Disaster Recovery im Mittelstand: Was nach dem Ausfall passiert und was einen guten Wiederanlaufplan ausmacht

Ein Server fällt aus. Was jetzt passiert, entscheidet sich nicht in dieser Minute, sondern Monate vorher – in der Frage, ob es einen Plan gibt, der nicht nur auf dem Papier steht. Disaster Recovery heißt nichts anderes als: die IT nach einem schweren Ausfall wieder in Gang bringen. Für den Mittelstand braucht es dafür kein Konzern-Handbuch, aber vier klare Antworten.

Zwei Zahlen, die jeder Geschäftsführer kennen sollte

Die erste Zahl beschreibt den Datenverlust: Wie alt darf die letzte Sicherung im schlimmsten Fall sein? Wird einmal pro Nacht gesichert, kann ein Ausfall am Nachmittag einen ganzen Arbeitstag kosten. Wird alle 30 Minuten gesichert, sind es höchstens 30 Minuten. Fachleute nennen das Recovery Point Objective, kurz RPO – wie man beide Zahlen für das eigene Haus festlegt, steht in unserem Beitrag zu RTO und RPO.

Die zweite Zahl beschreibt den Stillstand: Wie lange darf es dauern, bis wieder gearbeitet wird? Das ist das Recovery Time Objective, kurz RTO. Es hängt nicht an der Sicherung allein, sondern daran, wohin wiederhergestellt wird – auf welche Hardware, an welchem Ort, über welche Leitung.

Beide Zahlen gehören in einen Vertrag, nicht in ein Gefühl. Wer sie nicht kennt, weiß nicht, wofür er bezahlt.

Sicherung ist nicht Wiederherstellung

Eine Sicherung ist erst etwas wert, wenn aus ihr ein laufendes System wird. Dazu braucht es einen Ort, an dem wiederhergestellt werden kann, wenn der eigentliche Server nicht mehr da ist – ein zweites System, an einem zweiten Standort, mit passenden Lizenzen. Fehlt das, steht man im Ernstfall mit einer vollständigen Sicherung da und nichts, worauf man sie zurückspielen kann.

Und es braucht einen Test. Nicht die Meldung „Sicherung erfolgreich“, sondern eine echte Wiederherstellung mit Protokoll: Wie lange hat sie gedauert, war alles da, liefen die Anwendungen? Wir testen in unserem Paket mit Notfallserver vor der Übergabe und danach mindestens vierteljährlich.

Wie weit der zweite Standort entfernt sein sollte

Ein zweiter Standort im selben Gebäude schützt vor einem defekten Netzteil, nicht vor Hochwasser oder einem großflächigen Stromausfall. Das BSI empfiehlt für Rechenzentren, die sich gegenseitig georedundant absichern, einen Mindestabstand von etwa 200 Kilometern – und keinesfalls weniger als 100.

Für ein mittelständisches Haus heißt das nicht, dass jeder Notfallstandort 200 Kilometer entfernt sein muss. Es heißt, ehrlich zu benennen, wovor ein Standort schützt: „Räumlich getrennt“ hilft gegen Ausfälle eines Rechenzentrums, „georedundant“ auch gegen regionale Ereignisse. Wir sagen unseren Kunden vorher, welches von beiden ihre Lösung ist.

Der vergessene Punkt: Lizenzen für den Notfall

Auch ein Server, der nur im Notfall läuft, braucht eine saubere Lizenzgrundlage. Microsoft erlaubt den vorübergehenden Betrieb einer Ersatzinstanz auf einem eigens für die Notfallwiederherstellung bestimmten Server als Vorteil der Software Assurance – beim Test, während des Ausfalls und kurz beim Übergang zurück. Ohne Software Assurance braucht der Notfallserver eigene Lizenzen, oder die Lizenzen werden nach einem dauerhaften Hardwareausfall übertragen. Das gehört in die Planung, bevor es gebraucht wird.

Woran Sie einen guten Wiederanlaufplan erkennen

Wie wir das umsetzen: Ihr Server läuft dediziert in einem Partner-Rechenzentrum, alle 30 Minuten wird inkrementell gesichert, ein fest zugeordneter Notfallserver steht an unserem Standort Viernheim bereit, und die zweite Leitung zu Ihrem Büro ist fester Bestandteil. Was das organisatorisch bedeutet – Zuständigkeiten, Meldewege, Telefonliste –, beschreibt unser Beitrag zum IT-Notfallplan.

Verwandte Themen: Wer hier weiterdenkt, liest bei Georedundanz, Wiederherstellungsübung und Serverplanung für Kanzleien weiter.