[datensicherheit.de, 25.04.2024] Der „Digital Operational Resilience Act“ (DORA) soll ein wichtiges Problem bei der Regulierung von Finanzinstituten in der Europäischen Union (EU) lösen helfen: Diese neue Gesetzgebung soll als verbindliche Richtlinie für das Risikomanagement im Finanzsektor dienen und darauf abzielen, die digitale Widerstandsfähigkeit zu verbessern. Als Stichtag für alle betroffenen Organisationen zur Erfüllung der Vorschriften gilt der 17. Januar 2025. Um nun den Schutz ihrer eigenen IT-Infrastruktur zu gewährleisten und hohe Standards für die Verfügbarkeit von Daten und Diensten aufrechtzuerhalten, müssen viele Finanzorganisationen offensichtlich in neue Lösungen investieren – insbesondere für den Wiederanlauf nach einem Notfall (Disaster Recovery / DR). Reinhard Zimmer von Zerto fasst in seiner aktuellen Stellungnahme zusammen, wie Finanzinstitute moderne DR-Technologien nutzen können, um die operative Resilienz ihrer IT-Systeme zu verbessern und so die neue EU Gesetzgebung zu erfüllen.

Foto: Zerto

Reinhard Zimmer – „Regional Sales Manger“ bei Zerto, Spezialist für die Absicherung virtueller Infrastrukturen

DORA gilt allgemein für den EU-Finanzsektor sowie Anbieter von IT-Dienstleistungen für den Finanzbereich

„Der Digital Operational Resilience Act (DORA) löst ein wichtiges Problem bei der Regulierung von Finanzinstituten in der Europäischen Union und dient als verbindliche Richtlinie für das Risikomanagement im Finanzsektor“, betont Zimmer. Er ziele darauf ab, die digitale Widerstandsfähigkeit zu verbessern und auch für Drittanbieter – etwa „Cloud“-Service-Anbieter – verbindlich zu machen.

Diese neue Verordnung gelte allgemein für den EU-Finanzsektor sowie Anbieter von IT-Dienstleistungen für den Finanzbereich – „unabhängig davon, wo die Anbieter ihren Sitz haben“. Alle betroffenen Organisationen müssten die Vorschriften bis zum 17. Januar 2025 erfüllt haben.

EU-Finanzsektor: Verbesserung der IT-Resilienz zentrales DORA-Anliegen

Die DORA-Gesetzgebung gehe in fünf ihrer neun Kapitel detailliert auf die Verbesserung der IT-Resilienz ein: „Risikomanagement (Kapitel II), Incident Management (Kapitel III), Digital Operational Resilience Testing (Kapitel IV), Third-Party Management (Kapitel V) sowie Information Sharing (Kapitel VI).“ Dies bedeutet laut Zimmer, dass die Finanzinstitute ihre Widerstandsfähigkeit auf vielen miteinander verbundenen Ebenen gleichzeitig verbessern müssten.

Der Bereich, auf den sich die neue Gesetzgebung am meisten auswirkt, ist demnach die Wiederherstellung im Katastrophenfall, da „Disaster Recovery“ Kernanforderungen dreier Artikel dieser Verordnung erfüllen könne: „Konkret handelt es sich um Artikel 9 (Schutz und Prävention), Artikel 11 (Reaktion und Wiederherstellung) und Artikel 12 (Sicherungsstrategien und -verfahren).“ Finanzunternehmen, deren aktuelle Technologien nicht ausreichen, um die neuen Anforderungen von DORA zu erfüllen, würden daher gezwungen sein, nach geeigneteren Lösungen zu suchen.

DR-Technologie für Finanzinstitute: Aufrüstung mit Continuous Data Protection empfohlen

Um Ausfallsicherheit, Kontinuität und Verfügbarkeit zu verbessern, sollten Unternehmen modernere Disaster-Recovery-Lösungen in Betracht ziehen, welche auf „Continuous Data Protection“ (CDP) basieren. CDP verfolge und spiegele Datenänderungen nicht in vordefinierten Intervallen wie bei regulären Backups, sondern kontinuierlich. Dabei werde jede Version der Daten zwischen einem lokalen und einem entfernten Standort repliziert.

Diese journal-basierte Technologie protokolliere alle Änderungen und ermögliche eine punktgenaue Wiederherstellung in Schritten von Sekunden. Mit Tausenden von Wiederherstellungspunkten in der Historie des Journals minimiere CDP so das Risiko von Datenverlusten. „Die Technologie reduziert damit die Auswirkungen eines Ausfalls auf den Betrieb, unabhängig davon, ob die Ursache versehentlich oder absichtlich, natürlich oder vom Menschen verursacht wurde.“ Damit sei CDP ideal für die Erfüllung der Kernanforderungen von Artikel 9 (Belastbarkeit, Kontinuität und Verfügbarkeit von IT-Systemen).

DORA-Artikel 11 verlangt von Finanzorganisationen angemessene Kontinuitätspläne

DORA-Artikel 11 verlange von Finanzorganisationen, „dass sie angemessene Kontinuitätspläne einführen, aufrechterhalten und diese regelmäßig testen“. Nicht alle Disaster-Recovery-Lösungen böten jedoch angemessene Tests für Ausfallsicherung oder fortschrittliche Analysen. Finanzinstitute müssten daher sicherstellen, „dass ihre Disaster-Recovery-Lösungen vollautomatische, unterbrechungsfreie, skalierbare und granulare Failover-Tests in einer Sandbox-Umgebung bieten“.

Solche Testfunktionen sollten idealerweise eine Wiederherstellungsgarantie mit detaillierten Berichtsfunktionen ermöglichen, welche bei Audits und Inspektionen zum Nachweis der Sicherheit der Umgebung verwendet werden könnten. Zimmer: „Mit solchen Funktionen kann die Wiederherstellung innerhalb von Minuten von einer einzigen Person per Mausklick getestet werden, ohne die Produktion zu unterbrechen.“

Geo-Redundanz: DORA-Artikel 12 fordert, dass Finanzinstitute zweiten Standort betreiben müssen

Um sich gegen den Ausfall eines gesamten Standorts abzusichern, schreibe Artikel 12 vor, dass Finanzinstitute einen zweiten Standort betreiben müssten, welcher „mit angemessenen Ressourcen, Fähigkeiten, Funktionen und Personalkapazitäten ausgestattet ist, um die Geschäftsanforderungen zu erfüllen“. Zimmer kommentiert: „Das bedeutet, dass Organisationen Disaster-Recovery-Lösungen verwenden müssen, die eine One-to-many-Replikationsfunktion bieten, um replizierte Daten auf zwei oder mehr Cloud-Standorte zu verteilen.“

Mit einer One-to-Many-Replikation könnten Unternehmen Daten von einer einzigen Quelle auf mehrere Zielumgebungen replizieren und so Daten und Anwendungen auf flexible und effiziente Weise schützen. Mit dieser Funktion sei es möglich, lokal oder auf mehrere Ziel- oder Remote-Standorte zu replizieren, „Failover“ durchzuführen sowie bestimmte virtuelle Instanzen an einen anderen Standort zu verschieben. Im Gegensatz zur synchronen Replikation funktioniere die asynchrone Replikation auch zwischen weiter voneinander entfernten Standorten und vermeide dabei den Datenverlust, der normalerweise mit asynchronen Optionen verbunden sei. Auf diese Weise könnten Unternehmen ihre Ausfallsicherheit auf ein noch höheres Niveau heben und ganze Standorte vor regionalen Katastrophen schützen.

Erkennung in Echtzeit: Finanzorganisationen müssen über Mechanismen verfügen, um anomale Aktivitäten umgehend zu erkennen

Noch besser als die schnelle und einfache Wiederherstellung von Daten und Workloads nach einem erfolgreichen Angriff sei es, gar nicht erst Opfer eines Angriffs zu werden oder erfolgreiche Angriffe so früh wie möglich zu erkennen, bevor sie größeren Schaden anrichten. Artikel 10 von DORA ziele darauf ab, diese Erkennung zu verbessern: „Finanzorganisationen müssen über Mechanismen verfügen, um anomale Aktivitäten […] umgehend zu erkennen, einschließlich automatisierter Warnmechanismen für Mitarbeiter, die für die Reaktion auf IKT-bezogene Vorfälle zuständig sind.“ Präventive Cyber-Sicherheits-Tools seien ideal, um Angriffe zu erkennen und zu stoppen, wie zum Beispiel Ransomware-Angriffe.

Zimmer erläutert: „,Tools‘ zur Erkennung von Ransomware in Echtzeit nutzten algorithmische Intelligenz, um Unternehmen innerhalb von Sekunden vor einer Verschlüsselungsanomalie zu warnen. So verkürzt eine solche Lösung die Zeit, in der Cyber-Kriminelle Daten verschlüsseln können, um ein Vielfaches.“ In Verbindung mit den Wiederherstellungspunkten von CDP und dem Journal, „das diese Punkte automatisch sichert“, wird es einfacher, die vor der Anomalie erstellten Wiederherstellungspunkte von denen danach erstellten zu unterscheiden. „Das bedeutet, dass man nach einem Angriff genau weiß, wo sich der richtige Wiederherstellungspunkt befindet“, so Zimmer. Dadurch reduzierten sich Datenverluste und Ausfallzeiten nach einem Angriff drastisch.

Wiederaufnahme des Betriebs einer Finanzinstitution innerhalb von Minuten dank Applikations-Gruppen

Zimmer führt aus: „So wichtig CDP für einen geringstmöglichen Datenverlust ist, reicht es alleine nicht aus, um den Betrieb von komplexen, verteilten Applikationen schnell wieder aufzunehmen!“ Vielmehr würden hierfür „Virtual Protection Groups“ (VPGs) benötigt, welche es ermöglichten, verschiedene Komponenten einer Applikation (z.B. Datenbank sowie Applikations- und Web-Server) als eine einzige, absturzsichere Einheit zu gruppieren.

Anders als in dem zuvor beschriebenen Backup-Ansatz, bei dem jede Komponente einen anderen Zeitstempel habe und so die Wiederherstellung um ein Vielfaches länger dauere, hätten innerhalb einer VPG alle gruppierten VMs die gleichen konsistenten Zeitstempel. Mithilfe von Orchestrierung und Automatisierung lasse sich so mit wenigen Klicks ein Failover eines gesamten Standorts mit Tausenden von Applikationen durchführen – ohne eine längere Unterbrechung des Betriebs.

Fazit: DORA ist eine weitreichende EU-Verordnung, für die es keine Einheitslösung gibt

Zusammenfassend stellt Zimmer klar: „DORA ist eine weitreichende EU-Verordnung, für die es keine Einheitslösung gibt. Finanzinstitute werden zahlreiche Bereiche ihrer IT verbessern müssen, um alle Anforderungen zu erfüllen. Im Idealfall werden sie sich auf Lösungen verlassen wollen, die weite Bereiche der Gesetzgebung abdecken können.“

Die Wiederherstellung im Katastrophenfall sei einer der Bereiche, welcher mehrere Artikel und deren Anforderungen abdecken könne. Um dies zu erreichen, benötigten Organisationen Lösungen zur Wiederherstellung, welche über die begrenzten Möglichkeiten der meisten Backup-Lösungen hinausgingen. „Moderne DR-Lösungen mit ,Continuous Data Protection’ und ,Virtual Protection Groups’ bieten heute bereits viele fortschrittliche Funktionen, die zur Einhaltung der neuen DORA-Vorschriften beitragen können“, so Zimmers Fazit.

Weitere Informationen zum Thema:

BaFin Bundesanstalt für Finanzdienstleistungsaufsicht, 18.01.2024
DORA – Digital Operational Resilience Act

datensicherheit.de, 20.11.2023
DORA und NIS2 – Cybersicherheit im Finanzsektor der EU / Auditverfahren der Regularien harmonisieren und Zuständigkeiten zusammenzuführen

[datensicherheit.de, 22.03.2022] Reinhard Zimmer, „Regional Sales Manger“ bei Zerto, betont in seiner aktuellen Stellungnahme: „Um ein mögliches Ransomware-Worst-Case-Szenario zu verhindern, ist ein schneller Wiederanlauf entscheidend. Moderne Lösungen ermöglichen die Wiederherstellung komplexer Anwendungen in sehr kurzer Zeit und senken damit die Ausfallzeit dramatisch auf nur wenige Minuten.“ Er warnt davor, sich allein auf Backup-Lösungen zu verlassen.

Foto: Zerto

Reinhard Zimmer: Erfolgreiche Ransomware-Angriffe heutzutage leider eine alltägliche Schreckensmeldung…

Für Opfer eines Ransomware-Angriffes gibt es äußerst ungünstige Zeitpunkte

Erfolgreiche Ransomware-Angriffe seien heutzutage leider eine alltägliche Schreckensmeldung. „Gefährdet sind generell alle Unternehmen, die wichtige Daten für ihre Arbeit benötigen.“ Zwar gebe es an sich keinen guten Zeitpunkt, um Opfer eines Ransomware-Angriffes zu werden, doch es gebe sehr wohl äußerst ungünstige Zeitpunkte. Zimmer erläutert: „Nämlich dann, wenn ein Unternehmen am verwundbarsten ist. Die Hauptreisezeit wäre für einen Reiseveranstalter beispielsweise ein eher schlechter Zeitpunkt, der im schlimmsten Fall das Bestehen des Unternehmens gefährden kann.“ Auch für Online-Händler gebe es den Zeitpunkt eines Ransomware-Super-GAUs: Die Vorweihnachtszeit etwa, wenn sehr viele Kunden ihre Weihnachtseinkäufe erledigten.

Zimmer betont: „Wann Unternehmen aufgrund ihres Geschäfts am verwundbarsten sind, wissen natürlich auch die Hacker – und warten mitunter auf den richtigen Moment, um ihren Angriff zu starten. Im schlimmsten Fall sind die Hacker bereits in einer Umgebung verankert und warten nur auf den besten Zeitpunkt, um die Daten zu verschlüsseln. Sind die Daten für das Unternehmen zum ungünstigsten Zeitpunkt erst einmal verschlüsselt, erhöht das die Wahrscheinlichkeit, dass das Unternehmen das erpresste Lösegeld bezahlt, um die dringend benötigten Systeme schnell wieder zum Laufen zu bringen.“

Wiederherstellung nach Ransomware-Angriff kann Tage bis Wochen dauern

„Idealerweise sind die Abwehrmaßnahmen eines Unternehmens so gut, dass es erst gar nicht Opfer einer erfolgreichen Ransomware-Attacke wird“, sagt Zimmer. Doch die tagtäglichen Meldungen über erfolgreiche Attacken lehrten uns, dass es eine hundertprozentige Abwehr gegen die gewieften Angreifer derzeit noch nicht gebe. Damit sollten Unternehmen auf die zweitbeste Abwehr setzen: „Denn Unternehmen, die ihre Systeme schnell wiederherstellen können, nehmen den Angreifer den Wind aus den Segeln.“

In der Realität sei die schnelle Wiederherstellung in vielen Unternehmen jedoch nicht so einfach. Der Hauptgrund hierfür sei, dass Unternehmen auch für ihre kritischen Anwendungen auf veraltete Backup-Technologien setzten. „Das mag bei sehr kleinen Umgebungen vielleicht noch funktionieren. Bei größeren Umgebungen kann die Wiederherstellung jedoch Tage oder Wochen dauern.“

Work Recovery Time muss bei 
Dauer der Wiederherstellung nach Ransomware-Befall berücksichtigt werden

Zimmer erläutert, wie es dazu kommt, dass gehackte Unternehmen eine derart lange Zeit benötigen, um ihre IT wieder ans Laufen zu bringen: Das grundlegende Problem bei der Wiederherstellung liege im Unterschied zwischen Anwendungen und Servern. „Legacy-Backup-Tools“ schützten nur einzelne Server. Eventuell könnten zwar Servergruppen gebildet werden, nichtsdestotrotz werde innerhalb des Backup-Jobs jeder Server einzeln zu einem anderen Zeitpunkt geschützt. Damit sei das Problem bei der Wiederherstellung schon zum Zeitpunkt des Backups vordefiniert.

„Wenn der Backup-Administrator mit dem ,Restore‘ der Server fertig ist, geht die eigentliche Arbeit erst richtig los. Denn jetzt muss man aus der Ansammlung einzelner VMs wieder eine funktionierende Anwendung schaffen“, führt Zimmer aus. Dazu seien je nach Anwendung unterschiedliche Verfahren notwendig, welche meist nur sehr wenige Personen im Unternehmen durchführen könnten beziehungsweise dürften. Der Prozess, eine komplette Anwendung wiederherzustellen umfasse die Zeitspanne „RTO + WRT“ (Recovery Time Objective + Work Recovery Time).

Problem, wenn durch Ransomware-Angriff sämtliche Applikationen lahmgelegt werden

Dieser komplette Prozess könne je nach Größe und Komplexität der wiederherzustellenden Anwendungen einige Stunden in Anspruch nehmen. Zimmer kommentiert: „Und genau hier liegt das Problem, wenn durch einen Ransomware-Angriff sämtliche Applikationen eines Unternehmens lahmgelegt werden. Die Anzahl der Mitarbeiter, die imstande sind, die Daten wiederherzustellen und die Anwendungen neu zu starten, ist sehr gering.“

Man könne sich leicht ausrechnen, wie lange es brauchen würde, 200 kritische Anwendungen wiederherzustellen, wenn die mittlere Wiederherstellungszeit pro Anwendung sechs Stunden betrage und zwei Teams mit den nötigen Kenntnissen und Berechtigungen zur Verfügung stünden, 18 Stunden am Tag arbeiten: „exakt 33 Tage“. Genau dieser Problematik seien sich erschreckend viele Unternehmen leider nicht bewusst. Diese lernten die Eigendynamik eines solchen Systems erst im Ernstfall kennen – „dann aber ist es zu spät“.

Erfahrungen mit Ausfällen im großen Stil nach Ransomware-Attacke liegen in der Praxis bei vielen noch nicht vor

Im Alltag der meisten Unternehmen sei es in den letzten Jahren meist nur zu Ausfällen einzelner Applikationen gekommen. „Für die Wiederherstellung stand dann immer die ganze Aufmerksamkeit sowohl der Backup- als auch der Applikationsfachleute zur Verfügung und die Wiederherstellung erfolgte entsprechend akzeptabler Zeit von wenigen Stunden.“ Erfahrungen mit Ausfällen im großen Stil indes gebe es aus der Praxis meist nicht.

Zimmer berichtet: „Und die sogenannten DR- oder K-Fall-Tests werden regelmäßig nach Prüfung bestanden, was Unternehmen in Sicherheit wiegt. Aber diese Tests haben kaum Aussagekraft im Falle eines groß angelegten Ransomware-Angriffs. Denn diese werden typischerweise nur auf Basis eines HA-Tests durchgeführt und die Backup-Umgebungen generell keine Recovery-Tests von mehr als 100 Applikationen erlauben.“ Also gehe man davon aus, dass die Standardmaßnahmen, welche beim normalen „Restore“ praktiziert würden, notfalls auch im großen Stil funktionierten. Dieser Irrglaube bleibe hartnäckig bestehen, weil nahezu alle namhaften Backup-Anbieter ihre Produkte auch als Lösung für „Disaster Recovery“ anpriesen.

Wiederherstellung nach Ransomware-Vorfall in wenigen Minuten mit ein paar Klicks möglich

Die Lösung dieses Problems sei sowohl theoretisch als auch praktisch relativ einfach: „Man sollte statt Server von Beginn an Anwendungen als Konsistenzgruppen schützen. Entsprechend moderne Lösungen, die kontinuierliche Datensicherung, kurz CDP, anstatt von periodischen Backups für Backup nutzen, gibt es am Markt bereits. Diese Lösungen führen ,Disaster Recovery‘, Backup, und ,Cloud‘-Mobilität in einer einzigen, einfachen und skalierbaren Lösung zusammen.“ Sie böten die Grundlage für eine kontinuierliche Datenreplikation ohne Beeinträchtigung der „Performance“ und ermöglichten die konsistente Wiederherstellung von Anwendungen von vor wenigen Sekunden bis von vor Jahren. Ein Journal vereine die kurz- als auch die langfristige Speicherung der Daten und ermögliche dank Orchestrierung die Wiederherstellung von Dateien, VMs, Anwendungen oder ganzen Rechenzentren „in einem benutzerfreundlichen ,Workflow‘ mit nur wenigen Klicks“.

Diese „Workflows“ seien plattformübergreifend konsistent und erlaubten ein einfaches „Failover“ auf einen sekundären Standort – und die einfache Wiederherstellung einer Datei, VM oder einer gesamten Anwendung. Diese Orchestrierung und Automatisierung ermögliche es Unternehmen, alles vorzudefinieren, um „Workloads“ wie Boot-Reihenfolgen, die Verknüpfung von IPs oder Netzwerk erfolgreich mit wenigen Klicks wiederherzustellen.

Ransomware-Worst-Case-Szenario nur bei schnellem Wiederanlauf zu verhindern

In der heutigen Bedrohungslandschaft wüssten Ransomware-Angreifer genau, „wann ein Angriff den größten Schaden anrichten kann“. Um den schlimmsten Fall zu verhindern, verließen sich viele Unternehmen zu sehr auf Backups und vergäßen dabei, dass es dann im Ernstfall Wochen dauern könne, um alle kritischen Anwendungen wieder herzustellen.

„Um ein mögliches Ransomware-Worst-Case-Szenario zu verhindern, ist ein schneller Wiederanlauf jedoch absolut entscheidend. Moderne Lösungen ermöglichen die Wiederherstellung komplexer Anwendungen in sehr kurzer Zeit und senken damit die Ausfallzeit dramatisch auf nur wenige Minuten“, unterstreicht Zimmer abschließend.

Weitere Informationen zum Thema:

datensicherheit.de, 23.12.2021
Backup und Disaster Recovery für die kritische Infrastruktur / Vorbereitung auf den Ernstfall

datensicherheit.de, 28.05.2021
Datenmanagement und Datensicherheit mit Backup & Replication / Datensicherung und Datenmanagement haben für Unternehmen wegen drohender Ransomware-Attacken und der Veränderung der Arbeitswelt stark zunehmende Bedeutung

[datensicherheit.de, 29.03.2021] Der „10. World Backup Day“ am 31. März 2021 fällt zeitlich eng mit dem sich anschließenden 1. April statt – doch Datenverluste sind alles Andere als ein Aprilscherz, die Folgen keineswegs harmlos. Eigentlich soll der „Welt-Backup-Tag“ als Erinnerung für Konsumenten dienen, sich auf das Unerwartete vorzubereiten, indem sie eben ihre wichtigen Dateien per Backup absichern. Der Verlust z.B. von Familienfotos oder wichtigen Dateien kann für Verbraucher zwar äußerst ärgerlich sein, doch auch Unternehmen sollten sich durch diesen Tag angesprochen fühlen, denn deren finanzieller, rufschädigender und rechtlicher Schaden im Kontext eines Datenverlustes kann katastrophal sein. Vera Wolf, „Sales Director DACH“ bei Zerto, erörtert in ihrem aktuellen Kommentar, warum sich auch Unternehmen grundsätzlich vom „World Backup Day“ angesprochen fühlen sollten.

Foto: Zerto

Vera Wolf: Es gibt keine Toleranz mehr für Datenverluste!

Backup-Technologie in den letzten Jahren kaum weiterentwickelt

„Das zehnjährige Jubiläum des ,World Backup Day‘ fällt mit einem fundamentalen Wandel für die Backup-Technologie zusammen. Die Datenmenge ist in den letzten zehn Jahren exponentiell gewachsen und es gibt keine Toleranz mehr für Datenverluste. Und dennoch hat sich die Backup-Technologie im Unternehmensbereich kaum weiterentwickelt“, so Wolf.
Traditionelle Backups beruhten auf „periodischen Snapshots“, oft auf täglicher, wöchentlicher oder sogar monatlicher Basis, was eine massive Belastung für Produktionsumgebungen darstelle und IT-Teams oft dazu zwinge, diese nachts durchzuführen, um Unterbrechungen zu vermeiden. Dies habe dazu geführt, „dass sie die beiden primären Metriken, die mit der Datensicherung verbunden sind, nicht erfüllen oder übertreffen können: die Ziele für die Wiederherstellungszeit (RTO) und den Wiederherstellungspunkt (RPO)“.

Backups für Unternehmen mittels Kontinuierlicher Datensicherung

Wolf führt aus: „Unternehmen konzentrieren sich darauf, ihren Kunden einen ,Always-on‘-Service zu bieten, während Cyber-Bedrohungen ständig zunehmen. Um dies zu gewährleisten, denken Organisationen darüber nach, wie sie ihre Daten kontinuierlich schützen können, wobei jede Änderung, jedes Update oder jeder neue Datensatz geschützt und in Echtzeit verfügbar ist.“
Kontinuierliche Datensicherung (Continuous Data Protection, CDP) z.B. von Zerto ermögliche diesen Wandel, indem sie Daten in Intervallen von Sekunden – statt von Tagen oder Monaten – speichere und IT-Teams die Granularität gebe, Operationen schnell auf wenige Sekunden vor dem Auftreten einer Störung zurückzusetzen. „CDP bietet vollkommene Flexibilität und ermöglicht es einem IT-Team, alles schnell wiederherzustellen – von einer einzelnen Datei oder virtuellen Maschine bis hin zu einem kompletten Standort. Wenn immer mehr Unternehmen CDP-Backup nutzen, werden Datenverluste vielleicht eines Tages so harmlos wie ein Aprilscherz sein. Bis dahin bleiben sie eine reale und gegenwärtige Gefahr.“

Weitere Informationen zun Thema:

datensicherheit.de, 31.03.2019
World Backup Day: Rubrik erhofft Signalwirkung

WORLD BACKUP DAY
Lassen Sie sich nicht in den April schicken. / Seien Sie vorbereitet. Sichern Sie Ihre Daten am 31. März.

[datensicherheit.de, 11.09.2019] 2018 habe der von Zerto bei IDC Research in Auftrag gegebene Report „State of IT-Resilience“ bescheinigt, dass nur sehr wenige der Befragten ihre Infrastruktur für widerstandsfähig genug hielten um erfolgreich zu sein. Seitdem habe sich offenbar bei der Absicherung von Rechenzentren wenig getan: Der Anteil, derer die ihre Infrastruktur für sicher genug halten, habe sich um gerade einmal vier Prozentpunkte verbessert, nämlich von sieben auf elf Prozent. Optimisten könnten darin einen Aufwärtstrend entdecken. Tatsächlich liege der Prozentsatz weiter erschreckend niedrig.

IT-Praktiker Gegenwind bekommen Gegenwind von unerwarteter Seite

Bei der Aufgabe ihre Systeme abzusichern, bekämen IT-Praktiker Gegenwind von unerwarteter Seite: 80 Prozent der Befragten hätten 2019 angegeben, dass das Management ihres Unternehmens offenbar nicht von einem engen Zusammenhang zwischen der Verfügbarkeit von Daten sowie der erfolgreichen Umsetzungen von Initiativen zur Digitalen Transformation und dem Unternehmenserfolg ausgehe.
„Dies zeichnet ein düsteres Bild beim Stand der Dinge in Sachen IT-Resilienz in vielen Unternehmen.“ Doch es gebe auch Licht: Immerhin gingen 90 Prozent davon aus, dass ihr Unternehmen in den nächsten zwei Jahren in die Absicherung ihrer Systeme investieren wolle.

Aussagen zu derzeitigen Herausforderungen der IT-Resilienz im Rahmen der Digitalen Transformation

Zerto hat nach eigenen Angaben für den nun vorgestellten „State of IT-Resilience Report 2019“ wie im Vorjahr weltweit 500 Führungskräfte sowohl aus der IT als auch aus anderen Geschäftsbereichen befragen lassen. Die Befragten seien aus über zehn unterschiedlichen Branchen gekommen und hätten sich zur den derzeitigen Herausforderungen der IT-Resilienz im Rahmen der Digitalen Transformation geäußert.
Die Ergebnisse dieser Befragung gäben Einblick in den Stand der Dinge in Sachen Widerstandsfähigkeit der IT und könnten Unternehmen dabei helfen, ihr Unternehmen gegen Ausfälle der IT-Systeme abzusichern.

91 Prozent erlitten in den letzten beiden Jahren technologiebedingte Störungen

Um die Absicherung der Systeme scheine es laut der Umfrage nicht sonderlich gut zu stehen: 91 Prozent der Befragten hätten angegeben, dass ihr Unternehmen in den letzten beiden Jahren technologiebedingte Störungen erlitten hätten. Die Befragten seien sich dabei durchaus bewusst, dass diese hohe Anfälligkeit ihrer Systeme ein Problem sei: 82 Prozent der Befragten seien der Meinung, dass der Schutz und die Wiederherstellung von Daten für ihre Projekte zur Digitalen Transformation eine entscheidende Rolle spiele.
Abgesehen davon wüssten Entscheidungsträger durchaus, dass Systemausfälle teuer werden könnten: Rund 37 Prozent berichteten von unmittelbaren Umsatzeinbußen, 61 Prozent von Rufschädigung und 26 Prozent von einem dauerhaften Kundenverlust.

Unterschiedliche Wahrnehmung hinsichtlich Wichtigkeit der IT-Resilienz

Neben diesen nachvollziehbaren Ergebnissen habe der Report einen hohen Grad unterschiedlicher Wahrnehmung innerhalb von Unternehmen hinsichtlich der Wichtigkeit der IT-Resilienz offenbart. So würden die Entscheidungsträger aus unterschiedlichen Unternehmenszweigen der Verfügbarkeit von Daten und Projekten zur Digitalen Transformation eine unterschiedliche Wichtigkeit beimessen.
So hätten mehr als 80 Prozent der Befragten angegeben, dass das höhere Management ihres Unternehmens nicht von einem engen Zusammenhang zwischen der Verfügbarkeit von Daten sowie der erfolgreichen Umsetzungen von Initiativen zur Digitalen Transformation und dem Unternehmenserfolg ausgehe. Es gebe also eine sehr unterschiedliche Wahrnehmung hinsichtlich der Wichtigkeit von IT-Resilienz, je nach Ebene des Managements.

Systemausfälle wären vermeidbar

Darüber hinaus hätten 56 Prozent der Befragten angegeben, dass die Ereignisse, die zu einem nicht wiederherstellbaren Datenverlust führten, meist vermeidbar wären. Das heißt demnach, die Ereignisse träten beispielsweise zwischen Backups oder bei Ausfällen von Backup-/Wiederherstellungssystemen auf.
Dass viele Unternehmen Systemausfälle zu beklagen haben, überrasche nicht: Gerade einmal elf Prozent der Befragten hätten angegeben, dass die Systeme ihres Unternehmens eine sehr ausgereifte IT-Resilienz auszeichne („State of IT-Resilience-Report 2018“: sieben Prozent)

IT-Resilienz-Strategie noch nicht optimiert

Die Studie komme zu dem Schluss, dass Cloud- und Transformationsinitiativen Verzögerungen oder Ausfälle drohten, da die meisten Befragten ihre IT-Resilienz-Strategie noch nicht optimiert hätten. Allerdings gebe es einen positiven Ausblick: 90 Prozent der befragten Unternehmen habe angegeben, ihre Investitionen in die IT-Resilienz in den nächsten zwei Jahren erhöhen zu wollen.
Ein wichtiger Baustein dieser Investitionen scheine die Zusammenführung von bisherigen Technologien zu sein. Ein hoher Prozentsatz der Befragten (93 Prozent) strebe zukünftig aktiv die Konvergenz von Lösungen für Backup und Disaster-Recovery an, um Redundanzen zu vermeiden. Um dies über Investitionen zu erreichen, benötigten sie moderne IT-Resilienz-Lösungen.

Wichtige Erkenntnisse der Befragung 2019:

• 91 Prozent hätten angegeben, dass ihre Unternehmen in den letzten zwei Jahren technologiebedingte Störungen erlitten hätten.
• 56 Prozent der Befragten meinten, dass die Ereignisse, die zu einem nicht wiederherstellbaren Datenverlust führten, meist vermeidbar gewesen wären.
• 82 Prozent gäben an, dass der Schutz und die Wiederherstellung von Daten für ihre Projekte zur Digitalen Transformation eine entscheidende Rolle spielten.
• 80 Prozent der Befragten glaubten, dass das höhere Management ihres Unternehmens nicht von einem engen Zusammenhang zwischen der Verfügbarkeit von Daten sowie der erfolgreichen Umsetzungen von Initiativen zur Digitalen Transformation und dem Unternehmenserfolg ausgehe.
• Nur rund elf Prozent der Befragten gäben an, dass die Systeme ihres Unternehmens eine sehr ausgereifte IT-Resilienz auszeichneten.
• 90 Prozent der befragten Teilnehmer meinten, ihre Investitionen in die IT-Resilienz in den nächsten zwei Jahren erhöhen zu wollen.
• Rund 57 Prozent der Befragten glaubten, dass die Anforderungen zum Datenschutz noch komplexer werden würde.
• Circa 93 Prozent der Befragten würden mit hoher Wahrscheinlichkeit die Konvergenz von Backup- und Disaster-Recovery-Tools anstreben, um Redundanzen zu vermeiden.

Plan für IT-Resilienz entwickeln

„Diese Umfrageergebnisse zeigen, dass die meisten Befragten ihre IT-Resilienz-Strategie nicht optimiert haben, was die zahlreichen IT- und geschäftsbezogenen Störungen zeigen“, so Phil Goodwin, „Research Director“ bei IDC:. Die Mehrheit der befragten Unternehmen werde jedoch innerhalb der nächsten zwei Jahre ein Transformations-, Cloud- oder Modernisierungsprojekt durchführen.
Hieran werde deutlich, dass alle Unternehmen einen Plan für die IT-Resilienz entwickeln müssten, um den Erfolg dieser Initiativen sicherzustellen. Goodwin: „Ohne einen solchen Plan wird die Häufigkeit der beschriebenen Störungen, ungeplanten Ausfallzeiten und Datenverlusten weiterhin dazu führen, dass Cloud- und Transformationsinitiativen durch Verzögerungen oder Ausfällen gefährdet werden – was zu finanziellen Belastungen führt und sich negativ auf den Wettbewerbsvorteil von Unternehmen auswirkt.“

Dringlichkeit besserer Resilienz offensichtlich

„Die Resilienz der IT in Unternehmen wird ständig herausgefordert. Bösartige Angriffe und Ausfälle verursachen Störungen von enormen Ausmaßen. Offensichtlich hapert es bei vielen Unternehmen an der Vermeidung von IT-Betriebsstörungen, wodurch die Unternehmen sogar davon abgehalten werden, sich auf die Entwicklung von Innovationen zu konzentrieren“, sagt Avi Raichel, „CIO“ bei Zerto.
IT-Führungskräfte und -Mitarbeiter seien sich über die Dringlichkeit besserer Resilienz im Klaren, und alle Seiten profitierten von der dynamischen Entwicklung in puncto IT-Resilienz.

Weitere Informationen zum Thema:

Zerto
IDC: The State of IT Resilience Report 2019

datensicherheit.de, 23.07.2019
Cyber-Resilienz in der Energiewirtschaft

datensicherheit.de, 23.01.2019
Entfernung georedundanter Rechenzentren von fünf auf 200 Kilometer angehoben

[datensicherheit.de, 23.01.2019] Kurz vor Weihnachten 2018 hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) seine Empfehlung für die Entfernung georedundanter Rechenzentren von fünf auf 200 Kilometer angehoben – die Gründe für diese Empfehlung sind im neuen BSI-Leitfaden „Kriterien für die Standortwahl höchstverfügbarer und georedundanter Rechenzentren“ genau dokumentiert. Bisher hatte das BSI einen Mindestabstand von fünf Kilometern empfohlen. Mit der neuen Empfehlung, hebt das BSI diese Distanz drastisch an. Johan van den Boogaar von Zerto nimmt zu dieser Neufassung Stellung.

Abstand künftig keinesfalls unter 100 Kilometern

„Da es aber, insbesondere durch den Blick in die Vergangenheit, nicht möglich ist, zukünftige potentiell schädliche Situationen und Ereignisse ausreichend sicher vorherzusagen, sollten einander Georedundanz gebende Rechenzentren einen Mindestabstand von circa 200 Kilometer zueinander haben“, führt das BSI in seinen Standort-Kriterien unter Punkt 3.3 aus – 40-mal so viel wie bisher. „Ist im Einzelfall ein deutlich geringerer Abstand unabweisbar“, so das BSI weiter, „ist diese Notwendigkeit schriftlich ausführlich darzulegen und einer Risikoanalyse zu unterziehen“. Doch auch dann, sollten georedundante Rechenzentren keinesfalls unter 100 Kilometer auseinanderliegen.
Der Grund die Entfernung anzuheben, liegt laut BSI darin, dass es nicht möglich sei, „zukünftige potentiell schädliche Situationen und Ereignisse ausreichend sicher vorherzusagen“. Im Klartext: Es geht um regionale Katastrophen, die auf einen Schlag beide Rechenzentren ausfallen lassen könnten. Dazu zählen neben Naturkatastrophen wie Überschwemmungen, Großbrände, Erdbeben, Vulkanausbrüchen oder Tsunamis auch von Menschenhand gemachte Unglücke, wie etwa Störfälle in Kernkraftwerken. Für Betreiber von Rechenzentren, insbesondere, die vom Gesetzgeber als „kritische Infrastrukturen“ (KRITIS) eingestuften, hat diese Änderung weitreichende Folgen.

Herausforderungen: Migration, neue Technologien und Anpassung der Cloud-Strategie

Die Empfehlungen des BSI für den sicheren Betrieb von Rechenzentren gälten vielen Organisationen als Richtschnur für den sicheren IT-Betrieb. Viele Branchen folgten den Empfehlungen deshalb freiwillig, andere, wie etwa die Banken-Branche, würden von ihren eigenen Verbänden bindend zur Einhaltung der Richtlinien des BSI angehalten.
„Die neuen Kriterien des BSI für die Standortwahl hochverfügbarer und georedundanter Rechenzentren werden Unternehmen kurzfristig vor zahlreichende Herausforderungen stellen und vielerorts eine Anpassung der heutigen DR-Strategie erfordern“, sagt van den Boogaart.
Unternehmen, die die bisher empfohlenen fünf Kilometer zwischen ihren georedundanten Rechenzentren eingehalten haben, müssten sich nun nach mindestens einem neuen Standort für das zweite Rechenzentrum umschauen. Van den Boogaart: „Und das wird kein Kinderspiel, bedeutet der Wechsel doch eine umfangreiche Migration von Infrastruktur, Daten und aktiven Workloads. In vielen Fällen werden Organisationen ihre heutigen Desaster-Recovery-Strategien überdenken und entsprechend anpassen müssen.“

Neue Voraussetzungen: direkte Folgen für BC/DR

Auch auf die von vielen Unternehmen genutzten Systeme für „Business Continuity“ und „Disaster Recovery“ (BC/DR), die auf Technologien wie synchroner Spiegelung, Backups und Snapshots aufbauten, habe die Empfehlung Folgen: Mit der weiteren Entfernung erhöhten sich gleichzeitig die Latenzzeiten der Daten, die zwischen den Rechenzentrum hin und her verschoben werden. Die deutlich höhere Latenzzeit zweier so weit voneinander entfernter Rechenzentren mache insbesondere die synchrone Replikation von Daten, auf der die Hochverfügbarkeit vieler Systeme aufbaue, „effektiv unmöglich“.
Wenn die verwendeten Technologien aufgrund geänderter Rahmenbedingungen nicht mehr funktionierten, bedeute dies für Unternehmen, dass sie vor dem Problem stünden, zukünftig ihre virtuelle Maschinen (VMs) mit minimalem Performance-Verlust und geringen „Recovery Point Objectives“ (RPOs) zu schützen.
„Und zu guter Letzt, kann diese neue Empfehlung komplette DR- und Backup-Strategien, die auf der Basis der bisherigen Richtlinien erstellt wurden, auf den Kopf stellen. Ganz gleich in welchem Stadium der Migration in das neuen DR-Rechenzentrum einer Organisation sein mag, die neue Richtlinie hat sehr wahrscheinlich Einfluss auf die DR-Strategien der meisten Unternehmen“, so van den Boogaart.

Asynchrone Replikation und CDP als mögliche Auswege

„Die meisten Unternehmen werden ihr zweites georedundantes Rechenzentrum wohl in einem Umkreis von weniger als 200 Kilometern haben und sind demzufolge unmittelbar von der neuen Empfehlung des BSI betroffen“, kommentiert van den Boogaart die neue Empfehlung des BSI und ihre Folgen.
„Somit stehen diese Unternehmen jetzt vor der Wahl, entweder ein drittes, weiter entferntes RZ aufzubauen, oder gleich in die Cloud zu migrieren. Dabei gibt es jedoch einen Haken. Die weitere Entfernung bereitet hinsichtlich Latenz, Bandbreite und der Größe von Snapshots unlösbare Probleme.“
Unter Berücksichtigung all dieser Faktoren, bleibe nahezu nur eine technische Möglichkeit auf diese weite Entfernung Redundanz zu gewährleisten: „Continuous Data Protection“, kurz CDP, mit asynchroner Replikation.

Foto: Zerto

Johan van den Boogaar

Weitere Informationen zum Thema:

Bundesamt für Sicherheit in der Informationstechnik, 2018
Kriterien für die Standortwahl höchstverfügbarer und georedundanter / Rechenzentren Standort-Kriterien HV-RZ Version 1.0

datenicherheit.de, 08.05.2018
Unsichere Rechenzentren: Zukunftsmodell Blockchain gerät ins Wanken

[datensicherheit.de, 19.04.2017] Juristisch betrachtet ist das neue IT-Sicherheitsgesetz schon seit fast zwei Jahren in Kraft, allerdings hatte der Gesetzgeber eine Übergangsfrist vorgesehen, die Unternehmen für zweieinhalb Jahre die Möglichkeit geben sollte ihre Infrastrukturen entsprechend anzupassen. Diese Frist läuft nun in 100 Tagen ab. Nach Erfahrungen von Industrie-Insidern haben längst nicht alle Unternehmen diese Zeit genutzt, um ihre Infrastruktur und sich selbst zu schützen – mithin vor Gefahren sowie vor Strafen und Haftungsansprüchen der Behörden und Dritter.

Schutz und Sicherung nach dem jeweiligen „Stand der Technik“!

Anlässlich des „100-Tage-Countdowns“ zum endgültigen Inkrafttreten des IT-Sicherheitsgesetzes am 26. Juli 2017 kommentiert Andreas Mayer, „Marketing Manger DACH“ bei Zerto:
„In 100 Tagen ist es soweit – die Schonfrist ist vorüber. Mit einem Schlag könnten Tausende deutscher Rechenzentren nicht mehr rechtskonform sein, weil sie keine entsprechenden Maßnahmen ergriffen haben, um ihre IT inklusive der zugehörigen Prozesse vor Störungen zu schützen oder die Störung mit Mitteln zu beseitigen, die dem ,Stand der Technik‘ entsprechen.“
Heute noch aktuelle Ansätze für „Business Continuity“ und „Disaster Recovery“, aufbauend auf synchroner Spiegelung, seien nicht mehr auf dem neuesten Stand, so seine Warnung.

Prozesse für Notallwiederherstellung und „Business Continuity“ prüfen!

Ab dem 26. Juli 2017 würden sich Unternehmen der Gefahr aussetzen, zumindest in einer Grauzone zu agieren: „Synchrone Spiegelung bietet keinen Schutz vor logischen Fehlern und es bedarf neuer Ansätze wie Hypervisor-basierter Replikation, um auf der sicheren Seite zu sein“, erläutert Mayer.
Unternehmen, die sich nicht sicher sind, ob ihre Rechenzentren zukünftig legal sein werden, sollten demnach die nächsten 100 Tage nutzen, indem sie ihre Prozesse für Notallwiederherstellung und „Business Continuity“ genauestens prüfen und nötigenfalls „unbedingt handeln“.

Weitere Informationen zum Thema:

Bundesamt für Sicherheit in der Informationstechnik
IT-Sicherheitsgesetz tritt am 25. Juli 2015 in Kraft

datensicherheit.de, 29.07.2015
TeleTrusT: IT-Sicherheitsgesetz nur erster Schritt