Weiterarbeiten, wenn etwas ausfällt

Wir beginnen nicht bei der Hardware, sondern bei Ihren Abläufen. Gemeinsam mit den Fachbereichen gehen wir durch, welche Tätigkeiten bei Ausfall welchen Systems stehenbleiben, welche sich für ein paar Stunden anders erledigen lassen und welche unmittelbar nach außen wirken – gegenüber Kunden, Lieferanten oder Behörden.

Daraus entsteht eine Reihung, die oft überrascht. Nicht selten ist das System, um das sich alle sorgen, überhaupt nicht das kritischste, während eine unscheinbare Nebenanwendung den gesamten Versand blockiert, sobald sie fehlt. Erst wenn diese Reihung steht, hat die Frage nach Cluster, zweitem Standort oder Ersatzhardware überhaupt eine belastbare Grundlage.

Wir benennen dabei auch die Fälle, in denen sich Absicherung nicht lohnt. Wenn eine Anwendung einen Arbeitstag Stillstand verträgt und die Wiederherstellung aus der Sicherung in vier Stunden erledigt ist, braucht sie keine Redundanz, sondern ein gutes Backup.

Zwei Kennzahlen steuern jedes Konzept. Die Wiederanlaufzeit beschreibt, wie lange ein System nach einer Störung höchstens nicht verfügbar sein darf. Der maximal hinnehmbare Datenverlust beschreibt, wie weit die Arbeit im Ernstfall zurückfallen darf – gemessen in Minuten oder Stunden zwischen zwei Sicherungspunkten.

Beide Werte legen Sie fest, nicht wir. Unsere Aufgabe ist, jede Vorgabe mit einem Preisschild zu versehen. Eine Wiederanlaufzeit von vier Stunden lässt sich in vielen Umgebungen mit vorgehaltener Ersatzhardware und geübter Rücksicherung erreichen. Fünfzehn Minuten erfordern laufende Spiegelung. Nahezu unterbrechungsfreier Betrieb bedeutet doppelte Auslegung über alle Ebenen samt zweitem Raum.

Erfahrungsgemäß fallen die genannten Wünsche in der ersten Runde sehr ambitioniert aus und werden deutlich realistischer, sobald die zugehörigen Kosten daneben stehen. Genau dieser Abgleich ist der eigentliche Wert der Übung.

Ausfallsicherheit ist kein Schalter, sondern eine Leiter. Die unterste Sprosse ist bereits wirksam und kostet wenig: dokumentierte Systeme, geprüfte Sicherungen, Ersatzteile im Schrank und ein Ablaufplan, der nicht im ausgefallenen System liegt.

Darüber folgen doppelt ausgelegte Einzelkomponenten, dann ein zweiter Knoten mit manueller Übernahme, dann automatische Übernahme im Verbund, schließlich die Verteilung auf zwei räumlich getrennte Bereiche. Jede Stufe schließt bestimmte Fehlerbilder aus und lässt andere offen – ein Verbund fängt den Ausfall eines Knotens auf, aber nicht den Ausfall des Speichers, an dem beide Knoten hängen, und auch nicht den fehlerhaften Konfigurationsbefehl, der auf beide wirkt.

Wir zeichnen diese Kette einzelner Schwachstellen mit Ihnen auf und markieren, welche davon Sie bewusst offenlassen. Eine verbleibende Schwachstelle, die man kennt und akzeptiert, ist unproblematisch. Gefährlich ist die, von der niemand weiß.

In der Praxis beginnen überraschend viele ungeplante Abschaltungen außerhalb der Server: eine ausgelöste Sicherung, eine USV mit gealterten Batterien, die unter Last binnen Sekunden einbricht, eine defekte Klimatisierung an einem heißen Wochenende, ein Wasserschaden im Raum unter der Technik.

Wir dimensionieren die unterbrechungsfreie Stromversorgung nach der tatsächlichen Last und nach dem Zweck: Soll sie nur kurze Netzschwankungen überbrücken oder ein geordnetes Herunterfahren aller Systeme ermöglichen? Beides erfordert unterschiedliche Auslegung und vor allem eine funktionierende Abschaltlogik, die im Ernstfall auch die virtuellen Maschinen sauber beendet.

Dazu gehört die laufende Überwachung von Batteriezustand, Raumtemperatur, Luftfeuchte und Netzqualität. Ein Batteriewechsel nach Plan ist Wartung; derselbe Wechsel nach einem Ausfall ist ein Schadensfall.

Bei Bedarf planen wir zusätzlich einen zweiten Internetzugang über einen anderen Anbieter und möglichst eine andere Zuführung ins Gebäude. Zwei Anschlüsse im selben Kabelkanal sind keine Redundanz.

Alles, was in einem Gebäude steht, teilt dessen Risiken – Brand, Wasser, Stromausfall im Anschlussbereich, im Extremfall auch die Unzugänglichkeit nach einem Vorfall. Deshalb gehört mindestens eine Kopie Ihrer Daten dauerhaft an einen anderen Ort.

Für viele mittelständische Unternehmen im Raum München ist die zweite Betriebsstätte, ein angemieteter Stellplatz in einem Rechenzentrum oder eine Sicherung in die Cloud der wirtschaftlich sinnvolle Weg. Entscheidend ist nicht nur die Entfernung, sondern die Unabhängigkeit: getrennte Stromversorgung, getrennter Netzzugang, getrennte Zugangsberechtigungen und eine Anmeldung, die nicht von derselben Verzeichnisstruktur abhängt, die gerade ausgefallen sein könnte.

Wir unterscheiden dabei klar zwischen zwei Zielen. Eine ausgelagerte Sicherung schützt den Datenbestand und erlaubt einen geordneten Wiederaufbau über Stunden oder Tage. Ein zweiter betriebsbereiter Standort erlaubt den Weiterbetrieb innerhalb von Minuten bis Stunden, kostet aber ein Vielfaches. Welches Ziel angemessen ist, ergibt sich aus den zuvor festgelegten Kennzahlen.

Bei der Übertragung achten wir auf ausreichende Bandbreite und darauf, dass die Erstübertragung großer Bestände nicht wochenlang die Leitung belegt.

Eine Übernahme, die nie ausgelöst wurde, funktioniert im Ernstfall erfahrungsgemäß nur teilweise. Typische Befunde aus solchen Tests: Eine Fachanwendung hängt an einer fest eingetragenen Adresse und findet ihren Dienst nach dem Schwenk nicht mehr. Eine Lizenz ist an die Kennung der ursprünglichen Maschine gebunden. Der Namensdienst zeigt noch minutenlang auf das alte System. Der Zugang zur Verwaltungsoberfläche liegt in einem Passwortspeicher, der selbst auf dem ausgefallenen Server lief.

Solche Details fallen ausschließlich im Test auf. Wir planen deshalb regelmäßige Schwenks in einem abgestimmten Fenster, protokollieren die tatsächlich benötigte Zeit gegen die vereinbarte Vorgabe und arbeiten die aufgedeckten Punkte ab. Wo ein vollständiger Schwenk zu riskant ist, testen wir in einer abgeschotteten Umgebung mit echten Daten.

Zum Test gehört auch der organisatorische Teil: Wer entscheidet über den Schwenk, wer informiert Mitarbeitende und Kunden, wie kommuniziert das Team, wenn Telefonie und E-Mail gerade Teil des Problems sind? Diese Fragen im Ernstfall zum ersten Mal zu stellen, kostet mehr Zeit als die Technik selbst.

Die Ergebnisse fließen zurück in die Dokumentation und in die Zielwerte. Häufig zeigt der erste Test, dass eine zugesagte Wiederanlaufzeit realistisch nachgeschärft werden muss.

Wir sagen es deutlich, weil es im Vertrieb gern untergeht: Redundanz schützt vor Ausfall, nicht vor Fehlern. Ein versehentlich gelöschter Ordner, eine fehlerhafte Datenbankänderung oder eine Verschlüsselung durch Angreifer wird von einem gespiegelten System zuverlässig mitgespiegelt – teils in Sekunden. Hochverfügbarkeit ersetzt daher unter keinen Umständen eine Datensicherung mit zeitlich zurückreichenden Ständen und unveränderbaren Kopien.

Ebenso ehrlich gehört gesagt: Für einen erheblichen Teil mittelständischer Unternehmen rechnet sich volle Redundanz nicht. Die Kunst besteht nicht darin, alles doppelt auszulegen, sondern zu bestimmen, welcher Ausfall wie teuer ist und wo die Absicherung diesen Betrag rechtfertigt. In vielen Häusern sind zwei bis drei Systeme wirklich kritisch – der Rest kommt mit einer geübten Wiederherstellung aus.

Und schließlich gilt: Jede zusätzliche Redundanz erhöht die Komplexität. Ein Verbund, den niemand im Haus versteht und dessen Konfiguration nicht dokumentiert ist, kann die Verfügbarkeit im Ergebnis sogar senken. Wir bauen deshalb nur, was sich auch dauerhaft betreiben, überwachen und im Bedarfsfall bedienen lässt.

Verfügbarkeitszusagen in Prozentform geben wir aus demselben Grund nicht. Wir vereinbaren Reaktions- und Wiederherstellungszeiten, für die wir tatsächlich einstehen können, und weisen im Bericht aus, wie die Umgebung im Vergleich dazu tatsächlich lief.