Ein disaster recovery plan regelt, wer nach dem Ausfall was zuerst zurückholt. So setzen Sie RTO und RPO, bauen den Plan in sechs Schritten und proben ihn.
Ein disaster recovery plan hält fest, wer nach einem schweren Ausfall welche Systeme in welcher Reihenfolge zurückholt. Am Dienstagmorgen fällt die Telefonanlage zusammen mit dem Zugriff aufs Warenwirtschaftssystem aus. Kundenanrufe laufen ins Leere, die Zentrale kann nichts weiterverbinden, und im Support liegt keine Ersatznummer bereit. Die Geschäftsführung rechnet mit ein paar Stunden, und niemand im Raum kann sagen, wer den Wiederanlauf auslöst. Dieser Leitfaden richtet sich an IT-Verantwortliche im Mittelstand, die ihre Sicherungen im Griff haben und den Wiederanlauf noch nie unter Zeitdruck geprobt haben.
Der BSI-Standard 200-4 beschreibt fürs deutsche Notfallmanagement, wie so ein Plan entsteht. Er unterscheidet drei Ebenen: die Geschäftsfortführung während der Störung, den Wiederanlauf der wichtigsten Prozesse und die Wiederherstellung des Normalbetriebs. Was im Englischen disaster recovery plan heißt, deckt dort die zweite und die dritte Ebene ab.
Ein disaster recovery plan ist die Sammlung der technischen und organisatorischen Abläufe, mit denen Sie IT-Systeme, Daten und Kommunikationswege nach einem schweren Vorfall zurück in den Betrieb bringen. Er nennt Rollen mit Namen und Rufnummer, legt die Reihenfolge der Wiederherstellung fest und benennt die Person, die den Notfall offiziell feststellt. Fehlt diese Feststellung, wartet die halbe Mannschaft auf eine Freigabe, die niemand geben darf.
Eine Sicherung schützt Daten. Der Wiederanlauf bringt Anrufe, Anwendungen und Menschen zurück in Bewegung, und dazu gehören die Abhängigkeiten, die beim Umschalten regelmäßig unter den Tisch fallen: Verzeichnisdienst, DNS, Lizenzserver, Zugangsdaten und Netzfreigaben. Eine Wiederherstellung, die auf dem Papier stimmt, scheitert in der Halle dann an einem einzigen Lizenzschlüssel.
Der Standard erlaubt einen stufenweisen Einstieg, und das nimmt einer kleinen IT-Abteilung den Druck. Ein reaktives Notfallmanagement deckt zuerst die Bewältigung ab, also Meldewege, Rollen und Sofortmaßnahmen. Der Ausbau zur vollständigen Vorsorge folgt später. Den Standard samt Vorlagen stellt das Bundesamt für Sicherheit in der Informationstechnik zum Herunterladen bereit.
Die Wiederanlaufzeit, kurz RTO, sagt, wie lange ein Geschäftsprozess stillstehen darf, bevor der Schaden ernst wird. Der Wiederherstellungspunkt, kurz RPO, sagt, wie viele Stunden Datenverlust Sie am Ende tragen können. Beide Werte entstehen in der Business-Impact-Analyse, gemeinsam mit den Fachabteilungen. Die IT rechnet danach aus, was die genannte Zahl an Technik und Geld kostet.
Aus dem RPO folgt der Sicherungsrhythmus unmittelbar. Wer 24 Stunden Datenverlust akzeptiert, kommt mit einer täglichen Sicherung aus. Wer 15 Minuten nennt, braucht Replikation, und der Preis steigt entsprechend. Ein Plan, der eine Stunde RTO verspricht, während die Bänder acht Stunden zum Einlesen brauchen, kündigt eine Rückkehr an, die der Betrieb so nicht liefert.
Die Reihenfolge steht vor der Technik. Telefonanlage, Dateiablage, Warenwirtschaft, Verzeichnisdienst und Fernzugriff wiegen beim Wiederanlauf unterschiedlich schwer, und diese Rangfolge kennt im Ernstfall jeder im Team ohne Rückfrage. In vielen Häusern steht die Zentrale ganz oben, weil ohne sie weder Kunde noch Lieferant durchkommt.
Die Telefonanlage ist im Mittelstand der Eingang ins Unternehmen, und sie verdient denselben Rang wie das ERP. Steht die Sprache still, verliert das Haus seinen Kontakt zu Kunden, Lieferanten und im Zweifel zum Bereitschaftsdienst. Der Plan braucht deshalb einen eigenen Abschnitt für die Sprache.
Auf Ihrer Seite stehen die menschlichen Vorkehrungen: eine Krisen-Telefonliste auf Papier, ein Eskalationsweg, ein vorbereiteter Ansagetext und die Antwort auf die Frage, wer die Umleitung tatsächlich schaltet. Eine Anrufweiterleitung auf Mobilnummern oder auf einen zweiten Standort läuft in Minuten, wenn die Regeln vorher angelegt sind und zwei Kollegen den Zugang zum Voxbi Cockpit haben.
Auf der Anbieterseite zählen die Portierbarkeit der Rufnummern, die Überwachung, die Redundanz und ein Vertrag, der den Ausfall beim Namen nennt. Eine virtuelle Telefonanlage verlegt die Vermittlung ins Rechenzentrum des Anbieters, womit ein Ausfall in Ihrem Serverraum die Anrufe nicht mehr anhält. Dafür wandert die Abhängigkeit auf den Internetzugang und auf den Anbieter, und genau diese zwei Punkte gehören ins Szenario.
Die Reihenfolge der Arbeit entscheidet darüber, ob am Ende ein brauchbares Handbuch dasteht oder ein hübsches Dokument ohne Prioritäten.
Risiken und Schadenshöhe erheben. Das Team listet die plausiblen Bedrohungen und schätzt je Geschäftsprozess, was ein Tag Stillstand kostet.
Kritische Systeme und Daten inventarisieren. Ein Inventar mit Eigentümer, Abhängigkeit und Wiederanlaufklasse ist die Grundlage jeder begründeten Rangfolge.
Szenarien beschreiben. Ausfall eines Servers, Verschlüsselung durch Ransomware, Verlust des Standorts und Ausfall des Anbieters führen zu verschiedenen Wegen zurück.
Handlungskarten schreiben. Jede Karte nennt den Auslöser, die Schritte, die Zuständigen, die Rufnummern und die Ausgabengrenze, die im Notfall ohne Rückfrage gilt.
Krisenkommunikation vorbereiten. Vorlagen für Mitarbeitende, Dienstleister, Geschäftsführung und Kunden verhindern, dass die Technik längst läuft, während das Haus noch im Dunkeln sitzt.
Testen und nachziehen. Nach jedem Test wandern die Abweichungen zurück in die Karten, und die Kontaktdaten kommen mindestens jährlich auf den Prüfstand.
Ein Industriebetrieb will Fertigung und Vertrieb schnell zurück, und die Zentrale steht dabei so hoch wie der Auftragseingang. Ein Krankenhaus sichert die Versorgung, und dort tragen interne Rufe, Bereitschaft und Alarmierung den Ablauf. Für Krankenhäuser gilt zusätzlich eine gesetzliche Pflicht zur IT-Sicherheit nach dem Stand der Technik (§ 75c SGB V). Eine Kommune hält das Bürgertelefon und die Rufbereitschaft am Laufen, weil dort die Anfragen der Einwohner ankommen.
| Profil | Größter Engpass | Sprache im Wiederanlauf | Prüfpraxis |
| Mittelständischer Betrieb | Warenwirtschaft und Auftragseingang | Hoch, sobald die Zentrale den Kundenkontakt trägt | Prüfungen nach Wiederanlaufklasse gestaffelt |
| Krankenhaus | Versorgung und Abstimmung der Teams | Sehr hoch, weil Bereitschaft und Alarmierung darauf laufen | Geprobte Szenarien, dokumentiert |
| Kommunale Verwaltung | Erreichbarkeit für Einwohner | Hoch, weil Bürgertelefon und Rufbereitschaft die Reaktion steuern | Regelmäßige Übungen mit Protokoll |
Ein wiederhergestellter Arbeitsplatz nützt der Pflege wenig, solange die Rufannahme schweigt. Bei Gesundheitsdaten wird der Ort der Datenhaltung zum Bestandteil der Architektur, weil Verarbeiter, Aufbewahrung und Zugriff im Wiederanlauf denselben Regeln folgen wie im Normalbetrieb. Der Mittelstand fährt dagegen am besten mit einem knappen Plan, dessen Schritte eine Vertretung ohne Einweisung ausführen kann.
Ein Test misst den Wiederanlauf gegen die Uhr, mit den Leuten, die im Ernstfall da sind, und mit den Zugängen, die im Ernstfall funktionieren müssen.
Ein Plan, der nie geprobt wurde, ist eine Absichtserklärung mit Aktenzeichen.
Ein verbreitetes Raster aus der Praxis, das so in keiner Norm steht, staffelt die Tiefe nach Rang: monatlich eine Stichprobe aus der Sicherung zurückholen, halbjährlich die Umschaltung der obersten Wiederanlaufklasse fahren, jährlich einen vollständigen Wiederaufbau üben. Ob dieser Rhythmus zu Ihrem Haus passt, entscheiden Ihre RTO-Werte und die Leute, die den Test fahren müssen.
Bei der Sprache prüfen Sie Umleitungen, Warteschlangen und Rufgruppen mit echten Anrufen. Wer Warteschlangen im Kundendienst betreibt, hat mit der Call-Center-Software mehr zu prüfen als eine einzelne Rufnummer, nämlich die Verteilstrategie, die Öffnungszeiten und die Übergabe an den Bereitschaftsdienst.
Der Wert eines Tests liegt in der Abweichung. Die gemessene Zeit neben dem Ziel, die Stelle, an der es hakte, und die Entscheidung daraus ergeben ein knappes Protokoll. Beim nächsten Durchlauf ist dieses Protokoll der Vergleichsmaßstab, und über die Jahre wird daraus eine Kurve statt einer Meinung.
Eine Cloud-Telefonanlage stärkt den Wiederanlauf, sobald Sie die neuen Abhängigkeiten vorher aufschreiben: Internetzugang, Rufnummernportierung, Durchwahlen und die Verteilung der Verantwortung zwischen Anbieter, Integrator und Ihrem Team. Der Abschnitt zur Sprache im Plan wird vor der Migration gelesen und danach noch einmal.
Vertrag und Verfügbarkeit. Die zugesagte Verfügbarkeit, die Reaktionszeiten im Störfall und der Weg zur Störungsmeldung stehen im Vertrag, in Zahlen.
Rückfallweg für die Sprache. Wenn der Anbieter selbst ausfällt, führt eine vorbereitete Umleitung auf Mobilnummern oder auf einen zweiten Anbieter die Anrufe weiter.
Hosting und Datenschutz. Gesprächsaufzeichnungen, Verbindungsdaten und Metadaten fallen unter die DSGVO, und der Ort der Datenhaltung gehört in dieselbe Prüfung wie die Verfügbarkeit.
Umschalttests im Betrieb. Eine Migration zahlt sich erst aus, wenn die Umschaltung mindestens einmal mit echten Anrufen geprobt wurde.
Rufnummern und Portierung. Mixvoip liefert die Rufnummern und fährt die Portierung, Voxbi betreibt die Anlage darüber. Diese Trennung gehört in Ihre Eskalationsliste, damit im Notfall niemand die falsche Nummer wählt.
Ein disaster recovery plan trägt, wenn Abläufe, Zuständigkeiten und die Rückkehr der Sprache zusammenpassen. Voxbi betreibt die Cloud-Telefonanlage in Rechenzentren in der Europäischen Union, mit Datenhaltung in der EU und unter der DSGVO. Notieren Sie zuerst, wer bei Ihnen den Notfall feststellt und welche drei Systeme zuerst zurückkommen, und schreiben Sie danach an hello@voxbi.com, wenn die Telefonie in diesem Plan noch eine Lücke hat.
Lead-Management-Software führt jeden Kontakt von der Erfassung bis zum Abschluss. Dieser Leitfaden zeigt die Funktionen, die Auswahlkriterien, die Kopplung an CRM und Cloud-Telefonanlage und zwei Arbeitsabläufe aus der Praxis.
Wie Sie Spam-Anrufe im Unternehmen zentral über die Telefonanlage blockieren: Sperrlisten, Musterregeln, IVR und Reputationsdienste, getestet im Pilot und gehostet in der EU.
Eine virtuelle Telefonanlage verlegt die Vermittlung vom Gerät im Technikraum in die Cloud. Was sie kann, was die DSGVO verlangt und wie die Migration abläuft.
Sprechen Sie mit uns oder mit einem zertifizierten Voxbi-Partner.
