Morgen früh um acht antwortet der Server nicht. Niemand kommt in die Business Software, die Post steht still, auf dem Bildschirm einer Kollegin erscheint eine Lösegeldforderung. Die Frage, die dieser Artikel stellt, lautet nicht «Kann das passieren?» – es passiert, jede Woche, auch Unternehmen im Tessin und in Graubünden –, sondern «Wie viel Zeit vergeht, bis das Unternehmen wieder arbeitet, und wie viele Daten fehlen dann?». Die Antwort hängt nicht vom Glück ab. Sie hängt davon ab, ob Backup, Disaster Recovery und Business Continuity als drei verschiedene Dinge mit je eigener Aufgabe geplant wurden – innerhalb einer Infrastruktur aus Servern und Cloud, die darauf ausgelegt ist, wieder aufzustehen.

Viele Unternehmen verwenden die drei Begriffe als Synonyme, und aus dieser Verwechslung entsteht eine falsche Sicherheit: «Wir haben ein Backup, also sind wir in Ordnung.» Hier klären wir den Unterschied, erklären in einfachen Worten die 3-2-1-Regel und die zwei Zahlen, die alles entscheiden – RTO und RPO –, bestehen auf der einzigen Prüfung, die zählt, dem Wiederherstellungstest, und zeigen, wie eine Plattform wie Acronis Cyber Protect Kopie, Schutz und Neustart zusammenhält.

Drei Begriffe, drei verschiedene Aufgaben

Das Backup ist die Kopie der Daten. Es beantwortet die Frage: «Existieren die Daten noch irgendwo?» Es ist notwendig, aber allein bringt es nichts wieder in Gang: Eine Kopie auf einer externen Festplatte oder in einem Cloud-Archiv ist ein Ausgangspunkt, kein arbeitendes Unternehmen.

Die Disaster Recovery ist die Wiederherstellung der Systeme. Sie beantwortet: «Wie lange dauert es, bis Business Software, Post und gemeinsame Dateien wieder funktionieren – und auf welcher Infrastruktur?» Sie umfasst die Kopien, aber auch den Ort, an dem sie wieder anlaufen – ein zweiter Server, eine startbereite Cloud-Umgebung –, die Abläufe und die Personen, die sie ausführen. Disaster Recovery ist der technische Teil des Neustarts.

Die Business Continuity ist die Kontinuität des Geschäfts, und die deckt sich nicht mit jener der Systeme. Sie beantwortet: «Was tun wir in den Stunden oder Tagen, in denen die Systeme fehlen?» Wie nimmt man Aufträge entgegen, wenn die Business Software steht, wie kommuniziert man mit den Kunden, wer entscheidet was, welche Tätigkeiten können warten und welche nicht. Das ist der organisatorische Teil – und er betrifft die Geschäftsleitung noch vor der IT.

Das Problem ist selten das fehlende Backup. Es sind die zwei anderen Ebenen, die nie jemand entworfen hat, weil «ja das Backup da ist». In der Arbeit mit Unternehmen zeigt sich oft dieselbe Szene: Die Kopien sind da, sie sind sogar gut – aber die vollständige Wiederherstellung auf neuer Hardware dauert vier Tage, und das hatte niemand gerechnet.

Die 3-2-1-Regel, einfach erklärt

Die bekannteste – und nach wie vor solideste – Regel verlangt drei Kopien der Daten, das Original plus zwei, auf zwei verschiedenen Medien, mit einer Kopie ausser Haus. Drei Kopien, weil eine einzige eine Hoffnung ist, keine Strategie. Zwei Medien – etwa eine lokale Festplatte und ein Cloud-Archiv –, weil ein typischer Ausfall jeweils eine Technologie trifft. Eine Kopie ausser Haus, weil ein Brand, ein Diebstahl oder ein Wasserschaden auch das NAS neben dem Server mitnimmt.

In den letzten Jahren ist eine vierte Anforderung dazugekommen, die viele als «3-2-1-1» zusammenfassen: eine unveränderliche Kopie, die während eines festgelegten Zeitraums weder verändert noch gelöscht werden kann – auch nicht von einem Administrator. Sie ist die Antwort auf moderne Ransomware, die vor dem Verschlüsseln der Daten die Backups sucht und zerstört. Lässt sich die Kopie nicht anrühren, verliert der Angriff seine Hauptwaffe.

Zwei Fehler machen auch eine gut umgesetzte 3-2-1 zunichte. Der erste ist, Synchronisation mit Backup zu verwechseln: Ein geteilter Cloud-Ordner gleicht die Dateien zwischen den Geräten ab – wird eine Datei aber verschlüsselt oder gelöscht, verbreitet sich die Änderung in Sekunden überallhin. Es braucht eine historisierte Kopie, die frühere Versionen bewahrt. Der zweite ist eine zu kurze Aufbewahrung: Eine Ransomware kann wochenlang stumm bleiben, bevor sie aktiv wird – wer nur die letzten sieben Tage behält, hat womöglich nur bereits kompromittierte Kopien.

RTO und RPO: die zwei Zahlen, die alles entscheiden

Wenn Sie eines aus diesem Artikel mitnehmen, dann zwei Abkürzungen. Das RPO – Recovery Point Objective – ist die Menge an Daten, deren Verlust das Unternehmen akzeptiert, gemessen in Zeit: Bei einem nächtlichen Backup beträgt das RPO vierundzwanzig Stunden, im schlimmsten Fall geht also ein ganzer Arbeitstag verloren. Das RTO – Recovery Time Objective – ist die maximal tolerierbare Zeit, bis ein System wieder läuft: vier Stunden, ein Tag, eine Woche.

Diese Zahlen legt nicht der Techniker fest, sondern das Unternehmen – System für System. Für einen E-Shop, der laufend Bestellungen erhält, ist ein RPO von einem Tag inakzeptabel; für das Archiv der historischen Verträge ist es völlig in Ordnung. Eine Werkstatt übersteht eine Woche ohne Website, aber keinen Nachmittag ohne die Business Software, die die Lieferscheine druckt. Jedem System sein RTO und sein RPO zu geben, ist die Übung, die aus einer technischen Diskussion eine unternehmerische Entscheidung macht – und fast immer die Prioritäten neu ordnet: Man stellt fest, dass das «nebensächliche» System jenes ist, ohne das keine Rechnung rausgeht.

Der nächste Schritt ist der Abgleich der Ziele mit der Realität. Beträgt das RTO der Business Software vier Stunden und braucht die Wiederherstellung aus dem Backup sechsunddreissig, klafft eine Lücke, die kein guter Vorsatz schliesst: Es braucht eine startbereite Disaster-Recovery-Umgebung – eine Replik in der Cloud, die anspringt, wenn das Hauptsystem ausfällt – oder die bewusste Entscheidung, diese Lücke in Kauf zu nehmen. Beides sind legitime Entscheidungen; nicht legitim ist, es erst am Tag des Vorfalls herauszufinden.

Der Wiederherstellungstest: die einzige Prüfung, die zählt

Ein Backup ist nicht die Datei, die Sie speichern. Es ist die Wiederherstellung, die Ihnen gelingt. Alles Vorangegangene – 3-2-1-Regel, Unveränderlichkeit, RTO und RPO – bleibt Theorie, solange niemand tatsächlich versucht, ein System aus den Kopien wieder aufzubauen, und dabei die Zeit stoppt. Der Wiederherstellungstest ist das am meisten vernachlässigte Glied der Kette und das einzige, das die Frage im Titel mit einer Tatsache beantwortet.

Ein nützlicher Test hat eine einfache Form. Man wählt ein System – am besten das kritischste – und stellt es in einer isolierten Umgebung wieder her, ohne die Produktion zu berühren. Man misst die Zeit, prüft, ob die Daten vollständig und lesbar sind, und notiert die Stolpersteine: das Backup-Passwort, an das sich niemand erinnerte, den fehlenden Treiber, die Lizenz, die sich nicht reaktivieren lässt. Man dokumentiert alles auf einer Seite, mit Datum. Dann wiederholt man den Test – mindestens zweimal im Jahr und nach jeder grösseren Änderung der Infrastruktur.

Der Wert des Tests liegt nicht nur in der Bestätigung. Er liegt in den Stolpersteinen: Jedes Problem, das an einem ruhigen Dienstag gefunden wird, ist ein Problem weniger am schlimmsten Tag. Und er liegt in der Schlusszahl, der realen Wiederherstellungszeit, die neben das von der Geschäftsleitung festgelegte RTO gehört. Stimmen die beiden nicht überein, hat der Test seine Arbeit bereits getan.

Cyber Protection: wenn Backup und Sicherheit eins werden

Jahrelang waren Backup und IT-Sicherheit getrennte Welten: die einen machten die Kopien, die anderen verwalteten Antivirus und Firewall. Die Angriffe der letzten Jahre haben diese Trennung unhaltbar gemacht, weil das Backup selbst zur Zielscheibe wurde. Daher der Ansatz der Cyber Protection, der Datenkopie, aktive Verteidigung und Neustart in einer einzigen Logik vereint.

Bei dpstudio arbeiten wir an dieser Front mit Acronis, für das wir Gold Service Provider sind. Eine Plattform wie Acronis Cyber Protect vereint in einer einzigen Konsole das Backup – von Servern, Arbeitsplätzen, mobilen Geräten und Cloud-Umgebungen –, den Ransomware-Schutz, der verdächtige Verschlüsselungsversuche erkennt und blockiert, und die granulare Wiederherstellung: eine einzelne Datei, ein Ordner, ein Postfach oder eine ganze Maschine, je nach Bedarf. Die Kopien lassen sich unveränderlich machen, und die Wiederherstellungstests können teilweise automatisiert werden – mit periodischen Prüfungen, die das Backup-Abbild in einer isolierten Umgebung starten und den Bootvorgang kontrollieren.

Das Element, das den Kreis schliesst, ist die Disaster Recovery in der Cloud: die Möglichkeit, die kritischen Systeme in einer Acronis-Infrastruktur weiterlaufen zu lassen, während die eigene wiederhergestellt wird – mit einem RTO, das sich in Minuten oder wenigen Stunden misst, nicht in Tagen. Für ein KMU ist das der Unterschied zwischen «Wir haben den Server verloren» und «Wir haben drei Tage lang von anderswo gearbeitet». Und in der Praxis ist es das, was die auf dem Papier festgelegten RTO erreichbar macht.

Eine Anmerkung zu einem besonderen Fall: Die Daten, die in Microsoft 365 leben – Post, Teams, SharePoint, OneDrive –, sind nicht «von Haus aus» durch ein Unternehmens-Backup gedeckt. Microsoft garantiert die Verfügbarkeit des Dienstes, nicht die unbegrenzte Aufbewahrung dessen, was ein Benutzer löscht oder eine Ransomware über einen synchronisierten Arbeitsplatz verschlüsselt. Das dedizierte Backup von Microsoft 365 ist fester Bestandteil einer 3-2-1-Strategie – wir kommen im nächsten Artikel darauf zurück.

Business Continuity: was das Unternehmen tut, während die Systeme zurückkehren

Bleibt die organisatorische Ebene, die keine Plattform ersetzen kann. Auch mit einer Disaster Recovery in der Cloud wird es Stunden geben, in denen etwas nicht funktioniert – und in diesen Stunden muss das Unternehmen weiter existieren. Die Business Continuity ist der Plan für diese Stunden: Wer entscheidet, den Notfall auszurufen, wie werden Kunden und Lieferanten informiert, wie nimmt man Aufträge von Hand entgegen, welche Tätigkeiten werden ohne Schaden ausgesetzt, wer spricht mit dem IT-Partner und wer mit der Geschäftsleitung.

Für ein KMU passt dieser Plan auf wenige Seiten, aber er muss schriftlich existieren – und ausserhalb der Systeme, die stillstehen könnten. Ein Ausdruck in der Schublade der Geschäftsführung ist keine Naivität, sondern gesunder Menschenverstand. Er enthält die aktuellen Kontakte, die Liste der Systeme in Prioritätsreihenfolge mit ihren RTO und die Anweisungen für die ersten zwei Stunden. Und er ist auch der Ort, an dem die Pflichten des revidierten Datenschutzgesetzes vorzusehen sind: Betrifft der Vorfall Personendaten und birgt er ein hohes Risiko, muss die Meldung an den EDÖB so rasch als möglich erfolgen – und im Voraus zu bestimmen, wer sie beurteilt und vorbereitet, verhindert Improvisation im schlimmsten Moment.

Womit beginnen – in dieser Reihenfolge

Wer diesen Artikel liest und das eigene Unternehmen in dem einen oder anderen Punkt wiedererkennt, muss nicht alles neu machen. Er muss vier Dinge nacheinander tun. Erstens: sich für jedes System fragen, wie lange man stillstehen und wie viele Daten man verlieren kann – RTO und RPO, schriftlich. Zweitens: prüfen, ob die Kopien die 3-2-1-Regel mit einer unveränderlichen Kopie erfüllen, und die Lücken schliessen. Drittens: einen Wiederherstellungstest am kritischsten System durchführen und die reale Zeit mit dem Ziel vergleichen. Viertens: den Kontinuitätsplan schreiben und dort ablegen, wo er gebraucht wird. In einem Monat gewöhnlicher Arbeit kommt ein KMU von «Wir haben ein Backup» zu «Wir wissen genau, was morgen passiert, wenn wir alles verlieren». Das ist eine kürzere Strecke, als sie scheint – und sie ist den Rest des Jahres an Ruhe wert.

Das Wichtigste in Kürze

Backup, Disaster Recovery und Business Continuity sind drei Ebenen, nicht drei Namen für dieselbe Sache: die Kopie der Daten, die Wiederherstellung der Systeme, die Kontinuität des Geschäfts. Die 3-2-1-Regel mit einer unveränderlichen Kopie schützt die Daten; RTO und RPO machen aus dem Schutz unternehmerische Entscheidungen; der Wiederherstellungstest ist die einzige Prüfung, die zählt. Eine Cyber-Protection-Plattform wie Acronis Cyber Protect hält die drei technischen Ebenen zusammen; der Kontinuitätsplan ergänzt die organisatorische.

Bei dpstudio begleiten wir die KMU der italienischen Schweiz bei der Planung von Backup und Disaster Recovery: von der Analyse von RTO und RPO über die Wahl der Cloud- oder Hybrid-Infrastruktur bis zu Wiederherstellungstests und Kontinuitätsplan, mit dem Schutz der Daten als rotem Faden. Wir tun das seit über dreissig Jahren – von Bedano, Poschiavo und La Punt aus.