Cloud Disaster Recovery: Bestens vor­be­rei­tet für den Worst Case

Cloud Disaster Recovery (Cloud DR) sichert Daten, An­wen­dun­gen und ganze IT-Systeme in einer Cloud-Umgebung ab, damit sie nach Ausfällen schnell wie­der­her­ge­stellt werden können. Ent­schei­dend sind dabei klare Wie­der­her­stel­lungs­zie­le, re­gel­mä­ßi­ge Tests, passende Ar­chi­tek­tur­mo­del­le sowie Schutz­me­cha­nis­men gegen Cy­ber­an­grif­fe und Com­pli­ance-Verstöße.

Was ist Cloud Disaster Recovery (Cloud DR)?

Cloud Disaster Recovery (dt. cloud­ba­sier­te Not­fall­wie­der­her­stel­lung), oder kurz Cloud DR, be­zeich­net eine Notfall-Ab­si­che­rungs­stra­te­gie für Daten, Workloads, An­wen­dun­gen, Kon­fi­gu­ra­tio­nen und IT-In­fra­struk­tur. Anders als her­kömm­li­che Ansätze setzt Cloud DR auf eine Spei­che­rung in der Cloud. Kommt es zu einem Ausfall, lassen sich die be­trof­fe­nen Daten, An­wen­dun­gen und sonstigen Res­sour­cen aus der Cloud wie­der­her­stel­len, um den gewohnten Ge­schäfts­all­tag schnellst­mög­lich wieder aufnehmen zu können. Mitt­ler­wei­le bieten ver­schie­de­ne Un­ter­neh­men Disaster Recovery as a Service (DRaaS) an.

Daran an­knüp­fend spielen klar de­fi­nier­te Wie­der­her­stel­lungs­zie­le eine zentrale Rolle in modernen Cloud-DR-Stra­te­gien: Das Recovery Point Objective (RPO) be­schreibt den maximal to­le­rier­ba­ren Da­ten­ver­lust, während das Recovery Time Objective (RTO) die maximale Dauer eines Sys­tem­aus­falls festlegt. Diese Kenn­zah­len helfen dabei, An­for­de­run­gen an Ver­füg­bar­keit und Da­ten­si­cher­heit konkret zu de­fi­nie­ren und passende tech­ni­sche und or­ga­ni­sa­to­ri­sche Maßnahmen für den Ernstfall ab­zu­lei­ten.

Der Cloud-DR-Le­bens­zy­klus in der Praxis

Damit Cloud Disaster Recovery im Ernstfall zu­ver­läs­sig funk­tio­niert, reicht es nicht aus, lediglich Si­che­run­gen in der Cloud abzulegen. Vielmehr handelt es sich um einen fort­lau­fen­den Prozess, der re­gel­mä­ßig überprüft, angepasst und getestet werden muss. Der DR-Le­bens­zy­klus umfasst dabei mehrere auf­ein­an­der auf­bau­en­de Phasen:

Ri­si­ko­ana­ly­se und Business-Impact-Analyse

Am Anfang steht die Iden­ti­fi­ka­ti­on der kri­ti­schen Workloads, An­wen­dun­gen, Systeme und Da­ten­be­stän­de, die für den Ge­schäfts­be­trieb un­ver­zicht­bar sind. Ergänzend dazu wird im Rahmen einer Business-Impact-Analyse (BIA) bewertet, welche ge­schäft­li­chen Folgen der Ausfall einzelner Prozesse und IT-Res­sour­cen hätte. So lässt sich bestimmen, welche Systeme besonders prio­ri­siert ab­ge­si­chert werden müssen und welche An­for­de­run­gen an Wie­der­her­stel­lungs­zeit und maximal to­le­rier­ba­ren Da­ten­ver­lust gelten.

Zu­sätz­lich wird ana­ly­siert, welche Ab­hän­gig­kei­ten zwischen den einzelnen IT-Res­sour­cen bestehen und welche Aus­fall­ri­si­ken besonders schwer wiegen. Diese Bewertung bildet die Grundlage für die gesamte Disaster-Recovery-Strategie.

Im­ple­men­tie­rung

Aufbauend auf der Analyse wird die tech­ni­sche Umsetzung der Recovery-Umgebung geplant und ein­ge­rich­tet. In modernen Cloud-DR-Konzepten erfolgt dies häufig au­to­ma­ti­siert über In­fra­struc­tu­re-as-Code- und Kon­fi­gu­ra­ti­ons­ma­nage­ment-Tools wie Terraform oder Ansible.

Der Vorteil: In­fra­struk­tu­ren, Kon­fi­gu­ra­tio­nen und Wie­der­her­stel­lungs­pro­zes­se lassen sich stan­dar­di­siert, re­pro­du­zier­bar und deutlich schneller be­reit­stel­len. Gleich­zei­tig sinkt das Risiko manueller Fehler, und An­pas­sun­gen können bei ver­än­der­ten An­for­de­run­gen effizient umgesetzt werden.

Testing

Damit die Wie­der­her­stel­lung im Ernstfall nicht nur auf dem Papier funk­tio­niert, sind re­gel­mä­ßi­ge Tests un­ver­zicht­bar. Dazu gehören au­to­ma­ti­sier­te Failover-Tests, mit denen überprüft wird, ob Systeme, An­wen­dun­gen und Daten wie geplant in die Cloud-Umgebung um­ge­schal­tet werden können. Ebenso wichtig ist das Failback – also der geregelte Rück­wech­sel in die ur­sprüng­li­che oder eine neu auf­ge­bau­te Pri­mär­um­ge­bung, nachdem der Not­fall­be­trieb sta­bi­li­siert wurde.

Nur wenn sowohl Failover als auch Failback getestet werden, lässt sich si­cher­stel­len, dass der gesamte Wie­der­her­stel­lungs­pro­zess in der Praxis funk­tio­niert und keine In­kon­sis­ten­zen oder un­ge­plan­ten Aus­fall­zei­ten beim Rück­wech­sel entstehen. Besonders wichtig ist, dass solche Tests möglichst ohne Be­triebs­stö­rung statt­fin­den, damit Un­ter­neh­men ihre Not­fall­stra­te­gie rea­lis­tisch prüfen können, ohne den laufenden Ge­schäfts­be­trieb zu gefährden.

Op­ti­mie­rung und Ak­tua­li­sie­rung

Da sich IT-Land­schaf­ten, Ge­schäfts­pro­zes­se und Be­dro­hungs­sze­na­ri­en laufend verändern, muss auch die Cloud-DR-Strategie kon­ti­nu­ier­lich wei­ter­ent­wi­ckelt werden. Neue An­wen­dun­gen, geänderte Prio­ri­tä­ten oder zu­sätz­li­che Si­cher­heits­an­for­de­run­gen sollten re­gel­mä­ßig in die Planung ein­flie­ßen. Nur so bleibt ge­währ­leis­tet, dass die Disaster-Recovery-Maßnahmen auch lang­fris­tig zum tat­säch­li­chen Bedarf des Un­ter­neh­mens passen.

Cyber Recovery

Das Thema Cyber Recovery gewinnt zunehmend an Bedeutung. Anders als beim klas­si­schen Disaster Recovery geht es dabei nicht nur um eine schnelle Wie­der­her­stel­lung nach einem Ausfall, sondern um die Rückkehr in einen ver­trau­ens­wür­di­gen Be­triebs­zu­stand nach einem Cy­ber­an­griff, etwa durch Ran­som­wa­re oder Da­ten­ma­ni­pu­la­ti­on.

Zu diesem Zweck kommen häufig un­ver­än­der­li­che Wie­der­her­stel­lungs­punk­te (Immutable Backups) sowie Air-Gap-Konzepte zum Einsatz, bei denen Backup-Daten und Recovery-In­fra­struk­tu­ren physisch oder logisch vom Pro­duk­tiv­netz getrennt werden. So soll ver­hin­dert werden, dass Angreifer im Ernstfall auch die Wie­der­her­stel­lungs­ba­sis kom­pro­mit­tie­ren.

Vor einem Restore werden die ge­si­cher­ten Daten und Sys­tem­ab­bil­der in der Regel in einer iso­lier­ten Recovery- oder Cleanroom-Umgebung überprüft. In einer solchen Secure Isolated Recovery En­vi­ron­ment (SIRE) lässt sich kon­trol­lie­ren, ob Backups un­ver­än­der­bar, frei von Malware und für die Wie­der­in­be­trieb­nah­me geeignet sind. Erst danach werden An­wen­dun­gen, Daten und Systeme schritt­wei­se und kon­trol­liert in die Pro­duk­tiv­um­ge­bung zu­rück­ge­führt.

Welche Vorteile bietet Cloud DR gegenüber klas­si­schen Konzepten?

Disaster Recovery gibt es prin­zi­pi­ell auch ohne Cloud – die Ab­si­che­rung der ge­schäfts­kri­ti­schen Res­sour­cen findet bei den klas­si­schen Ansätzen der Not­fall­wie­der­her­stel­lung haus­in­tern, über ein zweites Re­chen­zen­trum, Co­lo­ca­ti­on, einen Aus­weich­stand­ort oder einen Dienst­leis­ter statt. Ins­be­son­de­re in vier Punkten zeigen sich dabei deutliche Un­ter­schie­de im Vergleich zum modernen Cloud-Disaster-Recovery-Konzept:

Kom­ple­xi­tät und War­tungs­auf­wand

Der ent­schei­den­de Un­ter­schied zwischen Cloud DR und klas­si­scher DR ist der Aufwand, der mit Ein­rich­tung und Pflege der er­for­der­li­chen Hard- und Software für die Ab­si­che­rung und Wie­der­her­stel­lung verknüpft ist. Un­ter­neh­men, die sich für einen Not­fall­plan in der Cloud ent­schei­den, pro­fi­tie­ren von dem Vorteil, dass sämtliche Technik aus­ge­la­gert wird und nicht in den eigenen Räumen aufgebaut und ad­mi­nis­triert werden muss.

Außerdem übernimmt der Cloud-Provider die Wartung der zugrunde liegenden In­fra­struk­tur. Je nach Ser­vice­mo­dell oder DRaaS-Angebot können zu­sätz­lich Teile der Or­ches­trie­rung, Über­wa­chung und Wie­der­her­stel­lungs­pro­zes­se durch den Anbieter oder einen Managed Service Provider abgedeckt werden.

Kosten und Fle­xi­bi­li­tät

Cloud Disaster Recovery kann In­ves­ti­ti­ons­kos­ten für eigene Hardware und Aus­weich­in­fra­struk­tur re­du­zie­ren, ersetzt diese aber durch laufende Be­triebs­kos­ten. Je nach Modell entstehen diese unter anderem für:

• Speicher
• Re­pli­ka­ti­on
• Compute-Res­sour­cen
• Tests
• Da­ten­über­tra­gung

Besonders Warm Standby und Multi-Site Active/Active sind dauerhaft kos­ten­in­ten­siv, weil Recovery-Um­ge­bun­gen bereits teilweise oder voll­stän­dig aktiv betrieben werden. Der fi­nan­zi­el­le Vorteil hängt daher stark von den an­ge­streb­ten RTO- und RPO-Zielen ab.

Si­cher­heit

Ein weiterer Vorteil von Cloud DR ist der hohe Si­cher­heits­stan­dard, den Cloud-Service-Provider oder Sys­tem­häu­ser bieten. Dabei geht es nicht nur um die digitale Si­cher­heit der Daten, die durch Si­cher­heits- und Ver­schlüs­se­lungs­soft­ware erzielt wird. Auch der Schutz vor einem Diebstahl der Daten vor Ort, vor Na­tur­ka­ta­stro­phen oder Bränden ist in einem externen Re­chen­zen­trum deutlich höher als bei einer Lagerung der Daten im eigenen Un­ter­neh­men.

Da­ten­schutz

Je nach Branche, Un­ter­neh­mens­grö­ße und Art der ver­ar­bei­te­ten Daten müssen beim Einsatz von Cloud Disaster Recovery bestimmte Da­ten­schutz-, Si­cher­heits- und Com­pli­ance-Vorgaben ein­ge­hal­ten werden. Dazu zählen unter anderem An­for­de­run­gen an Da­ten­re­si­denz, Ver­schlüs­se­lung, Zu­griffs­kon­trol­len, Auf­be­wah­rung, Au­di­tier­bar­keit und – bei in­ter­na­tio­na­len Da­ten­flüs­sen – die recht­li­che Ab­si­che­rung von Dritt­land­trans­fers.

Für be­trof­fe­ne Un­ter­neh­men sind außerdem Vorgaben aus der deutschen NIS2-Umsetzung bzw. dem no­vel­lier­ten BSIG relevant. Dazu zählen unter anderem Maßnahmen zur Auf­recht­erhal­tung des Betriebs, etwa Backup-Ma­nage­ment, Wie­der­her­stel­lung nach einem Notfall und Kri­sen­ma­nage­ment.

Die passende Cloud-DR-Ar­chi­tek­tur finden

Je nach Schutz­be­darf, Budget und to­le­rier­ba­rer Aus­fall­zeit kommen im Cloud Disaster Recovery un­ter­schied­li­che Ar­chi­tek­tur­mo­del­le infrage. Sie un­ter­schei­den sich vor allem darin, wie viele Systeme in der Cloud bereits vor­be­rei­tet oder aktiv betrieben werden und wie schnell sich der Ge­schäfts­be­trieb im Ernstfall wieder aufnehmen lässt.

Backup and Restore

Dies ist die ein­fachs­te und kos­ten­güns­tigs­te Form von Cloud Disaster Recovery. Dabei werden vor allem Daten, Backups, Sys­tem­ab­bil­der und zentrale Kon­fi­gu­ra­ti­ons­in­for­ma­tio­nen in der Cloud ge­spei­chert. Im Notfall wird die benötigte Recovery-Umgebung erst auf Basis dieser Si­che­run­gen wie­der­her­ge­stellt oder neu aufgebaut.

Pilot Light

Bei diesem Ansatz wird in der Cloud ein be­triebs­be­rei­ter Minimal-Kern der Recovery-Umgebung dauerhaft vor­ge­hal­ten. Dazu gehören ins­be­son­de­re re­pli­zier­te Da­ten­be­stän­de sowie die für deren Syn­chro­ni­sa­ti­on und Grund­funk­ti­on er­for­der­li­chen Kern­kom­po­nen­ten. Andere Teile der An­wen­dungs­land­schaft – etwa zu­sätz­li­che Compute- und Ap­pli­ka­ti­ons­res­sour­cen – sind zwar vor­be­rei­tet, werden aber erst im Test- oder Notfall voll­stän­dig aktiviert bzw. hoch­ge­fah­ren.

Dadurch un­ter­schei­det sich Pilot Light klar von Backup and Restore: Während dort die Ziel­um­ge­bung im Ernstfall erst weit­ge­hend neu aufgebaut werden muss, existiert bei Pilot Light bereits eine teilweise vor­be­rei­te­te und laufende Basis. Al­ler­dings kann diese Umgebung nicht ohne zu­sätz­li­che Schritte sofort pro­duk­ti­ven Traffic über­neh­men. Das Modell eignet sich daher vor allem für Un­ter­neh­men, die ge­schäfts­kri­ti­sche Daten und Kern­sys­te­me mit über­schau­ba­rem Res­sour­cen­auf­wand absichern möchten.

Warm Standby

Beim Warm-Standby-Modell werden un­ter­neh­mens­kri­ti­sche Daten, An­wen­dun­gen und zentrale Sys­tem­kom­po­nen­ten fort­lau­fend in einer vor­be­rei­te­ten Cloud-Umgebung ge­spie­gelt. Im Un­ter­schied zu Pilot Light ist diese Umgebung jedoch bereits so weit be­triebs­be­reit, dass sie im Ernstfall sofort pro­duk­ti­ven Traffic über­neh­men kann – wenn auch meist zunächst mit re­du­zier­ter Kapazität. Wird die Recovery-Umgebung dagegen bereits in voller oder nahezu voller Pro­duk­ti­ons­ka­pa­zi­tät vor­ge­hal­ten, spricht man häufig von Hot Standby.

Dadurch fallen RTO und RPO in der Regel günstiger aus als bei ein­fa­che­ren Recovery-Modellen. Dem stehen jedoch höhere laufende Kosten und ein größerer Be­triebs­auf­wand gegenüber, da mehr Res­sour­cen dauerhaft vor­ge­hal­ten und syn­chro­ni­siert werden müssen. Warm Standby ist vor allem dann sinnvoll, wenn Ausfälle nur für kurze Zeit to­le­rier­bar sind und eine schnelle Übernahme des Betriebs ent­schei­dend ist.

Multi-Site Active/Active

Dieses Modell bietet die höchste Stufe der Aus­fall­si­cher­heit. Dabei werden Workloads und Daten parallel über mehrere aktive Standorte oder Cloud-Um­ge­bun­gen hinweg betrieben. Fällt ein Standort aus, wird der Traffic auf die ver­blei­ben­den aktiven Um­ge­bun­gen gelenkt, sodass der Betrieb un­mit­tel­bar oder nahezu ohne Un­ter­bre­chung wei­ter­lau­fen kann. Dadurch lassen sich Downtimes auf ein Minimum re­du­zie­ren oder im Idealfall ganz vermeiden.

Dem­ge­gen­über stehen jedoch der höchste tech­ni­sche Aufwand, eine komplexe Or­ches­trie­rung und deutlich höhere laufende Kosten. Multi-Site-Ar­chi­tek­tu­ren eignen sich vor allem für hoch­kri­ti­sche An­wen­dun­gen, bei denen selbst kurze Un­ter­bre­chun­gen schwer­wie­gen­de Folgen hätten.

Die besten Tipps für den Umstieg auf Cloud Disaster Recovery

Ob lokal oder in der Cloud: Ein Disaster-Recovery-Plan, der optimal auf die Belange des Un­ter­neh­mens zu­ge­schnit­ten ist, ist nicht von heute auf morgen erstellt. Bei der Planung der Business Con­ti­nui­ty (dt. be­trieb­li­che Kon­ti­nui­tät) ist die Wahl des ge­eig­ne­ten Partners nämlich nicht die einzige Baustelle. Wir haben einige nützliche Tipps zu­sam­men­ge­fasst, die Ihnen die Um­stel­lung auf einen Not­fall­wie­der­her­stel­lungs­plan in der Cloud ver­ein­fa­chen.

Tipp 1: Ver­ant­wort­lich­kei­ten klären

Auch wenn Sie bei einer Cloud-DR-Lösung den Großteil der Ver­ant­wor­tung und des Ma­nage­ment­auf­wands an einen Provider abgeben, benötigen Sie innerhalb des Un­ter­neh­mens Ver­ant­wort­li­che, die sich um die Planung und Auf­recht­erhal­tung der Da­ten­ab­si­che­rung kümmern. Ge­schul­tes Personal, das sich seiner Aufgaben und Pflichten bewusst ist, ist daher für eine ef­fi­zi­en­te Cloud-Disaster-Recovery-Strategie un­ver­zicht­bar.

Tipp 2: Genau de­fi­nie­ren, was ein „Disaster“ ist

Es ist sehr wichtig, dass klar definiert ist, in welchen Fällen eine Cloud DR zum Tragen kommt. Wird eine solche Lösung bereits benötigt, wenn bestimmte An­wen­dun­gen ausfallen oder einzelne Daten verloren gehen? Oder sind mit „Disaster“ klas­si­sche Ka­ta­stro­phen wie Erdbeben, Über­flu­tun­gen, Brände und ähnliche Er­eig­nis­se gemeint?

Tipp 3: Den passenden Anbieter wählen

Die An­bie­ter­wahl spielt beim Thema Cloud DR eine zentrale Rolle: Un­ter­neh­men haben dabei viele Punkte zu beachten, die weit über typische Faktoren wie Kosten oder Ver­trags­lauf­zei­ten hin­aus­ge­hen. Zum einen muss der gewählte Anbieter die Ansprüche an Da­ten­schutz und -si­cher­heit erfüllen – Stichwort: DSGVO. Zum anderen ist ent­schei­dend, welche zu­sätz­li­chen Services verfügbar sind. Wenn Sie bei­spiels­wei­se möglichst wenig Ei­gen­auf­wand betreiben möchten, ist ein Managed Service Provider, der das komplette DRaaS-Paket anbietet, die beste Lösung.

Tipp 4: Vendor Lock-In vermeiden

Viele Un­ter­neh­men neigen dazu, Hard- und Software-Res­sour­cen nur bei einem einzigen Anbieter zu mieten, um die ge­mie­te­ten Services so einfach wie möglich im Blick behalten zu können, und machen sich damit stark abhängig von diesem Provider. Behalten Sie diesen so­ge­nann­ten „Vendor Lock-In“ bei der Wahl Ihrer Cloud-Disaster-Recovery-Res­sour­cen (und auch bei der Wahl anderer neuer Cloud-Services) im Kopf.

Tipp 5: Cloud-Disaster-Recovery-Plan testen

Im besten Fall müssen Sie Ihren Cloud-DR-Plan niemals ausrollen, doch ausgehen können Sie von diesem Wunsch­sze­na­rio natürlich nicht. Um jedoch bis zu einem möglichen Vorfall nicht im Un­ge­wis­sen darüber zu sein, ob der Plan funk­tio­niert, sollten Sie Ihr Cloud-Disaster-Recovery-Konzept in Zu­sam­men­ar­beit mit Ihrem Provider im Vorfeld testen.