Wir haben in einem Treuhandbüro mit vierzig Arbeitsplätzen die vollständige Wiederherstellung durchgespielt. Die Daten kamen zurück – aber drei Dinge fehlten, die auf keinem Protokoll standen: ein Datenbankdienst, der nicht mitgesichert wurde, ein Verschlüsselungsschlüssel, den niemand mehr hatte, und die Erkenntnis, dass die Rückspielung vier Mal so lange dauert wie angenommen.
Warum die Protokolle nichts beweisen
Eine Sicherungssoftware meldet Erfolg, wenn sie die ihr zugewiesenen Quellen gelesen und geschrieben hat. Sie kann nicht wissen, ob diese Quellen vollständig sind, ob die geschriebenen Daten lesbar bleiben und ob die Zielumgebung im Ernstfall überhaupt existiert.
Genau diese drei Punkte sind es, an denen Wiederherstellungen scheitern. Nicht am fehlenden Backup, sondern an dem, was rundherum fehlt.
Ein Restore-Test beantwortet die Frage, die das Protokoll offenlässt: Steht der Betrieb nach einem Totalverlust wieder – und nach wie langer Zeit?
Wie wir vorgehen
Der Test läuft in einer abgetrennten Umgebung, damit der laufende Betrieb nicht berührt wird. Ablauf in vier Schritten:
- Auswahl des Szenarios – meist der Ausfall des Hauptservers, weil er die meisten Abhängigkeiten hat
- Rückspielung aus der jüngsten Sicherung in eine leere Umgebung
- Funktionsprüfung: Anmeldung, Dateizugriff, Fachanwendung, Mailzugang, Drucken
- Protokoll mit gemessenen Zeiten und allem, was gefehlt hat
Der letzte Schritt ist der wertvollste. Was fehlt, fällt nur auf, wenn jemand die Anwendung tatsächlich startet und damit arbeitet – nicht, wenn nur geprüft wird, ob Dateien vorhanden sind.
Die drei Befunde
Ein Dienst war nie im Sicherungsplan
Die Fachanwendung des Betriebs speichert ihre Daten in einer eigenen Datenbank. Diese lief auf demselben Server, aber in einem Verzeichnis, das beim Einrichten der Sicherung vor Jahren nicht ausgewählt worden war. Die Dateien selbst kamen zurück, die Datenbank nicht.
Der Schlüssel fehlte
Die Sicherung war verschlüsselt – richtig so. Der Schlüssel lag jedoch nur auf dem Server, der im Szenario ausgefallen war. Ohne Kopie an einem zweiten Ort wäre die Sicherung im Ernstfall unbrauchbar gewesen.
Die Zeit stimmte nicht
Geschätzt waren vier Stunden bis zur Arbeitsfähigkeit. Gemessen wurden knapp sechzehn – vor allem, weil die Daten über eine Internetleitung zurückgeholt werden mussten, deren Geschwindigkeit in die Rechnung nie eingeflossen war.
Was daraus folgte
Die ersten beiden Punkte waren an einem Nachmittag behoben: Datenbank in den Sicherungsplan aufgenommen, Schlüssel an zwei getrennten Orten hinterlegt, davon einer ausserhalb des Gebäudes.
Der dritte Punkt liess sich nicht wegkonfigurieren. Er führte zu einer Entscheidung: Für die kritischen Systeme liegt jetzt zusätzlich eine lokale Kopie bereit, aus der schneller zurückgespielt werden kann. Die entfernte Sicherung bleibt als Schutz gegen Brand, Diebstahl und Verschlüsselung.
Das ist teurer als vorher. Die Alternative wäre gewesen, mit einer falschen Erwartung weiterzuarbeiten.