Backup vorhanden, Daten trotzdem weg: Warum Wiederherstellungstests unverzichtbar sind

Eine erfolgreiche Sicherung ist noch kein Beweis

Die Datensicherung läuft jeden Abend und am nächsten Morgen zeigt die Software einen erfolgreichen Sicherungslauf an. Solange kein größerer Ausfall eintritt, gibt es wenig Anlass, diese Meldung infrage zu stellen, denn schließlich wurde das Backup genau dafür eingerichtet und scheint seine Arbeit zuverlässig zu erledigen.

Ob die gesicherten Daten im Ernstfall tatsächlich ausreichen, zeigt sich allerdings erst dann, wenn sie wieder benötigt werden. Bei einer Wiederherstellung können Probleme auftauchen, die während des täglichen Sicherungslaufs überhaupt nicht auffallen: Eine Datenbank wurde nicht vollständig erfasst, ein wichtiger Verschlüsselungsschlüssel fehlt, eine virtuelle Maschine lässt sich zwar zurückspielen, startet anschließend aber nicht, oder die Wiederherstellung funktioniert technisch korrekt, dauert jedoch so lange, dass der Betrieb für mehrere Tage stillsteht.

Ein belastbares Backup-Konzept muss deshalb nicht nur beantworten, ob Daten regelmäßig gesichert werden, sondern auch, ob daraus innerhalb einer für das Unternehmen vertretbaren Zeit wieder ein arbeitsfähiger Zustand hergestellt werden kann. Genau dafür sind Wiederherstellungstests notwendig.

Sicherungssoftware kann nur das prüfen, was sie kennt

Moderne Sicherungssysteme kontrollieren während eines Backuplaufs eine ganze Reihe technischer Bedingungen. Sie erkennen beispielsweise, ob Daten gelesen werden konnten, ob das Sicherungsziel erreichbar war, ob ausreichend Speicherplatz vorhanden ist und ob der Vorgang ohne einen bekannten Fehler abgeschlossen wurde.

Diese Prüfungen sind wichtig, sie können aber nicht beurteilen, ob das Ergebnis aus Sicht des Unternehmens vollständig ist. Eine Sicherungssoftware weiß beispielsweise nicht automatisch, dass eine bestimmte Datenbank für die Produktion unverzichtbar ist, dass zusätzlich eine Lizenzdatei benötigt wird oder dass eine ältere Spezialanwendung nur mit einer ganz bestimmten Konfiguration wieder gestartet werden kann.

Gerade bei über Jahre gewachsenen Systemen kann außerdem unklar sein, ob überhaupt alle relevanten Bestandteile in das Sicherungskonzept aufgenommen wurden. Vielleicht werden die gemeinsamen Dateien gesichert, während eine lokale Datenbank auf einem Arbeitsplatzrechner unbeachtet bleibt. Möglicherweise existiert für einen Produktionsrechner ein Systemabbild, aber niemand hat dokumentiert, welches Kennwort für die Wiederherstellung benötigt wird.

Eine grüne Statusanzeige bestätigt deshalb zunächst nur, dass der geplante Sicherungsvorgang erfolgreich durchgeführt wurde. Sie bestätigt nicht, dass der Plan vollständig ist.

Ein Wiederherstellungstest muss zum jeweiligen System passen

Nicht jede Sicherung muss auf die gleiche Weise geprüft werden. Bei einem normalen Dateiserver kann es sinnvoll sein, regelmäßig einzelne Dateien aus unterschiedlichen Sicherungsständen zurückzuholen und zu kontrollieren, ob Inhalt, Berechtigungen und Versionen stimmen. Bei einem geschäftskritischen virtuellen Server reicht eine solche Stichprobe dagegen möglicherweise nicht aus, weil im Ernstfall das komplette System einschließlich Betriebssystem, Anwendungen und Konfigurationen benötigt wird.

Bei Datenbanken kommt hinzu, dass vorhandene Dateien allein noch keine funktionsfähige Anwendung ergeben müssen. Entscheidend ist, ob sich die Datenbank konsistent wiederherstellen und anschließend von der zugehörigen Software verwenden lässt.

Besonders anspruchsvoll sind ältere Produktionssysteme, bei denen Betriebssystem, Maschinensoftware, Treiber, Lizenzinformationen und spezielle Hardware eng miteinander verbunden sein können. Ein solcher Rechner enthält möglicherweise nur wenige klassische Unternehmensdaten und ist trotzdem für den Betrieb einer Maschine unverzichtbar. Eine reine Dateisicherung wäre in diesem Fall kaum ausreichend.

Die Prüfung sollte deshalb immer die Frage beantworten, was bei einem realen Ausfall tatsächlich wiederhergestellt werden müsste und wie nahe der Test diesem Szenario kommen muss.

Bei Produktionsrechnern zählt oft der komplette Zustand

Ein alter Rechner an einer Produktionsmaschine ist ein gutes Beispiel dafür, warum sich Datensicherung nicht auf Dokumente und Datenbanken reduzieren lässt. Auf dem System läuft vielleicht eine Software, die seit Jahren nicht mehr vertrieben wird, zusammen mit einem bestimmten Treiber und einer Erweiterungskarte, für die keine aktuelle Alternative existiert.

Wenn die Festplatte dieses Rechners ausfällt, hilft es wenig, wenn lediglich die erzeugten Produktionsdateien vorhanden sind. Benötigt wird der vollständige Zustand, mit dem die Maschine wieder betrieben werden kann.

Für solche Systeme kann ein vollständiges Systemabbild sinnvoll sein, das Betriebssystem, Programme, Einstellungen und weitere benötigte Bestandteile umfasst. Zusätzlich sollten Installationsmedien, Treiber, Lizenzinformationen und Besonderheiten der Hardware dokumentiert werden, soweit sie noch verfügbar sind.

Gerade bei alten Windows-Systemen in der Produktion sollte deshalb mindestens einmal praktisch geprüft werden, ob der vorgesehene Wiederherstellungsweg tatsächlich bis zu einem lauffähigen System führt. Dabei kann sich beispielsweise herausstellen, dass das vorhandene Abbild zwar korrekt ist, sich aber nur auf bestimmter Hardware starten lässt oder dass eine längst vergessene Lizenzdatei für die Maschinensteuerung benötigt wird.

Solche Erkenntnisse sind während eines geplanten Tests unangenehm, während eines Produktionsstillstands wären sie wesentlich problematischer.

Die benötigte Zeit ist Teil der Datensicherung

Eine technisch erfolgreiche Wiederherstellung kann für ein Unternehmen trotzdem unzureichend sein, wenn sie zu lange dauert. Das wird besonders dann sichtbar, wenn große Datenmengen aus einem externen Speicher zurückübertragen werden müssen oder zunächst Ersatzhardware beschafft und eingerichtet werden muss.

Angenommen, sämtliche Daten eines zentralen Servers sind vollständig in einer externen Sicherung vorhanden, die Wiederherstellung über die bestehende Internetleitung benötigt jedoch zwei Tage. Für ein Archivsystem kann das akzeptabel sein, für einen Server, auf den die laufende Produktion angewiesen ist, möglicherweise nicht.

Bei einem Wiederherstellungstest sollte deshalb auch die tatsächlich benötigte Zeit erfasst werden. Dazu gehört nicht nur das reine Zurückspielen der Daten, sondern der gesamte Weg bis zu einem Zustand, in dem die Mitarbeiter oder die Produktion wieder arbeiten können.

Dabei zeigt sich oft, dass andere Faktoren wichtiger sind als die Geschwindigkeit des Sicherungsmediums. Vielleicht fehlt passende Ersatzhardware, ein notwendiger Ansprechpartner ist nicht verfügbar oder die Reihenfolge der wiederherzustellenden Systeme wurde nie festgelegt.

Die Frage wie lange ein System ausfallen darf und wie viel Datenverlust akzeptabel ist muss deshalb aus Sicht des Unternehmens beantwortet werden. Erst danach lässt sich beurteilen, ob die technische Sicherung zu diesen Anforderungen passt.

Wiederherstellungstests prüfen gleichzeitig die Dokumentation

Ein geplanter Test zeigt häufig nicht nur Schwächen der Datensicherung, sondern auch Lücken in der Dokumentation. Wenn ein Techniker während der Wiederherstellung erst herausfinden muss, wo ein Kennwort gespeichert ist, welcher Server zuerst gestartet werden muss oder welche Anwendung von einer bestimmten Datenbank abhängt, ist das eine wertvolle Erkenntnis.

Diese Informationen können anschließend ergänzt werden, sodass der tatsächliche Notfall deutlich strukturierter abläuft.

Eine brauchbare IT-Dokumentation sollte deshalb nicht nur beschreiben, dass eine Sicherung existiert. Sie sollte auch enthalten, welche Systeme gesichert werden, wo die Sicherungen liegen, welche Zugänge für die Wiederherstellung benötigt werden und welche Besonderheiten beachtet werden müssen.

Bei kritischen Systemen ist außerdem sinnvoll zu dokumentieren, wann zuletzt eine Wiederherstellung getestet wurde, was dabei zurückgespielt wurde und welche Probleme aufgetreten sind. Dadurch entsteht mit der Zeit ein belastbarer Ablauf, anstatt im Ernstfall bei null beginnen zu müssen.

Nicht jeder Test muss ein vollständiger Katastrophenfall sein

Regelmäßige Wiederherstellungstests müssen den laufenden Betrieb nicht unnötig gefährden. Es wäre wenig sinnvoll, einen funktionierenden Produktivserver zu überschreiben, nur um zu beweisen, dass die Sicherung funktioniert.

Viele Prüfungen können in einer getrennten Umgebung stattfinden. Einzelne Dateien lassen sich in ein separates Verzeichnis zurückspielen, virtuelle Maschinen können isoliert gestartet werden und vollständige Systemabbilder können auf Ersatzhardware oder in einer geeigneten Testumgebung überprüft werden.

Der Umfang sollte sich an der Bedeutung des Systems orientieren. Einzelne Dateien können häufiger stichprobenartig geprüft werden, während vollständige Wiederherstellungen kritischer Systeme in größeren Abständen erfolgen. Nach wesentlichen Änderungen an der Sicherungssoftware, an der Infrastruktur oder am jeweiligen System ist ein zusätzlicher Test sinnvoll.

Entscheidend ist weniger ein starrer Kalender als die Tatsache, dass ein Unternehmen nicht jahrelang davon ausgeht, seine Sicherung werde schon funktionieren, ohne diesen Weg jemals praktisch gegangen zu sein.

Aus jedem Test sollten konkrete Verbesserungen entstehen

Ein Wiederherstellungstest ist kein Selbstzweck und sollte nicht mit einem einfachen Vermerk „erfolgreich“ abgeschlossen werden. Interessanter ist, welche Schwierigkeiten während des Tests aufgetreten sind und welche Konsequenzen daraus folgen.

Wenn eine Wiederherstellung deutlich länger dauert als erwartet, kann die Sicherungsstrategie angepasst werden. Wenn ein Lizenzschlüssel fehlt, wird er anschließend in die geschützte Dokumentation aufgenommen. Wenn sich herausstellt, dass ein kritisches System bislang gar nicht vollständig gesichert wird, muss der Sicherungsumfang erweitert werden.

Auch die Verantwortung für diese Prüfungen sollte eindeutig festgelegt sein. Jemand muss kontrollieren, ob Sicherungsläufe fehlschlagen, und jemand muss darauf achten, dass die vorgesehenen Wiederherstellungstests tatsächlich stattfinden.

Ein IT-Dienstleister, der regelmäßig den Zustand der Infrastruktur überprüft, sollte sich deshalb nicht mit der Aussage zufriedengeben, dass die Sicherungssoftware keine Fehler meldet. Relevant ist, wann zuletzt etwas erfolgreich wiederhergestellt wurde und ob die Ergebnisse noch zu den Anforderungen des Unternehmens passen.

Ein Backup ist letztlich nur die Voraussetzung dafür, Daten zurückzubekommen. Erst der erfolgreiche Wiederherstellungstest zeigt, ob daraus im Ernstfall tatsächlich wieder ein funktionierender Geschäftsbetrieb werden kann.