Disaster Recovery as a Service (DRaaS): Wissenswertes und Prozess zur erfolgreichen Implementierung

Die IT ist inzwischen in vielen Unternehmen ein zentraler Baustein, ohne den nichts mehr geht. Ausfälle der IT, seien sie kurz oder länger, können dem Geschäftsbetrieb erheblich schaden. Deshalb ist es wichtig, gut auf Zwischenfälle und Katastrophen vorbereitet zu sein.

Diese können viele Formen annehmen, von Naturereignissen wie Stürmen oder Überschwemmungen über technische Probleme wie Stromausfälle und Geräteversagen bis hin zu Cyberangriffen wie Malware oder Ransomware. Jede Stunde Ausfallzeit kann erhebliche Kosten verursachen und das Kundenvertrauen beeinträchtigen. Eine robuste Strategie zur Wiederherstellung nach einer Katastrophe (Disaster Recovery) ist daher unerlässlich, um die Geschäftskontinuität zu gewährleisten.

Was ist Disaster Recovery?

Disaster Recovery (DR) bezieht sich auf die Praktiken und Verfahren zur Wiederherstellung der IT-Infrastruktur und des Geschäftsbetriebs nach einem Cyberangriff oder einem anderen Ereignis, das zu unerwarteten Ausfallzeiten führt. Das Ziel ist es, den Geschäftsbetrieb so schnell wie möglich und ohne Verlust von Ressourcen wieder aufzunehmen. Neben der Datenwiederherstellung gehört zur Disaster Recovery auch das Ersetzen nicht mehr verwendbarer Hardware. Traditionell umfasste Disaster Recovery auch die Einrichtung und Wartung eines dedizierten physischen Standorts für die Wiederherstellung, was kostspielig und ressourcenintensiv sein kann.

Zwei Zielgrößen sind bei der Disaster Recovery entscheidend:

Recovery Time Objective (RTO): Bestimmt den Zielwert, wie viel Zeit zwischen dem Auftreten des Problems und der vollständigen Wiederherstellung der Geschäftsprozesse vergehen darf.

Recovery Point Objective (RPO): Legt den erlaubten zeitlichen Abstand zwischen zwei Datensicherungen fest. Umso geringer die RPO, desto geringer der potenzielle Datenverlust und desto häufiger müssen die Daten gesichert werden.

Die Bedeutung eines Disaster Recovery Plans

Studien wie beispielsweise des Bundesamts für Sicherheit in der Informationstechnik zeigen, dass unzureichende Backup- und Wiederherstellungsstrategien in Unternehmen zu kritischen Datenverlusten bis hin zur Existenzbedrohung führen können. Viele Unternehmen hatten in der Vergangenheit nach einem erheblichem Datenverlust mit gravierenden Folgen zu kämpfen. Insbesondere wenn ein Unternehmen über mehrere Tage ohne sein Rechenzentrum auskommen, muss, können die Auswirkungen bis hin zur Insolvenz reichen. Die Notwendigkeit, sich auf mögliche Notfälle vorzubereiten, ist unbestritten. Ein klar definierter Disaster Recovery Plan ist deshalb von größter Wichtigkeit. Der Hauptzweck eines solchen Plans ist es, das Unternehmen so schnell wie möglich wieder in Betriebsbereitschaft zu versetzen und dabei den Verlust von Ressourcen zu minimieren. Die Geschwindigkeit der Wiederherstellung genießt dabei höchste Priorität.

Definition Disaster Recovery as a Service (DRaaS)

Disaster Recovery as a Service (DRaaS) ist ein Cloud-basierter Dienst zur Wiederherstellung der Systeme im Notfall, der von einem Drittanbieter bereitgestellt wird. Im Gegensatz zu traditionellen Methoden ist DRaaS schneller, robuster und resilienter. Dabei repliziert und hostet der Anbieter physische oder virtuelle Server in einer entfernten Cloud-Umgebung, um im Notfall ein Failover zu ermöglichen. Das Grundprinzip von DRaaS ist, dass der externe Anbieter, der typischerweise über eine global verteilte Infrastruktur verfügt, im Falle einer Katastrophe weniger wahrscheinlich betroffen ist als der Kunde selbst.

DRaaS-Anbieter können Failover sowohl für lokale als auch für Cloud-Computing-Umgebungen bereitstellen, wobei die Abrechnung bedarfsabhängig oder über fortlaufende Vereinbarungen erfolgen kann. Erwartungen und Anforderungen werden typischerweise in Service Level Agreements (SLAs) festgehalten.

Die Vorteile von DRaaS gegenüber traditioneller Disaster Recovery

DRaaS bietet signifikante Vorteile im Vergleich zu konventionellen DR-Methoden. Hier ist vor allem die Geschwindigkeit zu nennen: DRaaS reagiert schnell, um Informationen und Anwendungen wiederherzustellen und die Auswirkungen einer Störung zu minimieren. Sie ermöglicht eine schnelle Replikation kritischer Teile oder sogar der gesamten IT-Umgebung an einen anderen Standort.

Darüber hinaus kann DRaaS die Kosten senken. Durch die Nutzung von DRaaS entfällt die Notwendigkeit für Unternehmen, eine eigene externe DR-Umgebung zu investieren und zu warten. Allerdings sollten Unternehmen berücksichtigen, dass DRaaS-Lösungen zwar in der Regel wenige bis keine Vorabkosten beinhalten, jedoch abhängig von verschiedenen Anforderungen laufend erhebliche Kosten verursachen können. Faktoren wie die Menge der gesicherten Daten, strengere Vorgaben für Recovery Objectives (RTO und RPO), benötigte Cloud-Speicherklassen, Umfang der erforderlichen Compute-Ressourcen im Notfall, regelmäßiges Testen und Monitoring, vereinbarte Service Level Agreements (SLAs) und mögliche Compliance-Anforderungen beeinflussen maßgeblich die laufenden Kosten einer DRaaS-Lösung.  

Ein weiterer Vorteil ist der Zugang zu spezialisiertem Know-how. DRaaS kann besonders für kleine und mittelständische Unternehmen nützlich sein, denen es an internen Experten mangelt, um einen effektiven Recovery Plan zu entwerfen, zu konfigurieren und zu testen.

Mögliche Nachteile von DRaaS

Neben den genannten Vorteilen gibt es auch einige Aspekte, die DRaaS gegenüber anderen Lösungen als weniger geeignete Lösung erscheinen lassen können. Hier sind zunächst einmal die Kosten zu nennen: DRaaS ist in der Regel deutlich teurer als reines Backup as a Service (BaaS), weil es nicht nur Daten, sondern auch die Infrastruktur (Compute, Storage, Netzwerk) sichert und bereitstellt. Es gibt allerdings verschiedene DRaaS-Modelle, bei denen sich die Kosten unterscheiden (siehe dazu den entsprechenden Abschnitt unten).

Ein weiterer potenzieller Nachteil: Man verlässt sich auf einen externen Drittanbieter für kritische Funktionen. Es ist daher wichtig, im Vorfeld die Zuverlässigkeit des Anbieters zu prüfen.

Zudem kann auch der DRaaS-Anbieter selbst von einer Katastrophe betroffen sein. So können zum Beispiel auch moderne, auf Public Clouds basierende DRaaS-Dienste Ausfälle in der zugrundeliegenden Cloud-Infrastruktur erleben. In einem solchen Fall kann der Anbieter die vereinbarten SLAs nicht einhalten.

Die Sicherstellung des Benutzerzugriffs (z. B. über VPN) und die Funktion des DNS (Domain Name System) während einer Krise erfordern eine sorgfältige Koordination mit dem Anbieter. Wenn ein DNS während einer Katastrophe nicht reibungslos funktioniert, können Systeme trotz erfolgreicher Umstellung offline bleiben.

Wenn Anwendungen während einer Katastrophe vom Cloud-Standort des Anbieters ausgeführt werden, können Benutzer unter Umständen eine höhere Latenz erleben als beim Betrieb von lokalen Servern.

Und: Bei Managed DRaaS muss man in engem Kontakt mit dem Anbieter bleiben, um ihn über alle Änderungen an der Infrastruktur, Anwendungen und Diensten auf dem Laufenden zu halten, was zusätzlichen Aufwand bedeutet.

Compliance-Anforderungen bei DRaaS berücksichtigen

Ein oft unterschätzter, aber kritischer Aspekt bei der Nutzung von DRaaS sind regulatorische und branchenspezifische Compliance-Anforderungen. Insbesondere für Unternehmen in regulierten Branchen wie Finanzdienstleistungen, Gesundheitswesen, Behörden oder kritischer Infrastruktur ist es unerlässlich, sicherzustellen, dass die verwendeten DRaaS-Lösungen alle relevanten Compliance-Standards erfüllen. Das betrifft beispielsweise Vorgaben hinsichtlich Datensicherheit, Verschlüsselung, Datenhoheit (Data Sovereignty), Auditierbarkeit und Protokollierung. Prüfen Sie deshalb stets, ob Ihr DRaaS-Anbieter über entsprechende Zertifizierungen verfügt (etwa ISO/IEC 27001, SOC 2 oder DSGVO-Konformität) und Ihre spezifischen Compliance-Anforderungen zuverlässig erfüllen kann.

Integration von DRaaS in das bestehende Business Continuity Management

Damit DRaaS sein Potenzial voll entfalten kann, sollte die Lösung in Ihre bestehenden Business Continuity Management (BCM)- und Notfallmanagementprozesse nahtlos integriert sein. DRaaS ist kein isoliertes Produkt, sondern ein ergänzender und unterstützender Bestandteil Ihrer ganzheitlichen unternehmerischen Resilienz. Die Verantwortlichkeiten, Prozesse und Kommunikationswege zwischen DRaaS-Anbieter und Ihrem eigenen BCM-Team müssen eindeutig geregelt und regelmäßig überprüft werden. Nur durch eine systematische Einbindung in das organisationsweite Krisenmanagement kann eine schnelle und effektive Wiederherstellung im Ernstfall gewährleistet werden.

Sechs Schritte zur erfolgreichen DRaaS-Implementierung

Die Implementierung einer DRaaS-Lösung erfordert eine sorgfältige Planung. Die folgenden Schritte können dabei helfen, den Prozess erfolgreich zu gestalten:

Schritt 1: Klären des Geschäftsbedarfs für DRaaS

Beginnen Sie damit, alle Geschäftselemente zu erfassen und deren Abhängigkeiten zu verstehen. Daraus lässt sich eine Priorisierung ableiten. Dabei werden zum Beispiel die Elemente definiert, die für die erste Wiederherstellungsphase wichtig sind. Weniger wichtige oder unwichtige Elemente erhalten eine geringe Priorität.

Schritt 2: Bewertung der Infrastruktur

Überprüfen und bewerten Sie Ihre Infrastruktur und Ihre kritischen Daten so detailliert wie möglich. Überlegen Sie dabei, welche Bedrohungen jedes Element beeinträchtigen könnten, inwieweit bestimmte Katastrophen Ihr System beschädigen können und wie wahrscheinlich ein bestimmtes Unglück ist.

Schritt 3: Auswahl des passenden DRaaS-Anbieters

Dies ist einer der wichtigsten Schritte für eine erfolgreiche DRaaS-Implementierung. Der richtige Anbieter sollte eine DRaaS-Lösung anbieten, die auf Ihre spezifischen Geschäftsanforderungen zugeschnitten ist. Der Anbieter sollte gewährleisten, dass Ihre Daten sicher sind und jederzeit wiederhergestellt werden können. Wir beschreiben im nächsten Abschnitt, welche Kriterien bei der Auswahl eines DRaaS-Anbieters beachtet werden sollten.

Schritt 4: Implementieren und testen der DRaaS-Lösung

Die für das Unternehmen benötigte DRaaS-Implementierung wird von den zuvor festgelegten Zielen (RTO und RPO) bestimmt. Bei der Umsetzung stehen verschiedene Ansätze zur Auswahl, beginnend bei Remote Backups bis hin zur kompletten Replikation.

Nach der Implementierung sind ausführliche Tests entscheidend, um sicherzustellen, dass die implementierte DRaaS-Lösung im Notfall funktioniert.

Schritt 5: Schulung der Nutzer

Sobald Ihr Wiederherstellungsprotokoll festgelegt ist, stellen Sie sicher, dass alle Nutzer damit vertraut sind. Dies gewährleistet, dass im Katastrophenfall jeder angemessen reagieren kann.

Schritt 6: Kontinuierliche Überwachung und Anpassung der DRaaS-Lösung

Sie sollten fortlaufend überprüfen, ob die implementierte Lösung alle kritischen Geschäftselemente abdeckt. Entdeckte Mängel sollten dokumentiert und die Implementierung angepasst werden, bis alle wichtigen Elemente im Katastrophenfall gesichert sind. Da Ihr Geschäft wachsen und sich ändern wird, müssen Sie Ihre DRaaS-Lösung an neue Bedürfnisse anpassen.

Wichtige Überlegungen bei der Auswahl eines DRaaS-Anbieters

Bei der Auswahl eines DRaaS-Anbieters sollten mehrere Schlüsselfaktoren berücksichtigt werden:

• Zuverlässigkeit: Klären Sie, wie die Ressourcen des Anbieters dimensioniert sind und wie er reagiert, falls sowohl Ihr Unternehmen als auch der Anbieter von derselben großflächigen regionalen Katastrophe betroffen sind. Verstehen Sie Ihre Rechte gemäß dem Service Level Agreement (SLA) und wie Ihr Unternehmen reagieren würde, wenn der Anbieter seine SLA im Notfall nicht einhalten kann.
• Zugriff: Arbeiten Sie mit dem potenziellen Anbieter zusammen, um zu verstehen, wie die Nutzer im Krisenfall auf interne Anwendungen zugreifen und wie das VPN funktioniert – ob es vom Anbieter verwaltet oder umgeleitet wird. Wenn Sie eine Virtual Desktop Infrastructure (VDI) nutzen, prüfen Sie die Auswirkungen eines Failover-Ereignisses auf den Benutzerzugriff. Klären Sie, wie das DNS im Krisenfall funktioniert, insbesondere für Anwendungen, die über das Internet zugänglich sind. Ein reibungslos funktionierendes DNS ist entscheidend.
• Unterstützung und Tests: Fragen Sie potenzielle Anbieter nach den standardmäßigen Prozessen und dem Support, den sie während des Normalbetriebs und insbesondere während einer Krise bieten. Klären Sie die genauen Recoveryverfahren und welche professionellen Dienstleistungen der Anbieter im Katastrophenfall anbietet. Definieren Sie die Verantwortlichkeiten zwischen Ihrem Unternehmen und dem Anbieter klar. Erkundigen Sie sich nach dem Testprozess – können Sie Tests intern durchführen, und werden regelmäßige Katastrophenübungen vom Anbieter durchgeführt?. Klären Sie auch, wie lange der Anbieter Ihre Workloads nach der Erklärung einer Katastrophe ausführen kann, um langfristige Szenarien abzudecken.
• Compliance und Zertifizierungen: Vergewissern Sie sich, dass der Anbieter sämtliche notwendige Zertifizierungen besitzt, um Ihre regulatorischen Anforderungen (z. B. ISO/IEC 27001, DSGVO, SOC 2 etc.) zu erfüllen. Klären Sie, wie der Anbieter Themen wie Datenverschlüsselung, Data Sovereignty und Audits behandelt, um sicherzustellen, dass Ihre Compliance-Richtlinien konsequent berücksichtigt und eingehalten werden.
• Unterstützung Multi-Cloud- und Hybrid-Cloud-Architekturen:
  Falls Ihr Unternehmen mehrere Cloud-Umgebungen oder eine Kombination aus Cloud- und On-Premise-Systemen betreibt (Multi- und Hybrid-Cloud), stellen Sie sicher, dass Ihr DRaaS-Anbieter flexible Schnittstellen bietet, diese Anforderungen aktiv unterstützt und eine problemlose, providerübergreifende Wiederherstellung ermöglicht.

DRaaS im Vergleich zu BaaS (Backup as a Service)

DRaaS unterscheidet sich auf verschiedene Weisen von einem Backup as a Service (BaaS). BaaS ermöglicht es Unternehmen, Dateien, Ordner und ganze Datenspeicher in sicheren Remote-Rechenzentren zu sichern. Bei BaaS liegt die Verantwortung für die Verwaltung der Backups beim Drittanbieter.

Die Hauptunterschiede liegen im Umfang und in den Wiederherstellungszielen. BaaS sichert nur Daten, während DRaaS sowohl Daten als auch Infrastruktur (Server, Netzwerkfunktionen) sichert. Bei DRaaS ist der Anbieter dafür verantwortlich, ganze Server bereitzustellen und deren Verfügbarkeit für Benutzer sicherzustellen.

BaaS kann Daten wiederherstellen, die RPO und RTO werden typischerweise in Stunden oder Tagen gemessen. Dies liegt daran, dass die Übertragung großer Datenmengen vom Anbieter zurück zum Kundenstandort lange dauern kann. Mit DRaaS-Lösungen können RPO und RTO in Minuten oder sogar Sekunden gemessen werden, weil eine zusätzliche Version Ihrer Server an einem Remote-Standort zur Ausführung bereitsteht.

Die Kosten für BaaS sind deutlich niedriger als für DRaaS, weil sie hauptsächlich von den Speicherressourcen für die Backups bestimmt werden. Bei DRaaS zahlen Sie für zusätzliche Ressourcen wie Replikationssoftware, Compute- und Netzwerkinfrastruktur.

BaaS kann eine gute Option für die Archivierung von Daten sein, aber für die Sicherstellung der Geschäftskontinuität nach einer Katastrophe ist DRaaS die umfassendere Lösung, die auch die Verarbeitung der Daten ermöglicht.

Betriebsmodelle von DRaaS

DRaaS-Anbieter bieten typischerweise drei Hauptmodelle an, die sich im Grad der Kundenbeteiligung unterscheiden:

Managed DRaaS

In diesem Modell übernimmt der Drittanbieter die volle Verantwortung für die Notfallwiederherstellung. Unternehmen, die diesen Weg wählen, müssen eng mit dem Anbieter zusammenarbeiten, um sicherzustellen, dass alle Änderungen an Infrastruktur, Anwendungen und Diensten auf dem neuesten Stand gehalten werden. Dies ist oft die beste Option, wenn Ihnen das interne Know-how und die Zeit für die Verwaltung Ihres eigenen Disaster Recovery fehlen.

Assisted DRaaS

Wenn Sie bestimmte Aspekte Ihres Disaster Recovery Plans selbst verantworten möchten oder kundenspezifische Anwendungen haben, die für einen Drittanbieter schwierig zu übernehmen sind, kann Assisted DRaaS eine bessere Wahl sein. Bei diesem Modell bietet der Anbieter Dienstleistungen und Fachwissen zur Optimierung des DR-Prozesses an, aber der Kunde ist für die Implementierung eines Teils oder des gesamten Plans verantwortlich.

Self-Service DRaaS

Das ist die kostengünstigste Option, bei welcher der Kunde für die Planung, das Testen und die Verwaltung der Notfallwiederherstellung verantwortlich ist. Der Anbieter stellt in der Regel die Backup-Management-Software zur Verfügung und hostet Backups und virtuelle Maschinen an entfernten Standorten. Dieses Modell erfordert eine sorgfältige Planung und strenge Tests durch das Unternehmen, um sicherzustellen, dass die Operationen im Notfall sofort auf das entfernte Rechenzentrum des Anbieters umgeleitet und bei Wiederherstellung der lokalen Ressourcen problemlos zurückgeführt werden können. Es ist ideal für Unternehmen mit erfahrenen internen Experten für Disaster Recovery und Cloud Computing.

Kurze Zusammenfassung

Angesichts der zunehmenden Häufigkeit und Vielfalt potenzieller Störungen ist ein solider Wiederherstellungsplan für jede Organisation unerlässlich. DRaaS bietet eine schnelle, flexible und oft kostengünstigere Alternative zu traditionellen Disaster Recovery Methoden. Durch die sorgfältige Bewertung Ihrer Bedürfnisse, das Verständnis der verschiedenen Betriebsmodelle und die Auswahl eines zuverlässigen Anbieters können Unternehmen ihre Resilienz erheblich stärken und sicherstellen, dass sie im Ernstfall schnell wieder einsatzfähig sind.