Kurz gesagt: RTO (Recovery Time Objective) ist die Zeit, die ein System nach einem Ausfall höchstens stillstehen darf, bis es wieder läuft. RPO (Recovery Point Objective) ist der Datenverlust, den du höchstens hinnehmen willst, gemessen als Zeitspanne seit der letzten Sicherung. Beide Werte legst du je Geschäftsprozess fest, nicht je Server, und sie bestimmen, wie dein Backup aussehen muss.
Stand: 03.11.2026
Was bedeuten RTO und RPO?
Stell dir vor, der Dateiserver fällt um 10 Uhr aus. Die RTO beantwortet die Frage: Bis wann muss er wieder laufen, damit der Betrieb keinen ernsten Schaden nimmt? Bis 12 Uhr? Bis morgen früh? Die RPO beantwortet die andere Frage: Auf welchen Stand darf der Server nach der Wiederherstellung sein? Wenn die letzte Sicherung von gestern Nacht stammt, fehlt die Arbeit eines halben Tages. Ist das tragbar oder nicht?
Beide Werte sind Zeitangaben, meinen aber Verschiedenes. Die RTO blickt nach vorn (Dauer des Ausfalls), die RPO blickt zurück (Alter der letzten brauchbaren Daten). Ein kurzer RTO verlangt schnelle Wiederherstellungswege, etwa ein lokales Backup oder Ersatzhardware. Ein kurzer RPO verlangt häufige Sicherungen oder eine laufende Replikation.
Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.
Was sagt der BSI-Standard 200-4 dazu?
Das Bundesamt für Sicherheit in der Informationstechnik beschreibt im BSI-Standard 200-4 eine praxisnahe Anleitung, um ein Business Continuity Management System (BCMS) aufzubauen. Einsteiger bekommen einen leichten Einstieg, erfahrene Anwender einen normativen Anforderungskatalog für ein Standard-BCMS. Eine Zertifizierung ist laut BSI derzeit nicht geplant.
Zum Standard gehören Hilfsmittel, die du kostenlos herunterladen kannst: ein Anforderungskatalog als Excel-Datei, der die Anforderungen den Kapiteln des Standards und der ISO 22301:2019 zuordnet, ein Glossar mit Abkürzungsverzeichnis, ein Dokument zur Bewältigung von Vorfällen, eine Vorlage für Wiederanlaufpläne als Word-Datei und ein Flyer zum Einstieg. Für ein kleines Unternehmen ist vor allem die Vorlage für den Wiederanlaufplan nützlich: Dort hältst du fest, in welcher Reihenfolge Systeme nach einem Ausfall wieder in Betrieb gehen.
Der Grundgedanke des Standards: Nicht die IT entscheidet, wie schnell etwas wieder laufen muss, sondern das Geschäft. Erst wenn klar ist, welche Prozesse zeitkritisch sind, lassen sich daraus Vorgaben für die IT ableiten. RTO und RPO sind genau diese Vorgaben.
Wie legst du RTO und RPO fest?
- Prozesse auflisten. Nicht Server, sondern Tätigkeiten: Rechnungen schreiben, Patienten aufrufen, Aufträge disponieren, E-Mails beantworten.
- Schaden abschätzen. Was kostet jede Stunde Stillstand pro Prozess? Nicht nur Geld, auch Vertragsstrafen, Patientenversorgung, Ruf.
- RTO ableiten. Ab wann wird der Schaden untragbar? Das ist die maximale Ausfallzeit, die RTO liegt darunter.
- RPO ableiten. Welche Daten lassen sich nachtragen, welche nicht? Eine Woche Buchhaltung lässt sich aus Belegen rekonstruieren, ein Tag Terminbuchungen oft nicht.
- Systeme zuordnen. Welche Server, Cloud-Dienste und Leitungen braucht der Prozess? Das System erbt den strengsten Wert aller Prozesse, die darauf laufen.
- Mit dem Backup abgleichen. Sichert dein Backup oft genug für die RPO? Lässt sich innerhalb der RTO wiederherstellen? Falls nein: Backup anpassen oder Werte ehrlich korrigieren.
- Testen und dokumentieren. Eine Testwiederherstellung zeigt die echte Wiederherstellungsdauer. Trag die Werte in den Wiederanlaufplan ein.
Welche Fragen helfen bei der Einordnung?
| System | Leitfrage für die RTO | Leitfrage für die RPO |
|---|---|---|
| Dateiserver oder SharePoint | Wie lange kann das Team ohne gemeinsame Ablage arbeiten? | Wie viele Stunden Dokumentenarbeit könnt ihr nachholen? |
| Wie lange dürfen Kunden ohne Antwort bleiben? | Welche Mails gehen verloren, wenn das Postfach auf den Stand der letzten Sicherung springt? | |
| Praxis- oder Warenwirtschaftssoftware | Könnt ihr eine Zeit lang auf Papier arbeiten? | Lassen sich Buchungen und Termine aus anderen Quellen nachtragen? |
| Telefonanlage | Gibt es eine Umleitung auf Mobiltelefone? | Meist unkritisch, Konfiguration reicht |
Was bedeutet das für dein Backup?
Die RPO bestimmt den Sicherungsrhythmus. Wer nur nachts sichert, hat tagsüber eine RPO von bis zu einem Arbeitstag. Wer kürzere Werte braucht, sichert mehrmals täglich oder repliziert laufend. Die RTO bestimmt den Wiederherstellungsweg. Eine Wiederherstellung aus der Cloud dauert so lange, wie die Internetleitung braucht, um die Daten zurückzuholen. Deshalb kombinieren wir für kurze RTO lokale Sicherung und Cloud-Sicherung. Bei TERRA CLOUD Backup, mit dem wir als TERRA CLOUD Partner arbeiten, liegt der primäre Vault in Hüllhorst und der sekundäre in Düsseldorf. Der sekundäre Vault dient laut Hersteller ausschließlich der Wiederherstellung von Daten, direkte Sicherungen dorthin sind nicht vorgesehen. Bei einem Hybrid Backup wird zusätzlich ein lokaler Satellit als primärer Vault konfiguriert, was die Wiederherstellung vor Ort beschleunigt.
Ein ehrlicher Hinweis: Die kürzesten Werte sind die teuersten. Es ist völlig in Ordnung, für das Archiv alter Projekte eine RTO von mehreren Tagen festzulegen und das Geld für den Prozess auszugeben, der wirklich Geld bringt.
So unterstützen wir dich
Wir nehmen mit Unternehmen, Praxen und Kanzleien in Osnabrück und Umgebung die Prozesse auf, legen RTO und RPO fest und bauen das Backup danach, entfernter per Fernwartung. Mehr dazu auf unserer Seite Backup und Wiederherstellung.
Häufige Fragen
Was ist der Unterschied zwischen RTO und RPO in einem Satz?
RTO: Wie lange darf es dauern, bis es wieder läuft. RPO: Wie viel Arbeit darf verloren gehen.
Brauche ich für ein kleines Unternehmen wirklich ein BCMS nach BSI 200-4?
Ein vollständiges BCMS nicht. Aber die Denkweise und die Vorlage für den Wiederanlaufplan helfen auch einem Betrieb mit zehn Arbeitsplätzen, die richtigen Backup-Entscheidungen zu treffen.
Reicht eine nächtliche Sicherung?
Das hängt von der RPO ab. Wenn ein verlorener Arbeitstag tragbar ist, ja. Wenn nicht, sind häufigere Sicherungen oder Replikation nötig.
Wie finde ich die echte Wiederherstellungsdauer heraus?
Nur durch einen Test. Wir stellen regelmäßig einzelne Systeme probeweise wieder her und messen die Zeit. Das Ergebnis ist deine tatsächliche RTO.
Quellen
- BSI-Standard 200-4: Business Continuity Management (Bundesamt für Sicherheit in der Informationstechnik, abgerufen am 03.11.2026)
- Backup FAQ (TERRA CLOUD Wiki, abgerufen am 03.11.2026)
