RPO und RTO: Wie Sie die Zahlen wählen, statt sie abzuschreiben

Die beiden Werte, ohne Fachjargon

Beide beschreiben denselben Vorfall von zwei Seiten.

RPO – Recovery Point Objective – ist, wie weit Sie in der Zeit zurückgehen wollen. Es ist die Menge Arbeit, deren Verlust Sie hinnehmen. Ist die letzte brauchbare Kopie eine Stunde alt, ist alles aus dieser Stunde weg und muss aus Papier, E-Mail oder Erinnerung neu erfasst werden. Der RPO wird davon bestimmt, wie oft kopiert wird.

RTO – Recovery Time Objective – ist, wie lange das Unternehmen wartet. Vom Beginn des Vorfalls bis die Leute wieder arbeiten. (Manche Rahmenwerke, darunter NIST, nennen diese ganze Uhr Maximum Tolerable Downtime und reservieren RTO für die technische Wiederherstellung; welchen Begriff Sie auch verwenden – messen Sie die ganze Uhr.) Der RTO wird davon bestimmt, wie schnell etwas wieder zum Laufen gebracht werden kann – nicht davon, wie schnell die Daten gefunden sind.

Sie sind unabhängig voneinander, und sie zu verwechseln erzeugt teure Fehler. Man kann einen ausgezeichneten RPO und einen katastrophalen RTO haben: alle fünf Minuten an einen zweiten Standort repliziert, aber ohne Server dort, auf dem sich das starten ließe – der tatsächliche Wiederanlauf ist dann eine Hardwarebestellung. Diese Umgebung verliert fast keine Daten und braucht Wochen. Die Kombination ist häufiger, als sie klingt.

Warum die letzten Minuten am meisten kosten

Beide Kurven sind am linken Ende steil, und wer versteht warum, führt ein deutlich kürzeres Budgetgespräch.

Illustrative Branchenstufen, um die Form der Kurve zu zeigen – keine Zusage. Die Werte in Ihrem SLA ergeben sich aus Ihrer eigenen Auswirkungsanalyse

Teuer ist der Schritt von „einige Stunden“ auf „Minuten“, denn dort hören Sie auf, Speicher zu kaufen, und beginnen, eine zweite laufende Umgebung zu kaufen. Wer nahezu null für alles verlangt, hat diesen Schritt meist nie gezeigt bekommen.

Und das ist das Argument für Stufen – das Nützlichste in diesem Artikel.

Systeme in Stufen einteilen, dann jede Stufe bepreisen

Ein Zielwert für die ganze Umgebung garantiert eines von zwei Ergebnissen: Sie zahlen Geschwindigkeit für Systeme, die sie nicht brauchten, oder Sie nehmen langsamen Wiederanlauf beim System in Kauf, das die Löhne zahlt. Stufen vermeiden beides, und die Übung ist kurz.

Setzen Sie sich mit den Prozessverantwortlichen zusammen und stellen Sie zu jedem System zwei Fragen: Was passiert tatsächlich in den ersten vier Stunden ohne dieses System, und was passiert, wenn wir die letzte Stunde an Daten verlieren. Nicht, wie es sich anfühlen würde – was stillsteht, wer nicht arbeiten kann, was nicht fakturiert werden kann und was vertraglich oder gesetzlich gefordert ist.

Drei Stufen reichen fast immer:

Zwei Fallen dabei. Erstens hält jede Abteilung ihr eigenes System für kritisch – deshalb fragt man nach Folgen und nicht nach Wichtigkeit. Zweitens gehören Anmeldedienst und DNS in die oberste Stufe, obwohl sie keine Abteilung für sich beansprucht: Vor ihnen läuft nichts anderes wieder an.

Was den RTO wirklich bestimmt

Der RTO ist der Wert, der optimistisch geschätzt wird, weil man die Wiederherstellung stoppt und alles drumherum vergisst. Zur echten Uhr gehören:

Erkennen und entscheiden. Jemand muss es bemerken, und jemand mit Befugnis muss den Notfall ausrufen und den Plan starten. Außerhalb der Geschäftszeiten ist allein das regelmäßig der längste Einzelposten – und er steht fast nie in der Schätzung.

Die Abhängigkeitsreihenfolge. Systeme kommen in einer Folge zurück: Verzeichnis, Anmeldung und DNS zusammen (in einer Active-Directory-Umgebung liegen sie auf denselben Servern), dann Datenbanken, dann Anwendungsserver, dann die Schnittstellen dazwischen. Das ERP-System vor seiner Anmeldequelle zu starten funktioniert nicht, und das während eines echten Vorfalls herauszufinden kostet Stunden. In den meisten Umgebungen ist diese Reihenfolge nie aufgeschrieben worden.

Netz und Namensauflösung. Die Anwendung läuft am zweiten Standort und niemand erreicht sie, weil DNS noch auf den primären zeigt, die Gültigkeitsdauer 24 Stunden beträgt oder die VPN-Routen nur für einen Standort eingerichtet sind. Das ist der klassische Grund, warum ein technisch gelungener Wechsel geschäftlich scheitert.

Menschen. Wer hat die Zugangsdaten, wer darf den Wechsel freigeben, und was passiert, wenn diese Person im Flugzeug sitzt. Ein Ablaufplan, den nur eine Person ausführen kann, hat einen RTO in Höhe der Verfügbarkeit dieser Person.

Datenprüfung. Wiederhergestellt ist nicht fertig. Jemand muss bestätigen, dass die Daten konsistent sind, bevor Leute darauf weiterarbeiten – und bei einem Transaktionssystem ist diese Prüfung nicht sofort erledigt.

Der Test ist das Ergebnis

Alles bisher Genannte ist ein Plan. Ein Plan, der nie ausgeführt wurde, hat einen unbekannten RTO – und unbekannte Zahlen gehören nicht in ein SLA.

Ein Test, der etwas taugt, hat vier Eigenschaften. Er lässt die Last laufen, statt zu bestätigen, dass Dateien vorhanden sind – die Anwendung startet, jemand meldet sich an und bucht etwas. Er wird gestoppt, ehrlich, von der Ausrufung bis zum Arbeiten, gegen den Zielwert der Stufe. Er wird von der Person durchgeführt, die Dienst hat, nicht von der, die ihn entworfen hat. Und er liefert ein schriftliches Ergebnis mit dem, was gescheitert ist, und der gemessenen Zeit – was für Organisationen mit Lieferketten- oder Fortführungspflichten zugleich der Nachweis ist, nach dem eine Prüfung oder ein Kunde irgendwann fragt.

Zweimal jährlich für kritische Systeme ist ein vernünftiger Takt, und der erste Test sprengt immer den Zielwert. Genau darum geht es: Der erste Test ist, wie Sie erfahren, wie Ihr RTO wirklich lautet – und das ist fast nie die Zahl im Dokument.

Sicherung ist kein Wiederanlauf

Die beiden Begriffe werden synonym verwendet und lösen verschiedene Probleme.

Sie brauchen beides, und eine Sicherung wird nicht dadurch zum Wiederanlauf, dass sie außer Haus liegt. Die Frage, die beides trennt, ist einfach: Wäre dieses Gebäude morgen früh nicht verfügbar – worauf würde die Last laufen? Lautet die Antwort „wir würden Hardware bestellen“, haben Sie eine Sicherung.

Eines muss die Sicherung für sich haben: eine unveränderliche Kopie, die auch ein Administratorkonto nicht löschen kann. Moderne Erpressungssoftware sucht zuerst das Sicherungssystem, und eine Sicherung, die mitverschlüsselt werden kann, hat genau in dem Moment einen RPO von unendlich, in dem es darauf ankommt.

Was wir tun

Disaster Recovery as a Service von Eurokommerz beginnt mit der Stufeneinteilung von oben, nicht mit einem Produkt: welche Systeme in welche Stufe gehören, was jede Stufe kostet, und die Abhängigkeitsreihenfolge schriftlich. Die Wiederanlaufziele werden dann je Stufe im SLA vereinbart, nach Plan getestet, und die Testergebnisse gehören Ihnen schriftlich.

Der Ausweichstandort ist Tier-3-Kapazität in der EU über Baltneta, den Rechenzentrumspartner unseres Engineering-Partners Vixen.UNO, und umgesetzt wird von Vixen.UNO – alles unter einem europäischen Vertrag mit uns. Wenn Sie nicht sicher sind, in welche Stufe etwas gehört: Genau dafür ist das erste Gespräch da, und es ist kostenlos.

FAQ