Widerstandsfähige IT-Infrastruktur für DACH-Unternehmen

Ausfallsicherheit wird meist als Produkt gekauft und ist tatsächlich eine Menge von Fähigkeiten — von denen jede geprüft sein muss, um überhaupt zu existieren.

Die Unterscheidung zählt, weil nahezu jede Organisation glaubt, eine Wiederherstellungsfähigkeit zu haben, und deutlich weniger eine ausgeführt haben. So sieht der Unterschied in der Praxis aus — und wo DACH-Erwartungen die Latte höher legen.

Warum die Latte hier höher liegt

Zwei Kräfte, und es sind nicht dieselben.

Kundschaft. Schweizer und deutsche Beschaffung legt an einen Lieferanten mit fünfzig Personen dieselben Verfügbarkeits- und Wiederherstellungserwartungen an wie an einen mit fünfhundert — und fragt im Einkauf danach. Eine langsame oder vage Antwort kostet Zeit in einem ohnehin langen Verkaufszyklus.

Regulierung. Für finanznahe Unternehmen erwartet die FINMA eine dokumentierte Risikobeurteilung, Prüfrechte und einen belegbaren Ausstieg für ausgelagerte Dienste. Nach revDSG/nDSG und DSGVO sind Verfügbarkeit und Integrität von Personendaten Teil der Pflicht, keine betriebliche Höflichkeit.

Die praktische Folge: Ausgaben für Ausfallsicherheit fallen meist vor dem Ertrag an, der sie rechtfertigt. Das ist unangenehm — und es ist der Markt, in dem Sie sind.

Wiederherstellungsziele kommen aus dem Geschäft, nicht aus der IT

Die Grundlage von allem Folgenden sind zwei Zahlen je Anwendung:

• Wie viel Datenverlust können wir verkraften? (Wiederherstellungspunkt)
• Wie lange darf sie nicht verfügbar sein? (Wiederherstellungszeit)

Das sind Geschäftsentscheidungen. Die IT kann sagen, was jede Stufe kostet; nur das Geschäft kann sagen, was eine Stunde Nichtverfügbarkeit an Aufträgen, Konventionalstrafen oder Ruf kostet.

Der häufige Fehler ist ein einziges Verfügbarkeitsziel über die ganze Landschaft. Es gibt zu viel für Systeme aus, die niemand vermissen würde, und schützt die zwei zu wenig, die den Ertrag tragen. Die Differenzierung je Anwendung ist, wo das Geld liegt.

Notfallwiederherstellung, die ausgeführt wurde

Ein Wiederherstellungsplan, der nie ausgeführt wurde, ist eine Hypothese. Der erste Ernstfall ist der denkbar schlechteste Zeitpunkt, das herauszufinden.

Was eine echte Fähigkeit umfasst:

• Sicherungen, durch Wiederherstellung geprüft — nicht durch einen grünen Haken in einer Konsole
• Ein dokumentiertes Handbuch, dem jemand ausser der Autorin folgen kann
• Eine Übung nach Plan — mindestens jährlich, mit schriftlich festgehaltenem Ergebnis
• Ein geprüfter Ausfall einer ganzen Verfügbarkeitszone, nicht nur einer Instanz
• Ein ausgeführter Rückfall, idealerweise während einer Migrationswelle mit geringem Einsatz

Die Übung ist der Punkt, der unter Zeitdruck gestrichen wird — und der einzige, der aus einem Plan eine Fähigkeit macht.

Verwaltete Dienste: was abgeben, was behalten

Den Betrieb an einen Managed-Provider zu geben ist vernünftig — und es überträgt die Verantwortung nicht. Nach FINMA-Auslagerungserwartungen und nach den Auftragsverarbeitungspflichten der DSGVO bleibt sie bei Ihnen.

Was das im Vertrag bedeutet:

• Benannte Servicelevel mit Folgen, keine Absichten
• Prüfrechte, die Sie tatsächlich ausüben können
• Offenlegung der Unterauftragsverarbeiter — Ihr Anbieter hat Lieferanten, und diese Kette gehört in Ihre Dokumentation
• Zugriffskontrolle, nicht nur Datenstandort. Wo Daten liegen, ist die einfache Hälfte; wer von welcher Rechtsordnung aus zugreift, ist die geprüfte
• Ein dokumentierter Ausstieg — Datenexport, Übergabe der Zugangsdaten, eine Frist, die einen Übergang erlaubt

Intern behalten: das Wissen um die eigenen Wiederherstellungsziele und die Fähigkeit zu prüfen, ob der Anbieter sie erfüllt. Eine Fähigkeit, die Sie nicht prüfen können, ist eine Behauptung.

Multi-Cloud: durch eine Anforderung gerechtfertigt, nicht durch eine Vorliebe

Multi-Cloud wird häufig als Ausfallsicherheit vorgeschlagen und ist öfter Betriebslast. Zwei Plattformen bedeuten zwei Kompetenzsätze, zwei Sicherheitsmodelle und zwei Kostenmodelle — meist mit halber Tiefe in beiden.

Gerechtfertigt, wenn: eine Aufsicht oder ein Kundenvertrag nachweisbare Unabhängigkeit von einem einzelnen Anbieter verlangt oder eine bestimmte Arbeitslast anderswo tatsächlich besser läuft.

Nicht gerechtfertigt durch: eine allgemeine Vorliebe für Wahlfreiheit. Für die meisten DACH-KMU liefert eine Plattform mit dokumentiertem Ausstiegspfad mehr reale Ausfallsicherheit als zwei dünn betriebene.

Der ehrliche Mittelweg ist für die meisten Landschaften Hybrid statt Multi-Cloud — regulierte Daten in der Schweiz, schwankende Last in der Cloud, je Arbeitslast entschieden statt nach Überzeugung. Die Begründung steht in Warum der DACH-Markt Evolution bevorzugt.

Kosten, ohne das Falsche zu kürzen

Ausfallsicherheit und Kostenkontrolle gelten als Gegensatz. Meist sind sie es nicht — dieselbe Disziplin dient beidem:

• Dimensionierung senkt Ausgaben, ohne die Ausfallsicherheit zu berühren
• Nicht-Produktionsumgebungen zeitgesteuert abschalten ebenso
• Ungenutzte Systeme stilllegen verbessert beides, denn jedes System ist auch Angriffsfläche und Wiederherstellungspflicht

Zwei Dinge nicht kürzen, weil sie mehr kosten, als sie sparen:

Protokollierung und Überwachung. Es entfernt die Nachweise, die Sie bei einer Störung brauchen — und bei regulierten Arbeitslasten einen Teil dessen, was Sie aufbewahren müssen.

Die Wiederherstellungsübung. Sie zu streichen spart einen Tag im Jahr und macht aus Ihrer Fähigkeit wieder eine Hypothese.

Wie «widerstandsfähig» auf dem Papier aussieht

Sechs Punkte. Liegen sie vor, beantworten Sie einen Beschaffungsfragebogen in Tagen statt Wochen:

1. Wiederherstellungspunkt und -zeit je Anwendungsklasse, mit dem Geschäft abgestimmt
2. Sicherungen, planmässig durch Wiederherstellung geprüft
3. Ein geübtes Wiederherstellungshandbuch mit festgehaltenem letztem Ergebnis
4. Schriftliche Antworten zu Datenstandort, Zugriff, Unterauftragsverarbeitern und Ausstieg
5. Überwachung mit definierten Schwellen und benannter reagierender Person
6. Eine benannte Plattformverantwortung nach Ende eines Migrationsvorhabens

Weiterführend

• Cloud-Migration: Vorbereitungscheckliste für IT-Leitung
• Cloud oder On-Premises: Was für KMU sinnvoll ist
• Cloud & DevOps

Wenn Sie diese sechs Punkte für Ihre Landschaft erstellen und prüfen möchten, vereinbaren Sie ein Gespräch. Unverbindlich.