Zwei Begriffe, die jede Geschäftsleitung kennen sollte
RPO, Recovery Point Objective. Wie viele Daten dürfen im schlimmsten Fall verloren gehen? Misst sich in Zeit zwischen letztem Backup und Vorfall.
RTO, Recovery Time Objective. Wie lange darf die Wiederherstellung dauern? Misst sich in Zeit zwischen Vorfall und wieder lauffähigem System.
RPO ist eine Datenfrage. RTO ist eine Betriebsfrage. Beide sind Geschäftsentscheidungen, keine Technik-Entscheidungen, die Technik leitet sich daraus ab.
Was die Geschäftsleitung entscheiden muss
| System | Wie viel Datenverlust akzeptabel? | Wie viel Ausfallzeit akzeptabel? |
|---|---|---|
| Buchhaltung, ERP | meist Stunden | meist Stunden |
| Minuten bis Stunden | Stunden | |
| File-Server | Tag | Stunden bis Tag |
| Website (Visitenkarte) | Tage | Tag |
| Online-Shop | Minuten | sehr kurz |
| Praxissoftware | Stunden | Stunden |
Wer kein RPO/RTO definiert hat, hat implizit „möglichst kurz" definiert, und zahlt entsprechend, oder bekommt im Ernstfall die Wahrheit.
Was oft falsch läuft
Pauschal „24h RPO". Klingt gut, deckt aber Mail nicht ab.
RTO = letzter Backup-Zeitpunkt. Falsch. Der Backup ist nur der erste Schritt, Hardware, Zugriff und Konfiguration müssen auch bereitstehen.
Kein Restore-Test. Ohne Test ist RTO nur eine Hoffnung (siehe Backup ist nicht gleich Restore und Restore-Test für KMU).
Beispiel aus dem KMU-Alltag
Ein Handelsbetrieb definiert pauschal „24h RPO, 4h RTO". Im Schadenfall stellt sich heraus: Der ERP-Restore dauert 9 Stunden, weil die Datenbank gross ist und nie getestet wurde. RTO 4 Stunden war ein Wunsch, kein Plan.
Konkrete Empfehlung
- Pro System RPO/RTO definieren, nicht pauschal
- Geschäftsleitung trifft die Entscheidung, IT setzt um
- Restore-Test bestätigt das RTO
- Backup-Konzept dokumentiert RPO und RTO pro System
Wann wir helfen
Wir definieren RPO/RTO pro System mit der Geschäftsleitung, prüfen die Umsetzbarkeit und führen Restore-Tests durch. Teil von Hosting & Infrastruktur.
Häufige Fragen
Was ist wichtiger: RPO oder RTO? Beides. Sie messen verschiedene Risiken.
Sind 24h RPO genug? Für Mail nein, für File-Server oft ja, für Shops nein.
Wie kürze ich RTO? Restore-Tests, Standby-Systeme, dokumentierte Wiederherstellungspfade.
Kosten RPO/RTO Geld? Ja, kürzere Werte bedeuten mehr Backup-Frequenz, mehr Storage, ggf. Replikation.
Wer entscheidet? Geschäftsleitung. Die IT setzt es um, definiert es nicht allein.