantwortlichen zusammen und stellen Sie zu jedem System zwei Fragen: was in den ersten vier Stunden ohne dieses System passiert und was passiert, wenn die letzte Stunde an Daten verloren geht. Die Antworten sollten konkret sein: was stillsteht, wer nicht arbeiten kann, was nicht fakturiert werden kann und was vertraglich oder gesetzlich gefordert ist. Die vollständige Methode, von der Auswirkung im Zeitverlauf bis zur maximal tolerierbaren Ausfallzeit, beschreibt unser Leitfaden zur Business Impact Analysis für IT.

Drei Stufen reichen fast immer:

Bei dieser Übung gibt es zwei häufige Fallstricke. Erstens hält jede Abteilung ihr eigenes System für kritisch, und deshalb fragt man nach Folgen statt nach Wichtigkeit. Zweitens gehören Anmeldedienst und DNS in die oberste Stufe, obwohl keine Abteilung sie für sich beansprucht, denn ohne sie läuft nichts anderes wieder an.

Unser Disaster-Recovery-Service beginnt mit dieser Übung, und das Ergebnis ist ein Continuity-Plan mit Zielwerten für RPO und RTO je Stufe. Schreiben Sie uns, welche Systeme Sie in die oberste Stufe setzen würden; das erste Gespräch ist kostenlos.

Was neben der Wiederherstellung zum RTO gehört

Der RTO ist der Wert, der optimistisch geschätzt wird, weil man die Wiederherstellung stoppt und alles drumherum vergisst. Zur echten Uhr gehören:

Erkennen und entscheiden. Jemand muss es bemerken, und jemand mit Befugnis muss den Notfall ausrufen und den Plan starten. Außerhalb der Geschäftszeiten ist allein das regelmäßig der längste Einzelposten, und er steht fast nie in der Schätzung.

Die Abhängigkeitsreihenfolge. Systeme kommen in einer Folge zurück: Verzeichnis, Anmeldung und DNS zusammen (sie laufen oft gemeinsam auf den Domänencontrollern), dann Datenbanken, dann Anwendungsserver, dann die Schnittstellen dazwischen. Das ERP-System vor seiner Anmeldequelle zu starten funktioniert nicht, und das während eines echten Vorfalls herauszufinden kostet Stunden. In den meisten Organisationen ist diese Reihenfolge nie aufgeschrieben worden.

Netz und Namensauflösung. Die Anwendung läuft am zweiten Standort und niemand erreicht sie, weil DNS noch auf den primären zeigt, die Gültigkeitsdauer 24 Stunden beträgt oder die VPN-Routen nur für einen Standort eingerichtet sind. Die Nutzer können dann nicht arbeiten, obwohl der Wechsel technisch gelungen ist.

Menschen. Wer hat die Zugangsdaten, wer darf den Wechsel freigeben, und was passiert, wenn diese Person im Flugzeug sitzt. Kann nur eine Person den Ablaufplan ausführen, hängt der RTO von der Verfügbarkeit dieser Person ab.

Datenprüfung. Ein wiederhergestelltes System ist noch nicht einsatzbereit: Jemand muss bestätigen, dass die Daten konsistent sind, bevor Leute darauf weiterarbeiten, und bei einem Transaktionssystem ist diese Prüfung nicht sofort erledigt.

Den Wiederanlaufplan testen

Alles bisher Genannte ist ein Plan. Ein Plan, der nie ausgeführt wurde, hat einen unbekannten RTO, und ein unbekannter RTO sollte nicht in ein SLA geschrieben werden.

Ein Test, der etwas taugt, hat vier Eigenschaften. Er lässt die Last laufen, statt zu bestätigen, dass Dateien vorhanden sind: Die Anwendung startet, jemand meldet sich an und bucht etwas. Seine Dauer wird vollständig gemessen, von der Ausrufung bis zum Arbeiten, gegen den Zielwert der Stufe. Er wird von der Person durchgeführt, die Dienst hat, nicht von der, die ihn entworfen hat. Und er liefert ein schriftliches Ergebnis mit dem, was gescheitert ist, und der gemessenen Zeit, was für Organisationen mit Lieferketten- oder Fortführungspflichten zugleich der Nachweis ist, nach dem ein Prüfer oder ein Kunde irgendwann fragt.

Zweimal jährlich für kritische Systeme ist ein vernünftiger Takt, und der erste Test überschreitet meist den Zielwert. Der erste Test dient dazu, den tatsächlichen RTO zu ermitteln, der fast nie der Zahl im Dokument entspricht.

Planmäßige Test­wiederherstellungen führen wir im Rahmen unseres Disaster-Recovery-Service durch, mit einem Bericht nach jedem Test darüber, was hochgekommen ist, wie schnell und was zu beheben ist. Nennen Sie uns, wann Sie zuletzt eine Wiederherstellung getestet haben und wie lange sie gedauert hat.

Was Sicherung und Wiederanlauf jeweils wiederherstellen

Die beiden Begriffe werden synonym verwendet und lösen verschiedene Probleme.

Sie brauchen beides, und eine Sicherung wird nicht dadurch zum Wiederanlauf, dass sie außer Haus liegt. Um beides zu unterscheiden, fragen Sie, worauf die Arbeitslasten laufen würden, wenn dieses Gebäude morgen früh nicht verfügbar wäre. Lautet die Antwort „wir würden Hardware bestellen“, haben Sie eine Sicherung.

Die Sicherung selbst braucht eine unveränderliche Kopie, die auch ein Administratorkonto nicht löschen kann. Die Betreiber von Erpressungssoftware gehen inzwischen gezielt auf das Sicherungssystem los (in einer Sophos-Umfrage von 2024 unter Unternehmen, die von Erpressungssoftware getroffen wurden, gaben 94 Prozent an, die Angreifer hätten versucht, ihre Sicherungen zu kompromittieren), und eine Sicherung, die mitverschlüsselt werden kann, bietet keinen Wiederherstellungspunkt, wenn er gebraucht wird.

Was wir tun

Unser Disaster-Recovery-Service betreibt den Ausweichstandort für die Systeme, die einen brauchen: Replikation in die Tier-III-Rechenzentren von Baltneta in Litauen, dem Rechenzentrumspartner von Vixen.UNO, mit Zielwerten, die im Assessment je Systemstufe festgelegt und im SLA verankert werden. Unser Engineering-Partner Vixen.UNO plant ihn, richtet ihn ein und betreut ihn, unter einem europäischen Vertrag mit Eurokommerz. Sind Sie nicht sicher, in welche Stufe ein System gehört, klären wir das im kostenlosen ersten Gespräch.

FAQ