Das Recovery Point Objective (RPO) ist die maximale Datenmenge – gemessen in Zeit – die Ihr Unternehmen nach einer ungeplanten Unterbrechung verlieren darf, um weiterhin innerhalb akzeptabler Grenzen arbeiten zu können.

Stellen Sie sich RPO wie eine Uhr für Datenverluste vor: Sie beginnt ab dem Moment, in dem ein Ausfall, ein Cyberangriff oder ein menschlicher Fehler eintritt, rückwärts zu ticken und bleibt bei Ihrem letzten nutzbaren Sicherungs- oder Replikationszeitpunkt stehen. Jede Sekunde zwischen diesen beiden Zeitpunkten entspricht Daten, die Sie möglicherweise nie wieder zurückerhalten.

NISTdefiniert RPOals „den Zeitpunkt, bis zu dem Daten nach einem Ausfall wiederhergestellt werden müssen“. Diese Definition erscheint auf den ersten Blick einfach. In der Praxis wirft die Festlegung des richtigen RPO jedoch wichtige Fragen auf: Welche Workloads sind am wichtigsten, wie oft werden Backups erstellt und wie viel wird in die Replikationsinfrastruktur investiert?

Cyberangriffe, Cloud-Ausfälle und versehentliche Löschungen treten zu Zeitpunkten auf, die Sie nicht beeinflussen können. Unternehmen, die klare RPO-Ziele festlegen – und diese durch automatisierte, richtliniengesteuerte Backups durchsetzen –, sind in der Lage, die Wiederherstellung innerhalb der für das Unternehmen akzeptablen Toleranzgrenzen durchzuführen, anstatt im Nachhinein hektisch nach Lösungen suchen zu müssen.

Dieser Leitfaden erläutert Ihnen, wie RPO funktioniert, worin es sich vom Recovery Time Objective (RTO) unterscheidet, welche Beispiele es aus der Praxis gibt, wie man RPO berechnet und welche entscheidende Rolle RPO bei der Cyber-Resilienz spielt.

So funktioniert RPO bei der Geschäftskontinuitätsplanung

Das RPO ist die „Uhr für den Datenverlust“, die Ihre Backup-Häufigkeit bestimmt. Wenn Ihr RPO für eine Datenbank eine Stunde beträgt, sollten Backups mindestens alle 60 Minuten durchgeführt werden. Wenn Sie diesen Rhythmus verfehlen, haben Sie möglicherweise bereits Ihre Toleranzgrenze überschritten, bevor überhaupt etwas schiefgeht.

In einem Business-Continuity-Plan bildet das RPO zusammen mit dem RTO eine der beiden Säulen der Recovery. Während das RTO die Frage „Wie schnell können wir die Systeme wieder in Betrieb nehmen?“ beantwortet, beantwortet das RPO die Frage „Wie aktuell werden die wiederhergestellten Daten sein?“. Beide fließen in die übergeordnete Disaster-Recovery-Strategie ein – und beide sollten durch regelmäßige Tests validiert werden und nicht nur in einem Ordner dokumentiert bleiben.

RPO kann auch eine Compliance-Dimension haben:

• Vorschriften wie das HIPAA verlangen in der Regel, dass Einrichtungen des Gesundheitswesens wiederherstellbare Kopien elektronischer Patientendaten aufbewahren.
• Der SOX enthält Bestimmungen darüber, dass Finanzunterlagen prüfbar und vollständig aufbewahrt werden müssen.
• Die DSGVO sieht vor, dass personenbezogene Daten nach einem technischen Zwischenfall zeitnah wiederherstellbar sein sollten.

Wenn bei einem Angriff Produktionsdaten verschlüsselt werden, entspricht die Zeitspanne zwischen Ihrer letzten fehlerfreien Sicherung und dem Zeitstempel der Verschlüsselung dem Datenverlust. Diese Zeitspanne ist Ihr RPO in der Praxis – und sie entscheidet darüber, ob Recovery nur wenige Stunden dauert oder zu einer Krise wird.

Das Fazit für die Praxis: RPO ist kein Wert, den man einmal festlegt und dann vergisst. Er sollte die aktuellen Datenänderungsraten, Compliance-Vorgaben und die tatsächliche Bedrohungslage widerspiegeln – und er sollte durch automatisierte Backup-Richtlinien durchgesetzt werden.

RPO vs. RTO: Was ist der Unterschied?

RPO und RTO sind zwei Seiten derselben Medaille, wenn es um Recovery geht, messen jedoch unterschiedliche Größen.

RPO betrachtet den Zeitpunkt des Ausfalls rückblickend. Es lautet die Frage: „Wie viele Daten können wir uns leisten zu verlieren?“ Die Antwort wird in Zeit angegeben – Minuten, Stunden oder Tage –, die die Zeitspanne zwischen der letzten fehlerfreien Sicherung und dem Ausfall darstellt.

RTO blickt vom Zeitpunkt des Ausfalls aus in die Zukunft. Es lautet: „Wie schnell müssen Systeme wieder betriebsbereit sein?“ Die Antwort wird ebenfalls in Zeit ausgedrückt, misst jedoch eher die Ausfalltoleranz als die Toleranz gegenüber Datenverlusten.

Beide Kennzahlen sollten gemeinsam definiert werden. In einem Unternehmen mit einem RPO von 15 Minuten, aber einem RTO von 24 Stunden liegen aktuelle Daten einen ganzen Tag lang ungenutzt vor. Umgekehrt bedeutet ein RTO von vier Stunden in Verbindung mit einem RPO von 24 Stunden, dass die Systeme zwar schnell wieder verfügbar sind – allerdings mit veralteten Daten.

Die Abstimmung der RPO- und RTO-Ziele vor dem Eintreten eines Vorfalls – und deren Überprüfung durch regelmäßige Disaster-Recovery-Tests – kann den Unterschied zwischen einer wohlüberlegten Reaktion und einem hektischen Gerangel ausmachen.

RPO-Stufen und Beispiele aus der Praxis

Nicht jede Arbeitslast erfordert denselben RPO. Durch eine Abstufung der RPOs nach ihrer geschäftlichen Bedeutung lässt sich der Schutz dort gewährleisten, wo es darauf ankommt, und die Kosten dort im Rahmen halten, wo dies nicht der Fall ist.

Stufe 0: RPO nahe Null (Sekunden bis Minuten): Datenbanken für Finanztransaktionen, elektronische Patientenakten und Echtzeit-Handelsplattformen erfordern in der Regel Continuous Data Protection (CDP) oder synchrone Replikation. Diese Workloads generieren jede Sekunde Umsatz oder sind von regulatorischer Bedeutung, sodass selbst Datenverluste im Minutenbereich schwer zu verkraften sein können. Unternehmen, die ein RPO nahe Null umsetzen, nutzen in der Regel CDP oder synchrone Replikation, um das Datenverlustfenster so gering wie möglich zu halten.

Stufe 1: 1–4 Stunden: Hier fallen häufig Customer-Relationship-Management-Systeme (CRM), E-Mail-Plattformen und Auftragsabwicklungssysteme unter. Häufige inkrementelle Backups – alle 15 bis 60 Minuten – tragen dazu bei, den Datenverlust innerhalb eines akzeptablen Rahmens zu halten. Die Kosten sind moderat, und die geschäftlichen Auswirkungen des Verlusts von einigen Stunden an E-Mail- oder CRM-Aktualisierungen lassen sich in der Regel durch manuelle Neueingabe bewältigen.

Stufe 2: 4–12 Stunden: Interne Tools für die Zusammenarbeit, Entwicklungsumgebungen und Projektmanagement-Plattformen werden in der Regel in diesem Bereich betrieben. Regelmäßige Backups alle 4 bis 6 Stunden können ein ausgewogenes Verhältnis zwischen Datensicherheit und Speicherkosten gewährleisten.

Stufe 3: 12–24 Stunden: Marketing-Analysearchive, historische Protokolle und Referenzdokumentation lassen sich oft durch tägliche Cloud-Backups sichern. Da sich die Daten nur langsam ändern und eine Wiederherstellung möglich ist, sind tägliche Backups kosteneffizient.

Durch eine mehrstufige Speicherstruktur können Unternehmen ihre Investitionen gezielt auf den Schutz jener Workloads konzentrieren, bei denen jede Minute Datenverlust die höchsten Kosten verursacht, und gleichzeitig überhöhte Ausgaben für Archive vermeiden, die sich nur einmal pro Woche ändern.

RPO und Cyber-Resilienz

Ransomware kümmert sich nicht um Ihren Backup-Zeitplan – aber Ihr RPO bestimmt, wie viel Spielraum Angreifer haben. Ein knapp bemessenes RPO bedeutet, dass zwischen Ihrem letzten unveränderlichen Backup und dem Verschlüsselungsvorfall weniger Daten liegen, was dazu beiträgt, den Schadensumfang eines Angriffs zu verringern.

Cyber-Resilienz hängt nicht allein von der Häufigkeit der Datensicherung ab. Luftisolierte, unveränderliche Sicherungskopien tragen zum Schutz vor Angreifern bei, die Produktionsumgebungen kompromittieren, sodass diese nicht auf Recovery-Daten zugreifen oder diese verändern können. Wenn diese Sicherungskopien außerhalb des primären Cloud-Kontos gespeichert werden, schaffen Sie eine Isolation, die Ransomware einfach nicht überwinden kann.

An dieser Stelle fügt sich Clumio von Commvault in Ihre RPO-Strategie ein. MitClumio, speichern Sie Ihre Sicherungsdaten in einer isolierten, vollständig verwalteten Umgebung außerhalb Ihres primären AWS-Kontos. Dank der granularen Wiederherstellung zu einem bestimmten Zeitpunkt können Sie den Zustand zu einem genau definierten Zeitpunkt vor dem Angriff wiederherstellen – und so den Datenverlust auf das von Ihnen festgelegte RPO minimieren. Das System wurde entwickelt, damit Sie die Kontrolle über Ihre Recovery-Prozesse behalten, ohne auf dieselbe Infrastruktur angewiesen zu sein, die der Angreifer kompromittiert hat.

Unternehmen, die strenge RPOs mit unveränderlichen, isolierten Backups einhalten, können die Zahlung von Lösegeld vermeiden, da sie einwandfreie Daten eigenständig wiederherstellen können.

Die Formel ist einfach: Strengere RPO-Vorgaben in Verbindung mit unveränderlichen, isolierten Backups führen in der Regel zu einer geringeren Angriffsfläche und einer schnelleren, saubereren Recovery-Prozedur. Das ist die Grundlage für Cyber-Resilienz.