Von TMT
Montagmorgen. Die ersten Mitarbeitenden melden sich an, aber wichtige Systeme sind nicht erreichbar. Aufträge lassen sich nicht aufrufen, Dokumente fehlen, auf zentrale Anwendungen kann nicht zugegriffen werden. Relativ schnell wird klar: Das Problem lässt sich nicht mit einem Neustart beheben.
Die Ursache kann unterschiedlich sein. Ein technischer Defekt, ein Fehler in der IT oder ein Cyberangriff. Für das Unternehmen zählt in diesem Moment vor allem eines: Wie schnell können wir wieder arbeiten?
Die erste beruhigende Antwort lautet häufig: Wir haben ein Backup.
Das ist gut. Aber es ist noch nicht die Antwort auf die eigentliche Frage.
Gesichert heißt noch nicht wieder arbeitsfähig
Die meisten Unternehmen haben sich längst Gedanken darüber gemacht, wie sie ihre IT und ihre Daten schützen. Systeme werden überwacht, Zugänge abgesichert und Daten regelmäßig gesichert. Damit ist bereits viel getan.
Bei einem tatsächlichen Ausfall zeigt sich allerdings, dass zwischen einer vorhandenen Datensicherung und einer wieder funktionierenden IT einige Schritte liegen.
Welche Systeme werden zuerst gebraucht? Welche hängen voneinander ab? Sind alle benötigten Daten vorhanden und lassen sie sich wie vorgesehen zurückspielen? Funktionieren die Anwendungen anschließend wieder? Wer übernimmt welche Aufgabe? Und wie lange dauert es, bis die Mitarbeitenden tatsächlich wieder arbeiten können?
Diese Fragen lassen sich beantworten. Nur sollte das möglichst nicht zum ersten Mal passieren, wenn die Systeme bereits ausgefallen sind.
Das grüne Häkchen beantwortet nur einen Teil der Frage
Backup-Systeme melden regelmäßig, ob eine Sicherung erfolgreich durchgeführt wurde. Das bekannte grüne Häkchen gibt zunächst einmal ein gutes Gefühl: Die Sicherung ist durchgelaufen.
Nur bedeutet „Backup erfolgreich“ nicht automatisch „Wiederherstellung erfolgreich“.
Ob sich die gesicherten Daten tatsächlich zurückspielen lassen, ob anschließend alle benötigten Anwendungen funktionieren und ob die geplanten Zeiten realistisch sind, zeigt sich erst bei einer tatsächlichen Wiederherstellung.
Eigentlich müsste man einen solchen Fall also einmal durchspielen, bevor er eintritt.
Nur fährt man verständlicherweise nicht mal eben die eigenen IT-Systeme herunter, um zu schauen, was passiert. Ein solcher Test muss vorbereitet werden. Denn gerade wenn Abhängigkeiten, Reihenfolgen oder einzelne Schritte vorher nicht bedacht wurden, kann aus einem unvorbereiteten Test schnell ein sehr realer Ausfall werden.
Was muss zuerst wieder funktionieren?
Eine gute Vorbereitung beginnt deshalb nicht mit dem Ausschalten eines Servers, sondern mit einem Blick auf die vorhandene IT.
Welche Systeme braucht das Unternehmen, damit es arbeiten kann? Welche davon haben Priorität? Welche technischen Abhängigkeiten gibt es? Und in welcher Reihenfolge müssen Systeme und Daten wiederhergestellt werden?
Am Ende kann daraus etwas erstaunlich Unspektakuläres entstehen: ein dokumentierter Ablauf, in dem festgehalten ist, was im Fall eines Ausfalls zu tun ist, wer dafür verantwortlich ist und wie lange die einzelnen Schritte voraussichtlich dauern.
Genau dieser Ablauf kann anschließend kontrolliert getestet werden.
Und ein guter Test muss nicht bedeuten, dass beim ersten Versuch alles funktioniert. Wenn dabei eine bisher unbekannte Abhängigkeit, ein technisches Problem oder eine Lücke im Ablauf auffällt, ist das eine wichtige Erkenntnis. Denn jetzt kann sie behoben werden – und nicht erst dann, wenn der Betrieb bereits stillsteht.
Und wenn nicht nur die Systeme, sondern auch das Backup betroffen sind?
Bei Cyberangriffen kommt noch ein weiterer Punkt hinzu.
Hat ein Angreifer weitreichenden Zugriff auf die IT eines Unternehmens erlangt, können auch vorhandene Datensicherungen betroffen sein. Eine Backup-Kopie im gleichen Umfeld hilft wenig, wenn sie zusammen mit den eigentlichen Daten verschlüsselt, verändert oder gelöscht werden kann.
Deshalb gehört zu einem durchdachten Recovery-Konzept auch eine zusätzliche Datenkopie, die vom eigentlichen Kundennetz getrennt und so geschützt ist, dass sie von dort nicht einfach verändert oder gelöscht werden kann.
Damit bleibt auch dann eine Grundlage für die Wiederherstellung erhalten, wenn die ursprüngliche IT-Umgebung kompromittiert wurde.
Vom Backup zur Cyber Recovery
Genau an diesem Punkt setzen wir bei TMT mit Cyber Recovery an.
Wir betrachten gemeinsam mit unseren Kunden, welche Systeme für ihren Betrieb relevant sind, welche Abhängigkeiten bestehen und wie die Wiederherstellung konkret ablaufen muss. Daraus entsteht ein dokumentierter Recovery-Prozess mit einer festgelegten Reihenfolge und definierten Wiederherstellungszeiten.
Eine zusätzliche geschützte Kopie der Daten kann in unserem Rechenzentrum abgelegt werden, sodass sie nicht einfach aus dem Kundennetz heraus verändert oder gelöscht werden kann.
Und dann kommt der Teil, der aus unserer Sicht häufig zu kurz kommt: Wir verlassen uns nicht nur darauf, dass dieser Plan funktioniert. Die Wiederherstellung wird regelmäßig tatsächlich durchgeführt und dokumentiert.
Damit geht es bei Cyber Recovery am Ende weniger um die Frage, ob irgendwo ein Backup vorhanden ist.
Es geht um eine deutlich konkretere Aussage:
Wir wissen, wie wir nach einem Ausfall wieder arbeitsfähig werden – und wir haben es getestet.
Denn der Montagmorgen, an dem plötzlich nichts mehr funktioniert, ist ein ziemlich schlechter Zeitpunkt, um damit anzufangen.