RPO und RTO (Wie viel Datenverlust, wie lange Ausfall)
Kurz gesagt
RPO und RTO sind zwei Zielwerte des Business Continuity Management (BSI-Standard 200-4, Stand Mai 2023). Der RPO (maximal zulässiger Datenverlust) sagt, wie alt verfügbare Daten höchstens sein dürfen; daraus folgt der Datensicherungszyklus. Der RTO (geforderte Wiederanlaufzeit) begrenzt die Zeit vom Ausrufen des Notfalls bis zum laufenden Notbetrieb und muss kürzer sein als die maximal tolerierbare Ausfallzeit.
Das Wichtigste
- RPO = maximal zulässiger Datenverlust; er bestimmt, wie oft gesichert werden muss.
- RTO = geforderte Wiederanlaufzeit vom Ausrufen des Notfalls bis zum laufenden Notbetrieb.
- Der RTO muss kürzer sein als die maximal tolerierbare Ausfallzeit (MTPD) des Prozesses.
- Der RPO ist unabhängig von MTPD und RTO; er gilt je Anwendung, IT-System oder Geschäftsprozess.
- Grundlage sind BSI-Standard 200-4 (Version 1.0, Stand Mai 2023) und ISO 22301:2019; beide binden nur über Gesetz oder Vertrag.
- Greifen mehrere Prozesse auf dieselbe Ressource zu, gilt der kleinste RTO- oder RPO-Wert.
RPO (Recovery Point Objective, deutsch: maximal zulässiger Datenverlust) ist der Wert für das Alter, das verfügbare Daten höchstens haben dürfen, damit ein zeitkritischer Geschäftsprozess nach einer Unterbrechung sinnvoll weiterläuft. RTO (Recovery Time Objective, deutsch: geforderte Wiederanlaufzeit) ist der Zeitraum vom Ausrufen des Notfalls bis zu dem Zeitpunkt, an dem die Notfall- oder BC-Lösung laufen muss.
Wofür die beiden Werte stehen
Beide Werte gehören zur Business-Impact-Analyse des Business Continuity Management. Der RPO ist eine fachliche Anforderung je Anwendung, IT-System oder Geschäftsprozess: Er sagt, bis zu welchem Datenstand die Fachseite im Notbetrieb arbeiten kann, und dient dazu, den notwendigen Sicherungszyklus abzuleiten. Der RTO wird den zeitkritischen Geschäftsprozessen und den Ressourcen zugeordnet, die sie benötigen; bei einem IT-System umfasst er auch das Zurücksetzen auf den letzten gesicherten Zustand. Zeitkritisch heißt ein Geschäftsprozess nach dem Glossar des BSI, wenn sein Ausfall innerhalb eines festgelegten Zeitraums zu einem nicht tolerierbaren, unter Umständen existenzgefährdenden Schaden führt.
Für den RPO gilt keine Ableitung: Er steht für sich und wird weder auf die maximal tolerierbare Ausfallzeit noch auf den RTO abgestimmt. Der RTO dagegen wird aus der maximal tolerierbaren Ausfallzeit des Prozesses abgeleitet und bleibt zwingend darunter, weil von ihr noch die Reaktionszeit abgeht. Teilen sich mehrere Prozesse eine Ressource, richtet sich deren Zielwert nach dem anspruchsvollsten Prozess.
Beispielrechnung: RPO 4 Stunden, RTO 1 Tag
Ein Handelsbetrieb legt für die Auftragsbearbeitung seines ERP zwei Zielwerte fest. Alle Zahlen sind erfundene Beispielannahmen.
| Kennzahl | Wert im Beispiel | Was daraus folgt |
|---|---|---|
| RPO (maximal zulässiger Datenverlust) | 4 Stunden | Der Sicherungszyklus darf höchstens 4 Stunden betragen: eine Vollsicherung alle 4 Stunden oder, bei einem Datenbanksystem mit Transaktionsprotokoll, eine stündliche Protokollsicherung mit einer Vollsicherung in der Nacht. |
| RTO (geforderte Wiederanlaufzeit) | 1 Tag (24 Stunden) | Der Weg vom Ausrufen des Notfalls bis zum laufenden Notbetrieb muss unter 24 Stunden bleiben. Der RTO ist die Vorgabe, an der sich die Wiederanlauflösung messen lassen muss; die Häufigkeit der Sicherungen ergibt sich aus dem RPO. Ob die Lösung den Wert erreicht, zeigt die gemessene erreichbare Wiederanlaufzeit (RTA). |
| MTPD (maximal tolerierbare Ausfallzeit) | 2 Tage | Der RTO von 1 Tag ist kürzer als die MTPD. Ohne diesen Abstand bliebe kein Spielraum für Reaktionszeit und Puffer. |
Aus dem RPO von 4 Stunden folgt die Sicherungsfrequenz: Eine einzige Vollsicherung um 23 Uhr genügt nicht, weil zwischen zwei Läufen bis zu 24 Stunden verloren gehen können. Aus dem RTO von 1 Tag folgt, wie lange die Wiederanlauflösung höchstens brauchen darf; die Häufigkeit der Sicherungen folgt aus dem RPO. Ob beides zusammenpasst, zeigt der Soll-Ist-Vergleich des Standards: Er stellt RTO gegen die tatsächlich erreichbare Wiederanlaufzeit und RPO gegen den tatsächlich gefahrenen Sicherungszyklus. In der Beispielrechnung ist die erreichbare Wiederanlaufzeit (RTA) die Größe, die der Betrieb messen muss. Wie Sie Ausfallkosten je Stunde rechnen, steht unter Ausfallkosten berechnen; den Ablauf der Messung beschreibt der Restore-Test fürs ERP.
Wo die Begriffe herkommen
Der BSI-Standard 200-4 „Business Continuity Management“ in der Version 1.0 (Stand Mai 2023) löst den BSI-Standard 100-4 ab; die Definitionen stehen auch im Glossar des BSI zum Standard (Stand Dezember 2023). International regelt die Norm ISO 22301:2019 „Security and resilience – Business continuity management systems – Requirements“ die Anforderungen an ein BCM-System; sie erschien erstmals 2012 und wurde 2019 überarbeitet. Der BSI-Standard ist mit dieser Fassung kompatibel, und der Anforderungskatalog des BSI bildet seine Anforderungen auf ISO 22301:2019 ab.
Beide Dokumente sind keine Rechtsnorm: Der BSI-Standard ist eine Methode und ein Anforderungskatalog des Bundesamts für Sicherheit in der Informationstechnik, ISO 22301 bindet nicht von sich aus. Verbindlich werden Zielwerte, wo ein Gesetz, eine Verordnung oder ein Vertrag auf sie verweist, etwa eine Servicevereinbarung mit einem Rechenzentrum; welche Werte das im Einzelfall sind, prüfen Sie gegen die Vereinbarung.
Nicht zu verwechseln mit
- MTPD (Maximum Tolerable Period of Disruption): die maximal tolerierbare Ausfallzeit eines Geschäftsprozesses, abgeleitet aus seinem Schadenspotenzial. Der RTO entsteht daraus und bleibt kürzer.
- RTA und RPA: die tatsächlich erreichbaren Werte (Recovery Time Actual, Recovery Point Actual). Der Soll-Ist-Vergleich prüft RTO gegen RTA und RPO gegen RPA.
- Backup: der RPO ist kein Sicherungsplan, sondern die Anforderung, aus der das Intervall folgt. Aufbau und Aufbewahrung beschreibt das Backup-Konzept fürs ERP, die Grundbegriffe das Glossar zu Backup und Sicherung.
- Ausfallzeit: der RTO beginnt erst mit dem Ausrufen des Notfalls. Erkennen, Alarmieren und Entscheiden liegen davor; die gesamte Ausfallzeit ist länger als der RTO.