Woran lässt sich erkennen, ob ein Notfallplan im Ernstfall funktioniert?
Meist zeigt sich das erst in dem Moment, in dem Daten tatsächlich zurückgeholt werden müssen. Genau das lässt sich aber testen, lange bevor es darauf ankommt.
Damit solche Tests regelmäßig stattfinden und im Ernstfall jeder weiß, was zu tun ist, braucht es ein Business Continuity Management (BCM). Der Oktober ist European Cybersecurity Month und damit ein guter Anlass, die eigene Ausgangslage zu prüfen.
Zwei Kennzahlen, die den Ernstfall beschreiben
Wie gut eine Datensicherung zum eigenen Unternehmen passt, lässt sich an zwei Kennzahlen festmachen. Beide sollten feststehen, bevor ein Ausfall eintritt.
Recovery Time Objective (RTO) beschreibt, wie lange es höchstens dauern darf, bis ein System nach einem Ausfall wieder läuft. Für ein internes Archivsystem ist vielleicht ein Tag ohne Zugriff tragbar – bei einem Neobroker oder einer Handelsplattform zählt während der Handelszeiten hingegen jede Minute: Kundinnen und Kunden können keine Orders aufgeben, und Kursbewegungen laufen ohne sie weiter. Entsprechend kurz muss die RTO sein.
Recovery Point Objective (RPO) beschreibt, wie viel Zeit seit der letzten Datensicherung maximal vergangen sein darf. Daraus ergibt sich direkt, wie viele Daten bei einem Ausfall verloren gehen. Wird nur einmal täglich um Mitternacht gesichert und fällt das System am Nachmittag aus, ist die Arbeit eines halben Tages weg. Eine stündliche Sicherung begrenzt den Verlust auf höchstens eine Stunde.
Beide Werte sind Geschäftsentscheidungen. Je kürzer RTO und RPO, desto höher der technische und finanzielle Aufwand. Deshalb lohnt es sich, sie für jedes wichtige System bewusst festzulegen.
Vier Fragen zur eigenen Standortbestimmung
Mit vier Fragen lässt sich schnell einschätzen, wie gut ein Unternehmen auf den Ernstfall vorbereitet ist:
- Wann wurde zuletzt ausprobiert, ob sich Daten aus der Sicherung tatsächlich wiederherstellen lassen?
- Wie lange dauert es, bis ein System nach einem Ausfall wieder läuft, und verkraftet das Geschäft diese Zeit überhaupt?
- Wie viel Zeit darf seit der letzten Datensicherung maximal vergangen sein, und wie viele Daten gehen damit bei einem Ausfall verloren: die Arbeit einer Stunde oder die eines ganzen Tages?
- Gibt es ein BCM, in dem die Antworten auf diese Fragen verbindlich festgehalten sind?
Wer eine dieser Fragen nicht sicher beantworten kann, hat einen guten Ausgangspunkt für den nächsten Schritt gefunden.
Typische Stolperstellen beim ersten Test
Beim ersten echten Wiederherstellungstest zeigen sich oft dieselben Schwachstellen. Keine davon ist ungewöhnlich, und alle lassen sich beheben, sobald sie bekannt sind.
Die Sicherung ist unvollständig. Häufig fehlen einzelne Verzeichnisse, Konfigurationsdateien oder Systeme, die später hinzugekommen sind. Die Sicherung läuft fehlerfrei durch, enthält aber nicht alles, was für den Betrieb nötig ist.
Wichtige Zugänge liegen in unterschiedlichen Zuständigkeitsbereichen. Passwörter, Schlüssel für verschlüsselte Sicherungen oder Administratorzugänge sind auf verschiedene Teams oder Personen verteilt. Im Ernstfall kostet es wertvolle Zeit, alle Beteiligten zu erreichen.
Die Wiederherstellung dauert Stunden länger als gedacht. Große Datenmengen zurückzuspielen braucht Zeit, ebenso die anschließende Prüfung, ob alles vollständig und konsistent ist. Erst ein Test zeigt, ob die geplante RTO realistisch ist.
Systeme hängen voneinander ab. Eine Anwendung startet erst, wenn vorher die passende Datenbank zurückgespielt wurde. Oft braucht es zusätzlich Verzeichnisdienste oder Netzwerkkomponenten. Ohne festgelegte Reihenfolge wird die Wiederherstellung zum Ratespiel.
Welche Rolle das BCM spielt
Ein BCM bündelt alles, was im Ernstfall gebraucht wird, in einem verbindlichen Rahmen. Es legt fest, welche Systeme nach einem Ausfall zuerst wieder laufen müssen, welche Ausfallzeiten und Datenverluste tragbar sind, also RTO und RPO, und wer im Ernstfall welche Aufgabe übernimmt.
Regelmäßige Tests gehören fest dazu. Wiederherstellungstests zeigen, ob sich Daten und Systeme in der geplanten Zeit zurückholen lassen. Kommunikationstests zeigen, ob Meldeketten funktionieren, ob Ansprechpartner erreichbar sind und ob alle Beteiligten wissen, wen sie informieren müssen. Beide Testarten machen Stolperstellen sichtbar, solange noch Zeit bleibt, sie zu beheben.
Genau hier setzen wir an und unterstützen unsere Kunden aktiv bei der Umsetzung ihres BCM, damit Notfallpläne, Zuständigkeiten und Tests den regulatorischen Anforderungen standhalten und im Störfall greifen. So entsteht ein Rahmen, der im Ernstfall trägt und im Alltag gepflegt werden kann.
Was Regulatorik und Standards dazu sagen
Für viele Unternehmen ist Business Continuity inzwischen auch eine regulatorische Anforderung. Welche Pflichten im Einzelfall gelten, hängt von Branche, Größe und Tätigkeit ab und sollte fachlich geprüft werden.
- NIS2: Die Richtlinie nennt in Art. 21 Abs. 2 Buchst. c die Aufrechterhaltung des Betriebs ausdrücklich als Risikomanagementmaßnahme, etwa Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement. In Deutschland ist die Pflicht mit dem NIS2UmsuCG in § 30 Abs. 2 Nr. 3 BSIG umgesetzt.
- DORA: Für Finanzunternehmen regelt die Verordnung in Art. 11 Reaktion und Wiederherstellung, einschließlich regelmäßiger Tests der Notfallpläne und der Krisenkommunikation. Art. 12 verlangt dokumentierte Backup-Richtlinien und Wiederherstellungsverfahren, die ebenfalls regelmäßig zu testen sind.
- BSI-Standard 200-4: Der Standard des BSI beschreibt, wie ein BCM aufgebaut und betrieben wird – und ermöglicht mit seinem Stufenmodell einen schrittweisen Einstieg.
So unterschiedlich die Regelwerke sind, sie setzen am selben Punkt an: Ein Notfallplan ist erst dann belastbar, wenn er geübt und getestet wurde. Ein strukturiertes BCM bündelt diese Anforderungen in einem Rahmen, der sich im Alltag pflegen und im Ernstfall anwenden lässt.
Den nächsten Test fest einplanen
Ein regelmäßig getestetes Backup gibt im Ernstfall Sicherheit. Der European Cybersecurity Month ist deshalb ein guter Zeitpunkt, den nächsten Wiederherstellungs- und Kommunikationstest fest einzuplanen und die vier Fragen aus diesem Beitrag im eigenen Team durchzugehen.
Jedes Unternehmen startet beim BCM an einem anderen Punkt. Manche haben Notfallpläne, die schon länger nicht mehr überprüft wurden – andere legen gerade zum ersten Mal fest, welche Systeme wie schnell wieder laufen müssen. Beides ist ein guter Ausgangspunkt. Wenn Sie sich gerade mit dem Thema beschäftigen und Erfahrungen oder offene Fragen teilen möchten, tauschen wir uns gern mit Ihnen aus.