BCP vs. DRP: Planung für Unterbrechungen und Wiederherstellung

Business Continuity Planning (BCP) und Disaster Recovery Planning (DRP) sind verwandte, aber eigenständige Disziplinen. BCP konzentriert sich darauf, den Geschäftsbetrieb während einer Störung aufrechtzuerhalten – durch manuelle Prozesse, Ausweichstandorte oder Betriebsmodi mit eingeschränktem Service. DRP konzentriert sich speziell auf die Wiederherstellung von IT-Systemen und Infrastruktur nach einer Katastrophe. BCP ist der übergeordnete Rahmen: DRP ist ein Bestandteil von BCP und behandelt die technologische Wiederherstellung. Beide Pläne müssen dokumentiert, getestet und aktuell gehalten werden.

BCP und DRP werden durch störende Ereignisse aktiviert, die die normale Reaktion auf Betriebsstörungen übersteigen. Zu den Auslösern gehören: Ransomware-Angriffe, die kritische Systeme verschlüsseln, Naturkatastrophen (Überschwemmungen, Erdbeben oder Tornados, die das primäre Rechenzentrum beschädigen), Infrastrukturausfälle (längerer Stromausfall oder Ausfall des Internetdienstanbieters), Pandemien oder Notlagen im Bereich der öffentlichen Gesundheit (COVID-19 hat die Bedeutung von Plänen für die Aufrechterhaltung des Remote-Betriebs gezeigt) sowie Unterbrechungen der Lieferkette, die die Beschaffung von Ersatzhardware verhindern.

Eine Business Impact Analysis (BIA) ist das grundlegende Dokument sowohl für den BCP als auch für den DRP. Sie ermittelt, welche Geschäftsprozesse kritisch sind und um jeden Preis fortgeführt werden müssen, welche Prozesse wichtig sind, aber Verzögerungen tolerieren können, welche finanziellen und betrieblichen Auswirkungen ein Ausfall jedes einzelnen Prozesses hat (Umsatzverlust pro Stunde, regulatorische Strafen, Reputationsschäden) und welche maximal tolerierbare Ausfallzeit für jeden Prozess gilt. Die Ergebnisse der BIA bestimmen unmittelbar die Zielwerte für RTO und RPO, aus denen sich die Anforderungen an die technische Wiederherstellung ableiten.

Wird eine Katastrophe ausgerufen, tritt ein Crisis Management Team (CMT) zusammen und übernimmt die Führung über die Reaktion der Organisation. Dem CMT gehören die oberste Führungsebene sowie die Bereiche IT, Recht, Kommunikation, Personalwesen und Gebäudemanagement an. Das CMT folgt einer vordefinierten Incident Command Structure (ICS), die klare Zuständigkeiten festlegt: Wer trifft Wiederherstellungsentscheidungen, wer kommuniziert mit Kunden und Medien, wer koordiniert die Zusammenarbeit mit Anbietern und Aufsichtsbehörden und wer kümmert sich um das Wohlergehen der Mitarbeitenden? Klare Führungsstrukturen verhindern Chaos und Missverständnisse, die die Auswirkungen einer Katastrophe noch verstärken würden.

Ein BCP stützt sich typischerweise auf Ausweichstandorte, um den Betrieb wieder aufzunehmen, wenn der primäre Standort nicht verfügbar ist. Ein Hot Site ist eine vollständig ausgestattete Duplikat-Umgebung, die kontinuierlich synchronisiert wird und innerhalb weniger Minuten übernehmen kann. Eine Warm Site verfügt über Ausrüstung und Stromversorgung, benötigt jedoch Stunden bis Tage, um Daten zu laden und Systeme zu konfigurieren. Eine Cold Site ist eine leere Einrichtung mit Stromversorgung und Netzwerkverbindung – die Ausrüstung muss geliefert und installiert werden, was Tage bis Wochen dauert. Hot Sites sind deutlich teurer, minimieren jedoch die Ausfallzeit kritischer Prozesse.

Vereinbarungen zur gegenseitigen Unterstützung sind Verträge zwischen Organisationen, die im Katastrophenfall Hilfe leisten. Zu den gängigen Formen gehören: gegenseitige Vereinbarungen (zwei Organisationen vereinbaren, im Katastrophenfall jeweils den Betrieb der anderen zu beherbergen), externe DR-Dienstleister (Unternehmen wie Sungard oder IBM stellen Einrichtungen für die Notfallwiederherstellung als Dienstleistung bereit) und branchenweite Organisationen zur gegenseitigen Unterstützung (Versorgungsunternehmen, Banken und Gesundheitssysteme verfügen über formelle Netzwerke zur gemeinsamen Nutzung von Ressourcen bei regionalen Katastrophen). Vereinbarungen zur gegenseitigen Unterstützung müssen jährlich überprüft und im Rahmen von Übungen aktiviert werden.

Kommunikationspläne sind ein wesentlicher Bestandteil des BCP. Während einer Katastrophe können normale Kommunikationskanäle nicht verfügbar sein (E-Mail-Server ausgefallen, Bürotelefone nicht erreichbar). Die Pläne müssen Folgendes enthalten: Notfallkontaktlisten mit persönlichen Mobilfunknummern, Kommunikationskanäle außerhalb der regulären Infrastruktur (Slack, eine Backup-Instanz von Teams, persönliche E-Mail), Verfahren zur Kundenbenachrichtigung (Statusseiten, soziale Medien, direkte E-Mail), gesetzliche Benachrichtigungspflichten (Gesetze zur Meldung von Datenschutzverletzungen, Finanzaufsichtsbehörden) und Medienarbeit zur Steuerung öffentlicher Stellungnahmen.

Eine wirksame BCP-Dokumentation umfasst mehrere wichtige Bestandteile: die BIA (identifiziert kritische Prozesse und die maximal tolerierbare Ausfallzeit), den BCP selbst (Schritt-für-Schritt-Verfahren zur Aufrechterhaltung des Betriebs), den DRP (Verfahren zur Wiederherstellung der IT), Notfallkontaktverzeichnisse, Kontaktlisten von Anbietern (Cloud-Anbieter, ISPs, wichtige Lieferanten), Versicherungsunterlagen und Verfahren zur Benachrichtigung von Aufsichtsbehörden. Alle Dokumente müssen an Orten gespeichert werden, die auch bei einem Ausfall der primären Systeme zugänglich sind – etwa als Ausdrucke, in einem sicheren Cloud-Speicher mit Offline-Zugriff oder auf USB-Laufwerken, die von wichtigen Mitarbeitenden verwahrt werden.

COVID-19 hat gezeigt, dass die meisten BCP-Pläne Pandemie-Szenarien nicht ausreichend berücksichtigten, bei denen die Katastrophe nicht lokal begrenzt ist, sondern alle Standorte gleichzeitig betrifft. Zu den wichtigsten Erkenntnissen gehören: Stellen Sie sicher, dass die VPN-Infrastruktur skalierbar ist, um 100 % der Belegschaft bei der Arbeit aus dem Homeoffice zu unterstützen (und nicht nur 20–30 %, wie es bei den Designs vor der Pandemie angenommen wurde), implementieren Sie Cloud-basierte Tools für die Zusammenarbeit, die ohne lokale Infrastruktur funktionieren, überprüfen Sie, ob kritische Prozesse vollständig aus der Ferne ausgeführt werden können, und stellen Sie die Kontinuität der Lieferkette für Hardware sicher, wenn kurzfristig Arbeitsplätze in den Wohnungen der Mitarbeitenden eingerichtet werden müssen.

Ein BCP, der nie getestet wurde, wird im Ernstfall versagen. Zu den regelmäßigen Testverfahren gehören: Tabletop-Übungen (besprechungsbasierte Durchläufe mit wichtigen Mitarbeitenden, ohne Aktivierung von Systemen), funktionale Übungen (Kommunikationsketten und teilweise Wiederherstellungsverfahren werden tatsächlich aktiviert), Tests unter realen Bedingungen (der Betrieb wird auf den Ausweichstandort verlagert und dort eine Zeit lang fortgeführt) sowie Nachbesprechungen von Vorfällen, bei denen der Plan auf Grundlage realer Erfahrungen aktualisiert wird. Die Pläne sollten jährlich überprüft und nach jeder wesentlichen Änderung der Infrastruktur aktualisiert werden.

Viele regulierte Branchen schreiben BCP und DRP vor. HIPAA verpflichtet betroffene Organisationen zu Notfallplänen, die Datensicherungen, Notfallwiederherstellung und Verfahren für den Betrieb im Notfallmodus umfassen. PCI-DSS verlangt Pläne zur Reaktion auf Vorfälle und Verfahren zur Geschäftskontinuität für Systeme innerhalb des Geltungsbereichs. FINRA und Bankenaufsichtsbehörden verlangen detaillierte BCPs mit jährlichen Tests und einer Vorlage bei den Aufsichtsbehörden. Anbieter von Cyberversicherungen verlangen zunehmend einen dokumentierten und getesteten BCP als Voraussetzung für den Versicherungsschutz und können Ansprüche ablehnen, wenn bei Eintritt eines versicherten Ereignisses kein Plan vorhanden oder dieser nicht getestet worden ist.

Testen Sie Ihr Verständnis der Konzepte aus CompTIA Security+ (SY0-701) in dieser Lektion.

In dieser Lektion haben Sie gelernt: Der BCP hält den Geschäftsbetrieb während Störungen aufrecht, während der DRP IT-Systeme wiederherstellt; die Business Impact Analysis identifiziert kritische Prozesse und die maximal tolerierbare Ausfallzeit, aus denen sich die Anforderungen an die Wiederherstellung ergeben; und Ausweichstandorte (Hot, Warm und Cold) bieten unterschiedliche Geschwindigkeiten und Kosten für die Wiederaufnahme des Betriebs, wenn der primäre Standort nicht verfügbar ist. Als Nächstes sehen wir uns RTO, RPO und MTTR an – die konkreten Kennzahlen zur Quantifizierung von Wiederherstellungszielen.