Disaster Recovery: Shop nach dem Ernstfall wiederherstellen

Ein DR-Plan ohne messbare Ziele bleibt unverbindlich. Zwei Kennzahlen geben ihm Struktur: RTO (Recovery Time Objective) beschreibt, wie schnell der Shop nach einem Ausfall wieder verfügbar sein muss. RPO (Recovery Point Objective) beschreibt, wie viel Datenverlust akzeptabel ist -- also wie alt der jüngste verfügbare Datenstand höchstens sein darf. Ein RPO von einer Stunde bedeutet: Im schlimmsten Fall gehen die Daten der letzten 60 Minuten verloren. Ein RTO von vier Stunden bedeutet: Der Shop ist spätestens vier Stunden nach dem Ausfall wieder online.

Beide Werte haben direkte wirtschaftliche Bedeutung. Der RTO bestimmt die maximale Ausfallzeit und damit den Umsatzverlust -- die durchschnittlichen Kosten ungeplanter Ausfälle werden in aktuellen Studien auf rund 5.600 US-Dollar pro Minute (Gartner) beziffert, wobei dieser Wert stark nach Branche und Unternehmensgröße variiert. Der RPO bestimmt, wie viele Bestellungen, Kundenkonten oder Inhaltsänderungen im Ernstfall manuell nachgepflegt werden müssen. Je niedriger beide Werte, desto höher der technische und finanzielle Aufwand -- die Kunst liegt in der wirtschaftlich sinnvollen Balance.

Die richtige Stufe hängt vom Geschäftsmodell ab. Ein Shop mit wenigen Bestellungen pro Tag kommt mit einem RPO von 24 Stunden aus, ein umsatzstarker Shop mit hunderten Transaktionen pro Stunde benötigt einen RPO im Minutenbereich. Diese Einordnung ist die Grundlage jedes DR-Plans und sollte gemeinsam mit der technischen Realität der Hosting-Umgebung festgelegt werden. Sie entscheidet darüber, welcher technische Aufwand betrieben werden muss und welche Restklasse an Risiko bewusst getragen wird.

Ein DR-Plan muss verschiedene Ausfallarten abdecken, denn jede erfordert einen anderen Wiederherstellungsweg. Ransomware verschlüsselt Daten und macht parallel oft auch die Backups zum Ziel -- die durchschnittliche Ausfallzeit nach einem Ransomware-Angriff liegt bei 24,6 Tagen (Statista). Hardware-Defekte am Server, fehlerhafte Updates, gelöschte Datenbanken durch Bedienfehler, Ausfälle beim Hosting-Provider und kompromittierte Systeme nach einem Einbruch zählen ebenfalls zu den realistischen Szenarien.

Für das Szenario einer Kompromittierung greifen DR-Plan und Sicherheitsvorfall ineinander. Wie die Bereinigung und der saubere Wiederanlauf nach einem Einbruch ablaufen, beschreibt der Notfallplan für eine gehackte Website im Detail. Wichtig dabei: Die Wiederherstellung muss aus einem Stand vor der Kompromittierung erfolgen, da spätere Sicherungen bereits Schadcode enthalten können.

Der Restore-Test ist das, was einen DR-Plan von einer Backup-Konfiguration unterscheidet. Beim Test wird die Wiederherstellung in einer isolierten Umgebung tatsächlich durchgeführt -- idealerweise in einer dafür vorgesehenen Staging-Umgebung, die das Produktivsystem nachbildet. Der Test deckt auf, was in der Theorie übersehen wurde: fehlende Berechtigungen, vergessene Konfigurationsdateien, inkompatible PHP- oder Datenbank-Versionen, abgelaufene Zertifikate oder unvollständige Backups.

Ein vollständiger Restore-Test misst auch die tatsächliche RTO: Wie lange dauert die Wiederherstellung wirklich? Liegt der gemessene Wert über dem definierten Ziel, muss entweder der Prozess optimiert oder das Ziel realistisch angepasst werden. Diese Messung macht aus einer Annahme eine belastbare Zusage. Die Recovery-Geschwindigkeit verbessert sich messbar: 53 Prozent (Varonis, 2025) der Organisationen erholten sich 2025 innerhalb einer Woche von einem Ransomware-Vorfall, gegenüber 35 Prozent (Varonis, 2025) im Vorjahr -- ein Fortschritt, der ohne getestete Pläne kaum erreichbar ist.

Ein niedriger RTO entsteht durch Automatisierung und Vorbereitung. Je mehr Schritte vorab dokumentiert, skriptbasiert oder vorgehalten sind, desto kürzer die Ausfallzeit. Ein vorbereitetes Bereitschaftssystem (Warm- oder Hot-Standby) kann die RTO von Stunden auf Minuten senken, ist aber aufwendiger und kostenintensiver. Für viele Shops ist ein gut dokumentierter, geübter manueller Restore-Prozess mit klarer Reihenfolge der pragmatische Mittelweg.

Ein professionelles Monitoring verkürzt die Erkennungszeit eines Ausfalls auf Minuten und ist damit die Voraussetzung für eine kurze RTO -- denn die Ausfallzeit beginnt mit dem Ausfall, nicht mit der Entdeckung. Je früher ein Problem erkannt wird, desto früher startet die Wiederherstellung.

Bei der RTO lohnt sich eine differenzierte Betrachtung der einzelnen Wiederherstellungsphasen. Die gemessene Gesamtzeit setzt sich typischerweise aus Erkennung, Entscheidung, Datentransfer, Wiederaufbau und Verifikation zusammen. In vielen Fällen ist nicht der eigentliche Restore der Flaschenhals, sondern die vorgelagerte Klärung -- wer entscheidet, welches Backup verwendet wird, und wer hat Zugriff auf die nötigen Systeme. Wer diese organisatorischen Schritte vorab klärt und in den Plan aufnimmt, gewinnt im Ernstfall oft mehr Zeit als durch jede technische Optimierung. Ein realistischer DR-Plan berechnet die RTO daher als Summe aller Phasen, nicht nur der reinen Kopierzeit der Daten.

Zu berücksichtigen ist auch der Wiederanlaufort. Fällt nur eine Komponente aus, genügt die Wiederherstellung auf der bestehenden Infrastruktur. Fällt jedoch der gesamte Standort oder Hosting-Provider aus, muss der Shop auf einer alternativen Umgebung wieder hochgefahren werden -- mit allen Abhängigkeiten von DNS bis Zahlungsanbindung. Dieser Fall sollte im DR-Plan separat beschrieben und mindestens einmal geprobt werden, da er deutlich mehr Schritte umfasst als ein einfacher Restore am selben Ort. Die standortunabhängige Offsite-Kopie ist hier die technische Grundvoraussetzung, der dokumentierte Wiederanlaufprozess die organisatorische.

Disaster Recovery ist keine einmalige Einrichtung, sondern ein fortlaufender Prozess. Backup-Ketten müssen überwacht, Restore-Tests regelmäßig durchgeführt und der Plan an jede größere Änderung des Shops angepasst werden. In einem Wartungsvertrag wird dieser Prozess zur planbaren Routine: definierte RTO- und RPO-Ziele, überwachte Sicherungen, dokumentierte Wiederherstellungsabläufe und Restore-Tests in festen Intervallen.

Der Vorteil liegt in der Verlässlichkeit. Statt im Ernstfall zu improvisieren, folgt ein eingespieltes Team einem geübten Ablauf. Die Investition in einen DR-Plan ist dabei ein Bruchteil der potenziellen Schadenssumme -- angesichts von durchschnittlich rund 356.000 US-Dollar Ausfallkosten pro Tag (Varonis, 2025) bei größeren Vorfällen rechnet sich Vorbereitung schnell. Wie ein Wartungsvertrag im Detail aufgebaut ist, beschreibt der Beitrag dazu, was ein Wartungsvertrag enthalten sollte.