Recovery Strategy: Wiederherstellungsstrategien systematisch entwickeln

Eine Recovery-Strategie beschreibt, mit welchen technischen und organisatorischen Lösungen priorisierte Geschäftsprozesse nach einer Störung wiederhergestellt werden sollen. Ausgangspunkt sind die BIA-Ergebnisse und Wiederanlaufziele. Daraus entstehen eine begründete Auswahl von Optionen, Ressourcenbedarf und Verantwortlichkeiten; konkrete Wiederanlaufpläne beschreiben anschließend die einzelnen Arbeitsschritte.

RTO ist die angestrebte Zeit bis zur Wiederaufnahme eines Prozesses oder Systems. RPO bezeichnet den zeitlich tolerierbaren Datenverlust. Ein RTO von vier Stunden und ein RPO von einer Stunde sind mögliche Planungsziele, keine Eigenschaften einer bestimmten Architektur. Tests müssen zeigen, ob diese Ziele einschließlich Datenprüfung und Anwendungsfreigabe erreichbar sind.

Der BSI-Standard 200‑4 bietet einen Rahmen für den Aufbau eines BCM. Für die Strategiearbeit werden BIA-Ergebnisse, benötigte Ressourcen und realistische Wiederanlaufoptionen zusammengeführt. Die Auswahl und ihre Annahmen werden dokumentiert und durch Übungen überprüft. Pauschale Projektlaufzeiten oder identische Testkalender für jede Organisation lassen sich daraus nicht ableiten.

Vergleichen Sie Wiederherstellbarkeit aus Backups, vorbereitete Ersatzumgebungen und betriebsbereite Ausweichlösungen anhand der benötigten Wiederanlaufziele. Berücksichtigen Sie Datenkonsistenz, Netzwerke, Identitäten, Personal und abhängige Dienstleister. Kosten entstehen unter anderem durch Kapazität, Lizenzen, Datenübertragung, Betrieb und Übungen. Ein konkreter Pilot liefert eine belastbarere Entscheidungsgrundlage als pauschale Preis- oder Zeitangaben.

Für betroffene Einrichtungen nennt § 30 BSIG Betriebsfortführung, Backup-Management, Wiederherstellung und Krisenmanagement. Meldepflichten stehen gesondert in § 32. Verbinden Sie Verantwortlichkeiten, Wiederherstellungsschritte und Prüfnachweise. Die Ausgestaltung richtet sich nach Anwendungsbereich, Risiken und gegebenenfalls konkretisierenden sektoralen Vorgaben.

Legen Sie ein risikogerechtes Übungsprogramm fest und prüfen Sie zusätzlich nach wesentlichen Änderungen oder Vorfällen. Umfang und Häufigkeit hängen von Diensten, Abhängigkeiten und anwendbaren Vorgaben ab. Dokumentieren Sie Szenario, gemessene Wiederanlaufzeiten, Datenverluste und offene Maßnahmen. Übungen können von einem Ablaufgespräch bis zu einem kontrollierten Wiederanlauf reichen; ein Kalender allein beweist keine Wiederherstellbarkeit.

Wir unterstützen die Bewertung von BIA-Ergebnissen, den Vergleich von Recovery-Optionen und die Planung eines getesteten Wiederanlaufs. Ergebnisse sind eine begründete Strategieentscheidung, Zuständigkeiten, Runbooks und ein Maßnahmenregister aus den Übungen. Der Leistungsumfang wird für Ihre Prozesse und Systeme vereinbart; eine bestimmte Testleistung oder regulatorische Bewertung wird nicht pauschal garantiert.