Cyber Security: Wozu brauchen KMU einen Disaster Recovery Test?

Zahlreiche KMU verfügen über einen Disaster Recovery Plan (DRP). Dieser unterstützt ein Unternehmen dabei, Datenverluste zu beheben und die IT-Systemfunktionalität wiederherzustellen, damit es nach einem IT-Zwischenfall (Cyberattacken, IT-Ausfälle, Fehlmanipulationen) rasch wieder seine Geschäftstätigkeit aufnehmen kann. Doch was ist der Nutzen für KMU, wenn es seinen DRP mit einem Disaster Recovery Test überprüft?

Ein Wiederherstellungsplan oder Disaster Recovery Plan (DRP) ist in KMU eine wichtige Grundvoraussetzung um bei einem IT-Ausfall, umgehend und rasch zu reagieren – so kann es Ausfallzeiten auf ein Minimum reduzieren. Damit lassen sich sowohl finanzielle Schäden als auch negative Auswirkungen auf die Reputation minimieren. Der Disaster Recovery Plan beschreibt, wie ein Unternehmen nach einem IT-Vorfall seine Arbeit schnell wieder aufnehmen kann. Doch führt das KMU keine regelmässigen Tests des DRP durch,  so wiegt sich das Unternehmen in falscher Sicherheit: der Wiederherstellungsplan wurde zwar mit viel Aufwand erstellt, doch gibt es keinen Beweis dafür, dass dieser während einer Krisensituation auch zielführend seine Wirkung entfaltet. 

Weshalb ein Disaster Recovery Test?

Wenn eine Organisation weder Zeit noch Ressourcen in das Testen ihres Disaster Recovery Plans investiert, besteht eine hohe Wahrscheinlichkeit, dass der DRP im Ernstfall nicht wie erwartet ausgeführt werden kann – darunter leidet die Cyber Security. In der Folge zieht sich ein IT-Ausfall lange hin, betriebliche Prozesse geraten ins Stocken und die Geschäftstätigkeit verlangsamt sich oder kommt zum Stillstand. Der DRP ist zwar ein Schritt-für-Schritt-Plan, der bei Zwischenfällen die personellen Verantwortlichkeiten sowie die Kommunikation regelt und eine detaillierte Anleitung für die Wiederherstellung der Daten und IT-Systeme enthält. Auch beschreibt der Plan wie sich in einem Notbetrieb mit minimalen IT-Ressourcen die grundlegenden Geschäftsprozesse noch umsetzen lassen. Doch ohne wiederkehrende Disaster Recovery Tests besteht die Gefahr, dass der Plan ins Leere läuft.

Es ist deshalb in KMU ratsam, regelmässig Disaster Recovery Tests durchzuführen und sie in alle verschiedenen IT- und Personalschulungen einzubeziehen. Nach Abschluss des Tests analysiert das Disaster-Recover-Team die dabei entstandenen Protokolle und Daten, um festzustellen was erwartungsgemäss funktioniert und wo allenfalls noch Lücken bestehen. Auch lässt sich nach dem Test festlegen, welche Bestandteile des Plans in einem nächsten Test überprüft sein sollen.

Ziele des Disaster Recovery Tests  

Eines der  Hauptziele  eines  Disaster Recovery Tests  besteht darin,  die reibungslose Funktionsweise des DRP zu überprüfen und herauszufinden, ob sich die vordefinierten RTO-Vorgaben (Recovery Time Objective) erfüllen lassen – der RTO gibt an wie lange die maximale akzeptable Zeitdauer für ein Unternehmen sein darf, in der bestimmte Anwendungen, Systeme oder Daten nicht zur Verfügung stehen. Gleiches gilt für die RPO-Vorgaben (Recovery Point Objective). Der RPO zeigt auf, wieviel maximaler Datenverlust ein Unternehmen zwischen zwei Datensicherungen tolerieren kann. Falls beim Test unerwartete Probleme auftreten, gibt der Disaster Recovery Test auch Auskunft darüber, ob das KMU den Plan oder Teile davon anpassen muss.

Eine IT-Infrastruktur ist kein statisches System, daher müssen neue und aktualisierte Komponenten stets getestet werden. Seit der letzten Anpassung des Disaster Recovery Plans hat das Unternehmen möglicherweise Speichersysteme oder Server hinzugefügt oder aktualisiert, neue Anwendungen bereitgestellt oder ältere Anwendungen aktualisiert. Oder die Cloud spielt mit der Zeit eine grössere Rolle in der IT-Infrastruktur. Der Disaster Recovery Test trägt dazu bei, dass der DRP in einer sich dynamisch ändernde IT-Welt stets auf dem neuesten Stand und damit wirksam bleibt.

Arten von Disaster Recovery Tests  

Es gibt drei grundlegende Arten von Disaster Recovery Tests: die Plan-Überprüfung,  die Tabletop-Übung und die Simulation.

• Plan-Überprüfung: Bei der Plan-Überprüfung überprüft das Disaster Recovery Team den DRP genau und untersucht ihn im Detail, um allfällige Inkonsistenzen oder fehlende Elemente zu identifizieren. Jemand liest den Plan vor, die Teilnehmer stellen zu den einzelnen Punkten Fragen oder äussern wo notwendig ihre Zweifel. Die Verantwortlichen für die einzelnen Schritte nehmen die relevanten Punkte auf und machen im Anschluss Vorschläge für die Plananpassung.
  
  
• Tabletop-Übung : Bei der Tabletop-Übung oder dem Tabletop-Workshop kommen alle Team-Mitglieder des Disaster Recovery Teams und des erweiterten Teams zusammen, um Schritt für Schritt durch  alle  Komponenten des DRP zu gehen. Dabei finden Diskussionen statt, um festzustellen, wie sich die einzelnen Beteiligten im Notfall verhalten würden. Auf diese Weise lassen sich Unstimmigkeiten, fehlende Informationen oder Fehler im Plan aufdecken. Tabletop-Workshops werden zudem durch einen Workshop-Leiter moderiert.
  
  
• Simulation:  Das Simulieren von Notfällen ist eine gute Möglichkeit, um die Verfahren des DRP sowie die Ressourcen wie etwa Backup-Systeme in einer Notfallsituation aber auch die Reaktion der involvierten Mitarbeitenden zu überprüfen. Damit lässt sich feststellen, wie effektiv die im Disaster Recover Plan aufgeführten Wiederherstellungsschritte sind.

Die Simulation sollte so durchgeführt werden, dass die erstellten Szenarien die regulären Betriebsprozesse nicht vollständig zum Erliegen bringen. Dennoch sollten die Szenarien reale Situationen vermitteln, denn eine Testumgebung mit realitätsnahen Szenarien bringt echtere Reaktionen der Teammitglieder hervor, als wenn sie nur theoretisch den schriftlichen Disaster Recover Plan bewerten. Während der Simulation werden vom Disaster Recovery Team sämtliche fehlerhaften oder fehlenden Reaktionen in einem Bericht festgehalten. Die simulierten Szenarien sollen vom Disaster Recovery Team vollständig steuerbar sein, sodass im Falle eines Scheiterns des DRP, die Situation nicht aus dem Ruder gerät. Wichtig ist, die Geschäftsführung im Voraus darüber zu informieren, wann und wie die Simulationsübungen stattfinden und welche Ressourcen (personelle oder IT) während des Simulationstests unproduktiv sein können.

Einbezug von Experten

Für KMU mit geringer Erfahrung im Umsetzen von Disaster Recovery Tests ist es ratsam, einen ausgewiesenen Disaster-Recover-Experten beizuziehen. Dieser kann einerseits bei der Erstellung des DRP Unterstützung bieten und andererseits die Erstellung und Umsetzung von Disaster Recovery Tests begleiten.

Titelbild: Shutterstock