Wiederanlaufplan
Ein Wiederanlaufplan beschreibt, in welcher Reihenfolge und mit welchen Zielwerten für Ausfalldauer und Datenverlust ein System nach einem Ausfall wieder in Betrieb geht.
Der Wiederanlaufplan schließt die Lücke zwischen einer vorhandenen Datensicherung und dem tatsächlich wieder arbeitenden System.
In einfachen Worten
Eine Datensicherung beantwortet die Frage, ob Daten vorhanden sind. Der Wiederanlaufplan beantwortet die Frage, wie daraus wieder ein arbeitendes System wird. Er hält drei Dinge fest. Erstens zwei Zielwerte: die höchstens hinnehmbare Ausfalldauer und der höchstens hinnehmbare Datenverlust, gemessen als Zeitraum zwischen dem letzten verwertbaren Sicherungsstand und dem Ausfall. Der zweite Wert bestimmt, wie oft gesichert werden muss; eine tägliche Sicherung bedeutet im schlechtesten Fall den Verlust eines Arbeitstages. Zweitens die Reihenfolge des Wiederanlaufs, denn Bestandteile hängen voneinander ab: Datenbank vor Anwendung, Anwendung vor den Aufträgen, die zeitgesteuert laufen. Drittens die Zuständigkeiten und Erreichbarkeiten, einschließlich der Vertretung. Der Plan bleibt eine Annahme, solange er nicht erprobt ist. Erst der Wiederherstellungstest zeigt, ob die Sicherung lesbar, vollständig und in der geplanten Zeit einspielbar ist.
Wozu brauche ich das?
Ein solcher Plan gehört zu jedem System, dessen Ausfall den Geschäftsbetrieb trifft. Der Zuschnitt folgt der wirtschaftlichen Wirkung: Für einen Shop, über den alle Bestellungen laufen, ist eine Ausfalldauer von einem Tag etwas anderes als für eine Darstellungsseite. Die Zielwerte werden deshalb je System festgelegt und nicht pauschal für den ganzen Betrieb. Anlass für eine Überarbeitung sind jede Änderung am Systemaufbau, jeder Wechsel des Hosters und jeder tatsächlich eingetretene Ausfall. Erprobt wird der Plan im Wiederherstellungstest.
Beispiel aus der Praxis
Ein Betrieb legt für sein Kundenportal eine höchstens hinnehmbare Ausfalldauer von vier Stunden und einen höchstens hinnehmbaren Datenverlust von einer Stunde fest. Daraus folgt eine stündliche Sicherung der Datenbank und eine tägliche Sicherung der hochgeladenen Dokumente. Der Plan beschreibt die Reihenfolge: Server bereitstellen, Datenbank einspielen, Anwendung aufsetzen, Dokumentenbestand zurückspielen, zeitgesteuerte Aufträge zuletzt aktivieren, damit sie nicht auf einen halb aufgebauten Stand treffen. Beim jährlichen Test stellt sich heraus, dass das Einspielen der Dokumente länger dauert als angenommen; daraufhin wird der Speicher getrennt gesichert und der Zielwert eingehalten.
Wirtschaftlicher Nutzen
Der Plan macht aus der Hoffnung, dass eine Sicherung genügt, eine überprüfte Aussage über die Ausfalldauer. Diese Aussage brauchen mehrere Stellen: die Geschäftsführung für die Einschätzung des Risikos, der Vertrieb für die Auskunft an Kunden, der Versicherer für die Bewertung. Er wirkt zugleich auf die Kosten, weil die Zielwerte die Häufigkeit der Sicherung und die Art der Bereitstellung bestimmen. Ein Betrieb, der seine Werte kennt, zahlt für die Absicherung, die er braucht, statt für eine, die er vermutet. Beauftragt ein Betrieb den Betrieb seines Systems extern, gehören dieselben Werte in die Service-Level-Vereinbarung.
Typische Fehler
- Es wird gesichert, aber nie zurückgespielt, und die Lesbarkeit der Sicherung bleibt unbekannt.
- Die Zielwerte für Ausfalldauer und Datenverlust sind nicht festgelegt, und die Sicherungshäufigkeit folgt einer Gewohnheit.
- Die Reihenfolge des Wiederanlaufs fehlt, und Bestandteile werden in einer Folge gestartet, die Fehler erzeugt.
- Sicherungen liegen in derselben Umgebung wie das System und sind bei deren Ausfall ebenfalls betroffen.
- Der Plan liegt ausschließlich digital in dem System, das er wiederherstellen soll.
Worauf achten?
- Zielwerte für Ausfalldauer und Datenverlust je System festlegen und daraus die Sicherungshäufigkeit ableiten.
- Mindestens eine Kopie der Sicherung außerhalb der Produktivumgebung vorhalten.
- Den Plan jährlich erproben und die tatsächlich benötigte Zeit protokollieren.
- Die Reihenfolge der Bestandteile mit ihren Abhängigkeiten festhalten.
- Den Plan zusätzlich außerhalb des Systems ablegen, auch in gedruckter Form.
- Den Plan mit der Betriebsdokumentation zusammenhalten, damit Aufbau und Wiederanlauf nicht auseinanderlaufen.
Häufig gestellte Fragen
Was unterscheidet den Wiederanlaufplan von der Datensicherung?
Die Datensicherung stellt sicher, dass Daten vorhanden sind. Der Wiederanlaufplan beschreibt, wie daraus wieder ein arbeitendes System wird: mit Zielwerten, Reihenfolge und Zuständigkeiten. Eine Sicherung ohne Plan sagt nichts über die Dauer des Ausfalls.
Was bedeuten die beiden Zielwerte?
Der eine nennt die höchstens hinnehmbare Ausfalldauer, also wie lange das System stillstehen darf. Der andere nennt den höchstens hinnehmbaren Datenverlust, also den Zeitraum zwischen letztem verwertbarem Sicherungsstand und Ausfall. Der zweite Wert bestimmt die Sicherungshäufigkeit.
Wie oft sollte der Plan erprobt werden?
Mindestens jährlich sowie nach jeder wesentlichen Änderung der Systemlandschaft. Erprobt wird das vollständige Zurückspielen mit Zeitmessung. Eine Sicherung, die nie zurückgespielt wurde, birgt unkalkulierbare Risiken.
Warum ist die Reihenfolge wichtig?
Weil Bestandteile voneinander abhängen. Wird die Anwendung vor der Datenbank gestartet oder werden zeitgesteuerte Aufträge auf einen halb aufgebauten Stand losgelassen, entstehen Folgefehler, die den Wiederanlauf verlängern oder Daten beschädigen.