Wiederanlauf planen: RTO und RPO
Wiederanlauf nach IT-Ausfall planen: was RTO und RPO bedeuten, wie Sie Prioritäten und Abhängigkeiten festlegen und warum Tests unverzichtbar sind.
Der Wiederanlauf ist der Weg aus dem Stillstand zurück in einen arbeitsfähigen Betrieb, zuerst in einen Notbetrieb, später in den Normalbetrieb. Ob das nach einem Ausfall Stunden oder Wochen dauert, entscheidet sich vorher: mit klaren Zielen und einer festgelegten Reihenfolge.
Zwei Fragen, die jeder Betrieb beantworten sollte
- Wie lange darf ein Ablauf stillstehen? Daraus ergibt sich die geforderte Wiederanlaufzeit, im Fachjargon RTO.
- Wie viele Daten dürfen verloren gehen? Wenn die letzte Sicherung von gestern Abend ist, fehlt im schlimmsten Fall ein ganzer Arbeitstag. Dieses Ziel heißt RPO und bestimmt, wie oft Sie sichern müssen.
Nicht alles ist gleich wichtig
Nach einem Ausfall kann Ihr IT-Dienstleister nicht alles gleichzeitig wiederherstellen. Legen Sie vorher fest, was zuerst laufen muss, etwa Kasse, Auftragsannahme oder Terminkalender, und was eine Woche warten kann.
Wunsch und Wirklichkeit vergleichen
Oft zeigt sich: Der Betrieb braucht ein System nach vier Stunden, die Wiederherstellung dauert aber zwei Tage. Diese Lücke müssen Sie kennen, bevor der Ernstfall eintritt, und entweder schließen oder bewusst in Kauf nehmen.
Der nächste Schritt
Setzen Sie sich mit Ihrem IT-Dienstleister zusammen und füllen Sie für Ihre wichtigsten Abläufe eine einfache Tabelle aus: Ablauf, benötigte Systeme, tragbare Ausfallzeit, tragbarer Datenverlust, heutige Wiederherstellungszeit. Danach lassen Sie die Wiederherstellung einmal ausprobieren.
Begriffe nach BSI-Standard 200-4
Das Glossar zum BSI-Standard 200-4 unterscheidet Wiederanlauf und Wiederherstellung:
- Wiederanlauf: alle Maßnahmen, um strukturiert in einen vorab geregelten Notbetrieb zu wechseln.
- Wiederherstellung: die geordnete Rückkehr in einen Zustand, in dem der Normalbetrieb wieder möglich ist.
- Notbetrieb: ein gegebenenfalls eingeschränkter Geschäftsbetrieb nach einem Schadensereignis, der die erforderlichen und zeitkritischen Funktionen sicherstellt. Das dafür nötige Leistungsniveau heißt Notbetriebsniveau (Minimum Business Continuity Objective, MBCO).
Dazu kommen die Zeit- und Datenziele:
| Kennzahl | Bedeutung |
|---|---|
| MTA / MTPD | maximal tolerierbare Ausfallzeit eines Geschäftsprozesses, bevor nicht tolerierbare Auswirkungen eintreten |
| RTO | geforderte Wiederanlaufzeit: Zeitraum vom Ausrufen des Notfalls bis zur geforderten Inbetriebnahme der Notfall-Lösung |
| RTA | tatsächlich zu erwartende Wiederanlaufzeit |
| RPO | maximal zulässiger Datenverlust: wie alt verfügbare Daten höchstens sein dürfen |
| RPA | tatsächlich zu erwartender Datenverlust, meist der tatsächliche Sicherungszyklus |
Wiederanlauf aus den Geschäftsprozessen ableiten
Business Impact Analyse
Die Zielwerte kommen nicht aus der IT, sondern aus dem Geschäft. In der Business Impact Analyse wird für jeden wichtigen Geschäftsprozess bewertet, welche Schäden ein Ausfall nach einer Stunde, einem Tag oder einer Woche verursacht. Daraus ergeben sich die maximal tolerierbare Ausfallzeit und die Anforderungen an den Wiederanlauf.
Von Prozessen zu Ressourcen
Anschließend wird ermittelt, welche Ressourcen jeder Prozess braucht: IT-Systeme, Anwendungen, Daten, Personal, Räume, Dienstleister. Ein Prozess mit kurzer Ausfallzeit vererbt seine Anforderung an alle Ressourcen, ohne die er nicht läuft. Der Standard leitet die Einordnung einer Ressource deshalb von den Geschäftsprozessen ab, die sie benötigen.
Abhängigkeiten nicht übersehen
Eine Fachanwendung nützt nichts ohne Netzwerk, Verzeichnisdienst, Lizenzserver, Internetzugang oder Datenbank. Halten Sie diese Abhängigkeiten fest. Sie bestimmen die technische Reihenfolge des Wiederanlaufs, unabhängig von der fachlichen Priorität.
Soll-Ist-Vergleich
Der BSI-Standard 200-4 sieht einen Soll-Ist-Vergleich vor: Die geforderten Werte (RTO, RPO) werden mit den tatsächlich erreichbaren Werten (RTA, RPA) verglichen. Ist die tatsächliche Wiederanlaufzeit länger als gefordert oder der Sicherungszyklus länger als der zulässige Datenverlust, besteht eine Lücke. Mögliche Antworten darauf:
- häufigere Sicherungen oder Replikation,
- Ersatzgeräte und vorbereitete Images,
- vertraglich zugesicherte Reaktionszeiten von Dienstleistern,
- manuelle Ausweichverfahren für den Notbetrieb,
- oder eine bewusste Entscheidung der Leitung, das Risiko zu tragen.
Wichtig: Eine tatsächliche Wiederanlaufzeit, die nur geschätzt wurde, ist ein Annahmewert. Belastbar wird sie erst durch einen Test.
Wiederanlauf- und Wiederherstellungspläne
Der Standard unterscheidet:
- Wiederanlaufplan (WAP): beschreibt, wie ausgefallene Ressourcen kompensiert werden, etwa durch Ersatzlösungen, um einen Notbetrieb zu erreichen.
- Wiederherstellungsplan (WHP): beschreibt, wie ausgefallene Ressourcen in den Normalbetrieb zurückversetzt werden.
Das BSI stellt eine Dokumentvorlage für Wiederanlauf- und Wiederherstellungspläne als Hilfsmittel bereit. Für kleine Betriebe genügt oft ein Plan je wichtigem System mit diesen Inhalten: Verantwortliche, Voraussetzungen, Schritte in Reihenfolge, Speicherort der Sicherungen und Zugangsdaten, benötigte Dienstleister mit Kontakt, Prüfung, ob der Wiederanlauf erfolgreich war, und Übergabe an die Fachabteilung.
Wiederanlauf nach Cyberangriffen
Nach einem Angriff gelten zusätzliche Regeln. Sicherungen müssen vor der Rückspielung auf Sauberkeit geprüft werden, weil Angreifer oft schon lange vor der Verschlüsselung im Netz waren. Wiederhergestellt wird in eine bereinigte Umgebung, und alle Zugangsdaten werden erneuert. Das verlängert den Wiederanlauf. Planen Sie deshalb für das Szenario Cyberangriff eigene, realistische Zeiten ein.
Testen
Wiederanlauf und Wiederherstellung müssen geprüft werden. Der BSI-Standard 200-4 nennt dafür Funktionstests, etwa Wiederanlauftests von Systemen, Restore-Tests von Datenbank-Servern und Lesbarkeitstests von Backups. Messen Sie dabei die tatsächliche Dauer und tragen Sie sie als neue RTA ein.
Beispiel für eine einfache Übersicht
Die folgenden Werte sind frei gewählte Beispiele für einen kleinen Handwerksbetrieb, keine Empfehlung. Jeder Betrieb muss sie selbst festlegen:
| Ablauf | benötigte Systeme | RTO | RPO | heutige RTA | Lücke |
|---|---|---|---|---|---|
| Auftragsannahme | Telefon, E-Mail, Kalender | 4 Stunden | 1 Tag | 1 Tag | ja |
| Rechnungsstellung | Branchensoftware, Datenbank | 3 Tage | 1 Tag | 2 Tage | nein |
| Lohnabrechnung | Steuerberater, Datenaustausch | 1 Woche | 1 Tag | unbekannt | prüfen |
Schon eine solche Tabelle macht sichtbar, wo der Betrieb im Ernstfall verwundbar ist und wo zuerst investiert werden sollte.
Typische Fehler
- Ziele aus der IT statt aus dem Geschäft: Die IT kann sagen, wie lange eine Wiederherstellung dauert, aber nicht, wie lange der Betrieb ohne ein System auskommt.
- Nur einzelne Systeme betrachten: Ohne Abhängigkeiten wie Netzwerk, Verzeichnisdienst oder Lizenzserver ist die Reihenfolge falsch.
- Personal vergessen: Wenn nur eine Person weiß, wie die Wiederherstellung funktioniert, hängt der Wiederanlauf an ihrer Erreichbarkeit.
- Dienstleister nicht einbinden: Reaktionszeiten von Software-Anbietern und Hosting-Partnern gehören in die Planung und möglichst in die Verträge.
- Pläne nicht aktualisieren: Neue Anwendungen, ein Umzug in die Cloud oder ein Wechsel des IT-Dienstleisters verändern Abläufe und Zeiten.
Häufige Fragen
Was ist der Unterschied zwischen RTO und RPO?
Das RTO gibt an, wie schnell ein System oder Prozess nach einem Ausfall wieder laufen muss. Das RPO gibt an, wie alt die Daten nach der Wiederherstellung höchstens sein dürfen, und bestimmt damit, wie oft gesichert werden muss.
Was ist der Unterschied zwischen Wiederanlauf und Wiederherstellung?
Nach BSI-Standard 200-4 führt der Wiederanlauf in einen vorab geregelten Notbetrieb. Die Wiederherstellung führt anschließend zurück in den Normalbetrieb.
Wer legt RTO und RPO fest?
Die fachlich Verantwortlichen und die Geschäftsführung, auf Grundlage der Schäden, die ein Ausfall verursacht. Die IT prüft, ob die Werte erreichbar sind, und zeigt Lücken auf.