BACKUP, WIEDERANLAUF UND AUSFALLSICHERHEIT | GEOREDUNDANZ SEIT 2016
Disaster Recovery und Hochverfügbarkeit – Wiederanlauf für den Mittelstand
✓ Vier Stufen, eine Entscheidung: von der einfachen Sicherung bis zum Cluster, das den Ausfall gar nicht erst sichtbar macht.
✓ Verteilter Betrieb seit 2016: Sicherungen und Systeme über mehrere Standorte in Deutschland, standardmäßig in Hallstadt bei Bamberg.
✓ Wiederanlauf, der geprüft ist: Testumgebungen für die Wiederherstellung, minutengenau abgerechnet.
✓ Zertifiziert nach dem Standard des BSI: ISO 27001 auf Basis von IT-Grundschutz und BSI-C5-Testat.
Eine Sicherung ist noch kein Wiederanlauf
Die meisten Betriebe haben ein Backup. Deutlich weniger können sagen, wie lange es dauern würde, damit wieder arbeitsfähig zu sein. Genau das ist der Unterschied zwischen Datensicherung und Disaster Recovery: Das eine bewahrt die Daten, das andere stellt den Betrieb wieder her.
Der Unterschied wird erst im Ernstfall sichtbar, und dann ist es zu spät, ihn zu klären. Wer Server, Netzwerk, Zugänge und Anwendungen nach einem Totalausfall von Hand neu aufsetzen muss, braucht Tage, selbst wenn alle Daten vorhanden sind.
Diese Seite beschreibt vier Stufen der Ausfallsicherheit, was sie jeweils kosten und leisten, und wie Sie entscheiden, welche für welches System die richtige ist.
Vier Stufen der Ausfallsicherheit
Nicht jedes System braucht dieselbe Absicherung. Eine sinnvolle Backup Strategie ordnet jedem System die Stufe zu, die zu seiner Bedeutung passt, statt alles gleich zu behandeln.
1. Sicherung
Die Daten sind vorhanden, der Wiederanlauf erfolgt von Hand. Ausfallzeit: Stunden bis Tage. Geeignet für Systeme, deren Ausfall verkraftbar ist, etwa Testumgebungen oder Archive. Umsetzung über cBacks.
2. Sicherung an zweitem Ort
Dieselbe Sicherung, zusätzlich an einem anderen Ort. Schützt gegen Ereignisse, die den ganzen Standort betreffen: Brand, Hochwasser, längerer Stromausfall. Umsetzung über Geo-Backup oder S3 Object Storage.
3. Failover
Ein zweites System steht bereit und übernimmt bei Ausfall. Ausfallzeit: Minuten. Der Umschaltvorgang kann automatisch oder auf Anweisung erfolgen. Geeignet für Systeme, deren Stillstand den Betrieb spürbar stört.
4. Hoch-
verfügbarkeit
Mehrere Systeme laufen parallel, der Ausfall eines einzelnen bleibt für Nutzer unbemerkt. Ausfallzeit: nahe null. Die aufwendigste und teuerste Stufe, sinnvoll für Systeme, ohne die nicht gearbeitet werden kann.
Was in einen Disaster-Recovery-Plan gehört
Ein Disaster Recovery Plan ist eine Handlungsanweisung für den Ernstfall. Er sollte fünf Punkte enthalten.
- Priorisierung der Systeme: Eine Reihenfolge nach Wichtigkeit für den Geschäftsbetrieb. Ohne sie richtet sich der Wiederanlauf nach dem technischen Aufwand statt nach dem Bedarf.
- Wiederanlaufziele: Für jedes System die zulässige Ausfallzeit und der zulässige Datenverlust. Aus beiden Werten ergibt sich, welche der vier Stufen erforderlich ist und in welchem Intervall gesichert wird.
- Zuständigkeiten: Namentlich benannte Verantwortliche mit Vertretung sowie Erreichbarkeiten außerhalb der Arbeitszeit, einschließlich derjenigen des Dienstleisters.
- Ablauf des Wiederanlaufs: Die einzelnen Schritte, dokumentiert in einer Form, die auch von Personen ausgeführt werden kann, die das System nicht täglich betreuen.
- Prüfrhythmus: Ein festgelegter Turnus für die Erprobung. Ein Plan ohne dokumentierte Wiederherstellung ist im Prüfungsfall kein Nachweis; üblich ist mindestens eine Wiederherstellung pro Jahr je kritischem System.
Wiederherstellung testen, ohne Ersatzhardware
Der häufigste Grund, warum Wiederanlaufpläne nicht getestet werden, ist der Aufwand: Für einen Test braucht es eine zweite Umgebung, und die will niemand dauerhaft vorhalten. In der Cloud entfällt dieses Problem.
So läuft ein Test ab
Sie stellen eine Sicherung in eine neue Instanz zurück, prüfen, ob die Anwendung startet und die Daten stimmen, messen die tatsächlich benötigte Zeit und schalten die Instanz danach wieder ab. Abgerechnet wird nur die Laufzeit.
Was Sie dabei erfahren
Fast immer weicht die gemessene Zeit von der geplanten ab, meist nach oben. Genau das ist der Wert des Tests: Sie korrigieren die Erwartung, bevor der Ernstfall sie korrigiert.
Was dokumentiert wird
Datum, wiederhergestelltes System, benötigte Zeit, aufgetretene Probleme und die daraus abgeleiteten Änderungen am Plan. Diese Dokumentation ist zugleich das, was Prüfer und Versicherer sehen wollen.
Wer wofür verantwortlich ist
Diese Grenze ist im Geltungsbereich unserer ISO-27001-Zertifizierung festgehalten. Sie sollte auch in Ihrem Wiederanlaufplan so stehen.
| Aufgabe | Bei Ihnen | Bei centron |
|---|---|---|
| Einstufung der Systeme und Wiederanlaufziele | vollständig | Beratung zur technischen Umsetzbarkeit |
| Disaster-Recovery-Plan | Erstellung und Pflege | Zulieferung der Betriebsangaben |
| Anwendungen und Betriebssysteme | Konfiguration, Wiederanlauf der Anwendung | Managed Service auf Wunsch |
| Sicherung und Wiederherstellung | Festlegung von Intervall und Aufbewahrung | Durchführung und Bereitstellung |
| Plattform und Rechenzentren | — | Redundanz, Monitoring, Notfallmanagement des Betriebs |
| Wiederherstellungstest | Planung, Durchführung, Dokumentation | Bereitstellung der Testumgebung |
| Nachweise für Prüfer und Versicherer | Aufnahme in die eigene Dokumentation | Zertifikate mit Geltungsbereich, BSI-C5-Testat und beispielsweise TOM, abrufbar im Trust Center |
Die Bausteine
Einzeln buchbar, unabhängig voneinander skalierbar.
Wiederherstellung ausprobieren oder Anforderungen klären
Registrieren Sie sich kostenlos, spielen Sie eine Sicherung in eine Testinstanz zurück und messen Sie, wie lange der Wiederanlauf tatsächlich dauert. Es entsteht keine Vertragsbindung, abgerechnet wird die Laufzeit.
Wenn Sie zuerst über die Auslegung sprechen wollen: Welche Ihrer Systeme welche Stufe brauchen und was das kostet, rechnen unsere Cloud-Experten mit Ihnen durch.
Häufig gestellte Fragen zu Disaster Recovery und Hochverfügbarkeit
Ein Backup bewahrt die Daten. Disaster Recovery stellt den Betrieb wieder her, also Daten, Systeme, Netzwerk und Zugänge. Wer nur ein Backup hat, hat seine Daten, muss den Rest aber von Hand aufbauen. Das dauert je nach Umgebung Stunden bis Tage.
Eine Reihenfolge der Systeme nach Wichtigkeit, für jedes System die zulässige Ausfallzeit und der zulässige Datenverlust, namentlich benannte Zuständigkeiten mit Vertretung und Erreichbarkeit, die Schritte des Wiederanlaufs in ausführbarer Form und ein fester Rhythmus für die Erprobung.
Als Disaster Recovery as a Service wird ein Modell bezeichnet, bei dem die Ausweichumgebung nicht dauerhaft vorgehalten, sondern beim Anbieter bereitgestellt und im Bedarfsfall aktiviert wird. Der Vorteil ist, dass keine zweite Hardware gekauft und betrieben werden muss; abgerechnet wird nach Nutzung.
Bei einem Failover übernimmt ein bereitstehendes zweites System, wenn das erste ausfällt; die Umschaltung dauert Sekunden bis Minuten und ist meist bemerkbar. Bei Hochverfügbarkeit laufen mehrere Systeme parallel, sodass der Ausfall eines einzelnen für die Nutzer unsichtbar bleibt. Hochverfügbarkeit ist aufwendiger und teurer.
Das lässt sich nicht pauschal beantworten, sondern nur je System. Sinnvoll ist, jedes System danach zu bewerten, was ein Tag Stillstand kosten würde. Systeme, ohne die nicht gearbeitet werden kann, rechtfertigen Failover oder Hochverfügbarkeit; für alles andere genügt meist eine Sicherung mit zweitem Standort.
Ein Geo-Backup speichert die Sicherung an einem anderen Standort. Damit ist sie auch dann noch vorhanden, wenn ein Ereignis den primären Standort vollständig trifft, etwa Brand, Hochwasser oder ein längerer Stromausfall. centron betreibt verteilten Betrieb über mehrere Standorte in Deutschland seit 2016.
Mindestens einmal jährlich je kritischem System, dazu nach jeder größeren Änderung an Anwendung oder Umgebung. Entscheidend ist weniger die Häufigkeit als die Dokumentation: Ein Test ohne festgehaltenes Ergebnis hilft weder bei der Verbesserung noch gegenüber Prüfern.
Nur, wenn die Sicherung selbst nicht erreichbar ist. Angreifer suchen zuerst die Backups und verschlüsseln oder löschen sie. Wirksam sind Sicherungen, die innerhalb der Aufbewahrungsfrist nicht verändert werden können. Wie das umgesetzt wird, beschreibt cProtect.
Standardmäßig im centron-Rechenzentrum in Hallstadt bei Bamberg. Im Geltungsbereich unserer ISO-27001-Zertifizierung auf Basis von IT-Grundschutz liegen Hallstadt, Nürnberg und Frankfurt am Main. Für den verteilten Betrieb lassen sich weitere Standorte einbeziehen.