RTO und RPO: der Kontinuitätsplan für einen schnellen Neustart

Weil die Kopie nur der Ausgangspunkt ist. Stellen Sie sich einen Server vor, der an einem Montagmorgen ausfällt, mit einer Sicherung vom Vortag auf einer USB-Festplatte. Die Kopie existiert; das Unternehmen steht trotzdem still. Um den Betrieb wiederherzustellen, fehlen vier Dinge:

• Ersatzhardware Der defekte Server kann die Daten nicht wieder aufnehmen.
• Kompetenz und Zugangsdaten Ein Techniker, der das System kennt und Passwörter und Lizenzschlüssel griffbereit hat.
• Arbeitsstunden Daten übertragen, Anwendungen starten und das Ergebnis prüfen.
• Das Büro neu verbinden Arbeitsplätze, Drucker und Berechtigungen, die auf die alte Maschine zeigten.

In diesen vier Schritten wird aus einem Ausfall von einem Vormittag eine Woche ohne Abrechnung. Viele KMU merken das erst, wenn es passiert ist.

RTO: Recovery Time Objective. Die maximale Ausfallzeit, die das Geschäft verträgt, bevor die Verluste ernst werden.

RPO: Recovery Point Objective. Das Datenfenster, dessen Verlust akzeptiert wird, vom Vorfall aus rückwärts gezählt. Wurde die letzte Sicherung um Mitternacht erstellt, kostet ein Problem um 17 Uhr die Arbeit des ganzen Tages.

Zusammen gelesen: Ein RTO von 4 Stunden und ein RPO von 1 Stunde bedeuten „wir sind in 4 Stunden wieder arbeitsfähig und verlieren im schlimmsten Fall die letzte Stunde“. Die Entscheidung ist eine geschäftliche. Der IT-Partner übersetzt diese Werte in eine Architektur und einen Preis, und je enger sie sind, desto teurer. Sofortige Wiederherstellung für alle Systeme zu verlangen, verschwendet Budget.

Vier Schritte, um sie in einer Besprechung festzulegen

1. Abhängigkeiten auflisten: E-Mail, ERP und Abrechnung, freigegebene Ordner, Branchensoftware, Telefonie, Website.
2. Nach der Auswirkung fragen: jeden Verantwortlichen: „Ab welcher Ausfallstunde verlieren wir Kunden oder Umsatz?“ Die Antwort ergibt das RTO.
3. Nach der Nacharbeit fragen: „Wie viele Arbeitsstunden sind wir bereit zu wiederholen?“ Daraus ergibt sich das RPO.
4. Nachweis verlangen: die Liste an den Dienstleister geben und die Lösung zusammen mit dem Test verlangen, der sie bestätigt.

Beispielszenario: Dienstleistungsunternehmen, 40 Arbeitsplätze, tägliche Abrechnung, ein Teil des Teams arbeitet von zu Hause. Die Zahlen dienen als Orientierung, nicht als Rezept.

Der Unterschied zwischen erster und letzter Zeile ist das wirtschaftliche Argument: Das Archiv wie das ERP zu schützen, kostet Geld ohne Nutzen; das ERP wie das Archiv zu schützen, heißt ein Risiko einzugehen, das niemand genehmigt hat.

Die Basis bleibt 3-2-1: drei Kopien, zwei verschiedene Medien, eine davon außer Haus. Heute reicht das nicht mehr. Moderne Angriffe suchen und zerstören über das Netzwerk erreichbare Sicherungen, bevor sie die Server verschlüsseln; deshalb braucht es eine unveränderliche Kopie, die während eines festgelegten Zeitraums niemand löschen kann, und einen letzten fehlerfreien Test. Die US-Behörde CISA empfiehlt, verschlüsselte, vom Netzwerk getrennte Sicherungen kritischer Daten aufzubewahren und regelmäßig zu prüfen, ob sie intakt und verfügbar sind.

Wer mit Microsoft 365 arbeitet, hat einen zusätzlichen blinden Fleck: Der native Papierkorb bewahrt Daten nur kurz auf. Wir erklären das Problem unter warum Microsoft 365 eine eigene Sicherung braucht.

• Hardwareausfall Festplatte, Server, Switch oder Firewall, die nicht mehr reagieren.
• Cyberangriff Ransomware oder unbefugter Zugriff, der Daten verschlüsselt oder löscht, Sicherungen eingeschlossen, wenn sie im selben Netz liegen.
• Benutzerfehler Gelöschter Ordner, überschriebenes Dokument, versehentlich entferntes Konto.
• Strom- oder Verbindungsausfall Mehrere Stunden ohne Strom, wie am 28. April 2025. Diesen Tag analysieren wir unter acht Stunden ohne Strom und Internet: Hätte das Büro durchgehalten?
• Gebäudeschaden Feuer, Wasser oder Diebstahl von Geräten.

Die União de Freguesias de Massamá e Monte Abraão beauftragte DataRoad 2022 in einem öffentlichen Vergabeverfahren mit einem Projekt, das die drei hier beschriebenen Ebenen vereint: ein neuer, installierter und konfigurierter Unternehmensserver; eine USV, die die Systeme schützt und in Betrieb hält; und ein Unternehmensbackup an zwei Fronten, lokal und in der Cloud, eingerichtet und anschließend validiert. Die bisherigen Daten und Konfigurationen wurden ohne Verluste in die neue Infrastruktur übernommen.

Die lokale Ebene sichert eine schnelle Wiederherstellung. Die Cloud-Ebene deckt den Schadensfall im Gebäude ab. Die Validierung macht aus beiden überprüfte Zusagen statt Annahmen.

Mindestens vierteljährlich, mit der Wiederherstellung eines Servers in einer isolierten Umgebung und protokollierter Zeit. Jährlich mit einer vollständigen Übung im Beisein der Geschäftsleitung. Ohne dieses Protokoll sind RTO und RPO bloße Absichten.

Das Verfahren haben wir unter der 30-Minuten-Wiederherstellungstest, den Sie von Ihrem Dienstleister verlangen sollten beschrieben. Läuft der Vorfall bereits, lesen Sie zuerst was in den ersten Stunden einer Datenwiederherstellung zu tun ist.

In einem IT-Unlimited-Vertrag legt DataRoad - IT Services and Consulting die Wiederherstellungsziele mit der Geschäftsleitung fest, dimensioniert die verwalteten und überwachten Backups, um sie zu erfüllen, und protokolliert jeden Test. Die Ebene Business Continuity und Disaster Recovery ergänzt die Startreihenfolge, die Prioritäten und den Kommunikationsplan während des Vorfalls.

Wenn der Betrieb nicht bis zum nächsten Werktag warten kann, erweitert der Plan Premium 365 die Abdeckung auf Nächte, Wochenenden und Feiertage.

Wir legen mit Ihnen die Ziele für jedes System fest, messen, was Ihre Sicherungsinfrastruktur heute leistet, und liefern den Korrekturplan nach Prioritäten. Unverbindliches Angebot. Über 10 Arbeitsplätze · Servicevertrag · Remote-, Vor-Ort- und Telefonsupport.

Rufen Sie +351 211 459 950 * an oder schreiben Sie an sales@dataroad.pt. One Step Ahead of IT.

*Anruf ins portugiesische Festnetz.

• NIST SP 800-34: Definition von RTO
• NIST SP 800-34: Definition von RPO
• CISA: Leitfaden zur Reaktion auf Ransomware