RPO und RTO: wie viele Daten und wie viel Zeit Sie sich leisten können
Jeder Plan für Backup und Wiederherstellung nach einer Katastrophe (Disaster Recovery, DR) beginnt mit zwei Zahlen. Das RPO (Recovery Point Objective) gibt an, wie viele Daten Sie höchstens verlieren dürfen, gemessen in Zeit. Beträgt das RPO 4 Stunden und das System fällt um 15:00 Uhr aus, muss spätestens ab 11:00 Uhr ein Wiederherstellungspunkt vorliegen. Das RTO (Recovery Time Objective) gibt an, in welcher Zeit ein System nach einem Vorfall wieder laufen muss.
Das RPO bestimmt also, wie oft Sie sichern oder replizieren, das RTO, wie Sie wiederherstellen: mit klassischer Wiederherstellung aus der Kopie, mit dem sofortigen Start einer virtuellen Maschine direkt aus dem Backup (Instant Recovery) oder mit dem Umschalten auf ein Replikat in einem zweiten Rechenzentrum. Beide Zahlen muss das Geschäft festlegen, denn die Antwort auf die Frage „Was kostet uns eine Stunde Ausfall?“ ist eine geschäftliche, keine technische.
| Systemgruppe | Beispiel | Typisches RPO | Typisches RTO | Üblicher Ansatz |
|---|---|---|---|---|
| Kritisch | ERP, Onlineshop, Produktionssysteme, Identitäten | bis 15 Min. – 1 Std. | 1–4 Std. | Replikation oder CDP und Backups |
| Wichtig | E-Mail, Dateiserver, CRM | 4–12 Std. | 8–24 Std. | Mehrere Backups pro Tag, Sofortwiederherstellung |
| Übrige | Archive, Entwicklungs- und Testumgebungen | 24 Std. | 72 Std. oder mehr | Tägliche Backups |
Die Werte in der Tabelle sind nur ein Ausgangspunkt. Kürzere RPO und RTO bedeuten höhere Kosten, ordnen Sie die Systeme daher Gruppen zu und legen Sie nicht für alle dieselben Ziele fest. Wie schnell Sie einzelne Gruppen wiederherstellen könnten und ob Ihre Sicherungshäufigkeit genügt, prüfen Sie mit dem Rechner auf dieser Seite.
Die 3-2-1-1-0-Regel
Die klassische 3-2-1-Regel verlangt drei Kopien der Daten auf zwei verschiedenen Medien, von denen eine an einem anderen Standort liegt. Da Ransomware heute zuerst die Backups angreift, wurde die Regel zu 3-2-1-1-0 erweitert.
| Zahl | Anforderung | Wovor sie schützt |
|---|---|---|
| 3 | Mindestens drei Kopien der Daten (Produktivdaten und zwei Backups) | Ausfall einer einzelnen Kopie |
| 2 | Zwei verschiedene Medientypen oder Speicher | Fehler oder Ausfall einer Speicherart |
| 1 | Eine Kopie an einem anderen Standort (Offsite) | Brand, Hochwasser, Ausfall des Standorts |
| 1 | Eine Kopie unveränderlich oder physisch getrennt | Ransomware, böswilliger Administrator, Löschfehler |
| 0 | Null Fehler bei der automatischen Prüfung und bei Wiederherstellungstests | Kopien, aus denen sich nichts wiederherstellen lässt |
Jede zusätzliche Kopie braucht Speicherplatz. Wie viel, hängt von Datenmenge, täglicher Änderungsrate, Aufbewahrung und Kompressionsverhältnis ab. Der Rechner schätzt den Speicherplatz für eine Kopie und für alle Kopien zusammen.
Unveränderliche und getrennte Kopien gegen Ransomware
Ein Angreifer, der Administratorzugriff auf die Domäne erlangt, sucht in der Regel zuerst den Backup-Server und löscht oder verschlüsselt die Kopien. Erst danach löst er die Verschlüsselung der Produktivsysteme aus. Ohne eine Kopie, die er nicht zerstören kann, bleiben nur die Zahlung eines Lösegelds oder der Neuaufbau der Systeme von Grund auf.
- Unveränderliche Kopien (immutable). Über einen bestimmten Zeitraum lassen sie sich weder ändern noch löschen, auch nicht mit Administratorrechten. Umsetzen lassen sie sich mit einem gehärteten Linux-Repository, Objektspeicher mit Objektsperre (S3 Object Lock) oder bei einem Dienstleister.
- Physisch getrennte Kopien (Air Gap). Kopien auf Bändern oder abgekoppelten Medien, die über das Netzwerk nicht erreichbar sind.
- Getrennte Zugangsdaten. Das Backup-System sollte nicht in der Produktivdomäne stehen, der Zugang sollte mit Multi-Faktor-Authentifizierung (MFA) geschützt sein.
- Ausreichend langer Unveränderlichkeitszeitraum. Angreifer sind oft mehrere Tage oder Wochen im Netzwerk, bevor sie sich zu erkennen geben. Der Unveränderlichkeitszeitraum sollte daher mindestens die tägliche Aufbewahrung abdecken.
Mehr zur Vorbereitung auf einen Angriff und zu den ersten Stunden danach lesen Sie im Leitfaden Cyberangriff: Notfallplan und Selbsttest.
Backup, Replikation und Wiederherstellung nach einer Katastrophe
Die Begriffe werden oft vermischt, decken aber unterschiedliche Bedürfnisse ab. Ein Backup bewahrt die Historie von Wiederherstellungspunkten und ermöglicht die Rückkehr zum Zustand vor einem Fehler, einer Löschung oder einem Angriff. Die Replikation hält eine nahezu aktuelle Kopie des Systems an einem zweiten Standort vor und ermöglicht daher ein kurzes RPO und RTO, überträgt aber auch Fehler und Verschlüsselung schnell auf die Kopie. Continuous Data Protection (CDP) senkt das RPO auf wenige Sekunden.
Disaster Recovery (DR) ist keine Technologie, sondern ein Plan: Welche Systeme werden zuerst wiederhergestellt, wo laufen sie, wer entscheidet über das Umschalten, wie wird das Netzwerk umgeleitet und wie verbinden sich die Benutzer. Ein guter DR-Plan für kritische Systeme verbindet Replikation für den schnellen Wechsel mit unveränderlichen Backups für den Fall, dass auch das Replikat infiziert ist.
Ob sich eine höhere DR-Stufe lohnt, ist eine geschäftliche Entscheidung. Der Rechner berechnet die Kosten einer Ausfallstunde und den erwarteten jährlichen Verlust und vergleicht sie mit den jährlichen Kosten einer besseren DR-Stufe. Wenn Sie auch einen Austausch der Server oder den Wechsel in die Cloud erwägen, sehen Sie sich den Rechner Server kaufen, mieten oder Colocation an.
Die Wiederherstellung testen
Ein Backup, aus dem Sie noch nie wiederhergestellt haben, ist nur eine Annahme. Bei Vorfällen zeigt sich oft, dass die Kopien nicht alle Daten enthielten, dass die Wiederherstellung um ein Vielfaches länger dauert als erwartet oder dass Passwörter, Lizenzen und Dokumentation fehlen.
- Automatische Prüfung. Software wie Veeam kann bei jedem Auftrag die Integrität der Kopien prüfen und in einer isolierten Umgebung eine virtuelle Maschine starten, um festzustellen, ob die Dienste antworten.
- Regelmäßige Wiederherstellungstests. Stellen Sie ganze kritische Systeme mindestens vierteljährlich wieder her und messen Sie die tatsächliche Zeit. Vergleichen Sie das Ergebnis mit dem Ziel-RTO.
- Jährliche DR-Übung. Testen Sie mindestens einmal jährlich den gesamten Plan, einschließlich Wiederherstellungsreihenfolge, Netzwerk, Identitäten und Kommunikation.
- Dokumentation. Wiederherstellungsanleitungen, Kontakte und Zugangsdaten müssen auch dann erreichbar sein, wenn die Produktivsysteme nicht laufen.
Vergessen Sie bei der Bewertung des RTO nicht, dass die Wiederherstellung nicht mit dem Ausfall beginnt. Zuvor muss der Vorfall erkannt, eine Entscheidung getroffen und die Umgebung vorbereitet werden. Bei Ransomware muss zuerst ein sauberer Wiederherstellungspunkt gefunden werden, was länger dauern kann als die Datenübertragung selbst.
Cloud und externe Kopie: Veeam Cloud Connect
Der zweite Standort ist für viele Unternehmen das größte Hindernis bei der 3-2-1-Regel. Ein eigenes zweites Rechenzentrum bedeutet Hardware, Platz, Anbindungen und Wartung. Eine Alternative ist eine externe Kopie bei einem Dienstleister.
Veeam Cloud Connect ermöglicht es, dass eine bestehende Installation von Veeam Backup & Replication über eine verschlüsselte Verbindung Backups oder Replikate in das Rechenzentrum eines Dienstleisters sendet. Die Kopien können unveränderlich sein, und der Dienstleister bewahrt sie getrennt von Ihrer Domäne auf, sodass sie zugleich die Anforderung an einen zweiten Standort und an eine unveränderliche Kopie erfüllen. Bei Replikaten in der Cloud können Sie kritische Systeme im Katastrophenfall direkt im Rechenzentrum des Dienstleisters starten.
Prüfen Sie bei der Auswahl des Dienstleisters den Standort des Rechenzentrums und die Konformität mit der DSGVO, die Stufe des Rechenzentrums (zum Beispiel TIER III), die Verbindungsgeschwindigkeit für die erste Übertragung und die Wiederherstellung, den Unveränderlichkeitszeitraum und den Support bei der Wiederherstellung. Bei großen Datenmengen kann die Wiederherstellung aus der Cloud langsamer sein als eine lokale, beziehen Sie die Geschwindigkeit der Wiederherstellung aus der externen Kopie daher in die Bewertung des RTO ein.
Humanfrog ist Veeam Silver Cloud Service Provider mit TIER-III-Rechenzentren in Slowenien. Wir bieten Backup als Service, externe und unveränderliche Kopien, Replikation und die Planung der Wiederherstellung nach einer Katastrophe.
Checkliste für Backup und DR
- Erfassen Sie die Systeme und ordnen Sie sie nach Bedeutung für das Geschäft in Gruppen.
- Legen Sie für jede Gruppe gemeinsam mit der Geschäftsleitung RPO und RTO sowie die Kosten einer Ausfallstunde fest.
- Prüfen Sie, ob die Sicherungshäufigkeit das RPO erreicht; bei einem RPO unter einer Stunde nutzen Sie Replikation oder CDP.
- Sorgen Sie für drei Kopien auf zwei Medien, eine an einem zweiten Standort und eine unveränderliche.
- Trennen Sie das Backup-System von der Produktivdomäne und schützen Sie es mit MFA.
- Schätzen Sie den Speicherplatz für alle Kopien und die Aufbewahrung und planen Sie eine Reserve für Wachstum ein.
- Legen Sie die Reihenfolge der Wiederherstellung fest: Identitäten, Netzwerk, kritische Anwendungen, Kommunikation.
- Prüfen Sie die Kopien automatisch und testen Sie die Wiederherstellung kritischer Systeme mindestens vierteljährlich.
- Führen Sie mindestens einmal jährlich eine DR-Übung durch und aktualisieren Sie die Dokumentation.
Wenn Sie die Ergebnisse des Rechners mit einem Experten prüfen möchten oder eine externe und unveränderliche Kopie in einem Rechenzentrum in der EU benötigen, schreiben Sie uns.
