Notfallwiederherstellung (Disaster Recovery) ist der Plan für den Fall, dass der ganze Standort, die ganze Infrastruktur oder die Kerndaten betroffen sind. Der Unterschied zur Hochverfügbarkeit: Bei der Hochverfügbarkeit fällt eine Komponente aus; hier fällt alles aus.
Die Stufen
NIVEAU 0: Kein Plan
Wird durch die Realitaet erzwungen.
NIVEAU 1: Sicherung + Wiederherstellung am selben Ort
Geeignet fuer: alles, was nicht kritisch ist
Wiederherstellungszeit: Tage
# Faellt der Standort aus, ist alles verloren.
# Akzeptabel fuer viele interne Dienste.
NIVEAU 2: Sicherung ausser Haus
Bandsicherung oder Kopie in anderem Rechenzentrum
Wiederherstellungszeit: Stunden bis Tage
# Der wichtigste Schritt ueberhaupt: Die Sicherung
# darf nicht am selben Ort liegen.
# Und: Hardware fuer die Wiederherstellung braucht
# es auch! "Wir holen neue Server" dauert Wochen.
NIVEAU 3: Ersatzrechenzentrum, warm
Technik vorhanden, wird regelmaessig aktualisiert
Wiederherstellungszeit: Stunden
# Erfordert regelmaessige Synchronisation.
# Ein "warmes" Rechenzentrum, das seit Monaten
# nicht aktualisiert wurde, ist "kalt".
NIVEAU 4: Ersatzrechenzentrum, aktiv/aktiv
Beide Standorte in Betrieb
Wiederherstellungszeit: Minuten bis Sekunden
Datenverlust: abhaengig von der Replikation
# Teuer und betriebsintensiv (doppelte Systeme,
# doppelte Aenderungen, Datensynchronisation).
# Nur fuer echt geschaeftskritische Dienste.
Realitaet: Man braucht NICHT fuer alles das hoechste
Niveau. Die Kunst ist die Zuordnung:
Bestellabwicklung Niveau 4
Kundenportal Niveau 3
Buchhaltung Niveau 2-3
Firmenwiki Niveau 1-2
Testumgebung Niveau 0-1
# Diese Zuordnung muss von der Geschaeftsleitung
# ENTSCHIEDEN werden, nicht von der IT.
# Die IT kann die Kosten und Zeiten nennen.Der Plan: was hineingehört
Ein Notfallplan, der im Ernstfall nutzbar ist, hat
folgende Teile - auf maximal 10 Seiten:
1) AUSLOESEKRITERIEN
Wer entscheidet, dass es ein Notfall ist?
# Ein Notfall ist es, wenn:
# - Ein Standort nicht mehr verfuegbar ist
# - Kerndaten unverfuegbar oder verloren sind
# - Ein Angriff die Kontrolle uebernommen hat
# - Ein Dienst laenger als (definierte Zeit) ausfaellt
# Wichtig: Die Entscheidung kann auch in Stufen
# (Teilnotfall) getroffen werden - das senkt die
# Hemmschwelle, den Plan auszuloesen.
2) ANSPRECHPARTNER (Telefon!)
Nach Namen, Rolle, Telefonnummer (mobil!).
Mit Vertretung - wer ist krank, im Urlaub, nicht
erreichbar?
# NICHT nur E-Mail. Bei einem Ausfall des
# Mailservers nutzt sie nichts.
# Die Liste muss AUF PAPIER und im Portemonnaie
# sein. Kein Notfallplan, der nur in einem Wiki
# steht - das Wiki ist Teil der ausgefallenen Infrastruktur!
3) ABLAUF (im Detail)
- Wer meldet? (Alarm, Meldung, Nutzeranruf)
- Wer fuehrt? (eine Person, nicht ein Gremium)
- Reihenfolge der Wiederherstellung
(Was zuerst? Meist: Netz, Anmeldung, DNS,
dann Fachanwendungen)
- Wer spricht mit wem (Kunden, Behoerden, Presse)
# Die Reihenfolge ist entscheidend und wird oft
# falsch geplant: Wer die Datenbank zuerst
# wiederherstellt, aber kein DNS hat, kann
# nichts erreichen.
4) ZUGANG ZU DEN RESSOURCEN
- Wo liegen die Sicherungen?
- Zugangsdaten: WIE kommt man an sie, wenn die
Infrastruktur weg ist? (Passwort-Safe offline!)
- Wo bekommt man Ersatzhardware? (Rahmenvertrag!)
- Zugang zum Rechenzentrum / Cloud-Konsole
# Der Klassiker: Die Zugangsdaten liegen in einem
# Passwort-Safe in der Cloud, dessen Anmeldung
# ueber das ausgefallene Anmeldesystem laeuft.
# Notfallzugangsdaten MUESSEN unabhaengig erreichbar sein.
5) KLASSIFIZIERUNG DER SYSTEME
Was zuerst? Nach Abhaengigkeiten UND Geschaeftsnutzen.
# Praktisch: Nummerierte Liste. 1 bis 30.
# Die ersten 5 entscheiden ueber das Ueberleben
# des Unternehmens.
6) WIEDERHERSTELLUNGSVERFAHREN
Je System: konkrete Schritte, ohne Interpretation.
# Nicht "Datenbank wiederherstellen", sondern
# "1) Instanz starten, 2) psql -h ..., 3) pg_restore
# -d produktion /sicherung/db.dump, 4) Pruefen mit
# SQL-Abfrage X (Ergebnis muss N Zeilen liefern)".
# Im Stress liest niemand Dokumentation, die
# Interpretation erfordert.
7) NOTBETRIEB
Wie arbeitet das Unternehmen, wenn die IT laenger
ausfaellt?
- Rechnungen per Hand?
- Bestellungen auf Papier mit spaeterer Erfassung?
- Kundenkommunikation ueber Durchsage?
# Ohne Notbetrieb ist die IT-Wiederherstellung
# der einzige Weg - und das ist unrealistisch.Üben: der wertvollste Teil
# Ein Notfallplan, der nie geprueft wurde, ist eine
# Absichtserklaerung. Die Uebung deckt genau die
# Luecken auf, die im Ernstfall Zeit kosten.
# ABLAUF EINER UEBUNG (halbtaegig):
# 1. Szenario festlegen
# "Standort A ist nicht verfuegbar. Zwei Teams
# haben keinen Zugang, kein Strom, kein Netz."
# 2. Rollen besetzen (Fuehrung, Technik,
# Kommunikation)
# 3. Einen Beobachter bestimmen (Zeitstempel!)
# 4. Durchfuehren - moeglichst realistisch
# 5. Zeitstempel auswerten (wo ging Zeit verloren?)
# 6. Massnahmen festhalten mit Verantwortlichen
#
# WICHTIG: Nicht die Wiederherstellung des
# ganzen Systems ueben (zu aufwendig), sondern die
# SCHRITTE 1-5 der Notfallliste. Die ersten
# 60 Minuten sind entscheidend.
#
# HAEUFIGE BEFUNDE AUS UEBUNGEN:
# - Die Ansprechpartnerliste ist veraltet
# - Zugangsdaten sind nicht erreichbar
# - Niemand kennt die Reihenfolge der Wiederherstellung
# - Die Sicherung ist nicht vollstaendig
# - Die Wiederherstellung dauert laenger als angenommen
# - Zwei Personen haben dieselbe Aufgabe angenommen
# # Diese Befunde im Frieden zu finden ist deutlich
# # guenstiger als im Ernstfall.
# MESSEN, was die Uebung ergeben hat:
# - Zeit bis zum Plan (Ausrufen des Notfalls)
# - Zeit bis zur ersten Verfuegbarkeit
# - Zeit bis zur vollstaendigen Verfuegbarkeit
# - Zahl der Abweichungen vom Plan
# # Diese Zahlen mit den Zielen (RTO) vergleichen.
# # Abweichungen sind die Arbeitsliste fuer
# # die naechsten Monate.Prüfliste
- Ist das Wiederherstellungsniveau je Dienst festgelegt und von der Leitung entschieden?
- Liegt eine Sicherung außer Haus – und ist sie nutzbar?
- Gibt es einen Notfallplan auf Papier (nicht nur im Wiki)?
- Sind die Ansprechpartner mit Mobilnummern erfasst – und aktuell?
- Sind die Notfallzugangsdaten unabhängig erreichbar (offline)?
- Ist die Wiederherstellungsreihenfolge festgelegt und begründet?
- Sind die Schritte je System konkret genug für jemanden im Stress?
- Gibt es einen definierten Notbetrieb ohne IT?
- Gibt es Rahmenverträge für Ersatzhardware (mit Lieferzeit)?
- Wurde in den letzten 12 Monaten geübt – mit Zeitmessung?
- Sind die Erkenntnisse aus der Übung in Maßnahmen überführt?
- Weiß jede beteiligte Person, wo die Ansprechpartnerliste ist?
Häufige Fehler
- Plan nur digital. Der Notfallplan liegt in dem System, das ausgefallen ist. Papier (oder ein zweites, unabhängiges System) ist Pflicht.
- Zugangsdaten nicht erreichbar. Der Passwort-Safe läuft über das ausgefallene Anmeldesystem oder braucht MFA über ein Handy im gesperrten Gebäude.
- Keine Ersatzhardware. „Wir kaufen dann neue Server“ – Lieferzeit Wochen. Ein Rahmenvertrag mit definierter Lieferzeit gehört in den Plan.
- Sicherung liegt am selben Ort. Der häufigste Grund für Totalverluste.
- Reihenfolge falsch geplant. Fachanwendung ohne DNS oder ohne Anmeldung ist nutzlos.
- Dokumentation mit Interpretation. Im Stress braucht man Schritte, keine Beschreibungen von Architektur.
- Kein Notbetrieb definiert. Ohne ihn ist der Druck auf die Wiederherstellung unrealistisch hoch – und Fehler passieren.
- Nie geübt. Der Plan liest sich gut und funktioniert nicht.
- Nur die Technik geübt. Die Entscheidungs- und Kommunikationswege sind im Ernstfall der kritischere Teil.
- Niveau für alles gleich hoch. Fünf Neunen für das Firmenwiki: unbezahlbar und nutzlos. Die Zuordnung ist die eigentliche Kunst.
Verwandte Grundlagen: Datensicherung, Ausfallsicherheit, Vorfallbehandlung, Backup.