Auf einen Blick: RTO und RPO sind die beiden Kennzahlen der Notfallplanung. Die Recovery Time Objective gibt an, wie lange ein System nach einem Ausfall höchstens stillstehen darf. Das Recovery Point Objective gibt an, wie viele Daten dabei höchstens verloren gehen dürfen.
Was ist die Recovery Time Objective (RTO)?
Die RTO ist eine Zeitvorgabe: Wie lange darf es dauern, bis ein System nach einem Ausfall wieder arbeitsfähig ist? Gemessen wird vom Eintritt der Störung bis zum Moment, in dem wieder gearbeitet werden kann.
Eine RTO von vier Stunden bedeutet also, dass spätestens vier Stunden nach dem Ausfall alles wieder läuft. Darin enthalten ist die gesamte Kette: die Störung bemerken, die Ursache einordnen, die Wiederherstellung starten, Daten zurückspielen, Funktion prüfen, Nutzer wieder zulassen. Wer nur die reine Rückspielzeit rechnet, setzt die RTO regelmäßig zu niedrig an.
Was ist das Recovery Point Objective (RPO)?
Das RPO ist eine Mengenvorgabe, ausgedrückt in Zeit: Bis zu welchem Punkt in der Vergangenheit müssen die Daten mindestens wiederherstellbar sein? Der Abstand zwischen diesem Punkt und dem Ausfall ist der tolerierte Datenverlust.
Ein RPO von einer Stunde bedeutet, dass im schlimmsten Fall die Arbeit einer Stunde verloren ist. Damit bestimmt das RPO unmittelbar, wie oft gesichert werden muss. Wird einmal nachts gesichert, liegt das RPO faktisch bei bis zu 24 Stunden, unabhängig davon, was im Notfallplan steht.
Wie hängen RTO und RPO zusammen?
Beide Werte beschreiben denselben Vorfall aus zwei Richtungen: das RPO blickt zurück auf die Daten, die RTO nach vorn auf die Zeit bis zum Wiederanlauf. Sie sind voneinander unabhängig und können sehr unterschiedlich ausfallen.
Ein Beispiel: Ein Archivsystem darf drei Tage stillstehen, wenn dabei kein einziger Datensatz verloren geht. Hohe RTO, sehr niedriges RPO. Umgekehrt kann bei einem Auswertungssystem der Verlust eines halben Tages hinnehmbar sein, solange es binnen einer Stunde wieder läuft.
Gemeinsam ist beiden: Je schärfer die Vorgabe, desto aufwendiger die Technik dahinter. Ein RPO nahe null verlangt fortlaufende Spiegelung statt nächtlicher Sicherung, eine RTO von Minuten verlangt bereitstehende Ersatzsysteme statt einer Wiederherstellung aus dem Archiv. Beides kostet deutlich mehr.
Wie ermittelt man realistische Werte?
Die Werte werden nicht von der IT festgelegt, sondern von den Fachbereichen. Die Leitfrage lautet: Was kostet es das Unternehmen, wenn dieses System eine Stunde, einen Tag, eine Woche stillsteht?
Daraus ergibt sich fast immer eine Staffelung statt eines einheitlichen Werts. Warenwirtschaft, Produktionssteuerung und Telefonie liegen meist weit oben, Archive und interne Auswertungen weiter unten. Diese Einstufung Anwendung für Anwendung festzuhalten, ist der eigentliche Kern der Notfallplanung. Ohne sie wird entweder überall zu viel investiert oder an der falschen Stelle gespart.
Wichtig ist der zweite Schritt: Die Werte müssen geprüft werden. Eine RTO, die nie im Ernstfall getestet wurde, ist eine Annahme. Regelmäßige Wiederherstellungstests zeigen, ob die Vorgabe trägt.
Welche Rolle spielen RTO und RPO im Notfallplan?
Sie sind die Grundlage, auf der alles Weitere aufbaut. Aus ihnen ergibt sich, wie oft gesichert wird, wo die Sicherungen liegen, ob Ersatzsysteme bereitstehen müssen und in welcher Reihenfolge Systeme wieder anlaufen. Beschrieben und dokumentiert wird das im Notfallhandbuch, umgesetzt im Rahmen von Disaster Recovery.
Ein Punkt wird dabei oft übersehen: Beide Werte gelten nur, wenn die Sicherung im Ernstfall auch verfügbar ist. Verschlüsselt Ransomware die Sicherungen mit, sind RTO und RPO hinfällig. Ein Immutable Backup, das sich nach dem Schreiben nicht mehr verändern lässt, schließt diese Lücke.
RTO und RPO bei NetPlans
NetPlans legt die Werte gemeinsam mit den Fachbereichen fest und richtet die Sicherung darauf aus. Betrieb und Aufbewahrung erfolgen in eigenen Rechenzentren in Deutschland. Die zugehörigen Leistungen zeigt die Seite zu Backup und Wiederherstellung.
Häufige Fragen zu RTO und RPO
Wofür stehen RTO und RPO?
RTO steht für Recovery Time Objective, also die angestrebte Wiederanlaufzeit. RPO steht für Recovery Point Objective, also den angestrebten Wiederherstellungspunkt und damit den tolerierten Datenverlust.
Was ist der Unterschied zwischen RTO und RPO?
Die RTO misst Zeit bis zum Wiederanlauf, das RPO misst Datenverlust. Die RTO blickt nach vorn, das RPO zurück.
Welche Werte sind üblich?
Das hängt vollständig vom System ab. Für geschäftskritische Anwendungen werden häufig Stunden oder Minuten angesetzt, für nachrangige Systeme ein Tag oder mehr. Pauschale Richtwerte helfen nicht weiter, weil sie die Kosten eines Stillstands nicht abbilden.
Bestimmt das RPO, wie oft gesichert wird?
Ja, unmittelbar. Der Abstand zwischen zwei Sicherungen ist die Obergrenze des möglichen Datenverlusts. Ein RPO von einer Stunde erfordert also mindestens stündliche Sicherungen.
Wer legt RTO und RPO fest?
Die Fachbereiche und die Geschäftsführung, weil es um geschäftliche Folgen geht. Die IT beziffert anschließend, welche Technik dafür nötig ist und was sie kostet.