Backup-Angebot prüfen: welche Zahlen im Vertrag stehen müssen

/01Was im Backup-Vertrag stehen muss — und was Prospektwert bleibt

Ein Angebot für Managed Backup enthält fast immer zwei Kennzahlen: die Wiederanlaufzeit (RTO) und den maximal tolerierten Datenverlust (RPO). Beide stehen auf der Leistungsseite, im Angebotsschreiben und meist noch einmal in der Präsentation. Was fehlt, ist die Unterscheidung, ob die Zahl in der Anlage zum Vertrag steht, mit Bezug auf ein konkretes System, oder nur im Prospekt. Der Unterschied ist der zwischen einer Vereinbarung und einer Absichtserklärung.

Dieser Artikel behandelt den Vertrag und das Angebot: Welche Angaben die Anlage enthalten muss, welche Formulierungen Sie hellhörig machen sollten und wie Sie eine zugesagte Zeit plausibel gegenrechnen. Ob die Zahl im Ernstfall gehalten wird, ist eine andere Frage; sie klärt der Wiederherstellungstest, den wir im Artikel Restore-Test: Wiederanlaufzeit wirklich messen beschreiben. Beides gehört zusammen: Der Vertrag legt den Maßstab fest, der Test misst dagegen.

Dazu gehört auch ein Begriffsabgleich. RPO und RTO werden in Angeboten mit unterschiedlichem Gewicht verwendet. Manche Anbieter meinen mit RTO die Dauer des reinen Datenrückspielens, andere die Zeit bis der Anwender wieder arbeiten kann. Das sind bei einem Dateiserver ein paar Minuten Unterschied, bei einer Datenbank mit abhängigen Anwendungen ein halber Tag. Ohne schriftliche Definition vergleichen Sie bei zwei Angeboten zwei verschiedene Größen unter demselben Namen.

/02Zielwert, Zusage, Rechtsfolge: drei Zustände derselben Zahl

Dieselbe Zahl kann in einem Angebot drei verschiedene Rollen haben. Als Prospektwert beschreibt sie, was der Anbieter typischerweise erreicht; niemand schuldet sie. Als Zielwert ist sie eine Vorgabe für den Betrieb, an der der Anbieter sich messen lassen will, ohne dass ein Verfehlen eine Folge hätte. Als Zusage mit Rechtsfolge hängt an der Überschreitung etwas Konkretes: eine Gutschrift, ein Sonderkündigungsrecht, eine Eskalationspflicht. Welche der drei Rollen vorliegt, steht fast nie neben der Zahl, sondern in der Vertragsstruktur drumherum.

Wir gehen mit den eigenen Unterlagen genauso um. Auf unserer Leistungsseite für Managed Backup stehen die Wiederanlaufzeiten je Klasse ausdrücklich als „Zielwerte, verbindlich laut vereinbarter Backup-Anlage“. Das heißt: Die Zahl auf der Seite ist eine Orientierung, verbindlich wird sie erst durch die Anlage, die je System festlegt, welche Klasse gilt. In unserem Entwurf des SLA (Version 2.0, Stand März 2026, noch nicht freigegeben) ist der Mechanismus ähnlich gebaut: Wiederherstellungszeiten und maximaler Datenverlust werden in einer Anlage „Datensicherung und Wiederherstellung“ je System vereinbart, einschließlich Testintervall und Verantwortlichkeiten. Der Entwurf hält außerdem fest, dass ohne diese Anlage die Werte des Leistungs- und Servicekatalogs als Zielwerte ohne Rechtsfolge gelten. Das ist die ehrliche Form: Der Katalog macht keine Zusage, die Anlage schon.

Für Ihre Prüfung heißt das: Suchen Sie im Angebot zuerst die Stelle, an der die Zahl rechtsverbindlich wird. Findet sich nur der Satz „Typische Wiederanlaufzeit 4 Stunden“, ist die Zahl ein Prospektwert. Findet sich „Die RTO für das System ERP beträgt 4 Stunden, gemessen ab Freigabe der Wiederherstellung, Rechtsfolge siehe Abschnitt …“, haben Sie etwas, womit Sie arbeiten können. Rechtliche Wirkung und Formulierung im Einzelfall klärt Ihr Rechtsbeistand; hier geht es um die technische und kaufmännische Vorprüfung.

/03RTO und RPO je System: warum eine Zahl für alles nicht reicht

Die häufigste Schwäche in Angeboten ist die Pauschale: „RTO 4 Stunden, RPO 1 Stunde für alle gesicherten Systeme“. Das klingt nach Klarheit und ist in der Praxis eine von zwei Aussagen. Entweder gilt der Wert für das wichtigste System und der Anbieter hat für alle anderen nur nicht genauer hingesehen, dann zahlen Sie für Aufwand, den ein Archivserver nicht braucht. Oder der Wert gilt für das durchschnittliche System, dann ist er für das kritische zu locker. Eine ehrliche Anlage unterscheidet.

Unsere Leistungsseite arbeitet mit drei Klassen. Die folgende Tabelle gibt die Werte so wieder, wie sie dort stehen; welche Klasse ein System bekommt, wird im Backup-Konzept je System festgelegt.

Die Spalte „Typisches System“ ist unsere Einordnung für dieses Beispiel, keine Festlegung der Seite; sie ersetzt nicht das Konzept je Kunde. Daneben nennt unsere Seite zu Backup und Disaster Recovery den Regelfall: Systeme sind innerhalb von 4 Stunden wieder online, der Datenverlust liegt bei höchstens 1 Stunde. Als Vergleichsmaßstab führt dieselbe Seite den Korridor typischer Mittelstandsziele an, RPO 1 bis 4 Stunden und RTO 2 bis 8 Stunden. Der Regelfall entspricht also unserer Klasse „Produktion“ und liegt im Korridor. Diese Angaben sind Zielwerte, keine Garantien; ob sie für ein bestimmtes System gelten, entscheidet sich in der Anlage.

Für die Prüfung eines fremden Angebots ist der Korridor ein brauchbarer Plausibilitätsrahmen. Liegt ein Wert deutlich enger, etwa 15 Minuten RPO für alles, fragen Sie nach der Technik dahinter: kontinuierliche Replikation statt Sicherungsläufen, zusätzlicher Speicher, eine zweite Umgebung. Liegt er deutlich weicher, zum Beispiel 48 Stunden RTO für den Fileserver, fragen Sie, ob das bewusst so gewählt wurde oder ob es dem Anbieter schlicht bequemer ist.

/04Wo die Uhr startet und wo sie stoppt

Eine RTO von 4 Stunden ist erst dann prüfbar, wenn feststeht, wann die vier Stunden beginnen und wann sie enden. Die Praxis kennt drei gängige Startpunkte, und jeder verschiebt das Ergebnis:

• Ausfall: Die Uhr läuft ab dem Moment, in dem das System nicht mehr arbeitet. Das ist die Sicht des Anwenders, enthält aber die Zeit, bis jemand den Ausfall bemerkt und meldet.
• Meldung beim Anbieter: Die Uhr läuft ab Eingang der Störungsmeldung über den vereinbarten Meldeweg. Das ist üblich, setzt aber voraus, dass der Meldeweg und die Servicezeit im Vertrag stehen.
• Freigabe der Wiederherstellung: Die Uhr läuft ab dem Moment, in dem Sie als Auftraggeber die Wiederherstellung freigegeben haben. Das ist die engste Auslegung und mit Abstand die günstigste für den Anbieter, weil Diagnose und Entscheidung vorher liegen.

Mindestens ebenso wichtig ist der Endpunkt. „Wiederhergestellt“ kann bedeuten, dass die Daten zurückgespielt sind, dass die virtuelle Maschine bootet, dass die Anwendung antwortet oder dass die Fachabteilung bestätigt hat, dass die Buchungen stimmen. Dazwischen liegen bei einem Datenbankserver leicht zwei Stunden. Eine saubere Anlage nennt das Endkriterium als prüfbare Handlung: „Anmeldung an der Anwendung möglich und Testbuchung erfolgreich“ lässt sich nachweisen, „System wiederhergestellt“ nicht.

Ein dritter Punkt ist die Servicezeit. Läuft die Uhr nur während der vereinbarten Servicezeit, verlängert sich eine Wiederanlaufzeit von 4 Stunden bei einem Ausfall am Freitagabend um das Wochenende. Das kann sinnvoll sein, wenn Sie außerhalb der Bürozeit keine Eile haben, muss aber im Vertrag stehen und nicht im Kleingedruckten der Servicebeschreibung. Für die Backup-Anlage gilt deshalb: Servicezeit und Meldeweg stehen in der Anlage oder verweisen eindeutig auf eine datierte Fassung. Der Meldeweg ist zugleich der Anfang der Incident-Response-Kette; wer dort nicht erreichbar ist, verliert die Zeit, die die RTO versprochen hat.

/05Rechenprobe: Passt die RTO zur Datenmenge?

Die einfachste Plausibilitätsprüfung für eine zugesagte Zeit ist eine Überschlagsrechnung. Sie braucht drei Angaben: die Datenmenge, die zurückgespielt werden muss, die Leitungsrate zwischen Sicherungsspeicher und Zielsystem und einen Auslastungsfaktor. Letzterer wird oft vergessen, denn eine Leitung erreicht ihre Nennrate beim Restore selten. Das Beispiel rechnet mit einem einzelnen Dateiserver:

$ awk 'BEGIN{tb=2; gbit=1; s=tb*1e12*8/(gbit*1e9); printf "%.0f s = %.1f h\n", s, s/3600}'
16000 s = 4.4 h

$ awk 'BEGIN{tb=2; gbit=10; s=tb*1e12*8/(gbit*1e9); printf "%.0f s = %.2f h\n", s, s/3600}'
1600 s = 0.44 h

$ awk 'BEGIN{tb=2; s=tb*1e12*8/(1e9*0.7); printf "%.1f h bei 70%% Auslastung\n", s/3600}'
6.3 h bei 70% Auslastung

Zwei Terabyte über eine Gigabit-Leitung brauchen allein für die Übertragung rechnerisch 4,4 Stunden, bei angenommenen 70 Prozent Auslastung sind es 6,3 Stunden. Eine RTO von 4 Stunden für dieses System ist damit nicht einhaltbar, wenn die gesamten Daten über diese Leitung zurückkommen müssen. Über 10 Gigabit pro Sekunde sind es 0,44 Stunden, also gut 26 Minuten für die Übertragung. Das sind Idealwerte: Entpacken, Prüfsummen, Start des Systems und Anwendungstests kommen obendrauf, und wie viel das ausmacht, kann nur eine Messung in Ihrer Umgebung beantworten.

Die Rechenprobe ist trotzdem aufschlussreich, weil sie die Fragen an den Anbieter schärft. Wie kommen die Daten zurück: aus einem lokalen Proxmox Backup Server oder einem anderen Zwischenspeicher im Haus, über die Internetleitung des Büros, über eine Direktverbindung, aus einem lokalen Zwischenspeicher? Werden nur geänderte Blöcke zurückgeholt, oder muss das ganze System übertragen werden? Gibt es eine Möglichkeit, die Maschine direkt aus dem Sicherungsspeicher zu starten, bevor die Daten vollständig zurückgespielt sind? Ein Anbieter, der eine RTO nennt, muss diese Fragen beantworten können. Ist die Antwort „Das hängt vom Einzelfall ab“, ist die Zahl ein Prospektwert.

/06Die RPO gegen den Sicherungsrhythmus legen

Die RPO ist leichter zu prüfen als die RTO, weil sie sich aus dem Rhythmus der Sicherungsläufe ergibt. Wer 1 Stunde maximalen Datenverlust vereinbart, braucht mindestens stündliche Sicherungsläufe, sonst gilt die Zusage rechnerisch nicht. Ein nächtlicher Lauf um 23 Uhr liefert im ungünstigsten Fall, nämlich einem Ausfall kurz vor dem nächsten Lauf, einen Datenverlust von knapp 24 Stunden. Das ist keine Auslegungsfrage, sondern Arithmetik.

Zwei Folgen daraus gehören in die Anlage. Erstens der tatsächliche Rhythmus: Die Anlage nennt, in welchem Abstand das System gesichert wird, nicht nur den Zielwert. Zweitens der Umgang mit einem ausgefallenen Lauf. Schlägt der Lauf um 14 Uhr fehl und merkt es niemand bis zum Abend, ist die RPO von 1 Stunde bereits gerissen, bevor irgendein Ausfall eintritt. Zur RPO gehört deshalb eine Überwachung mit definierter Reaktionszeit: Wer wird benachrichtigt, wenn ein Lauf ausbleibt, und bis wann wird er nachgeholt? Unsere Leistungsseite nennt dazu die Überwachung aller Sicherungsjobs rund um die Uhr, die Rückmeldung bei Fehlern und monatliche Berichte über Status, Erfolgsquote und durchgeführte Restores. Für Ihre Prüfung zählt, ob das im Angebot als Leistung beschrieben ist oder nur als Absicht.

Ein Sonderfall sind Anwendungen mit eigener Datenhaltung. Bei einer Datenbank genügt ein Abbild der virtuellen Maschine unter Umständen nicht, wenn die Datenbank beim Sichern nicht konsistent ist. Dann braucht es eine anwendungsbewusste Sicherung oder Protokollsicherungen zwischen den Abbildern. Fragen Sie, wie die RPO für das jeweilige System technisch erreicht wird. Die Antwort „Wir sichern die VM stündlich“ ist für einen Dateiserver in Ordnung und für eine Datenbank erklärungsbedürftig. Als Variante kommt der Snapshot in Betracht, der den Zustand schnell festhält, aber allein keine Sicherung auf getrenntem Medium ersetzt.

/07Testintervall und Nachweis gehören in dieselbe Anlage

Eine zugesagte Zeit ohne Prüfrhythmus bleibt eine Behauptung. Deshalb gehört das Testintervall in dieselbe Anlage wie die Werte: wie oft getestet wird, welche Testart, wer dabei ist und was als Nachweis übergeben wird. Unsere Leistungsseite nennt quartalsweise Rückspieltests mit Protokoll; im SLA-Entwurf ist das Testintervall ausdrücklich Teil der Anlage je System. Wo das Intervall nicht im Vertrag steht, entscheidet im Zweifel das Tagesgeschäft darüber, ob getestet wird.

Prüfen Sie außerdem, was ein bestandener Test im Vertrag bedeutet. Zwei Fragen helfen. Wird die Wiederanlaufzeit dabei gemessen und mit der vereinbarten RTO verglichen, oder wird nur festgestellt, dass der Restore funktioniert hat? Und was geschieht, wenn die gemessene Zeit über dem Zielwert liegt: Gibt es eine Pflicht, die Ursache zu beheben oder den Wert anzupassen, mit Frist? Ein Test, dessen Ergebnis folgenlos bleibt, hat für den Vertrag keinen Wert. Wie der Test selbst abläuft, welche Testarten es gibt und welche Felder ein Protokoll enthält, steht im Artikel zum Restore-Test; für die Vertragsprüfung genügt die Frage, ob der Nachweis vereinbart ist. Als Messgröße taucht dort die MTTR auf, die gemessene mittlere Wiederherstellungszeit, die sich nach mehreren Tests erst belastbar angeben lässt.

Zum Nachweis zählt auch, wer die Daten im Streitfall liest, nicht zuletzt gegenüber einem Versicherer, der im Schadenfall Belege zur Cyberversicherung verlangt. Ein Protokoll, das nur beim Anbieter liegt, ist für Sie wenig wert, wenn Sie später gegenüber Prüfern oder Versicherern belegen müssen, was wann getestet wurde. Die Anlage sollte regeln, dass Sie die Testprotokolle erhalten und wie lange sie aufbewahrt werden. Bei uns bleibt Ihnen laut Leistungsseite der Zugang zu Ihren Daten; Eigentum und Hoheit wechseln nicht. Das sollte ein Vertrag, den Sie prüfen, ebenso klar sagen.

/08Die Klauseltabelle fürs Angebot

Die folgende Tabelle fasst die vorigen Abschnitte als Prüfliste zusammen. Gehen Sie sie mit dem Angebot in der Hand durch und markieren Sie, welche Antworten sich im Vertragstext belegen lassen und welche nur mündlich gegeben wurden. Mündliche Antworten sind keine Antworten im Sinne dieser Liste.

Wenn Sie nur Zeit für drei Zeilen haben, nehmen Sie Geltungsbereich, Endkriterium der RTO und Abweichung. Diese drei trennen am deutlichsten einen Vertrag, der Ihnen etwas zusagt, von einem Papier, das Erwartungen weckt.

/09Wo es hakt: was auch ein guter Vertrag nicht regelt

Selbst die sauberste Anlage hat Grenzen, und die sollten Sie vor Vertragsabschluss kennen. Die erste: Eine RTO gilt für das einzelne System, nicht für die ganze Umgebung. Fällt der gesamte Standort aus, konkurrieren alle Systeme gleichzeitig um Bandbreite und Personal, und die Summe der Einzelzeiten ist nicht die Gesamtzeit. Ob eine Anlage die Reihenfolge der Wiederherstellung festlegt, ist deshalb eine eigene Frage. Ein Runbook hält Abhängigkeiten fest, etwa dass Namensauflösung und Anmeldedienst vor der Anwendung kommen. Eine feste Gesamtzeit für den Standortausfall wird in der Praxis dennoch selten zugesagt.

Die zweite Grenze sind Abhängigkeiten außerhalb des Backups: Lizenzen, die sich an Hardware binden, Zertifikate, Zugriff auf Konten von Drittanbietern, Internetanschluss am Ausweichort. Keiner dieser Punkte steht im Sicherungsjob, alle wirken auf die Wiederanlaufzeit. Fragen Sie, ob die Anlage solche Voraussetzungen benennt und wer sie bereithält. Ein Vertrag, der Voraussetzungen offenlegt, ist ehrlicher als einer, der sie verschweigt, auch wenn er auf den ersten Blick mehr Einschränkungen enthält.

Die dritte: Eine Zusage hilft nicht, wenn die Kopie fehlt. Wer gegen Ransomware sichern will, braucht Kopien, die ein Angreifer nicht mitverschlüsselt, und die 3-2-1-Regel beschreibt den Mindestaufbau. Die Frage nach RTO und RPO setzt voraus, dass eine brauchbare Kopie existiert; die Frage nach der Kopie ist ein eigenes Thema, das der Artikel Ransomware mit Datenabfluss: Warum Backup allein nicht mehr reicht vertieft. Eine ausführliche Prüfliste zur Technik finden Sie in der Backup-Audit-Checkliste.

Die vierte Grenze betrifft uns selbst. Unsere Werte sind Zielwerte, die in der Anlage verbindlich werden; für Ihr System sind sie damit noch nicht belegt, das leistet erst die Messung. Bei einer Neuaufnahme sehen wir uns Ihre Systeme vor dem Angebot an, und was bleiben kann und was ersetzt werden muss, steht schriftlich fest, bevor Sie beauftragen. Das ist keine Garantie für Ihre Umgebung, sondern die Reihenfolge, die wir für richtig halten.

/10Wann ein enger Wert die falsche Wahl ist

Der Reflex bei der Angebotsprüfung lautet: je kürzer, desto besser. Das stimmt, solange der Preis keine Rolle spielt. Tatsächlich bestimmen RTO und RPO den Aufwand, wie unsere Lösungsseite festhält: Je kürzer die zugesagten Zeiten, desto aufwendiger der Aufbau, und das schlägt sich im Preisrahmen nieder. Ein enger Wert für ein System, das nach einem Tag Stillstand niemanden stört, ist verschenktes Geld und zusätzlich eine Zusage, die jemand dauerhaft einhalten muss.

Die richtige Frage lautet deshalb: Was kostet eine Stunde Stillstand dieses Systems, und was kostet eine Stunde Datenverlust? Beim Auftragswesen eines Betriebs mit Schichtbetrieb ist beides hoch. Beim Archiv der Buchhaltung ist beides gering, solange das Archiv innerhalb der gesetzlichen Aufbewahrung wieder lesbar wird. Daraus folgt die Klasse, nicht aus dem Wunsch, möglichst sicher zu sein. Ein ehrlicher Anbieter rät Ihnen bei manchen Systemen zu einem weicheren Wert, weil der engere nichts bringt.

Die Faustregel in drei Fällen. Eine kurze RTO lohnt sich, wenn der Stillstand Umsatz oder Produktion blockiert und die Datenmenge den Rückweg in dieser Zeit erlaubt; vorher die Rechenprobe aus Abschnitt 5. Eine kurze RPO lohnt sich, wenn Daten neu entstehen, die sich nicht aus anderen Quellen rekonstruieren lassen, etwa Buchungen oder Messwerte. Ein weicher Wert genügt, wo Daten sich aus Vorsystemen neu laden lassen oder wo der Aufwand der Wiederbeschaffung kleiner ist als der des engen Rhythmus. Die falsche Wahl ist der enge Wert, den niemand begründet hat; er wird im Ernstfall teuer erkauft oder gerissen, und in beiden Fällen sind Sie unzufrieden.

/11Häufige Fragen