So definieren Sie klare RTO- und RPO-Vorgaben für alle Backup-Stufen

Wer Zeitvorgaben für die Wiederherstellungszeit (RTO) und Ziele des Wiederherstellungspunktes (RPO) klar definiert, schafft zwischen MSPs und Kund:innen ein gemeinsames, realistisches Verständnis der Wiederherstellung. Die RTO legt fest, wie schnell Systeme wieder verfügbar sein müssen, das RPO bestimmt den Umfang des akzeptablen Datenverlusts.

Ohne dokumentierte Vorgaben für RTO und RPO setzen MSPs bei der Wiederherstellung leicht die falschen Prioritäten und lassen kritische Systeme und Daten ungeschützt.

Strategien, um die Backup-Planung an RTO und RPO auszurichten

Grundsätzlich gilt: Die Erwartungen an die Wiederherstellung müssen zu den passenden Wiederherstellungszielen passen, abgestimmt auf die Kritikalität von Systemen und Daten. Das verhindert verschwendete Ressourcen durch unpassende Wiederherstellungsstrategien und macht die Ergebnisse planbarer und besser auf die Anforderungen der Kund:innen abgestimmt.

📌 Anwendungsfälle: Klar definierte RTO-/RPO-Vorgaben richten die Ressourcen eines MSP an den geschäftlichen Prioritäten der Kund:innen aus. Werden Systeme und Daten in Stufen dokumentiert, können MSPs ihre SLA-Zusagen einhalten und gleichzeitig die Strategien ihrer Kund:innen für Business Continuity und Notfallwiederherstellung (BCDR) stärken.

📌 Voraussetzungen:

• Zugriff auf Backup-Protokolle
• Zentrale Dokumentationsplattform (z. B. NinjaOne Docs)
• Klarer Überblick über Kundensysteme und Geschäftsprozesse
• Dokumentiertes Asset-Inventar
• Gemeinsam vereinbarte Definition von RTO und RPO

Strategie 1: Standardisierte Backup-Stufen definieren

Jeder Endpunkt erfüllt in einer Umgebung eine bestimmte Funktion. Werden Endpunkte in Stufen eingeteilt, spiegelt das ihre Kritikalität bei einem Ausfall, einer Ausfallzeit oder einem Datenverlust wider. Standardisierte Backup-Stufen für eine Kundenumgebung sorgen dafür, dass die Wiederherstellungsstrategien genau auf die Bedeutung des jeweiligen Endpunkts zugeschnitten sind.

💡 Hinweis: Halten Sie Ihre Wiederherstellungsziele im Einklang mit Ihren tatsächlichen Backup-Kapazitäten. (Siehe ⚠️ Worauf Sie achten sollten.)

Beispiel für standardisierte Backup-Stufen mit RTO- und RPO-Vorgaben

Werden Systeme nach ihren erwarteten geschäftlichen Auswirkungen in Stufen eingeordnet, können Kund:innen ihre Wiederherstellungsziele bei einem Ausfall besser nachvollziehen.

Stufe	Beschreibung	RTO-Vorgabe	RPO-Vorgabe	Beispiele
0	Geschäftskritische Dienste	< 15 Min.	< 1 Min.	Zahlungs-Gateways, Kiosksysteme und Transaktionsdatenbanken
1	Zentrale Unternehmensdienste	1 bis 4 Stunden	5 bis 15 Minuten	CRM-Systeme und Dateiserver
2	Abteilungswerkzeuge	4 bis 12 Stunden	30 bis 60 Minuten	HR-Tools und Reporting-Dashboards
3	Selten genutzte Systeme	12 bis 24 Stunden	4 bis 24 Stunden	Dateiarchive

Strategie 2: Systeme mit einer Business Impact Analysis zuordnen

Eine Business Impact Analysis (BIA) liefert Erkenntnisse zu den verschiedenen Kriterien für die Stufenzuordnung. Techniker:innen können eine BIA nutzen, um Systeme zu bewerten und der passenden Stufe zuzuweisen.

Wer die Kritikalität der Systeme kennt, kann gemeinsam mit den Kund:innen festlegen, welche Ausfallzeiten und Datenverluste tolerierbar sind. Das verhindert Fehleinstufungen, denn ein großes System ist nicht zwangsläufig kritisch und ein kleines nicht automatisiert zweitrangig.

⚠️ Wichtig: Ungenaue BIAs führen zu falschen Stufenzuordnungen. (Siehe ⚠️ Worauf Sie achten sollten.)

Zentrale BIA-Kriterien für die Stufenzuordnung

• Finanzielle oder operative Verluste durch Ausfallzeiten. Bewerten Sie, wie sich ein System bei Ausfallzeit und Datenverlust auf Umsatz, Transaktionen und Kernprozesse auswirkt. Fällt beispielsweise ein Kassensystem aus, kann der Verkauf komplett zum Erliegen kommen, was es zu einem System der Stufe 0 macht.
• Compliance- oder Regulierungsrisiken. Systeme, die strengen externen Vorgaben unterliegen, etwa den HIPAA-Anforderungen an Daten-Backups, benötigen unter Umständen kürzere Wiederherstellungszeiten und häufigere Backups.
• Zahl der betroffenen Benutzer:innen. Je mehr Benutzer:innen von einem Ausfall betroffen sind, desto größer sind die Auswirkungen auf das Unternehmen. Kurz gesagt: Ein System, das alle Beschäftigten betrifft, gehört in eine höhere RTO-/RPO-Stufe als eines, das nur ein kleines Team nutzt.
• Abhängigkeiten bei der Wiederherstellung. Systeme, auf die kritische Prozesse angewiesen sind, erfordern dieselbe Dringlichkeit wie die kritischen Systeme selbst. Werden diese Abhängigkeiten erkannt und den dringlichen Wiederherstellungsstufen zugeordnet, lassen sich Backup-Strategien deutlich straffen.

Strategie 3: RTO und RPO in einem Template für Kund:innen dokumentieren

Sind die Systeme in Stufen eingeteilt, sollten MSPs diese Einteilung in einer leicht verständlichen Form und Sprache festhalten. Eine dokumentierte Backup-Strategie dient bei einem Ausfall als Referenz und stellt sicher, dass alle Abläufe den vereinbarten Zielen folgen.

Anschaulich dargestellte Wiederherstellungsziele schaffen schon bei der Einarbeitung Transparenz für Kund:innen. Nehmen Sie die Dokumentation in vierteljährliche Geschäftsüberprüfungen (QBRs) auf, um zu verdeutlichen, wie die bestehenden Backup-Strategien zu den operativen Anforderungen der Kund:innen passen.

Beispiel für eine Dokumentation für Kund:innen

System	Stufe	Erwartete Wiederherstellungszeit (RTO)	Schwelle für Datenverlust (RPO)	Anmerkungen
QuickBooks Server	1	2 Stunden	1 Stunde	Vollständiges Systemabbild; stündliches Backup
Archiv-NAS	3	24 Stunden	12 Stunden	Nächtliches Backup in den Cold Storage
Microsoft 365-Postfächer	2	4 bis 12 Stunden	30 Minuten	Abgedeckt durch das Microsoft 365-Backup von NinjaOne

Strategie 4: Backup-Strategien auf jede Stufe abstimmen

Für MSPs ist es entscheidend, dass die Backup-Frequenz die von den Kund:innen geforderten Wiederherstellungszeiten und Datenverlustschwellen überhaupt einhalten kann. Ein RPO von 15 Minuten lässt sich beispielsweise nicht zusagen, wenn Backups nur stündlich laufen.

MSPs sollten ihre Ressourcen außerdem kosteneffizient einsetzen, um die Backup-SLAs einzuhalten, ohne ein Vermögen auszugeben. Für kritische Systeme eignen sich leistungsstarke Backup-Lösungen, für unkritische Systeme genügen günstige Speicherorte.

Beispielstufen und passende Backup-Strategien

• Stufe 0. Die Wiederherstellung muss hier sehr schnell erfolgen, da diese Stufe operativ unverzichtbare Systeme enthält. Mögliche Lösungen sind kontinuierliche Replikation oder Failover-Cluster, um die Verfügbarkeit zu maximieren.
• Stufe 1. Ordnen Sie dieser Stufe Systeme zu, die das Tagesgeschäft tragen, damit Arbeitsabläufe nicht unterbrochen werden. Techniker:innen können häufige Image-Backups und Snapshots einsetzen, um RTO und RPO dieser Stufe einzuhalten.
• Stufe 2. Diese Stufe ist Systemen vorbehalten, die längere Wiederherstellungsfenster verkraften. Stündliche inkrementelle Backups reduzieren die Last, kombiniert mit täglichen Vollsicherungen für verlässliche Wiederherstellungspunkte.
• Stufe 3. Hier gehören selten genutzte Systeme und Dateien hinein. Setzen Sie auf günstigen Cold Storage, da längere Wiederherstellungszeiten für archivierte Dateien in der Regel vertretbar sind.

Strategie 5: RTO- und RPO-Compliance mit leichtgewichtigen Prüfungen verifizieren

Sind alle Backup-Strategien den Stufen zugeordnet, folgt als nächster Schritt der Test, ob sie auch funktionieren. Mit schlanken Tests können Techniker:innen Abweichungen in den Backup-Richtlinien aufdecken und sicherstellen, dass Systeme ihrer zugewiesenen RPO-/RTO-Stufe weiterhin entsprechen.

Techniker:innen können Testläufe durchführen und Backup-Protokolle prüfen, um zu kontrollieren, ob die Backup-Frequenz die RPO-Vorgabe erfüllt. Für die RTO liefern manuelle und geplante Wiederherstellungstests die Kennzahlen, um die tatsächliche Wiederherstellungszeit zu messen.

Daten aus Protokollen, regelmäßigen Tests und der Dashboard-Überwachung liefern MSPs umsetzbare Erkenntnisse und verhindern, dass aus Problemen echte Vorfälle werden. So bleibt die Servicequalität hoch, weil die Backup-Strategien mit geringem Aufwand kontinuierlich verbessert werden.

Strategie 6: Backup-Planung in Kundengespräche und Reviews einbinden

Mit dem Wachstum der Unternehmen verändern sich auch die Anforderungen der Kund:innen. Eine transparente und proaktive Kommunikation der Backup-Strategien, von der Einarbeitung bis zu den QBRs, unterstützt diese Weiterentwicklung.

Themen für die Einarbeitung

Die ersten RTO- und RPO-Vorgaben sollten bereits bei der Einarbeitung festgelegt werden, basierend auf den Prioritäten der Kund:innen und den technischen Möglichkeiten. So verstehen Kund:innen, wie ihre Wiederherstellungsstrategien vor und nach einem Vorfall aussehen.

Vierteljährliche Geschäftsüberprüfungen

Halten Sie anhand von Wiederherstellungsprotokollen, Dashboards und Tests fest, welche Systeme die Wiederherstellungsziele erreicht haben und welche nicht. Das ergibt eine transparente Auswertung, die erfolgreiche Jobs hervorhebt und Lücken aufdeckt. So können Kund:innen fundiert über Anpassungen der Stufen entscheiden.

Rückblick nach einem Vorfall

Wiederherstellungspläne sollten sich an der tatsächlichen Leistung orientieren, nicht an Annahmen und Simulationen. Vergleichen Sie nach einem Vorfall oder Ausfall die reale Wiederherstellungsleistung mit den Wiederherstellungszielen, um bestehende Backup-Strategien und Stufenzuordnungen zu verbessern.

Dokumentation und Audits

Nehmen Sie alle Änderungen an Stufenzuordnungen, RTO-/RPO-Vorgaben oder Strategien samt Begründung in Ihre Berichte auf. Archivieren Sie diese Berichte, damit interne Teams und Kund:innen bei Reviews auf einen klaren Audit-Trail zurückgreifen können.

⚠️ Worauf Sie achten sollten

Risiken	Mögliche Folgen	Gegenmaßnahmen
Zu ambitionierte RTO- und RPO-Vorgaben	Unrealistische Wiederherstellungsziele führen zu SLA-Verstößen und unzufriedenen Kund:innen.	Prüfen Sie Wiederherstellungsprotokolle und Backup-Intervalle und passen Sie die Stufenzuordnungen entsprechend an. Informieren Sie Kund:innen über Änderungen an RTO/RPO, bevor Sie sie umsetzen.
Falsche Backup-Stufe zugewiesen	Falsche Stufenzuordnungen können kritische Systeme bei Ausfällen ungeschützt lassen.	Führen Sie die Business Impact Analysis erneut durch, um Lücken und Fehlzuordnungen zu erkennen, und ordnen Sie Systeme anschließend nach Kritikalität der passenden Stufe zu.
Fehlende Validierungsprüfungen	Backup- und Wiederherstellungsleistung können mit der Zeit abweichen, wodurch Service-Erbringung und angestrebte Wiederherstellungsziele auseinanderlaufen.	Planen Sie leichtgewichtige Validierungen ein, um RTO- und RPO-Compliance regelmäßig zu überprüfen. So erkennen Techniker:innen Abweichungen proaktiv, bevor sie für Kund:innen zum großen Problem werden.
Mangelhafte Kundenkommunikation	Bei schlechter Kommunikation wissen Kund:innen nichts von Grenzen und Änderungen der Wiederherstellung und verlieren womöglich das Vertrauen in ihren MSP.	Sprechen Sie Wiederherstellungsziele bei der Einarbeitung und in QBRs an. Dokumentieren Sie Validierungsergebnisse und sämtliche Änderungen, damit Kund:innen einen klaren Audit-Trail haben.

NinjaOne-Integration für gestufte Backup-Lösungen

NinjaOne bündelt Tagging, Dokumentation und Berichterstattung in einer einheitlichen Benutzeroberfläche. So können MSPs SLA-konforme Backup-Strategien für ihre Kund:innen umsetzen und Wiederherstellung sowie Transparenz durch Automatisierung sicherstellen.

• Benutzerdefinierte Felder. Nutzen Sie benutzerdefinierte Felder, um Assets mit ihrer zugewiesenen Stufe und den jeweiligen Wiederherstellungszielen zu kennzeichnen und so den Überblick zu behalten.
• Alarmierungen in Echtzeit. Richten Sie benutzerdefinierte Warnmeldungen ein, damit zuständige Techniker:innen sofort erfahren, wenn die Vorgaben für das Endpunkt-Backup nicht erfüllt werden.
• Strukturierte Dokumentation. Hinterlegen Sie die Compliance-Anforderungen für RTO und RPO sowie Runbooks pro Kund:in und teilen Sie sie im Technikerteam.
• Berichterstattung und Analytics. Wählen Sie aus zahlreichen Templates, um IT-Rohdaten zu aussagekräftigen Berichten zu verdichten, die den Mehrwert für Ihre Kund:innen belegen.

Mit klar definierten RTO- und RPO-Vorgaben zum Kundenerfolg

Eine erfolgreiche Backup-Strategie beruht auf Gegenseitigkeit: Kund:innen kommunizieren ihre Unternehmensziele offen, MSPs legen im Gegenzug ihre Wiederherstellungsziele offen. Diese beidseitige Transparenz sorgt dafür, dass Erwartungen an Wiederherstellung und Reaktion auf Vorfälle übereinstimmen.

Gute Backup-Strategien sollten mit den Kund:innen mitwachsen. Werden klar definierte Zielvorgaben in Einarbeitung, QBRs und Nachbetrachtungen von Vorfällen eingebunden, werden Resilienz und Verantwortung zur gemeinsamen Aufgabe von MSPs und Kund:innen.

Verwandte Themen:

• RTO vs. RPO: Worin liegt der Unterschied?
• Der komplette Leitfaden zu Daten-Backup und Wiederherstellung
• Was ist Backup and Disaster Recovery (BDR) und warum brauchen Sie es?
• So erstellen Sie einen Notfallwiederherstellungsplan (DRP)