Private Cloud · Notfallwiederherstellung
Zwei Zahlen,
nicht eine
Der Wiederherstellungspunkt (RPO) sagt, wie viele Minuten Arbeit ein Ausfall kostet. Die Wiederherstellungszeit (RTO) sagt, wie lange es dauert, bis wieder jemand arbeiten kann. Beide werden ständig verwechselt und sind bei ENTRONYX CLOUD getrennt zugesichert: 0 min bis 24 h Datenverlust, 20 min bis 8 h bis zum Wiederanlauf — je nach Stufe.
Einschränkung: Die schärfste Zusage — Synchrone Metro-Spiegelung ohne Datenverlust — gilt nur im Metro-Paar fra1 und fra2, 8,3 km Luftlinie auseinander. Wer gegen ein Ereignis schützen will, das den ganzen Ballungsraum trifft, braucht die zweite Kopie weiter weg. Er nimmt dafür einen Wiederherstellungspunkt über null in Kauf.
- Datenverlust (RPO)
- 0 min – 24 h
- Wiederherstellungspunkt: wie viele Minuten Arbeit ein Ausfall kostet
- Wiederanlauf (RTO)
- 20 min – 8 h
- Wiederherstellungszeit: wie lange es bis zur ersten fachlichen Antwort dauert
- Abstand zum zweiten Standort
- 14 km
- Faserweg im Metro-Paar; die regionalen Stufen verlangen mindestens 200 km
- Sockel ab
- 149,00 €
- je geschützter Umgebung und Monat, netto
Vier Stufen
Der Wiederherstellungspunkt (RPO) sagt, wie viel Arbeit im Ernstfall verloren geht. Die Wiederanlaufzeit (RTO) sagt, wie lange es bis zur ersten fachlichen Antwort dauert. Beide Zahlen gelten nur unter einer Bedingung — und die steht bei jeder Stufe dabei, nicht im Kleingedruckten.
Der Replikationsabstand ist der Grund, warum ein RPO überhaupt eine Zahl hat: Zwischen zwei Läufen der Stufe Asynchrone Replikation liegen genau 15 Minuten, und wer in Minute vierzehn ausfällt, verliert diese vierzehn Minuten. In der Stufe Gesicherte Wiederherstellung sind es 24 Stunden. Nur die synchrone Spiegelung kennt keinen Abstand — dort wird jeder Schreibvorgang an beiden Standorten quittiert, bevor die Anwendung ihn als erledigt sieht.
Die Wiederanlaufzeit hängt an einer zweiten Bedingung, die nicht in der Zahl steckt: an der Kapazität in der Zielregion. Gesicherte Wiederherstellung läuft auf freier Kapazität an und hält ihre Zeitzusage deshalb nur werktags im Tagesfenster. Pilot Light hält einen Host vor und startet sofort — aber mit rund einem Viertel der Produktivleistung, bis weitere Hosts zugeschaltet sind. Die Zusagen unterscheiden sich damit nicht nur in der Zahl, sondern in dem, was sie voraussetzen.
Wiederherstellung
Zeitachse logarithmisch · 5 min bis 24 h
Wiederherstellungsstufen: Datenverlust und Wiederanlauf
- RPO — Datenverlustfenster vor der Störung
- RTO — Wiederanlauf nach der Störung
- Engste Stufe — kürzester Wiederanlauf, hervorgehoben
- RPO 0 — synchron gespiegelt, kein Datenverlust
Beide Achsenhälften sind logarithmisch gestaucht. Linear gezeichnet wäre die schnellste Stufe ein Strich: 15 Minuten sind ein Prozent von 24 Stunden. Die Stauchung hat einen Preis, der hier ausgesprochen gehört — gleich lange Strecken bedeuten gleiche Faktoren, nicht gleiche Minuten: Der Weg von 15 Minuten auf 1 Stunde ist genauso lang wie der von 6 auf 24 Stunden. Beide vervierfachen die Zeit, der eine kostet 45 Minuten, der andere 18 Stunden. Ein RPO von 0 hat auf einer logarithmischen Achse keinen Ort und sitzt deshalb als eigene Marke direkt auf der Störungsachse.
Wiederherstellungspunkt (RPO), Wiederanlaufzeit (RTO) und Preisbestandteile je Stufe. Beträge netto; der Satz je geschütztem Gigabyte liegt unter einem Cent und wird deshalb mit vier Nachkommastellen ausgewiesen.
| Stufe | RPO | RTO | Replikationsabstand | Zielregion | Proben je Jahr | Sockel je Monat | Je geschütztem GB |
|---|---|---|---|---|---|---|---|
| Gesicherte WiederherstellungNächtliche Sicherung in eine zweite EU-Region, Wiederanlauf auf Abruf. | 24 h | 8 h | alle 24 h | Zweite EU-Region, ab 300 km | 1 | 149,00 € | 0,0074 € |
| Pilot LightEin vorgehaltener Host in der Zielregion, Replikation alle vier Stunden. | 4 h | 4 h | alle 4 h | Region desselben Rechtsraums, ab 200 km | 2 | 490,00 € | 0,0190 € |
| Asynchrone ReplikationViertelstündliche Blockreplikation in eine Region desselben Rechtsraums. | 15 min | 2 h | alle 15 min | Region desselben Rechtsraums, ab 200 km | 4 | 990,00 € | 0,0340 € |
| Synchrone Metro-SpiegelungKein Datenverlust: Jeder Schreibvorgang wird an beiden Standorten quittiert. | 0 min | 20 min | synchron | Metro-Paar im selben Ballungsraum, 5 bis 60 km | 4 | 1.890,00 € | 0,0690 € |
Einschränkung je Stufe
- Gesicherte Wiederherstellung
- Der Wiederanlauf nutzt freie Kapazität der Zielregion. Ohne gebuchte Kapazitätsreservierung gilt die RTO-Zusage nur Mo–Fr 08:00–18:00; außerhalb dieser Zeit gibt es keinen zugesicherten Anlauftermin.
- Pilot Light
- In der Zielregion läuft ein einzelner Host mit rund 25 % der Produktivkapazität. Voller Durchsatz steht erst nach dem Zuschalten weiterer Hosts bereit — Vorlauf bis zu 90 Minuten.
- Asynchrone Replikation
- Das RPO von 15 Minuten gilt bis zu einer Änderungsrate von 40 MB/s je Datastore. Darüber wächst der Replikationsrückstand, und der tatsächliche Wiederherstellungspunkt liegt weiter zurück als zugesichert.
- Synchrone Metro-Spiegelung
- Nur zwischen fra1 und fra2 verfügbar. Jeder Schreibvorgang kostet rund 0,3 ms zusätzlich, und logische Fehler werden synchron mitgespiegelt — die Stufe ersetzt kein Backup, sie ergänzt es.
Nicht jede Stufe steht auf jeder Plattform
Die Zulassung folgt nicht dem Preis, sondern der Technik. Synchrone Spiegelung setzt einen geteilten Datastore voraus — einen Speicherbereich, den alle Hosts gemeinsam nutzen — und steht deshalb nur dort, wo es einen gibt. Pilot Light fehlt bei den zertifizierten SAP-Knoten aus dem umgekehrten Grund: Ein vorgehaltener Host mit rund einem Viertel der Produktivkapazität entspricht nicht der abgenommenen Konfiguration. Die Zertifizierung gilt ausschließlich für die ausgelieferte.
Verfügbarkeit der 4 Wiederherstellungsstufen auf den vier Virtualisierungsplattformen der Private Cloud. Häkchen und Minus tragen jeweils einen eigenen Namen; die Farbe steht nicht allein. · Tabelle seitlich schiebbar
| Stufe | KVM Platform | Managed vSphere | HCI | SAP Certified |
|---|---|---|---|---|
| Gesicherte WiederherstellungNächtliche Sicherung in eine zweite EU-Region, Wiederanlauf auf Abruf. | ||||
| Pilot LightEin vorgehaltener Host in der Zielregion, Replikation alle vier Stunden. | ||||
| Asynchrone ReplikationViertelstündliche Blockreplikation in eine Region desselben Rechtsraums. | ||||
| Synchrone Metro-SpiegelungKein Datenverlust: Jeder Schreibvorgang wird an beiden Standorten quittiert. |
Preisbestandteile
Zwei Beträge, zwei Bezugsgrößen
Eine Wiederherstellungsstufe kostet einen festen Sockel je geschützter Umgebung und zusätzlich einen Satz auf jedes geschützte Gigabyte. Die beiden Beträge messen Verschiedenes und werden deshalb getrennt ausgewiesen — auch dort, wo eine einzige Zahl bequemer wäre.
Bestandteil 1 · je Umgebung
Sockel
149,00 €bis 1.890,00 € je Monat
Bezahlt wird damit, was unabhängig von der Datenmenge anfällt: Orchestrierung der Umschaltung, das gepflegte Runbook (die schriftliche Schritt-für-Schritt-Anleitung für den Wiederanlauf), die vorgehaltene Zielumgebung und die Wiederanlaufproben des Jahres. Zwei Terabyte und zwanzig Terabyte kosten an dieser Stelle dasselbe, weil der Aufwand derselbe ist.
Der Sockel ist der Einstiegspreis dieser Seite: 149,00 € netto je Monat für Gesicherte Wiederherstellung — entsprechend 177,31 € inkl. 19 % USt.
Bestandteil 2 · je Gigabyte
Satz auf die geschützte Kapazität
0,0074 €bis 0,0690 € je GB und Monat
Dieser Satz bezahlt die zweite Kopie: Übertragung, belegte Kapazität am Zielort und deren Redundanz. Er wächst mit jedem geschützten Gigabyte und ist deshalb die Größe, über die sich der Preis einer Umgebung tatsächlich steuern lässt — nicht jedes Volume muss geschützt werden.
Vier Nachkommastellen, weil zwei nicht reichen: 0,0074 € auf zwei Stellen gerundet wäre 0,01 €, und der Satz der Einstiegsstufe stünde damit um mehr als ein Drittel zu hoch in der Tabelle.
Wann welcher Bestandteil die Rechnung trägt
Bis zu einer geschützten Kapazität von rund 19,7 TB bis 28,4 TB — je nach Stufe — zahlen Sie überwiegend für das Verfahren, nicht für die Daten. Erst darüber kehrt sich das Verhältnis um. Das ist die Zahl, nach der in einer Beschaffung als Erstes gefragt werden sollte, denn sie entscheidet, ob eine Umgebung durch weniger geschützte Volumes billiger wird oder nicht.
Beide Preisbestandteile getrennt, dazu die Monatssumme für drei geschützte Kapazitäten und der Punkt, an dem der Kapazitätsanteil den Sockel einholt. Alle Beträge netto. Der Satz je Gigabyte liegt unter einem Cent und wird deshalb mit vier Nachkommastellen ausgewiesen. · Tabelle seitlich schiebbar
| Stufe | Sockel je Monat | Je geschütztem GB | Summe bei 1 TB | Summe bei 8 TB | Summe bei 64 TB | Gleichstand ab |
|---|---|---|---|---|---|---|
| Gesicherte Wiederherstellung | 149,00 € | 0,0074 € | 156,58 €Sockel 95 % | 209,62 €Sockel 71 % | 633,97 €Sockel 24 % | 19,7 TB |
| Pilot Light | 490,00 € | 0,0190 € | 509,46 €Sockel 96 % | 645,65 €Sockel 76 % | 1.735,18 €Sockel 28 % | 25,2 TB |
| Asynchrone Replikation | 990,00 € | 0,0340 € | 1.024,82 €Sockel 97 % | 1.268,53 €Sockel 78 % | 3.218,22 €Sockel 31 % | 28,4 TB |
| Synchrone Metro-Spiegelung | 1.890,00 € | 0,0690 € | 1.960,66 €Sockel 96 % | 2.455,25 €Sockel 77 % | 6.411,98 €Sockel 29 % | 26,7 TB |
Die drei Beispielgrößen sind keine Angebotsstufen. Zwei davon sind die Mindestgrößen echter Datastore-Klassen, die dritte liegt bewusst oberhalb aller Gleichstandspunkte — sonst zeigte die Tabelle nur Sockelbeträge und der zweite Bestandteil bliebe unsichtbar. Die Wiederherstellung wird zusätzlich zu Hosts, Lizenzen, Datastore und Betrieb abgerechnet, nicht anstelle davon.
Zielregion
Nähe und Schutz ziehen in entgegengesetzte Richtungen
Jede Stufe bindet ihr Replikat an eine Regel für den Zielort. Die Regel ist kein Formalismus: Sie entscheidet, gegen welches Ereignis die Kopie überhaupt hilft. Ein zweiter Standort in Sichtweite überlebt keinen Ausfall, der den Ballungsraum trifft — ein Standort in tausend Kilometern Entfernung trägt keine synchrone Quittung.
- Metro-Paar im selben Ballungsraum
- Die Laufzeit muss so klein bleiben, dass jeder Schreibvorgang an beiden Standorten quittiert werden kann, bevor die Anwendung wartet.
- Standort desselben Rechtsraums
- Ein Standortwechsel innerhalb desselben Rechtsraums lässt Zuständigkeit, Meldewege und Aufsichtsbehörde unverändert.
- Zweiter Standort in der EU
- Für die weiteste Stufe genügt die Bindung an den europäischen Rechtsraum; der Abstand schützt gegen ein Ereignis, das eine ganze Region trifft.
Zielregel, Abstandsschranke und die Standorte, die sie ab fra1 (Frankfurt am Main) erfüllen. Geprüft wird auf der Luftlinie aus den Standortkoordinaten — die strengere Prüfung, weil ein Faserweg nie kürzer ist als die Luftlinie. · Tabelle seitlich schiebbar
| Stufe | Zielregel | Abstandsschranke | Zulässig ab fra1 | Nächstes Ziel |
|---|---|---|---|---|
| Gesicherte Wiederherstellung | Zweiter Standort in der EU | ab 300 km | München (muc1, 304 km) · Berlin (ber1, 423 km) · Helsinki (hel1, 1.515 km) | muc1 · 304 km |
| Pilot Light | Standort desselben Rechtsraums | ab 200 km | München (muc1, 304 km) · Berlin (ber1, 423 km) | muc1 · 304 km |
| Asynchrone Replikation | Standort desselben Rechtsraums | ab 200 km | München (muc1, 304 km) · Berlin (ber1, 423 km) | muc1 · 304 km |
| Synchrone Metro-Spiegelung | Metro-Paar im selben Ballungsraum | 5 – 60 km | Frankfurt am Main (fra2, 8 km) | fra2 · 8 km |
Metro-Paar fra1 ↔ fra2
Synchrone Spiegelung heißt: Die Anwendung bekommt ihre Bestätigung erst, wenn beide Standorte den Schreibvorgang quittiert haben. Der Aufschlag dafür ist keine Erfahrungszahl, sondern eine Strecke geteilt durch eine Geschwindigkeit. Beides steht unten, damit die Zahl nachgerechnet werden kann statt geglaubt.
Herleitung
- Luftlinie fra1 ↔ fra2Großkreis aus den Koordinaten beider Standorte
- 8,3 km
- FaserwegKatalogwert — Trassen folgen Straßen und Bahnkörpern, nicht der Luftlinie
- 14 km
- UmwegfaktorFaserweg geteilt durch Luftlinie
- 1,68
- Signalgeschwindigkeit im GlaskernRund zwei Drittel der Vakuumlichtgeschwindigkeit, Brechzahl etwa 1,47
- 200.000 km/s
- Laufzeit einfach14 km geteilt durch 200.000 km/s
- 0,070 ms
- Laufzeit im UmlaufSchreibvorgang hin, Quittung zurück
- 0,140 ms
- Zugesicherter AufschlagKatalogwert des Metro-Paars
- 0,300 ms
- Anteil der AktivtechnikDifferenz: Transponder, Switches und Speichercontroller auf beiden Seiten
- 0,160 ms
Das Ergebnis ist unbequemer, als es aussieht: Die Faser trägt nur 0,140 ms der 0,300 ms. Der größere Anteil entsteht an den Enden — in Transpondern, Switches und Speichercontrollern. Dieser Anteil schrumpft nicht, wenn die Standorte näher zusammenrücken; er ist die Untergrenze jeder synchronen Spiegelung, gleich wie kurz die Strecke ist.
Umgekehrt erklärt dieselbe Rechnung die Obergrenze von 60 km: Läge der volle zulässige Abstand als Faserweg vor, stiege die Laufzeit auf 0,600 ms und der Aufschlag auf 0,760 ms. Das ist beinahe das Doppelte der zugesicherten Schreiblatenz der schnellsten Datastore-Klasse — die Spiegelung würde dann die Eigenschaft zerstören, für die diese Klasse gekauft wird.
Was 0,3 ms in einer serialisierten Kette bedeuten
Ein Aufschlag von drei Zehntel Millisekunden klingt nach nichts, bis er sich aufsummiert. Das tut er überall dort, wo ein Schreibvorgang auf die Quittung des vorigen wartet — im Transaktionsprotokoll einer Datenbank ist genau das der Normalfall. Die folgende Rechnung nimmt die zugesicherte p99-Latenz der Klasse als Bezug, also die Antwortzeit, die 99 von 100 Schreibvorgängen nicht überschreiten. Sie zeigt damit die Untergrenze der Rate, nicht den Alltag.
Wirkung des Metro-Aufschlags von 0,300 ms auf eine streng serialisierte Schreibkette. Gerechnet auf der zugesicherten p99-Latenz je Datastore-Klasse; jeder Schreibvorgang wartet auf die Quittung des vorangegangenen. · Tabelle seitlich schiebbar
| Datastore-Klasse | Latenz p99 | Mit Spiegelung | Serialisiert ohne | Serialisiert mit | Verlust |
|---|---|---|---|---|---|
| Datastore NVMe Performance | 0,4 ms | 0,7 ms | 2.500 /s | 1.429 /s | 43 % |
| Datastore NVMe Standard | 0,9 ms | 1,2 ms | 1.111 /s | 833 /s | 25 % |
| Datastore Kapazität | 4,0 ms | 4,3 ms | 250 /s | 233 /s | 7 % |
| Lesevorgänge | Unverändert. Gelesen wird lokal; nur der Schreibpfad wartet auf die zweite Quittung. | ||||
Mehrere offene Warteschlangen heben die Rate wieder an — die Wartezeit läuft dann parallel statt nacheinander. Wer eine Anwendung mit einer einzigen Schreibkette betreibt und die volle Schreibrate braucht, wählt deshalb nicht die synchrone Spiegelung, sondern eine asynchrone Stufe und nimmt ein RPO über null in Kauf. Diese Entscheidung fällt vor der Bestellung, nicht im Ernstfall.
Umfang und Ablauf
Eine Wiederherstellungsstufe sichert einen Zeitpunkt und eine Dauer zu. Sie sagt nichts darüber, welche Daten überhaupt in der Zielregion ankommen. Diese Liste ist die Antwort darauf, und die rechte Spalte ist die wichtigere von beiden.
Was repliziert wird
Bezugsgröße ist die geschützte Kapazität — dieselbe Menge, auf die der Satz je Gigabyte gerechnet wird. Aufbewahrte Stände laufen mit, im Rahmen der Frist der jeweiligen Datastore-Klasse — bei den Betriebsklassen längstens 30 Tage.
- Blöcke der geschützten Datastores
- Gastplatten, Konfigurationsdateien und Vorlagen, soweit sie auf einem geschützten Datastore liegen. Die replizierte Menge ist genau die Menge, auf die abgerechnet wird — es gibt keinen stillen Zuschlag für Verwaltungsdaten.
- Snapshots im Rahmen der Aufbewahrung
- Die Aufbewahrungsfrist der Datastore-Klasse gilt auch in der Zielregion. Sie ist das Gegenstück zur Replikation: Ein Replikat schützt gegen den Verlust eines Standorts, ein aufbewahrter Stand gegen einen Fehler, der in beide Standorte geschrieben wurde.
- Platzierungs- und Netzzuordnung
- Welcher Gast in welches Segment gehört, in welcher Reihenfolge er startet und wovon er abhängt, steht im Runbook und wird bei jeder Änderung nachgeführt. Das ist kein Datenstrom, sondern ein gepflegtes Dokument — und der Teil, der in einer Probe am häufigsten auffällt.
Was nicht repliziert wird
Sechs Punkte, an denen ein Wiederanlauf erfahrungsgemäß hängen bleibt. Keiner davon ist eine Lücke im Produkt — jeder ist eine Entscheidung, die auf Ihrer Seite getroffen werden muss, bevor sie im Ernstfall auffällt.
- Arbeitsspeicherinhalt
- Ein Wiederanlauf ist ein Kaltstart, auch bei synchroner Spiegelung. Gespiegelt werden Schreibvorgänge auf den Speicher, nicht der Zustand laufender Prozesse. Was eine Anwendung nur im Arbeitsspeicher hielt, ist nach der Übernahme fort.
- Lokale Laufwerke außerhalb geschützter Datastores
- Was auf einer lokalen NVMe eines Hosts liegt und keinem geschützten Datastore angehört, wird nicht repliziert. Das betrifft insbesondere Umgebungen, die bewusst ohne geteilten Datastore gebaut wurden.
- Die Verwaltungsebene selbst
- vCenter beziehungsweise die Verbundkonsole werden in der Zielregion neu gestellt, nicht gespiegelt. Eine gespiegelte Verwaltungsebene würde im Ernstfall zwei Instanzen mit demselben Anspruch auf dieselben Gäste erzeugen — der teuerste denkbare Zustand.
- Öffentliche Adressen
- Ein Wiederanlauf in einer anderen Region läuft unter den Adressen dieser Region. Die Umschaltung geschieht über den Namensdienst, es sei denn, Sie bringen eigene Adressbereiche mit und kündigen sie am Zielstandort an.
- Alles außerhalb der geschützten Umgebung
- Verzeichnisdienst, Namensauflösung, Zeitquelle, Lizenzserver, Zahlungsdienstleister: Was nicht in der geschützten Umgebung liegt, läuft nicht mit an. Jede solche Abhängigkeit braucht eine eigene Antwort, bevor sie in der ersten Probe auffällt.
- Der Unterschied zwischen Standortverlust und Datenfehler
- Eine Replikation überträgt jeden Schreibvorgang, auch den falschen. Gegen eine irrtümlich gelöschte Tabelle hilft kein Replikat, sondern nur ein aufbewahrter Stand davor. Deshalb ersetzt keine Stufe dieser Seite die Sicherung — jede ergänzt sie.
Ablauf einer Übernahme
Die Übernahme — im Fachjargon Failover, also das Umschalten des Betriebs auf den zweiten Standort — läuft in fünf Schritten, deren Summe die zugesicherte Wiederanlaufzeit ergibt: zwischen 20 min und 8 h, je nach Stufe. Einzelne Schritte tragen bewusst keine Minutenangabe: Zugesichert ist die Summe, nicht ihre Aufteilung.
- 01
Auslösen
Eine Übernahme wird von einer namentlich benannten Person Ihres Hauses ausgelöst, nicht von uns entschieden. Die einzige Ausnahme ist die synchrone Metro-Spiegelung: Dort schaltet der Verbund selbst um, sobald das Quorum — die Mehrheit der Verbundknoten — den ausgefallenen Standort ausschließt — bei null Datenverlust gibt es nichts abzuwägen.
- 02
Stand feststellen
Vor dem Start wird festgehalten, welcher Wiederherstellungspunkt tatsächlich vorliegt. Er ist in aller Regel jünger als das zugesicherte RPO — die Zusage ist eine Obergrenze, kein Zielwert. Diese Feststellung ist der Grund, warum eine Übernahme nicht mit dem ersten Klick beginnt.
- 03
Netz stellen
Segmente, Firewall-Regeln und Namensauflösung werden in der Zielregion aktiv geschaltet. Bis dahin läuft nichts an: Gäste, die vor ihrem Netz starten, melden Fehler, die anschließend niemand mehr von echten unterscheiden kann.
- 04
In Reihenfolge starten
Die Gäste starten in der Reihenfolge des Runbooks — Datenbanken vor Anwendungen, Anwendungen vor Zugängen von außen. Die Reihenfolge steht schriftlich, weil sie im Ernstfall nicht hergeleitet, sondern abgearbeitet wird.
- 05
Fachlich freigeben
Die Umgebung gilt als übernommen, wenn Ihre fachlichen Prüfpunkte bestanden sind — nicht, wenn alle Maschinen laufen. Erst mit dieser Freigabe endet die Wiederanlaufzeit, die auf dieser Seite zugesichert ist.
Ablauf einer Rückübernahme
Die Rückübernahme — Failback, die Rückkehr an den ursprünglichen Standort — ist kein Rückgängigmachen. Sie ist eine zweite Umschaltung, mit demselben Aufwand und derselben Sorgfalt wie die erste. Sie läuft in einem Wartungsfenster, also in einem vorher vereinbarten Zeitraum, nicht im laufenden Betrieb. Nur bei Metro-Spiegelung entfällt sie als eigener Vorgang: automatisch, sobald der ausgefallene Standort wieder im Quorum ist.
- 01
Die Zielregion bleibt führend
Nach einer Übernahme läuft die Umgebung dort weiter, bis der Ursprungsstandort wieder vollständig trägt. Eine schnelle Rückkehr auf einen gerade erst wiederhergestellten Standort ist der zweite Ausfall, nicht das Ende des ersten.
- 02
Replikation in Gegenrichtung
Die Änderungen, die seit der Übernahme entstanden sind, laufen zurück zum Ursprung. Wie das geschieht, hängt an der Stufe: Von der vollständigen Rücksicherung bis zur Umschaltung ohne Vollabgleich ist alles vertreten — das Verfahren je Stufe steht in der Tabelle unten.
- 03
Umschalten im Fenster
Die eigentliche Rückkehr geschieht in einem abgestimmten Wartungsfenster, nicht im laufenden Betrieb. Sie ist kurz, weil der Datenabgleich zu diesem Zeitpunkt bereits gelaufen ist; was bleibt, ist ein letztes Delta und die Umkehr der Richtung.
- 04
Schutz gilt erst danach wieder
Zwischen Übernahme und abgeschlossener Rückkehr läuft die Umgebung an einem einzigen Standort. In dieser Zeit gibt es keine zweite Kopie und damit keine der Zusagen dieser Seite. Das ist die wichtigste Nebenwirkung einer Übernahme — und der Grund, warum eine Rückkehr geplant und nicht abgewartet wird.
Wie die Änderungen aus der Zielregion zurück an den Ursprung kommen — Wortlaut aus dem Katalog, je Stufe verschieden, weil der Replikationsabstand die Rückrichtung genauso bestimmt wie die Hinrichtung.
| Stufe | Rückführung |
|---|---|
| Gesicherte Wiederherstellung | Rückführung als vollständige Rücksicherung, Dauer wie der Wiederanlauf |
| Pilot Light | Rückführung im Wartungsfenster, Delta-Replikation in Gegenrichtung |
| Asynchrone Replikation | Umschaltung in Gegenrichtung ohne Vollabgleich, Wartungsfenster 30 Minuten |
| Synchrone Metro-Spiegelung | Automatisch, sobald der ausgefallene Standort wieder im Quorum ist |
Wiederanlaufprobe
Eine Wiederanlaufzeit von zwanzig Minuten, die noch nie unter Stoppuhr gelaufen ist, sagt nichts über zwanzig Minuten aus — sie sagt etwas über die Absicht des Betreibers. Deshalb gehört zu jeder Stufe eine feste Zahl von Proben im Jahr, ein Verfahren, wie geprobt wird, und ein Kriterium, wann eine Probe bestanden ist.
Die Probenzahl steigt mit der Schärfe der Zusage, und das ist kein Zufall: Gesicherte Wiederherstellung wird 1-mal im Jahr geprobt, weil ein Wiederanlauffenster von acht Stunden viel Spielraum lässt. Eine Zusage von zwanzig Minuten lässt keinen — sie wird 4-mal im Jahr belegt oder sie gilt nicht. Die Rückübernahme wird in derselben Probe mitgeprüft; ein Wiederanlauf, aus dem es keinen Weg zurück gibt, ist kein Wiederanlauf, sondern ein Umzug. Ihr Verfahren je Stufe steht im Abschnitt darüber.
Vertraglich vorgesehene Proben je Jahr, aus dem Leistungskatalog. Das Verfahren der Rückführung steht in „Umfang und Ablauf“ und wird hier nicht wiederholt.
| Stufe | Proben / Jahr |
|---|---|
| Gesicherte Wiederherstellung | 1 |
| Pilot Light | 2 |
| Asynchrone Replikation | 4 |
| Synchrone Metro-Spiegelung | 4 |
Ablauf einer Probe
Die Reihenfolge ist nicht beliebig. Schritt drei verbietet den eigens vorbereiteten Sonderstand, Schritt fünf verbietet den reinen Startnachweis. Ohne diese beiden Sperren prüft eine Probe sich selbst und besteht immer.
SCHRITT 01
Termin und Fenster
Der Termin wird zehn Werktage vorher abgestimmt und liegt außerhalb Ihrer Abschluss- und Stichtagszeiträume. Die Probe ist angekündigt, nicht überraschend — eine unangekündigte Probe misst die Bereitschaft der Menschen, nicht die Wiederherstellbarkeit der Umgebung.
SCHRITT 02
Abgetrenntes Zielnetz
Der Wiederanlauf erfolgt in ein Netzsegment ohne Weg zur Produktion. Gleiche Adressen, gleiche Namen, keine Rückwirkung. Die produktive Umgebung läuft während der gesamten Probe unverändert weiter; ein Umschalten der Produktion ist ausdrücklich nicht Teil der Probe.
SCHRITT 03
Anlauf aus dem letzten Replikat
Gestartet wird der Stand, der zum Zeitpunkt der Auslösung ohnehin in der Zielregion liegt. Kein eigens gezogener Snapshot, kein vorbereiteter Sonderstand, keine Handgriffe am Replikat vor dem Start. Was nicht repliziert war, ist auch in der Probe nicht da.
SCHRITT 04
Messung gegen die zugesicherte Zahl
Die Uhr läuft von der Auslösung bis zur ersten fachlich richtigen Antwort der Anwendung — nicht bis zum Abschluss des Startvorgangs. Parallel wird der tatsächliche Datenstand bestimmt und gegen den zugesicherten Wiederherstellungspunkt gehalten.
SCHRITT 05
Fachliche Prüfung durch Sie
Anmeldung, ein lesender und ein schreibender Vorgang, ein Bericht oder eine Schnittstellenabfrage: Die Prüfpunkte legen Sie vorher fest, und Sie führen sie durch. Ohne diesen Schritt belegt eine Probe nur, dass Maschinen starten.
SCHRITT 06
Rückbau und Protokoll
Die Zielumgebung wird abgebaut, das Protokoll geht innerhalb von fünf Werktagen an Sie: gemessene Wiederanlaufzeit, tatsächlicher Datenstand, jede Abweichung von der Zusage und je Abweichung eine Maßnahme mit Termin und benannter Zuständigkeit.
Wann eine Probe bestanden ist
Alle drei Kriterien müssen zutreffen. Zwei von drei sind kein Teilerfolg, sondern ein Befund — und lösen dieselbe Behandlung aus wie ein vollständiger Fehlschlag.
- Zeit gehalten: Die gemessene Wiederanlaufzeit liegt auf oder unter der zugesicherten RTO der gebuchten Stufe.
- Datenstand gehalten: Der Abstand zwischen dem letzten übernommenen Schreibvorgang und dem Auslösezeitpunkt liegt innerhalb des zugesicherten RPO.
- Fachlich bestanden: Jeder vorher festgelegte fachliche Prüfpunkt ist bestanden. Ein gestartetes, aber fachlich nicht antwortendes System gilt als nicht wiederhergestellt.
Wenn sie nicht bestanden ist
Eine Prüfung ohne Folge ist keine Prüfung. Was auf einen Fehlschlag folgt, steht deshalb vorher fest — einschließlich der unbequemen Konsequenz für die Zusage.
- Wiederholung binnen 30 Tagen
- Eine nicht bestandene Probe wird innerhalb von 30 Kalendertagen wiederholt. Sie zählt nicht als eine der vertraglich vorgesehenen Proben des Jahres — sonst würde ein Fehlschlag das Prüfbudget aufbrauchen, das ihn beheben soll.
- Ursachenanalyse ohne Schuldzuweisung
- Untersucht wird das System, nicht die Person am Knopf. Das Protokoll benennt die auslösende Bedingung, die Kette bis zur Auswirkung und den Punkt, an dem eine Absicherung gefehlt hat.
- Zusage ausgesetzt, nicht stillschweigend gehalten
- Bis zur bestandenen Wiederholung gilt die Zeitzusage der Stufe als ausgesetzt. Wir schreiben keine Wiederanlaufzeit fort, die zuletzt nicht erreicht wurde.
Was auf Ihrer Seite vorliegen muss
Eine Wiederherstellung scheitert genauso zuverlässig an einer fehlenden Zeitquelle wie an fehlender Kapazität. Diese drei Punkte liegen außerhalb dessen, was ein Betreiber zusichern kann — sie sind trotzdem Teil der Zusage, weil sie ihr Ergebnis bestimmen.
Ein Runbook, das ohne seinen Verfasser funktioniert
Die Reihenfolge der Systeme, die Abhängigkeiten zwischen ihnen und die fachlichen Prüfpunkte werden schriftlich geführt und bei jeder Probe gegengelesen. Ein Runbook, das nur sein Verfasser ausführen kann, ist keines.
Benannte Abhängigkeiten außerhalb der Replikation
Verzeichnisdienst, Namensauflösung, Zeitquelle, Lizenzserver, Zahlungsdienstleister: Was außerhalb der geschützten Umgebung liegt, läuft nicht mit an. Jede solche Abhängigkeit braucht eine eigene Antwort, bevor sie in der Probe auffällt.
Zugangswege, die den Ausfall überstehen
Zugangsdaten, Zweitfaktoren und Notfallkontakte liegen nicht ausschließlich in der Umgebung, die wiederhergestellt werden soll. Das klingt selbstverständlich und ist der häufigste Befund der ersten Probe.
Abgrenzung
Drei Dinge, die diese Seite ausdrücklich nicht regelt
Eine Wiederherstellungsstufe beantwortet genau eine Frage: Wie kommt eine Umgebung zurück, wenn ihr Standort ausfällt. Drei benachbarte Fragen beantwortet sie nicht — und wer das übersieht, kauft die falsche Zusage.
Verfügbarkeit im laufenden Betrieb
Die zugesagte Verfügbarkeit, ihr Messverfahren und die Gutschriftenstaffel stehen im Service Level Agreement. Sie messen den laufenden Betrieb einer Plattform. Ein Wiederherstellungsfall beginnt dort, wo diese Messung endet: beim Verlust des Standorts, an dem gemessen wurde. Eine Stufe dieser Seite ersetzt deshalb keine Verfügbarkeitsklasse — und eine Verfügbarkeitsklasse keine Wiederherstellungsstufe.
Einschränkung: Gutschriften nach der Staffel des SLA entstehen aus unterschrittener Verfügbarkeit, nicht aus einer überschrittenen Wiederanlaufzeit. Für die Zeitzusagen dieser Seite gilt das Probenverfahren, nicht die Gutschriftenstaffel.
Schutz vor dem eigenen Fehler
Replikation überträgt jeden Schreibvorgang, auch den falschen. Eine gelöschte Tabelle, eine verschlüsselte Dateifreigabe oder ein fehlerhaftes Verfahren stehen nach der Übertragung am zweiten Standort genauso da. Dagegen hilft nur Aufbewahrung: ein Stand von vorher, der nicht überschrieben wird. Die Snapshot-Aufbewahrung hängt an der Datastore-Klasse und reicht bis 90 Tage.
- Datastore NVMe Performance
- 14 Tage
- Datastore NVMe Standard
- 14 Tage
- Datastore Kapazität
- 30 Tage
Einschränkung: Nur zwischen fra1 und fra2 verfügbar. Jeder Schreibvorgang kostet rund 0,3 ms zusätzlich, und logische Fehler werden synchron mitgespiegelt — die Stufe ersetzt kein Backup, sie ergänzt es.
Kapazität am Zielort
Eine Wiederanlaufzeit setzt voraus, dass am Zielort etwas anläuft. Die beiden weiteren Stufen lösen das unterschiedlich — und beide Antworten haben eine Bedingung, die in der Zeitangabe nicht steckt. Wer eine Zeitzusage rund um die Uhr braucht, bucht die Kapazitätsreservierung dazu; sie ist kein Zubehör, sondern der Grund, warum die Zahl gilt.
Einschränkung: Der Wiederanlauf nutzt freie Kapazität der Zielregion. Ohne gebuchte Kapazitätsreservierung gilt die RTO-Zusage nur Mo–Fr 08:00–18:00; außerhalb dieser Zeit gibt es keinen zugesicherten Anlauftermin.
Einschränkung: In der Zielregion läuft ein einzelner Host mit rund 25 % der Produktivkapazität. Voller Durchsatz steht erst nach dem Zuschalten weiterer Hosts bereit — Vorlauf bis zu 90 Minuten.
Geschützt wird, was Sie als geschützt bestellen. Volumes, die nicht in der geschützten Kapazität stehen, sind nach einem Standortverlust nicht da — auch dann nicht, wenn sie auf demselben Datastore lagen. Die kleinste sinnvolle geschützte Kapazität ist deshalb nicht null, sondern der Umfang, den ein Wiederanlauf tatsächlich braucht — und der liegt nie unter der Mindestabnahme des Betriebsdatastores, ab 1 TB.
Nächster Schritt
Erst die Bedingung prüfen, dann die Zahl bestellen
Im Konfigurator stehen Host-Klasse, Datastore, Wiederherstellungsstufe und Betriebsstufe nebeneinander, und die Summe rechnet mit denselben Sätzen wie diese Seite: Sockel je geschützter Umgebung plus Satz je geschütztem Gigabyte. Wer vorher wissen will, welche Stufe zu seiner Anwendung passt, beginnt nicht beim Preis, sondern bei der Frage, wie viel Arbeit ein Ausfall kosten darf.
- Stufen
- 4
- RPO ab
- 0 min
- RTO ab
- 20 min
- Proben je Jahr
- 1 – 4