Desaster Recovery

Desaster Recovery ist der technische Teil der Geschäftsfortführung: die Wiederherstellung von IT-Systemen und Daten nach einem Ausfall. Sie steht nicht für sich, sondern setzt um, was die Geschäftsseite vorgibt.

Erstgespräch vereinbaren

Warum die Reihenfolge zählt

Ein verbreiteter Denkfehler: Zuerst wird geklärt, wie schnell die IT wiederhergestellt werden kann – und daran richtet sich alles Weitere aus.

Richtig ist der umgekehrte Weg. Die Business Impact Analyse bestimmt, wie lange ein Geschäftsprozess ausfallen darf. Daraus ergibt sich, wie schnell die Systeme wieder laufen müssen, die diesen Prozess tragen. Die technische Lösung folgt der fachlichen Anforderung, nicht umgekehrt.

Diese Reihenfolge hat einen handfesten Grund. Wiederherstellungszeit kostet Geld: Je kürzer sie sein soll, desto aufwendiger wird die Auslegung. Ohne die fachliche Vorgabe wird entweder zu viel investiert oder zu wenig – und beides fällt erst im Ernstfall auf.

Was die Planung festlegt

Wiederherstellungsreihenfolge. Welches System zuerst, welches danach. Abhängigkeiten entscheiden das, nicht Wichtigkeit: Eine Anwendung ohne ihre Datenbank läuft nicht.

Datensicherung. Was wird gesichert, wie oft, wie lange aufbewahrt, und – der entscheidende Punkt – wo. Eine Sicherung, die im selben Netz erreichbar ist wie die Produktivsysteme, überlebt einen Verschlüsselungsangriff nicht. Der IT-Grundschutz-Baustein CON.3 gibt für das Datensicherungskonzept die Struktur vor.

Rücksicherung. Wer sie durchführt, wie lange sie dauert und woran erkennbar ist, dass sie vollständig war. Dieser Punkt ist der am häufigsten ungeprüfte im ganzen Themenfeld.

Ausweichlösungen. Ersatzsysteme, ausgelagerte Umgebungen, Vereinbarungen mit Dienstleistern.

Ein Backup, das nie zurückgespielt wurde, ist keins

Der Satz klingt banal und beschreibt trotzdem die häufigste Lücke. Die Sicherung läuft, das Protokoll meldet Erfolg – ob sich daraus ein lauffähiges System herstellen lässt, weiß niemand.

Deshalb gehört die Rücksicherung in den Übungsplan. Ein Funktionstest an einem einzelnen System kostet wenig und beantwortet die Frage, auf die es ankommt: Wie lange dauert es wirklich, und funktioniert es überhaupt?

Wo Sicherungen nicht getrennt vom Produktivnetz liegen, ist zusätzlich die Risikobewertung betroffen – ein Angriff, der beide Bestände gleichzeitig erreicht, ist kein Randfall mehr.

Wenn die Sicherung selbst betreut werden soll, statt nur geplant zu sein: Managed Backup meldet Fehlläufe, statt sie im Protokoll zu vergraben. Für Daten in Microsoft 365 und vergleichbaren Diensten braucht es zusätzlich ein Cloud-to-Cloud Backup – der Anbieter sichert sie nicht für Sie.

Wie sich das einfügt

Die Desaster-Recovery-Planung ist Teil Ihrer Notfallkonzepte und wird über das Notfallhandbuch erreichbar gemacht. Technisch berührt sie die Maßnahmen, die im ISMS ohnehin dokumentiert sind – wer beides betreibt, sollte es aus einer Quelle speisen.

Kontakt

Sie haben Backups, aber keine erprobte Rücksicherung? Genau dort setzen wir an.