Notfallwiederherstellung im Rechenzentrum: Was funktioniert, wenn der Strom ausfällt?

Ihr Rechenzentrum wird in diesem Jahr einen Ausfall erleben. Die eigentliche Frage ist, was in den sechzig Sekunden danach passiert.

Die jährliche Ausfallanalyse 2026 des Uptime Institute ergab, dass 57% der Betreiber, bei denen der letzte größere Ausfall tatsächliche Schäden verursacht hatte, die Kosten auf über $100.000 bezifferten. Jeder Fünfte gab Kosten von über $1 Million an. Die Ursachen für diese Ausfälle liegen zunehmend vollständig außerhalb der Mauern des Rechenzentrums.

Heutzutage müssen Notfallwiederherstellungspläne mehr leisten, als nur das Gebäude, den Generator und die USV zu schützen. Ein Plan, der nur berücksichtigt, was innerhalb Ihrer vier Wände geschieht, lässt einen wachsenden Anteil der Ursachen außer Acht, die tatsächlich zum Ausfall von Rechenzentren führen.

Kurzinfos: Was Sie über Rechenzentren und Notfallwiederherstellung wissen müssen

• Disaster Recovery (DR) ist ein erprobtes, dokumentiertes System zur Wiederherstellung von Systemen und Daten nach einer Störung.
• Zwei Kennzahlen bestimmen jede DR-Entscheidung: das Recovery Time Objective (wie lange der Ausfall dauern darf) und das Recovery Point Objective (wie viele Daten Sie sich leisten können zu verlieren).
• Backup-Standortmodelle lassen sich in drei Stufen einteilen: „Hot“, „Warm“ und „Cold“, wobei bei jeder Stufe ein Kompromiss zwischen Kosten und Wiederherstellungsgeschwindigkeit eingegangen wird.
• Die geografische Trennung zwischen Primär- und Sekundärstandorten muss das tatsächliche regionale Risiko widerspiegeln und darf sich nicht auf eine auf einer Karte gezogene Linie beschränken.
• Glasfaser, Netzwerkverbindungen und Abhängigkeiten von Cloud-Diensten von Drittanbietern sind mittlerweile für einen wachsenden Anteil schwerwiegender Ausfälle verantwortlich.
  

Was ist die Notfallwiederherstellung in Rechenzentren und wie funktioniert sie eigentlich?

Unter „Disaster Recovery (DR) für Rechenzentren“ versteht man die Gesamtheit der Prozesse, Systeme und Infrastruktur, die Ihre geschäftskritischen Abläufe wiederherstellt nach einer Störung. Eine Störung kann alles Mögliche sein – von einem Hurrikan oder einem Ransomware-Angriff bis hin zu einem Glasfaserbruch drei Bundesstaaten weiter oder einem Ausfall der unterbrechungsfreien Stromversorgung (USV).

Das funktioniert in mehreren Ebenen. Die erste Ebene ist eine Analyse der geschäftlichen Auswirkungen: Dabei wird ermittelt, welche Systeme, Anwendungen und Datensätze tatsächlich für den Umsatz und den Betrieb von Bedeutung sind. Ordnen Sie diese danach, wie groß der Schaden ist, den ihr Ausfall pro Stunde verursacht.

Die zweite Ebene ist die Replikation, bei der eine aktuelle Kopie wichtiger Daten und Systeme an einem Ort aufbewahrt wird, der von einem Ausfall Ihres Hauptstandorts nicht betroffen ist.

Die dritte Ebene ist das Failover – der Mechanismus, der den Betrieb tatsächlich auf diesen sekundären Standort umschaltet, wenn der primäre Standort ausfällt.

Ohne die vierte Ebene – das Testen – funktioniert all das nicht. Sie benötigen ein strenges Testprotokoll, um sicherzustellen, dass die Tests, die auf dem Papier gut aussahen, auch tatsächlich wirksam sind, wenn Ihre Hauptwebsite ausfällt. 

Die beiden Zahlen, die jede DR-Entscheidung bestimmen

Bevor man sich für eine Strategie entscheidet, benötigt man zwei Zahlen, und die meisten Unternehmen stellen fest, dass sie eigentlich keine davon kennen.

Recovery Time Objective (RTO): ist die maximale Ausfallzeit, die Ihr Unternehmen verkraften kann. Das Patientenverwaltungssystem eines Krankenhauses hat möglicherweise eine RTO von nur wenigen Minuten. Das interne Berichts-Dashboard eines regionalen Einzelhändlers könnte hingegen einen ganzen Tag lang ausfallen.

Recovery Point Objective (RPO): ist die maximale Datenmenge, deren Verlust Sie sich leisten können, gemessen rückwärts ab dem Zeitpunkt des Ausfalls. Ein RPO von vier Stunden bedeutet, dass Sie damit einverstanden sind, die Daten aus einem Backup wiederherzustellen, das vier Stunden alt ist. Ein RPO von dreißig Sekunden bedeutet, dass Sie eine kontinuierliche Replikation benötigen und keine nächtlichen Backups.

Strategien zur Notfallwiederherstellung als Leitfaden für Ihre Planung

Jede DR-Strategie läuft letztlich auf einen Kompromiss zwischen der Geschwindigkeit der Wiederherstellung und den Kosten für die Aufrechterhaltung dieser Geschwindigkeit hinaus. Die drei Standardmodelle:

Ein „Cold Site“ verfügt über die Infrastruktur, jedoch nicht über Live-Daten. Die Wiederherstellung erfolgt nachträglich aus einem Backup, was zwar kostengünstig, aber langsam ist.

Ein „Warm Site“ unterhält eine teilweise aktive Umgebung mit regelmäßigen Datensynchronisierungen – ein Mittelweg, der für die meisten Produktions-Workloads geeignet ist.

Ein Hot-Site-Standort betreibt einen live geschalteten, kontinuierlich replizierten Spiegel Ihrer Primärumgebung. Das Failover erfolgt automatisch oder nahezu automatisch. Die Kosten für den Betrieb eines solchen Standorts lohnen sich nur bei Systemen, bei denen Ausfallzeiten in entgangenen Einnahmen pro Minute gemessen werden.

Die geografische Entfernung spielt eine ebenso große Rolle wie das von Ihnen gewählte Modell. Ein zweiter Standort, der sechzig Meilen von Auch Ihr Primärkreis kann an Leistung verlieren im Rahmen desselben regionalen Netzausfalls oder derselben Überschwemmung im Rahmen desselben Sturmsystems. Die richtige Entfernung hängt von Ihrem spezifischen Risikoprofil ab und lässt sich nicht pauschal festlegen; allerdings sorgen die meisten widerstandsfähigen Architekturen bewusst für einen erheblichen Abstand zwischen den Standorten, damit ein einzelnes regionales Ereignis nicht beide außer Gefecht setzen kann.

4 bewährte Vorgehensweisen für die Notfallplanung in Rechenzentren

Ein Notfallplan macht sich nur dann bezahlt, wenn er getestet wurde, auf dem neuesten Stand ist und auf tatsächlichen Betriebsdaten basiert – und nicht auf Annahmen, die vor zwei Haushaltszyklen getroffen wurden.

1. Führen Sie mindestens einmal jährlich eine Prüfung durch und testen Sie den Ausfallfall. Vollständige DR-Tests sollten mindestens einmal jährlich durchgeführt werden. Bei den umfassenderen Tests wird überprüft, ob der sekundäre Standort in Betrieb geht, und es wird der tatsächliche Ausfallmodus simuliert: eine beschädigte Primärdatenbank, ein teilweiser Netzwerkausfall oder eine Ransomware-Nutzlast, die sich bereits in der Umgebung befindet.
2. Erstellen Sie Runbooks, damit mehrere Teammitglieder diese ausführen können. Ihr Notfallplan ist nicht tragfähig, wenn nur eine Person weiß, wo sich alle Teile befinden. Ein echter Plan muss von mehreren Teammitgliedern umgesetzt werden können. 
3. RTO und RPO sollten bei jeder Änderung der Geschäftsabläufe neu bewertet werden. Ein fester Zeitplan ist nicht der richtige Ansatz. Eine Produkteinführung, eine neue Compliance-Anforderung oder die Ausrichtung auf ein neues Kundensegment können die Definition von “akzeptablen Ausfallzeiten” von einem Tag auf den anderen verändern. Das bedeutet, dass ein neuer DR-Antrag erforderlich ist. 
4. Berücksichtigung von Ausfällen durch Dritte und Verbindungsproblemen. Man kann sich nicht nur auf einen Ausfall der Infrastruktur vorbereiten. Ausfälle können ebenso leicht von außerhalb Ihres Sicherheitsbereichs kommen wie von innen. Ihr Plan muss dies berücksichtigen und mehrere Wege zur Gewährleistung der Redundanz vorsehen. 

Der Teil, den die meisten DR-Pläne auslassen

Jeder DR-Test führt letztendlich zu derselben beunruhigenden Erkenntnis: veraltete Backup-Hardware an einem sekundären Standort, die seit der Erstellung des Plans nicht mehr erneuert wurde.

Failover außer Betrieb genommen Server, im Ruhestand Lagerung Arrays und alte Netzwerkausrüstung Daten, die von einem sekundären Standort stammen, sind denselben Risiken hinsichtlich der Datenoffenlegung ausgesetzt wie alle Daten in Ihrer primären Einrichtung. Sie werden nicht ebenso genau geprüft, da dieser Schritt von vornherein nicht in den Notfallwiederherstellungsplan aufgenommen wurde.

Falls bei Ihrem letzten DR-Test festgestellt wurde, dass bestimmte Hardware ausgemustert werden sollte, Dienstleistungen von exIT Technologies zur Stilllegung von Rechenzentren Kümmern Sie sich um die sichere Entsorgung, Datensicherung und Verwertung dieser Geräte mit derselben Sorgfalt, die bereits in Ihrer primären Umgebung zum Tragen kommt. Eine robuste Notfallwiederherstellungsstrategie sollte keine Lücken im Bereich der Hardware und keine Sicherheitsrisiken schaffen. Stellen Sie daher sicher, dass Sie einen vertrauenswürdigen Partner an Ihrer Seite haben, der Sie beim Umgang mit dem Ende der Lebensdauer (EOL) von Hardware unterstützt.