Failover einfach erklärt – Ausbildung in der IT

Failover (deutsch: Ausfallsicherung oder automatische Umschaltung) bezeichnet den automatischen Prozess, bei dem ein Backup-System die Aufgaben eines ausgefallenen Primärsystems übernimmt. Das Wort setzt sich aus den englischen Begriffen “fail” (Fehler) und “over” (Übergang) zusammen.

Failover ist ein zentrales Konzept der Hochverfügbarkeit und gehört zu den wichtigsten Themen in der IT-Infrastruktur. Der Grundgedanke basiert auf Redundanz: Mehrere identische oder ähnliche Systeme sind parallel vorhanden, wobei ein System primär arbeitet und die anderen in Bereitschaft stehen. Im Fehlerfall übernimmt das Backup-System automatisch die Aufgaben des ausgefallenen Primärsystems, wodurch die Verfügbarkeit von Diensten und Daten gewährleistet bleibt.

Funktionsweise von Failover

Die automatische Ausfallsicherung läuft in mehreren Phasen ab. Zunächst wird das Hauptsystem kontinuierlich überwacht, um sicherzustellen, dass es ordnungsgemäß funktioniert. Diese Überwachung erfolgt häufig durch gegenseitige Serverüberwachung mittels Heartbeat-Mechanismen, bei denen die Systeme sich regelmäßig signalisieren, dass sie noch aktiv sind.

Wenn ein Problem erkannt wird, etwa ein Serverausfall, Netzwerkausfall oder Datenbankfehler, wird sofort ein Alarm ausgelöst. Das Backup-System übernimmt dann automatisch die Verantwortung für die Bereitstellung von Diensten, ohne dass ein Administrator eingreifen muss. Im Idealfall erfolgt dieser Prozess nahtlos und ohne Ausfallzeit aus Sicht der Benutzer.

Automatisches vs. manuelles Failover

Ein wichtiger Unterschied besteht zwischen Failover und Switchover: Während Failover automatisch erfolgt und keine menschliche Intervention erfordert, ist ein Switchover ein manuelles Umschalten auf ein redundantes System. In der Praxis wird der manuelle Switchover häufig für geplante Wartungsarbeiten eingesetzt, bei denen ein kontrollierter Wechsel gewünscht ist.

Failover-Typen: Hot, Warm und Cold Standby

Je nach Anforderung und Kosten-Nutzen-Abwägung gibt es verschiedene Failover-Typen, die sich in ihrer Bereitschaft und Schaltgeschwindigkeit unterscheiden. Die Wahl des richtigen Typs hängt von den Geschäftsanforderungen und dem verfügbaren Budget ab.

Hot Standby

Beim Hot Standby läuft der Backup-Server parallel zum Primärsystem und repliziert alle Daten und Prozesse in Echtzeit. Im Fehlerfall erfolgt ein sofortiger Wechsel mit einer Recovery Time von weniger als einer Sekunde. Dies ist die teuerste, aber auch zuverlässigste Variante. Der Backup-Server verbraucht bereits Ressourcen und Energie, ist aber jederzeit einsatzbereit.

Warm Standby

Der Warm Standby-Server läuft und überwacht das Primärsystem, ist aber nicht aktiv in Diensten involviert. Die Synchronisierung erfolgt regelmäßig, aber nicht kontinuierlich. Der Wechsel dauert Sekunden bis wenige Minuten. Warm Standby stellt einen Kompromiss zwischen Verfügbarkeit und Kosten dar.

Cold Standby

Bei Cold Standby ist der Backup-Server abgeschaltet oder nicht aktiv verbunden. Im Fehlerfall muss er erst hochgefahren und konfiguriert werden. Das Failover dauert Minuten bis Stunden und erfordert möglicherweise manuelle Eingriffe. Dies ist die kostengünstigste Lösung, aber auch die langsamste.

Standby-Typ	Bereitschaftsgrad	Umschaltzeit	Kosten	Einsatzbereich
Hot Standby	Voll aktiv	< 1 Sekunde	Hoch	Kritische Systeme (Banking, E-Commerce)
Warm Standby	Teilweise aktiv	1-5 Minuten	Mittel	Wichtige Geschäftsanwendungen
Cold Standby	Inaktiv	> 30 Minuten	Niedrig	Weniger kritische Systeme

Die Wahl des richtigen Standby-Typs sollte immer auf Basis einer Kosten-Nutzen-Analyse erfolgen. Für kritische Geschäftsprozesse wie Online-Banking oder E-Commerce ist Hot Standby oft unverzichtbar, während interne Verwaltungssysteme mit Cold Standby auskommen können.

Failback: Rückkehr zum Primärsystem

Ein eng mit Failover verbundenes Konzept ist das Failback. Es beschreibt den umgekehrten Prozess: Wenn das ursprüngliche Primärsystem wiederhergestellt und wieder einsatzbereit ist, werden die Dienste und Daten von der Backup-Komponente zurück zum Primärsystem umgeschaltet.

Der Failback-Prozess umfasst mehrere Schritte: Zunächst wird das Primärsystem repariert und hochgefahren. Dann erfolgt die Synchronisation mit den Daten des aktiven Backup-Systems. Nach erfolgreicher Synchronisation kann die Umschaltung zurück auf die primäre Konfiguration erfolgen, entweder manuell oder automatisch. Dieser Schritt ist wichtig, um die ursprüngliche Architektur wiederherzustellen und Ressourcen optimal zu nutzen.

Wichtige Metriken: RTO und RPO

Für die Planung und Bewertung von Failover-Strategien sind zwei Metriken zentral, die du kennen solltest:

Recovery Time Objective (RTO)

Das RTO (Recovery Time Objective, Wiederherstellungszeitrahmen) beschreibt die maximal akzeptable Ausfallzeit eines Systems. Es definiert, wie lange ein Service ausfallen darf, bevor erhebliche geschäftliche Auswirkungen entstehen. Ein Hot-Standby-System kann ein RTO von weniger als einer Sekunde erreichen, während Cold Standby RTOs von über 30 Minuten haben kann.

Recovery Point Objective (RPO)

Das RPO (Recovery Point Objective, Wiederherstellungspunktziel) definiert den maximalen Datenverlust, der akzeptabel ist. Es beschreibt, bis zu welchem Zeitpunkt in der Vergangenheit Daten wiederhergestellt sein müssen. Bei kontinuierlicher Datenreplikation liegt das RPO nahe bei null, während bei täglichen Backups ein RPO von 24 Stunden besteht.

Ein Finanzunternehmen könnte beispielsweise ein RTO von 5 Minuten und ein RPO von 1 Minute als Anforderung definieren, während ein internes Verwaltungssystem ein RTO von 4 Stunden und RPO von 24 Stunden akzeptabel finden könnte.

Technologien und Protokolle für Failover

Mehrere Technologien und Protokolle ermöglichen oder unterstützen Failover-Mechanismen in der Praxis. Die wichtigsten sind:

VRRP (Virtual Router Redundancy Protocol)

VRRP ist ein Netzwerkprotokoll, das in RFC 5798 standardisiert wurde. Es fasst mehrere Router in einer Gruppe zusammen und stellt einen virtuellen Router dar. Im Fehlerfall übernimmt der nächste verfügbare Router automatisch die virtuelle IP-Adresse. VRRP wird häufig für Netzwerk-Redundanz eingesetzt.

HSRP (Hot Standby Router Protocol)

HSRP ist ein proprietäres Protokoll von Cisco mit ähnlicher Funktionalität wie VRRP. Es wird oft in Cisco-Umgebungen verwendet und ermöglicht die automatische Umschaltung zwischen Routern bei einem Ausfall.

Clustering

Hochverfügbare Cluster-Systeme sind eine Kombination mehrerer Server, die gemeinsam kontinuierliche Verfügbarkeit ermöglichen. Die Einzelkomponenten eines Clusters tauschen sich ständig über ihren Status aus und halten Daten durch Replikation synchron. Wird ein Server ausfällig, übernimmt ein anderer Server seine Workloads automatisch ohne oder mit minimaler Downtime.

Load Balancer

Load Balancer verteilen den Datenverkehr auf mehrere Server. Im Fehlerfall eines Servers erkennt der Load Balancer dies automatisch durch Health Checks und leitet neu ankommende Verbindungen nur auf funktionierende Server weiter. Dies sorgt für eine implizite Failover-Funktionalität.

Einsatzgebiete von Failover

Failover wird in vielen kritischen IT-Infrastrukturen eingesetzt. Die häufigsten Anwendungsszenarien sind:

Server und Web-Services: Redundante Web-Server und Application-Server, die über Load Balancer verteilt sind, sorgen dafür, dass bei Ausfall eines Servers die Last automatisch auf funktionierende Server verteilt wird.
Datenbanken: Datenbankcluster ermöglichen automatisches Failover bei Datenbankausfällen. Dies ist besonders kritisch in Banking-, E-Commerce- und Produktionssystemen.
Netzwerkkomponenten: Router, Switches und Firewalls können mit Redundanz ausgestattet werden. Bei Ausfall eines Netzwerkelements übernimmt automatisch eine Backup-Komponente.
Storage-Systeme: Redundante Storage-Systeme und RAID-Konfigurationen stellen sicher, dass Datenverlust vermieden wird.
Cloud-Infrastrukturen: Multi-Cloud- oder Multi-Region-Setups ermöglichen Failover zwischen verschiedenen Rechenzentren oder Cloud-Anbietern.

Praxisbeispiele

Um das Konzept greifbarer zu machen, hier einige konkrete Szenarien aus der Praxis:

Banking-Server mit Hot Standby

Ein Kreditinstitut betreibt seinen Transaktionsserver als Hot Standby mit kontinuierlicher Datenreplikation. Bei Ausfall des Primärservers schaltet das System automatisch innerhalb von 100 Millisekunden zum Backup-Server um. Für die Kunden ist dies unsichtbar, ihre Transaktionen werden nahtlos fortgesetzt.

E-Commerce-Webseite mit Load Balancing

Ein Online-Shop verwendet mehrere Web-Server, die über einen Load Balancer verteilt sind. Fällt ein Server aus, stellt der Load Balancer automatisch fest, dass dieser nicht mehr erreichbar ist (Health Check), und leitet neue Anfragen nur auf die verbleibenden Server. Bestehende Sessions werden über Session-Replikation erhalten.

Netzwerk-Redundanz mit VRRP

Ein Bürogebäude hat zwei Internet-Zugänge: einen Primary und einen Secondary. Ein VRRP-Router monitort kontinuierlich die Verbindung. Falls die primäre Leitung ausfällt, wechselt der Router automatisch zur sekundären Leitung, ohne dass Benutzer einen Unterschied bemerken.

Best Practices für Failover

Um Failover-Lösungen erfolgreich zu implementieren, solltest du folgende Punkte beachten:

Regelmäßige Tests: Failover-Szenarien sollten regelmäßig getestet werden, um sicherzustellen, dass sie im Notfall funktionieren.
Monitoring und Alerting: Ein robustes Monitoring ist essenziell, um Ausfälle schnell zu erkennen und das IT-Team zu benachrichtigen.
Dokumentation: Failover-Pläne müssen dokumentiert und das IT-Team geschult sein.
RTO und RPO aus Geschäftsanforderungen ableiten: Die Metriken sollten aus den tatsächlichen Geschäftsanforderungen abgeleitet werden, nicht aus technischen Möglichkeiten.
Kosten-Nutzen-Analyse: Hot Standby erfordert die doppelte Infrastruktur und ist entsprechend teuer. Wähle den Standby-Typ passend zu deinen Anforderungen.

Failover in der IT-Praxis

Failover-Konzepte begegnen dir in der IT-Praxis häufig, besonders in der Arbeit als Fachinformatiker für Systemintegration. Du wirst mit Hochverfügbarkeitslösungen arbeiten, Cluster-Systeme konfigurieren und redundante Netzwerkarchitekturen planen. Das Verständnis von RTO und RPO hilft dir dabei, die richtigen Entscheidungen bei der Systemplanung zu treffen.

Failover