Disaster Recovery

Disaster Recovery (DR) umfasst alle technischen und organisatorischen Vorkehrungen, mit denen ausgefallene IT-Systeme, Anwendungen und Datenbestände nach einem gravierenden Schadensereignis wiederhergestellt werden. Auslöser können Hardwaredefekte, Cyberangriffe wie Ransomware, Software- und Konfigurationsfehler, Stromausfälle oder physische Katastrophen wie Brand und Hochwasser sein. Disaster Recovery ist der IT-technische Kern des übergeordneten Business Continuity Managements (BCM): Während das BCM die Fortführung kritischer Geschäftsprozesse insgesamt sicherstellt, fokussiert DR auf die Wiederinbetriebnahme der zugrundeliegenden Informationstechnik.

Zentrale Steuergrößen sind die Recovery Time Objective (RTO) als maximal tolerierbare Wiederanlaufzeit und das Recovery Point Objective (RPO) als maximal akzeptabler Datenverlust, gemessen am Zeitabstand zur letzten verwertbaren Datensicherung. Diese Zielwerte werden aus der Business-Impact-Analyse abgeleitet und bestimmen die Architektur der DR-Lösung, etwa redundante Rechenzentren, georedundante Standorte, regelmäßige Backups, Replikation oder Cloud-basierte Failover-Verfahren. Ein belastbarer Disaster-Recovery-Plan dokumentiert Verantwortlichkeiten, Wiederanlaufreihenfolgen, Eskalationswege und Kommunikationsregeln und muss durch wiederkehrende Tests und Übungen auf Wirksamkeit geprüft werden.

Rechtlich gewinnt Disaster Recovery durch die NIS2-Richtlinie und ihre nationale Umsetzung erheblich an Bedeutung. Besonders wichtige und wichtige Einrichtungen müssen Maßnahmen für Backup-Management, Wiederherstellung und Aufrechterhaltung des Betriebs als Teil ihres Risikomanagements nachweisen. Auch der BSI IT-Grundschutz adressiert mit dem Baustein zum Notfallmanagement explizit die Wiederherstellung, und die ISO/IEC 27001 fordert mit Anhang A 5.29 und A 5.30 die Informationssicherheit während einer Störung sowie die IKT-Bereitschaft für Business Continuity. Disaster Recovery ist damit nicht nur betriebliche Vorsorge, sondern zunehmend eine regulatorische Pflicht mit Haftungsrelevanz für die Geschäftsleitung.