Disaster Recovery Plan

Durch den Covid-19-Lock Down und die damit verbundene verstärkte Einführung des Homeoffice Modells mussten viele Unternehmen ihre IT umstrukturieren, was zu geänderten Arbeitsmethoden und Abläufen führte und möglicherweise neue Schwachstellen in der IT-Sicherheit erzeugte. Zudem eröffnen Homeoffice- Arbeitsplätze für Hacker neue Einfallstore. So nahmen die Hackerangriffe im Zuge der Pandemie substanziell zu. Aber nicht nur während der Pandemie, sondern auch vorher wurden Unternehmen und öffentliche Einrichtungen Opfer von Hackerangriffen, die zum „Lockdown“ der IT und zur Handlungsunfähigkeit der Organisationen führte. Gerade dann, wenn der Betrieb binnen Sekunden zum Erliegen kommt, muss es einen entsprechenden Rettungsplan geben, der einen zeitnahen Restart der Organisationen ermöglicht.

Als Anfang Dezember 2019 die Justus-Liebig-Universität Gießen durch einen Hackerangriff mit der Schadsoftware Emotet zu einem Shutdown gezwungen wurde, erahnte noch niemand dessen Ausmaße. Denn augenscheinlich war der vorhanden Notfallplan nicht auf solch schwerwiegende Krisen ausgelegt und der Shutdown hielt mehrere Wochen an. Ebenfalls von Emotet betroffen, war Mitte Mai 2019 die Heise Medien Gruppe, Herausgeber des c’t Magazins, bei der die IT-Infrastruktur komplett neu aufgesetzt oder teilweise aussortiert werden musste.


Aber auch viele kleine Industriebetriebe und Dienstleister sind alltäglich von Cyberkriminalität und IT-Notfällen unterschiedlichster Herkunft und Art betroffen. Ein Disaster Recovery Plan, unternehmensspezifisch aufgesetzt und geübt, hilft das Schadenausmaß im Notfall zu reduzieren.

 

Wofür steht Disaster Recovery?

Disaster Recovery steht für die Notfallwiederherstellung in der IT eines Unternehmens. Dabei handelt es sich um eine systematische Wiederherstellung des IT-Betriebes nach einer Störung oder einem Sicherheitsvorfall. Diese bezieht sich dabei nicht nur auf die Daten eines Betriebes, sondern auch auf deren Systeme, Anlagen oder Netzwerke.

Das Disaster Recovery ist dabei nicht mit Business Continuity Management (BCM) zu verwechseln. Ein angewandtes Risikomanagement durch einen umfangreichen Disaster Recovery Plan (DRP) ist zwar Teil einer Business Continuity Strategie, diese bezieht sich über die IT-Infrastruktur hinaus auf die Aufrechterhaltung der Geschäftstätigkeit eines Unternehmens im Allgemeinen.

Das Ziel des Disaster Recovery Plans ist es, trotz schwieriger Umstände das Geschäft fortzuführen, um den Verlust von Ressourcen und Daten möglichst gering zu halten. Um einen Disaster Recovery Plan richtig zu gestalten, gibt es einige wichtige Punkte, die zu berücksichtigen sind:

| Bestandsaufnahme und Ziele festlegen

| Prioritäten definieren

| Strategie zur Sicherung und Notfallwiederherstellung festlegen

| den Notfall organisieren

 


 

Ziele setzen

Identifikation kritischer Systeme

Welche Prozesse werden auf welchen IT-Systemen durchgeführt und welchen Stellenwert tragen diese im Tagesgeschäft des Kunden?

Definition möglicher Ausfallzeiten

Wie lange kann tatsächlich ohne Zugriff auf einem System produktiv gearbeitet werden und nach welchen Zeiträumen muss das Thema weiter eskaliert werden?

Diese Information ist stark von der Arbeitsweise und -tätigkeit des Unternehmens abhängig. Hier kann genau festgelegt werden, wann welche Handlungen notwendig sind, um die Arbeitsfähigkeit wiederherzustellen. Daraus lässt sich folgendes ableiten:

RPO Zeitachse
Abbildung 1: RPO Zeitachse in Anlehnung an (NetJapan)

 

 

RPO (Recovery Point Objective) definiert eine in Minuten und Stunden gemessene maximale akzeptable Menge an Datenverlust, die man als Unternehmen vertreten kann. Wie viel Zeit darf zwischen einzelnen Datensicherungen liegen? Welcher Datenverlust ist hinnehmbar?

 

 

 

TRO Zeitachse
Abbildung 2: TRO Zeitachse in Anlehnung an (NetJapan)

 

 

RTO (Recovery Time Objective) definiert vom Zeitpunkt der Katastrophe bis zu dem Punkt der vollständigen System Wiederherstellung für das Unternehmen die maximale vertretbare Gesamtzeit. Wie lange darf ein System ausfallen?

 

 

 

 

WRT Zeitachse
Abbildung 3: WRT Zeitachse in Anlehnung an (NetJapan)

 

 

WRT (Working Recovery Time) definiert die Zeit, bis das Unternehmen den normalen Geschäftsbetrieb mit allen Systemen und Daten wieder aufnehmen kann.

 

 

 

 

 

MTD Zeitachse
Abbildung 4: MTD Zeitachse in Anlehnung an (NetJapan)

 

 

MTD (Maximum Tolerable Downtime) definiert die nach einer Katastrophe vertretbare Zeit für das Unternehmen, bis alle IT-Dienste wieder vollständig laufen und das normale Geschäft wieder aufgenommen werden kann.

 

 

 

 


 

Erstellung eines Datensicherungskonzepts

Es muss genau festgelegt werden, welche Daten und Systeme gesichert werden. Ebenfalls empfiehlt sich eine detaillierte Dokumentation des Datensicherungsbetriebes (der Konfiguration des Backups inklusive Angaben über Sicherungspläne, Datenquellen, Ausschlüsse etc.) zu erstellen und separat auszuliefern. Dies kann auf Grundlage einer standardisierten Vorlage erfolgen, welche vom Service-Techniker während oder nach der Installation ausgefüllt wird. Innerhalb des Datensicherungs-Konzepts sollte zentral definiert werden:

| welche Systeme gesichert werden sollen

| wie häufig Backup-Prozesse durchgeführt werden

| wie lange Datensicherungen vorgehalten werden

| an welchen Orten die Datensicherungen verbleiben

| wer Zugriff auf die Datensicherung hat und erhält

 

Schaffung von Redundanzen

Abhängig von der vorherigen Definition kritischer Systeme und Ausfallzeiten sollte ein Alternativ-Plan dokumentiert werden, über den zumindest bis zur finalen Lösung des Sicherheitsvorfalls produktiv weitergearbeitet werden kann. Es wird definiert mit welchen Einschränkungen zu rechnen ist und auf welcher Grundlage die Redundanz des Produktivsystems zur Verfügung gestellt werden kann. Denkbar ist hier die Spiegelung des Server-Systems mit der letzten Datensicherung auf einen Leih-Server oder auf einen entsprechenden Hyper-Visor, welcher auch nicht unbedingt in der Kundenumgebung stehen muss (Software-as-a-Service).

 

Erstellung eines Disaster Recovery Plans

Die Umsetzung der zuvor genannten Punkte stellt IT-Dienstleister teilweise vor besondere Herausforderungen, da die sich daraus ergebenden Anforderungen technisch anspruchsvoll sind. Um die Prozesse möglichst nachvollziehbar zu gestalten, bieten sich Lösungen an, die viele der im Disaster Recovery Plan definierten Anforderungen konsolidieren. Häufige Herausforderungen sind folgende:

| Auslagerung – Sicherungsdaten sind den gleichen Risiken wie einem Live-Systeme ausgesetzt, wenn sie innerhalb des Unternehmens aufbewahrt werden.

| Prüfung – Backups müssen regelmäßig verifiziert werden, um im Katastrophen Fall wiederherstellbare Daten & Systeme zu erhalten.

| Verifikation – Wiederherstellbarkeit muss gewährleistet und regelmäßig überprüft werden.

| Automatisierung – Wiederkehrende Prozesse müssen ohne Eingriff des Dienstleisters erfolgen können.

| Compliance – Eingesetzte Lösungen müssen DSGVO (Datenschutz-Grundverordnung), GOBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff) und übrigen rechtlichen Maßstäben entsprechen:

      1. Automatisierte und regelmäßige Backups
      2. Passwort geschützte und vollständig verschlüsselte Backups
      3. Backup Kopien außer Haus aufbewahren
      4. Überprüfen von Backup Inhalt und Backup Wiederherstellungs-Tests
      5. Begrenzen Sie den Backup Zugriff auf administrative Personen
      6. Alle Backup Aktivitäten müssen überwacht werden
      7. Die Möglichkeit und das Wissen, Backups schnell wiederherzustellen

| Skalierbarkeit – Backups müssen progressiv erweitert werden, wenn sich Systeme vergrößern, ohne dass zusätzlicher Aufwand/Kosten für Dienstleister entstehen.

 

Disaster-Recovery-Plan als Must-have

Ein Disaster Recovery Plan sollte alle notwendigen Informationen für das Unternehmen enthalten um im Ernstfall alle notwendigen Schritte und Vorgehensweisen zu kennen:

| Der gesamte Disaster Recovery Plan sollte gespeichert und ausgedruckt zur Verfügung stehen. Zudem sollte mehrere digitale Kopien an verschiedenen sicheren Speicherorten vorhanden sein und ebenfalls als gedruckte Variante zur Verfügung stehen. Betroffenen Personen müssen darüber informiert sein, wo diese den Disaster Recovery Plan bzw. dessen Kopien finden können.

| Wichtige System Anmeldedaten und Backup Passwörter müssen im Disaster Recovery Plan enthalten sein oder leicht gefunden werden können. Auch hier sollte es eine schriftliche Version von den Anmeldedaten und Backup Passwörtern geben.

| Kontakt Informationen mit Angaben der interne Kontaktdaten müssen von allen involvierten Personen für den Wiederherstellungsvorgang im Disaster Recovery Plan enthalten sein. Ebenfalls müssen auch alle externen Kontaktdaten von allen involvierten Personen für den Wiederherstellungsvorgang im Plan enthalten sein (z.B. IT-Dienstleister).

Aufgrund der aktuellen Bedrohungslage durch Cyber-Kriminalität ist es sowohl für Unternehmen als auch IT-Systemhäuser unabdingbar, sich mit der Thematik Disaster Recovery auseinanderzusetzen.

Insbesondere KMUs sind an dieser Stelle meist überfordert und benötigen die Mithilfe eines IT-Dienstleisters. Für Systemhäuser entsteht die Chance, Ihre Kunden zu unterstützen und ihnen langfristig durch standardisierte Abläufe und Vorlagen optimale Backup Dienstleistungen anzubieten. Ein gutes „Disaster Recovery-as-a-Service“ ist somit die logische Erweiterung eines jeden Managed-Services-Konzepts.

 

Zu guter Letzt

Ist der Disaster Recovery Plan erfolgreich abgeschlossen, gilt es immer grundlegende Regeln beim Eintreffen einer Katastrophe zu beachten:

| Ruhe bewahren, Dokumentation vom Disaster Recovery Plan überprüfen und die zuständigen Personen kontaktieren.

| Schritt für Schritt dem Plan folgen und sicherstellen, dass die externen Anbieter verfügbar sind, wenn man diese benötigt.

| Während der gesamten Disaster Recovery Sitzung sollte ein Protokoll bis zur vollendeten Geschäftsfähigkeit geführt werden.