Wie lange darf es stillstehen? RTO, RPO und MTPD mit dem Fachbereich festlegen

RTO ist die geforderte Wiederanlaufzeit einer Leistung oder Ressource, nach BSI-Standard 200-4 ab Ausrufen des Notfalls gerechnet. RPO ist der zeitlich ausgedrückte tolerierbare Datenverlust. MTPD begrenzt die Unterbrechungsdauer, ab der ihre Auswirkungen nicht mehr akzeptabel sind.

In einem mittelständischen Betrieb mit 180 Beschäftigten kann dieselbe Person den Einkauf verantworten und zugleich im Notfallstab sitzen. Gerade dann müssen die Werte verständlich dokumentiert sein. „Vier Stunden“ reicht als Vorgabe nicht: Vier Stunden ab welchem Zeitpunkt, für welche Leistung und mit welchem Datenstand?

Mit den Folgen des Ausfalls beginnen

Der Fachbereich beschreibt zunächst, welche Leistung ausfällt und welche Folgen das hat. Die IT erklärt anschließend, welche Wiederanlaufziele erreichbar sind. Bei umgekehrter Reihenfolge richten die Beteiligten ihre Anforderungen leicht an der vorhandenen Technik aus. Die Methodik steht im BSI-Standard 200-4, insbesondere in Kapitel 7 zur Business-Impact-Analyse.

Beginnen Sie das Gespräch mit einer konkreten Leistung: „Kundenaufträge prüfen und zur Auslieferung freigeben.“ „Vertrieb“ ist zu breit, der Name einer Anwendung zu technisch. Klären Sie den Ausgangszustand, den Beginn des Ausfalls und mögliche Spitzenzeiten. Ein Ausfall am Vormittag kann andere Folgen haben als derselbe Ausfall kurz vor dem täglichen Versandabschluss.

Drei Fragen, die zu belastbaren Werten führen

1. Wann wird die Unterbrechung untragbar?

Für die MTPD hilft eine Zeitreihe. Lassen Sie die Beteiligten für zwei, vier, acht und 24 Stunden Ausfall beschreiben, was konkret geschieht. Diese Zeitstufen sind ein Arbeitsvorschlag und müssen zu Ihrem Geschäft passen. Bewerten Sie beispielsweise ausbleibende Leistungen, Vertragsfolgen, finanzielle Schäden und Gefährdungen für Menschen.

Eine Aussage wie „nach acht Stunden kritisch“ braucht eine Begründung. Wächst nur der Rückstand, oder wird eine entscheidende Frist verpasst? Welche Menge kann später nachbearbeitet werden? Halten Sie belastbare Grundlagen und offene Annahmen getrennt fest. Benennen Sie bei Widersprüchen zwischen zwei Bereichen eine verantwortliche Person und einen Klärungstermin.

2. Welche Leistung muss vorher wieder möglich sein?

Bestimmen Sie das Mindestleistungsniveau und das Wiederanlaufziel zusammen. „Auftragsbearbeitung läuft“ ist ungenau. „Zwei geschulte Personen können die priorisierten Aufträge erfassen und freigeben“ lässt sich prüfen. Die RTO muss genügend Abstand zur MTPD lassen, damit Verzögerungen und notwendige Anlaufarbeiten nicht sofort zur Überschreitung der Toleranz führen.

Rechnen Sie auf einer gemeinsamen Zeitachse: Die Reaktionszeit bis zum Ausrufen des Notfalls liegt vor der RTO. Anschließend benötigen Bereitstellung, Datenprüfung und fachliche Abnahme Zeit. Beides zusammen muss einschließlich ausreichender Reserve innerhalb der MTPD bleiben. Eine Datenbank, die erst zum Ende der fachlichen RTO verfügbar wird, hilft einem danach noch zu startenden Prozess wenig.

3. Wie viele Informationen dürfen fehlen?

Beim RPO fragen Sie nach dem letzten wiederherstellbaren Datenstand. Welche Vorgänge dürften im ungünstigsten Fall verloren sein? Lassen sie sich aus anderen Unterlagen rekonstruieren, und wie lange dauert das? Unterschiedliche Datenarten können unterschiedliche Toleranzen brauchen: ein Produktkatalog und gerade freigegebene Versandaufträge haben nicht automatisch denselben Bedarf.

Prüfen Sie neben der Zahl der Sicherungsläufe, welcher konsistente Datenstand tatsächlich wiederherstellbar ist. Das gilt besonders, wenn mehrere Anwendungen denselben Geschäftsvorgang abbilden. Die Grundlagen finden Sie im Knowledge-Artikel zu RTO, RPO und MTPD.

Ein durchgerechnetes Beispiel für die Auftragsfreigabe

Das folgende Beispiel ist frei gewählt und keine Branchenvorgabe. Der Fachbereich setzt die MTPD auf acht Stunden ab Unterbrechung. Für Erkennung, Bewertung und Ausrufen des Notfalls ist eine Stunde vorgesehen. Die RTO beträgt vier Stunden ab Notfallausruf: Der Notbetrieb soll damit fünf Stunden nach der Unterbrechung verfügbar sein. Drei Stunden bleiben für notwendige Folgeverarbeitung und Reserve. Der tolerierte Datenverlust beträgt 30 Minuten, sofern fehlende Vorgänge aus Bestätigungen rekonstruiert werden können.

Festlegung	Beispielwert	Begründung oder Prüffrage
MTPD	8 Stunden ab Unterbrechung	Ab dann nicht akzeptable Folgen verspäteter Freigaben
RTO der Leistung	4 Stunden ab Notfallausruf	Zwei Arbeitsplätze können priorisierte Aufträge bearbeiten
RPO	30 Minuten	Fehlende Vorgänge sind mit vertretbarem Aufwand rekonstruierbar
Nachgewiesene Fähigkeit	6 Stunden ab Notfallausruf im Test	Zwei Stunden Abweichung zur RTO bleiben offen
Entscheidung	Maßnahme mit Termin	Wiederanlauf beschleunigen oder tragfähige Alternative schaffen

Halten Sie die Abweichung aus dem Sechs-Stunden-Test fest, ohne die geforderte RTO stillschweigend anzupassen. Die Leitung entscheidet über zusätzliche Vorsorge, eine andere Fortführungsstrategie oder den dokumentierten Umgang mit der Lücke. Berücksichtigen Sie bei der Auswahl von Kontinuitätsstrategien Aufwand und Umsetzbarkeit.

So sieht ein freigabefähiges Ergebnis aus

Verwenden Sie je Leistung ein kurzes Entscheidungsblatt: Verantwortlicher, betrachteter Ausfall, Zeitbezug, Mindestleistung, MTPD, RTO, RPO, Abhängigkeiten, Begründung, Fähigkeitsnachweis und offene Maßnahmen. Lassen Sie den Fachbereich den Bedarf bestätigen und die Ressourcenverantwortlichen ihre Zusagen prüfen. Die Leitung entscheidet über verbleibende Zielkonflikte.

Hinweise zur Nachverfolgung bei knappen Zuständigkeiten finden Sie unter KaitoSec für den Mittelstand. Die ermittelten Werte gehören anschließend in das übergreifende Business-Continuity-Management nach ISO 22301 und in die konkreten Pläne.

Stimmen Sie bei extern erbrachten Leistungen Zeitdefinitionen, Betriebszeiten und Abnahmekriterien ausdrücklich ab. Eine zugesagte Reaktionszeit ist keine Wiederanlaufzusage. Anforderungen an zeitkritische Dienstleistungsbezüge finden Sie in der BSI-Hilfestellung zu Kontinuitätsstrategien.

Häufige Fragen

Darf die RTO genauso lang wie die MTPD sein?

Nach BSI 200-4 muss sie kürzer sein. Reaktionszeit vor dem Notfallausruf, erforderliche Prozessausführung und eine angemessene Reserve sind bei der Ableitung zu berücksichtigen.

Bedeutet ein RPO von null, dass kein Backup nötig ist?

Nein. Das Ziel betrifft den Datenverlust. Es ersetzt weder Wiederherstellbarkeit noch Schutz gegen beschädigte oder unberechtigt veränderte Daten.

Wer legt die Werte fest?

Der Fachbereich begründet die geschäftlichen Anforderungen. IT und weitere Ressourcenverantwortliche prüfen die Umsetzbarkeit. Über Kosten und verbleibende Risiken entscheidet die zuständige Leitung.

Wann müssen die Werte überprüft werden?

Bei wesentlichen Prozessänderungen, neuen Abhängigkeiten und Erkenntnissen aus Übungen. Zusätzlich hilft ein festgelegter Überprüfungsrhythmus, damit auch unverändert erscheinende Annahmen erneut hinterfragt werden.