Jedes System fällt irgendwann aus: ein fehlerhaftes Deployment, eine versehentlich gelöschte Tabelle, ein Ausfall beim Hosting-Anbieter, ein Angriff. Die Frage ist nicht ob, sondern wie viel Datenverlust und wie viel Ausfallzeit akzeptabel sind. RPO und RTO geben darauf eine messbare Antwort.
Die Definitionen
Das Recovery Point Objective beschreibt, wie weit man im schlimmsten Fall zurückgehen muss. Ein RPO von einer Stunde heisst: Im Ernstfall dürfen höchstens die Daten der letzten Stunde verloren gehen. Das Recovery Time Objective beschreibt, wie lange die Wiederherstellung dauern darf. Ein RTO von vier Stunden heisst: Spätestens vier Stunden nach dem Ausfall muss das System wieder laufen.
Was die Ziele technisch verlangen
Ein tägliches Backup ergibt im schlechtesten Fall fast einen Tag Datenverlust. Für ein kleineres RPO braucht es kontinuierliche Sicherung, etwa Point-in-Time-Recovery einer Datenbank, die Wiederherstellung auf einen beliebigen Zeitpunkt erlaubt, oder Replikation in Echtzeit. Ein kleines RTO verlangt, dass Wiederherstellung automatisiert und geübt ist, Infrastruktur als Code vorliegt und Abhängigkeiten wie Dateispeicher, Geheimnisse und DNS mitgedacht sind.
Realistische Ziele festlegen
Die Ziele leiten sich aus dem Geschäft ab, nicht aus der Technik: Was kostet eine Stunde Ausfall, was kostet ein Tag verlorener Daten, was haben Kunden vertraglich zugesichert bekommen? Strengere Ziele kosten mehr. Für viele SaaS-Produkte im KMU-Umfeld ist ein RPO im Bereich von Minuten über Point-in-Time-Recovery gut erreichbar; ein sehr kleines RTO über mehrere Regionen ist deutlich aufwendiger und nicht immer nötig.
Ungetestete Wiederherstellung
Das häufigste Problem ist nicht ein fehlendes Backup, sondern ein Backup, das nie wiederhergestellt wurde. Ob es vollständig ist, wie lange die Wiederherstellung dauert und ob die Anwendung danach funktioniert, zeigt nur ein Test. Ein regelmässiger Wiederherstellungstest mit Protokoll ist deshalb Teil der technischen und organisatorischen Massnahmen — die DSGVO verlangt ausdrücklich die Fähigkeit zur raschen Wiederherstellung.
Dokumentation und Verträge
RPO und RTO gehören in die Dokumentation und, wo zugesichert, in Verträge mit Kunden, zusammen mit dem Ort der Backups — auch Backups unterliegen der Datenresidenz. Bei Mandanten mit eigenen Anforderungen, etwa regulierten Kunden, lohnt eine Klärung vor Vertragsabschluss. Wir prüfen die Wiederherstellbarkeit im Rahmen unseres Sicherheits-Audits für SaaS.