Wiederherstellungstest, oder ob die Datensicherung trägt

Eine Datensicherung ohne Test bleibt eine Annahme

Grüne Statusanzeigen in der Konsole der Datensicherung sagen nur eines aus. Der Sicherungsauftrag wurde ausgeführt und ohne Fehler abgeschlossen. Sie zeigen nicht, ob sich aus dieser Kopie ein funktionsfähiger Dienst wiederherstellen lässt, bei dem sich jemand anmelden und arbeiten kann.

Dazwischen liegt eine große Lücke, die immer im ungünstigsten Moment sichtbar wird. Am Tag des Ausfalls, wenn die Benutzer auf die Rückkehr des Systems warten und Kunden anrufen. Eine nie wiederhergestellte Kopie bietet keinen Schutz. Sie bleibt eine Annahme.

Der Grund für diese Lücke ist banal. Die Datensicherungssoftware berichtet über ihre eigene Arbeit, also darüber, ob sie die Daten lesen und in eine Kopie schreiben konnte. Sie beurteilt nicht, ob die Kopie alles enthält, was zum vollständigen Neuaufbau des Dienstes benötigt wird, denn das kann sie nicht wissen. Das weiß nur, wer den Dienst betreibt, und auch erst, nachdem die Wiederherstellung einmal tatsächlich durchgeführt wurde.

Das zeigt sich sogar in etablierten Branchenregeln. Die klassische 3-2-1-Regel sieht drei Kopien der Daten auf zwei Arten von Speichermedien vor, davon eine außerhalb des Unternehmensstandorts. Die neuere 3-2-1-1-0-Regel ergänzt eine vom Netzwerk getrennte Kopie und null Fehler. Die Null steht für Kopien, die durch regelmäßige Wiederherstellungstests geprüft werden. Tests sind keine Ergänzung zur Datensicherung. Sie sind ein Bestandteil davon.

Test einer Datei und Test eines ganzen Dienstes

Das sind zwei völlig unterschiedliche Vorgänge, die sehr oft gleich bezeichnet werden.

Die Wiederherstellung einer Datei belegt, dass das Speichermedium funktioniert, der Sicherungskatalog konsistent ist und sich die Daten abrufen lassen. Sie dauert wenige Minuten, und eine Person genügt. Ein nützlicher, aber sehr begrenzter Test.

Die Wiederherstellung eines Dienstes weist etwas völlig anderes nach, weil sie die gesamte Kette prüft. Dazu gehören die Maschine, das Betriebssystem, die Konfiguration, die Datenbank, Konten und Berechtigungen, die Lizenz, die Adressierung, das Zertifikat sowie die Verbindungen zu anderen Systemen. Sie dauert Stunden und erfordert mehrere Personen. Erst dieser Test beantwortet die eigentliche Frage der Geschäftsleitung. Kann das Unternehmen seine Arbeit wieder aufnehmen?

Die meisten Unternehmen, die von einer getesteten Datensicherung sprechen, haben Dateien getestet.

So läuft ein Wiederherstellungstest ab

Ein Wiederherstellungstest ist eine geplante Übung mit festgelegtem Umfang. Es geht nicht darum, alles auf einmal wieder in Betrieb zu nehmen. Der Test umfasst vier Elemente, und keines davon darf fehlen.

Was wird wiederhergestellt. Ausgewählt wird das, dessen Ausfall das Unternehmen am schnellsten lahmlegt. Meist ist das ein einzelnes System mit Datenbank, der E-Mail-Dienst oder ein Dateiserver, nicht der gesamte Serverraum.

Wohin wird wiederhergestellt. In eine isolierte Umgebung, also in ein separates Netzwerk ohne Route zum Produktivnetz. Das ist keine Formalität. Ein wiederhergestellter Server weiß nicht, dass er eine Kopie ist. Wenn wir es zulassen, beginnt er, E-Mails zu empfangen, in die Datenbank zu schreiben, sich zu replizieren und Daten nach außen zu senden.

Wie die Zeit gemessen wird und wer das Ergebnis bestätigt. Gemessen wird von der Entscheidung zur Wiederherstellung bis zu dem Zeitpunkt, an dem tatsächlich jemand im System arbeitet. Nicht maßgeblich ist die Zeit vom Start des Auftrags bis zum Ende des Kopiervorgangs. Die Vollständigkeit bestätigt die Person, die täglich mit dem System arbeitet, nicht der Administrator. Die Buchhalterin öffnet ein Dokument eines bestimmten Tages. Der Vertriebsmitarbeiter sucht nach seinem Angebot. Ein Administrator erkennt, dass der Dienst läuft, aber nicht, dass die Daten der letzten zwei Tage fehlen.

Was der erste Test meist aufdeckt

Der erste Test verläuft fast nie reibungslos. Genau darin liegt sein ganzer Wert. Diese Probleme treten regelmäßig auf:

• der Dienst startet, wartet aber auf einen Domänencontroller, einen Lizenzserver oder ein anderes System, das niemand in die Liste der wiederherzustellenden Systeme aufgenommen hat,
• das Kennwort eines Dienstkontos wurde bei der Einführung einmal von einer Person gesetzt, die nicht mehr im Unternehmen arbeitet, sodass zwar die Sicherung vorhanden ist, das Kennwort aber nicht,
• die Datenbanksicherung enthält keine Transaktionsprotokolle, sodass die Datenbank auf dem Stand der letzten Vollsicherung startet und nicht auf dem Stand unmittelbar vor dem Ausfall,
• die Sicherung der Maschine umfasst nicht die Netzwerkkonfiguration, sodass die Maschine zwar läuft, aber weder Adressierung noch VLAN, Firewall-Regeln oder einen veröffentlichten Dienst hat und niemand sie erreicht,
• niemand kennt die Reihenfolge, in der die Dienste starten müssen, sodass sie sich gegenseitig blockieren,
• ein Zertifikat ist abgelaufen oder eine Lizenz ist an die alte Hardware gebunden, sodass der Dienst startet und sofort den Betrieb einstellt.

Keines dieser Probleme ist in der Konsole der Datensicherung zu sehen. Alle werden in der ersten Stunde des Tests sichtbar.

Die Erkenntnisse aus dem ersten Test sind mehr wert als das Ergebnis selbst, denn jedes dieser Probleme lässt sich im Voraus beheben. Ein fehlendes System wird in den Sicherungsumfang aufgenommen. Die Kennwörter der Dienstkonten werden in den Passwortmanager des Unternehmens übertragen. Die Sicherung der Transaktionsprotokolle wird einfach aktiviert. Adressierung, Regeln und Startreihenfolge werden einmal schriftlich dokumentiert. Die Behebung vor einem Ausfall kostet einige Arbeitsstunden. Dieselbe Behebung während eines Ausfalls kostet das gesamte Unternehmen einen Arbeitstag.

Zu langsam ist ebenfalls ein negatives Testergebnis

Manchmal ist ein Test erfolgreich und dennoch ein Misserfolg. Die Daten sind vollständig und der Dienst funktioniert, doch die Wiederherstellung hat um ein Vielfaches länger gedauert, als irgendjemand im Unternehmen angenommen hatte.

Die benötigte Zeit ist daher ebenso ein Testergebnis wie die Vollständigkeit der Daten. Deshalb muss sie vor einem Ausfall gemessen werden und nicht währenddessen. Sobald der tatsächliche Wert bekannt ist, gibt es drei Möglichkeiten: die Art der Speicherung der Datensicherungen ändern, einen schnelleren Wiederherstellungsweg für die wichtigsten Systeme vorbereiten oder diesen Zeitbedarf bewusst akzeptieren und die Menschen im Unternehmen darüber informieren. Jede dieser Möglichkeiten ist besser, als die Wahrheit an einem Freitagabend zu erfahren.

Aus der Zeitmessung ergibt sich auch die Reihenfolge. Da nicht alles gleichzeitig wieder verfügbar ist, muss jemand entscheiden, was zuerst wiederhergestellt wird. Das ist eine unternehmerische Entscheidung, keine technische, und sie sollte in Ruhe getroffen werden.

Die gemessene Zeit sollte auch jemand außerhalb der IT-Abteilung kennen. Die für das Unternehmen verantwortliche Person liest eine Aussage über eine Wiederherstellung, die einen halben Tag dauert, ganz anders als ein Diagramm in der Konsole der Datensicherung. Nur diese Person kann sagen, ob ein halber Tag vertretbar ist oder ob für die Verkürzung dieser Zeit bezahlt werden muss.

Wie oft getestet werden sollte

Ein einmaliger Test verschafft Gewissheit für einen Tag. Die Umgebung verändert sich, und ein Ergebnis aus dem vergangenen Jahr beschreibt das vergangene Jahr.

Ein sinnvoller Rhythmus hat zwei Geschwindigkeiten. Der kleine Test, also die Wiederherstellung einer Datei oder einer einzelnen Maschine, wird häufig durchgeführt und nimmt wenig Zeit in Anspruch. Der große Test, also die Wiederherstellung eines vollständigen Dienstes mit Bestätigung durch einen Nutzer, findet seltener statt, wird jedoch terminlich geplant und vorbereitet.

Unabhängig vom Rhythmus gibt es Ereignisse, nach denen der Test wiederholt werden muss:

• die Aufnahme eines neuen Systems oder einer neuen Maschine in die Umgebung,
• ein Versionswechsel beim Betriebssystem, bei der Datenbank oder bei der Datensicherungssoftware,
• eine Änderung des Speicherorts der Datensicherungen oder ihrer Aufbewahrungsdauer,
• eine Änderung der Adressierung, der Firewall oder der Art, wie ein Dienst veröffentlicht wird,
• eine Änderung des Personenkreises mit Zugriff auf die Konsole der Datensicherung.

Die Regel ist einfach. Wenn sich etwas geändert hat, das die Wiederherstellung beeinflussen würde, dann hat sich etwas geändert, das den vorherigen Test ungültig macht.

Was im Protokoll festzuhalten ist

Ein Test ohne Dokumentation bleibt eine Anekdote. Das Protokoll muss nicht lang sein, aber immer demselben Schema folgen, damit sich zwei Tests nach einem Jahr vergleichen lassen.

Folgende Angaben gehören hinein:

• das Datum des Tests und die beteiligten Personen,
• was aus welcher Sicherung wiederhergestellt wurde, mit dem Datum dieser Sicherung,
• das Ziel der Wiederherstellung, also eine Beschreibung der isolierten Umgebung,
• die Startzeit, die Endzeit und die gemessene Dauer bis zu dem Zeitpunkt, an dem das System nutzbar war,
• wer die Vollständigkeit der Daten bestätigt hat und worin diese Bestätigung bestand,
• was nicht funktioniert hat, was dagegen unternommen wurde und was an der Konfiguration geändert wurde,
• Termin und Umfang des nächsten Tests.

Dieses Dokument erweist sich in drei Situationen als wertvoll: bei einem Audit, im Gespräch mit einem Versicherer und beim Wechsel des IT-Dienstleisters, wenn nach dem Datum der letzten erfolgreichen Wiederherstellung gefragt wird.

Seinen größten Nutzen zeigt das Protokoll jedoch beim zweiten und dritten Test. Dann lässt sich erkennen, ob die Wiederherstellungszeit mit der Datenmenge steigt, ob die Hinweise aus dem vorherigen Test umgesetzt wurden und ob der Testumfang auch die Systeme einschließt, die im Laufe des Jahres hinzugekommen sind. Ein Protokoll dokumentiert ein Ereignis. Drei Protokolle zeigen bereits, in welche Richtung sich das Unternehmen entwickelt.

Eine Frage, die Sie stellen sollten

Wenn Sie prüfen möchten, wie es um Ihre Datensicherung tatsächlich steht, genügt eine Frage an die zuständige Person oder das betreuende Unternehmen. Wann haben wir zuletzt Daten aus einer Sicherung wiederhergestellt und was genau haben wir dabei wiederhergestellt?

Die Aussage, dass die Sicherungen täglich erstellt werden und keine Fehler gemeldet werden, beantwortet diese Frage nicht. Die Antwort besteht aus dem Datum, dem Umfang und dem Namen der Person, die bestätigt hat, dass die Daten vollständig waren. Wenn niemand diese Angaben nennen kann, bedeutet das noch nicht, dass mit den Sicherungen etwas nicht stimmt. Es bedeutet nur, dass niemand es weiß.

Wir führen bei unseren Kunden Wiederherstellungstests durch, denn ohne diese Tests bleibt die laufende Datensicherung lediglich ein Versprechen. Wenn Sie Ihre Sicherungen prüfen möchten und nicht wissen, wo Sie anfangen sollen, rufen Sie uns unter +48 662 036 615 an oder schreiben Sie an [email protected].

Dieses Projekt ansehen