Backup und Restore für einen Dienst planen

Der Auftragsdienst fällt aus, aber welches Backup hilft wirklich?

Die Hafenblick Ersatzteillogistik GmbH steuert ihre Kommissionierung über einen internen Auftragsdienst. Am Mittwoch um 10:20 Uhr beschädigt ein fehlerhaftes Update die Datenbank. Der Dienst ist nicht mehr nutzbar. Auf dem Server liegt zwar ein erfolgreich gemeldetes Backup, doch die letzte Wiederherstellung wurde vor neun Monaten getestet.

Die Fachabteilung hat zwei Grenzen festgelegt:

• Nach einem Ausfall dürfen höchstens 30 Minuten an erfassten Aufträgen fehlen.
• Der Auftragsdienst soll spätestens vier Stunden nach dem Ausfall wieder nutzbar sein.

Dein Auftrag ist damit konkreter als “regelmäßig sichern”. Du zeigst, welcher Datenstand wiederhergestellt werden kann, wie lange der ganze Wiederanlauf dauert und woran ein Test die Nutzbarkeit erkennt.

Nach dieser Lektion kannst du:

• RPO und RTO aus einem Geschäftsbedarf ableiten,
• Sicherungsarten nach Speicherbedarf und Restore-Kette unterscheiden,
• eine Übertragungsdauer berechnen und in einen vollständigen Zeitplan einordnen,
• einen Restore-Test planen und eine Entscheidung nachvollziehbar dokumentieren.

Du solltest Datenmengen und Datenraten grundsätzlich umrechnen können. Ein bestimmtes Backup-Produkt musst du nicht kennen.

RPO begrenzt den Datenverlust, RTO begrenzt die Wiederanlaufzeit

Das Recovery Point Objective (RPO) beschreibt den geforderten Wiederherstellungspunkt. Praktisch beantwortet es die Frage: Wie weit darf der wiederhergestellte Datenstand hinter dem Zeitpunkt des Ausfalls liegen? Ein RPO von 30 Minuten verlangt nicht automatisch alle 30 Minuten ein klassisches Datei-Backup. Es verlangt aber eine technische und organisatorische Lösung, die einen höchstens 30 Minuten alten, verwendbaren Datenstand liefern kann.

Das Recovery Time Objective (RTO) beschreibt die zulässige Dauer der Wiederherstellungsphase, bevor der Ausfall die Geschäftsprozesse unvertretbar beeinträchtigt. Für Hafenblick sind das vier Stunden. Diese Zeit umfasst mehr als das Kopieren von Dateien. Ersatzsystem bereitstellen, Daten zurückspielen, Anwendung starten, Konsistenz prüfen und die Freigabe durch die Fachabteilung gehören ebenfalls zum Wiederanlauf.

• RPO, 30 Minuten: Der wiederhergestellte Auftragsstand darf höchstens 30 Minuten alt sein.
• RTO, 4 Stunden: Spätestens nach vier Stunden soll der Auftragsdienst wieder nutzbar sein.

Die Sicherungsart verändert den Weg zurück

Bei einer Vollsicherung werden alle ausgewählten Daten gesichert. Für die Wiederherstellung genügt grundsätzlich diese eine Sicherung. Dafür benötigt jeder Sicherungslauf vergleichsweise viel Zeit und Speicherplatz.

Eine inkrementelle Sicherung enthält die Änderungen seit der vorherigen erfolgreichen Sicherung. Nach einer Vollsicherung entstehen dadurch meist kleinere Sicherungsläufe. Für einen vollständigen Restore brauchst du jedoch die Vollsicherung und alle danach benötigten inkrementellen Sicherungen in der richtigen Reihenfolge. Fehlt ein Glied, kann der geplante Wiederherstellungspunkt unerreichbar sein.

Eine differenzielle Sicherung enthält die Änderungen seit der letzten Vollsicherung. Die Sicherung wächst deshalb bis zur nächsten Vollsicherung. Für den Restore reichen grundsätzlich die letzte Vollsicherung und die letzte passende differenzielle Sicherung.

Für die Restore-Kette kannst du dir diese Kurzfassung merken:

• Voll: Die letzte passende Vollsicherung enthält alle ausgewählten Daten.
• Inkrementell: Du brauchst die Vollsicherung plus alle benötigten Inkremente.
• Differenziell: Du brauchst die Vollsicherung plus die letzte passende Differenzsicherung.

Diese Eigenschaften machen kein Verfahren allgemein “am besten”. Die Entscheidung hängt unter anderem von Datenänderung, Sicherungsfenster, Speicher, RPO, RTO und den Fähigkeiten des eingesetzten Systems ab. Auch anwendungs- oder datenbankkonsistente Sicherungen müssen zum Dienst passen. Eine bloße Dateikopie eines laufenden Datenbanksystems kann unbrauchbar sein, obwohl alle erwarteten Dateien vorhanden sind.

3-2-1 ist eine Planungsheuristik, kein Schutzversprechen

Als Orientierung für getrennte Kopien wird häufig 3-2-1 verwendet:

• 3 Kopien der wichtigen Daten, einschließlich des produktiven Datenbestands,
• auf 2 unterschiedlichen Medientypen oder Sicherungssystemen,
• davon 1 Kopie außerhalb des Standorts.

Für Hafenblick könnte das heißen: produktive Daten auf dem Server, eine Sicherung in einem lokalen Backup-System und eine weitere Kopie in einem räumlich getrennten Speicher.

Die Zählregel allein bewertet aber weder Zugriffsrechte noch logische Trennung. Wenn ein kompromittiertes Administrationskonto alle drei Kopien löschen kann, sind drei Speicherorte noch keine ausreichend getrennten Schutzbereiche. Eine belastbare Planung prüft zusätzlich, ob mindestens eine Kopie gegen Änderungen aus dem Produktivnetz geschützt ist, ob Zugangsdaten getrennt verwaltet werden, ob Verschlüsselung und Schlüsselzugriff geklärt sind und ob die Kopie tatsächlich wiederherstellbar ist.

Das Bundesamt für Sicherheit in der Informationstechnik fordert im Baustein CON.3 unter anderem eine räumlich getrennte Aufbewahrung, Schutz vor unbefugtem Zugriff und Überschreiben sowie regelmäßige Tests. CISA empfiehlt im Kontext von Ransomware ebenfalls mehrere getrennte Kopien und regelmäßig erprobte Wiederherstellungsverfahren.

Rechne die Übertragung als Teil des RTO

Hafenblick entscheidet sich für eine tägliche Vollsicherung und inkrementelle Sicherungen im Abstand von 30 Minuten. Das ist eine vereinfachte Lernannahme. Ob sie in der Praxis das RPO erfüllt, hängt auch von erfolgreichen Läufen, konsistenten Wiederherstellungspunkten und Überwachung ab.

Für den geplanten Test liegen diese Werte vor:

• Vollsicherung: 720 GB
• benötigte inkrementelle Sicherungen zusammen: 72 GB
• gemessene effektive Restore-Datenrate: 160 MB/s

Für diese Rechnung werden dezimale Einheiten verwendet: 1 GB = 1.000 MB.

Datenmenge = 720 GB + 72 GB = 792 GB = 792.000 MB

Übertragungszeit = Datenmenge / Datenrate
                  = 792.000 MB / 160 MB/s
                  = 4.950 s
                  = 82,5 min

Im Hafenblick-Plan kommen zur Übertragung noch vier gemessene oder reservierte Zeitblöcke:

• Ersatzsystem bereitstellen und Zugänge prüfen: 35 Minuten
• Daten übertragen: 82,5 Minuten
• Datenbank und Anwendung starten: 25 Minuten
• technische Prüfung und fachliche Freigabe: 30 Minuten
• Geplanter Gesamtwert: 172,5 Minuten

Der geplante Wert liegt unter dem RTO von 240 Minuten. Die Reserve beträgt 67,5 Minuten. Diese Rechnung zeigt, dass der Ablauf unter den Annahmen plausibel ist. Sie ersetzt den Test nicht: konkurrierende Netzlast, beschädigte Medien, fehlende Schlüssel oder ein langsamerer Neuaufbau können den Wert verändern.

Ein Restore-Test prüft mehr als “Datei lässt sich öffnen”

Ein Test braucht einen festgelegten Wiederherstellungspunkt, eine kontrollierte Zielumgebung und messbare Abnahmekriterien. Für den Auftragsdienst plant Hafenblick diese Reihenfolge:

Messbare Kriterien für diesen Test sind zum Beispiel:

• Der ausgewählte Datenstand ist höchstens 30 Minuten älter als der simulierte Ausfallzeitpunkt.
• Die Datenbankprüfung meldet keine Konsistenzfehler.
• Eine berechtigte Person kann einen vorhandenen Testauftrag finden und einen neuen vollständig verarbeiten.
• Unberechtigte Testkonten erhalten keinen Zugriff auf Auftragsdaten.
• Der Dienst erreicht den freigegebenen Zustand innerhalb von 240 Minuten.
• Beginn, Ende, verwendete Sicherungen, Prüfergebnisse und Abweichungen stehen im Testprotokoll.

Ein erfolgreicher Prüfsummenvergleich kann die unveränderte Übertragung einer Datei belegen. Er zeigt allein noch nicht, dass die Anwendung mit den Daten arbeitet oder dass die fachlichen Berechtigungen stimmen. Darum enthält der Test beide Ebenen.

Dokumentiere die Entscheidung so, dass sie überprüfbar bleibt

Ein Datensicherungsplan sollte mindestens festhalten:

• Schutzobjekt: Welche Daten, Konfigurationen, Schlüssel und Abhängigkeiten gehören zum Dienst?
• Ziele: Welches RPO und RTO gelten, und wer hat sie freigegeben?
• Verfahren: Welche Voll- und Änderungssicherungen werden wann erstellt?
• Kopien und Schutz: Wo liegen die Kopien, wer darf sie verändern und wie werden Zugang und Schlüssel geschützt?
• Überwachung: Wer reagiert auf fehlgeschlagene oder verspätete Läufe?
• Restore-Ablauf: Welche Rollen, Systeme, Reihenfolgen und Zugänge werden benötigt?
• Test und Nachweis: Wie oft wird getestet, welche Kriterien gelten und wo liegt das Protokoll?
• Abweichungen: Welche Annahmen sind noch offen und welche Maßnahme hat einen Termin und eine verantwortliche Rolle?

Was du für eine belastbare Wiederherstellung verbindest

RPO und RTO übersetzen einen Geschäftsbedarf in zwei unterschiedliche Grenzen. Das RPO richtet die Sicherungspunkte und deren Überwachung aus. Das RTO richtet den vollständigen Wiederanlauf aus, nicht nur die Kopierzeit.

Voll-, inkrementelle und differenzielle Sicherungen verändern Speicherbedarf und Restore-Kette. 3-2-1 hilft beim Planen mehrerer Kopien, bewertet aber noch nicht ihren Zugriffs- und Änderungsschutz. Ein Restore-Test verbindet diese Teile: Er stellt einen definierten Datenstand in einer getrennten Umgebung wieder her, misst die Zeit und prüft den Dienst technisch sowie fachlich.

Damit lautet die entscheidende Aussage nicht mehr “Wir haben ein Backup”. Sie lautet genauer: “Wir haben diesen Datenstand unter dokumentierten Bedingungen in dieser Zeit wiederhergestellt und diese Abnahmekriterien erfüllt.”

Quellenbasis und Abgrenzung

Die Einordnung in Lernfeld 10b folgt dem KMK-Rahmenlehrplan. Dort gehören Konzepte zur Datensicherung, Testverfahren und die Dokumentation der Ergebnisse zur Bereitstellung von Serverdiensten. Die Berufsbildposition C3 der Fachinformatikerausbildungsverordnung nennt Datensicherung und Wiederherstellung beim Administrieren von IT-Systemen. Der FISI-Prüfungskatalog 2026 führt Sicherungsmethoden, Backupdauer, Restore-Funktionalität und Wiederherstellungsdauer auf. Aus der Beispielprüfung Winter 2022 wurde nur das allgemeine Aufgabenmuster abstrahiert, Sicherungsverfahren und Restore-Reihenfolgen anhand eines betrieblichen Falls zu beurteilen. Unternehmen, Daten, Zeiten und Arbeitsaufträge dieser Lektion sind neu.

Der BSI-Baustein CON.3 trägt die Anforderungen an ein Datensicherungskonzept, getrennte Aufbewahrung, Schutz der Sicherungen und regelmäßige Wiederherstellungstests. NIST SP 800-34 Rev. 1 trägt die begriffliche Abgrenzung von RPO und RTO. Die CISA-Empfehlung trägt 3-2-1 und die Forderung nach getrennten, regelmäßig getesteten Kopien im Ransomware-Kontext.

Die Lektion vermittelt eine produktunabhängige Planungsmethode. Sie legt keine allgemeingültigen Sicherungsintervalle, Aufbewahrungsfristen oder Testhäufigkeiten fest. Datenklassifikation, Datenschutz, gesetzliche Aufbewahrung, Verschlüsselungsverfahren, Schlüsselmanagement, produktspezifische Konsistenzmechanismen und ein vollständiges Notfallmanagement brauchen eine eigene Risiko- und Anforderungsanalyse.

Belegmatrix

• RPO und RTO ableiten und abgrenzen: LF10b und C3 bilden den Ordnungsmittelbezug. KMK-Rahmenlehrplan, Ausbildungsordnung, BSI CON.3 und NIST SP 800-34 Rev. 1 tragen den Inhalt. Einstiegsszenario, Vergleichstabelle und Quiz machen das Lernziel beobachtbar.
• Sicherungsarten zuordnen: LF10b, C3 und SI-PB2 bilden den Ordnungsmittelbezug. FISI-Prüfungskatalog 2026 und das abstrahierte Aufgabenmuster aus Winter 2022 tragen die Themenbreite. Verfahrensvergleich und Zuordnungsaufgabe bilden die Lernaktivität.
• Wiederherstellungszeit berechnen und einordnen: LF10b, C3 und SI-PB2 bilden den Ordnungsmittelbezug. Der FISI-Prüfungskatalog 2026 nennt Backup- und Wiederherstellungsdauer. Rechenbeispiel, Zahlenaufgabe und RTO-Zeitplan prüfen Berechnung und Einordnung.
• Restore-Test planen und Entscheidung dokumentieren: LF10b und C3 bilden den Ordnungsmittelbezug. KMK-Rahmenlehrplan, Ausbildungsordnung, BSI CON.3 und CISA tragen den Inhalt. Ablaufdiagramm, Sortieraufgabe, Abnahmekriterien und Transferaufgabe bilden die Anwendung.