Die Beherrschbarkeit von Störfällen Was ist Recovery Time Objective (RTO)?

Unter einem Recovery Time Objective (RTO) ist die maximal tolerierbare Zeitdauer zu verstehen, die ein IT-System, Netzwerk oder eine Anwendung nach einem Absturz ausfallen darf. RTO definiert die Ausfallzeit sowie den möglichen Umsatzverlust pro Zeiteinheit.

Anbieter zum Thema

Vogel IT-Medien GmbH

DataCore Software GmbH

FNT GmbH

Mit dem Recovery Point Objective (RPO) zusammen bildet der Recovery Time Objective (RTO) zwei wichtige Parameter eines Disaster Recovery- oder Datenschutzplans. Damit sind Ziele gemeint, die Unternehmen bei dem Aufbau eines Disaster-Recovery-Plans (DRP) unterstützen.

Begriffsabgrenzung

Zunächst einmal erscheinen die beiden Begriffe recht ähnlich zu sein. Doch es gibt Unterschiede. Eine kleine Eselsbrücke: Das das „RP“ in „RPO“ steht für „Rewrite Parameters“ und das „RT“ in „RTO“ für „Real Time“.

Bei einem Recovery Point Objective (RPO) ist der Wiederherstellungspunkt gemeint, der die Zeitdauer während einer Unterbrechung beschreibt, bevor eine nicht mehr hinnehmbare Datenmenge laut dem Business Continuity Plan verloren geht. Es geht also um die Frage, bis zu welchem Zeitpunkt die Wiederherstellung eines IT-Systems oder einer Anwendung unter tolerablen Umständen erfolgt. Dagegen gibt RPO die variable Datenmenge an, die während eines Netzwerkausfalls verloren geht oder erneut eingegeben werden muss.

Das Recovery Time Objective (RTO) gibt also die Wiederherstellungszeit an, innerhalb derer ein IT-System oder eine Anwendung nach einer Unterbrechung wiederhergestellt werden muss, um inakzeptable Konsequenzen zu vermeiden. RTO weist somit das Volumen an „Echtzeit“ aus, das vergehen kann, bevor die Unterbrechung den Ablauf des normalen Geschäftsbetriebs ernsthaft und inakzeptabel stört.

Bedeutung für den Alltag

Bei der Implementierung von Sicherheitssystemen spielt das RTO eine wichtige Rolle. Denn dadurch wird die Zeit, die man zur kompletten Wiederherstellung der Systeme und Anwendungen benötigt sowie welche Vorbereitungen damit verbunden sind, vorgeben.

Bei einem RTO von zwei Stunden muss ein höheres Budget in ein Ausfallrechenzentrum oder in automatisierte Systeme investiert werden als bei einem RTO von 14 Tagen. Bei letzterem besteht ausreichend Zeit, um Ressourcen zu beschaffen, nachdem ein Störfall eingetreten ist.

RTO und Business Impact Analysis (BIA)

Im Anschluss an eine Risiko-Einschätzung folgt eine so genannte Business Impact Analysis (BIA) beziehungsweise Geschäftsauswirkungsanalyse (GAA). Die Business Impact Analysis will herausfinden, welches RTO für jede geschäftskritische Anwendung innerhalb eines Unternehmens gelten soll. Dieser Analyse wird oft zu wenig Bedeutung beigemessen.

Den Unternehmen ist es häufig nicht bewusst, dass falsche Festlegungen unnötige Kosten verursachen oder zu einer ungeeigneten Strategie des Kontinuitäts-Managements führen können. Gleichsam wird der erforderliche Analyseaufwand einer Geschäftsauswirkungsanalyse falsch eingeschätzt. In der Folge sind ein paar wichtige Tipps aufgeführt, wie eine Geschäftsauswirkungsanalyse effizienter gestaltet werden kann:

Definition als (Mini-)Projekt

Eine für die Realisierung verantwortliche Person sowie Anwendungsbereiche, Ziele und Zeitrahmen müssen bestimmt werden.

Fragebogen aufstellen

Ein gut strukturierter Fragebogen spart viel Zeit und erzielt genauere Resultate. Die Normen BS 25999-1 und BS 25999-2 geben eine recht gute Vorstellung dessen, was darin enthalten sein sollte, zum Beispiel die Erkennung von Auswirkungen von Vorfällen und wie sie sich im Zeitablauf verändern sowie die Identifizierung der benötigten Ressourcen für die Wiederherstellung. Es empfiehlt sich, sowohl qualitative als auch quantitative Fragen zu formulieren, um die jeweiligen Auswirkungen zu ermitteln.

Klare Kriterien definieren

Wenn Schulnoten von 1 bis 6 zugewiesen werden, dann sollte genau erklärt werden, wofür diese Noten stehen. Wobei es leider recht häufig vorkommt, dass dasselbe Ereignis von Mitarbeitern in niedrigeren Positionen als schiere Katastrophe beurteilt wird, während leitende Angestellte dessen Auswirkungen als tolerabel bewerten.

Datenerfassung per Interviews

Erfahrungsgemäß werden sehr gute Ergebnisse erzielt, wenn ein Experte im betrieblichen Kontinuitäts-Management Interviews mit den Verantwortlichen für die jeweiligen kritischen Anwendungen führt. Auf diese Weise lassen sich viele offene Fragen klären und ausgewogene Antworten gewinnen.

RTO nach Erkenntnis aller Abhängigkeiten festlegen

Der Fragebogen könnte beispielsweise für die kritische Anwendung X einen maximal tolerierbaren Störungszeitraum von zwei Tagen ergeben. Der maximal tolerierbare Störungszeitraum für die kritische Anwendung Y entspricht jedoch nur einem Tag und sie kann nicht ohne die Anwendung X wieder hergestellt werden. Das heißt, dass das RTO für X ebenfalls ein Tag sein muss.

Die Business Impact Analysis (BIA) beziehungsweise Geschäftsauswirkungsanalyse (GAA) bietet zudem eine ideale Möglichkeit, dass die Mitarbeiter über potenzielle Ausfälle nachdenken und somit ihr Bewusstsein dahingehend schärfen können.

(ID:46041190)