Sichere Ausfallsicherheit für Filialen: von der Ersatzleitung zum Anwendungstest

1. Zuerst festlegen, welche Geschäftsabläufe weiterlaufen müssen

Wenn der gesamte Datenverkehr einer Filiale als gleich wichtig gilt, kann die Ersatzleitung unnötig groß dimensioniert werden. Betrachten Sie den Arbeitsalltag: Zahlungseingang, Bestandsabfrage, Kundengespräch, Kameraübertragung und Softwareaktualisierung haben unterschiedliche Anforderungen. Legen Sie für jede Anwendung die Nutzerzahl, den ein- und ausgehenden Datenverkehr, die vertretbare Wartezeit und eine verantwortliche Person fest. Diese Liste bildet die Grundlage der Leistungsbeschreibung.

Der NIST-Leitfaden zur Notfallplanung verbindet Wiederherstellungsprioritäten mit den Auswirkungen auf den Geschäftsbetrieb. RTO bezeichnet die angestrebte Zeit bis zur Wiederherstellung eines Dienstes; RPO bezeichnet den zeitlichen Stand, bis zu dem Daten nach einer Unterbrechung wiederhergestellt werden müssen. Die Umschaltzeit des Netzes ist nur ein Teil dieser Ziele. [1] Dass sich beispielsweise eine Bestellmaske öffnen lässt, beweist noch nicht, dass ausstehende Bestellungen korrekt verarbeitet wurden. Vereinbaren Sie mit dem zuständigen Fachbereich ausdrücklich, welcher Betriebszustand akzeptabel ist.

2. Auf dem Ersatzweg müssen dieselben Zugriffsregeln gelten

Nach dem Zero-Trust-Ansatz von NIST genügt es nicht, dass sich ein Nutzer im Büro oder in einem privaten Netz befindet, um ihm zu vertrauen. Der Zugriff auf Ressourcen wird anhand von Identität und Berechtigung bewertet. [2] Dieses Prinzip muss beim Wechsel von der Hauptleitung auf eine mobile Ersatzverbindung erhalten bleiben. Dokumentieren Sie, auf welche Ressourcen Gäste-WLAN, Kameras, Buchhaltung und Verwaltungsverkehr zugreifen dürfen. Führen Sie ein Änderungsprotokoll, damit während einer Umstellung vorübergehend weit gefasste Berechtigungen nicht dauerhaft bestehen bleiben.

CISA empfiehlt für kritische Zugriffe phishingresistente Mehrfaktor-Authentifizierung, Netzsegmentierung und Wiederherstellungstests geschützter Sicherungen. [3] Bewerten Sie bei der Umsetzung in einer Filiale das Fernwartungskonto, die Geräteverwaltung und das alltägliche Benutzerkonto getrennt. Wenn die erforderlichen Rechte eines Technikers und deren Ablaufzeit festgelegt sind, lässt sich der Betrieb besser nachvollziehen als mit einem gemeinsam genutzten, unbefristeten Administratorkonto.

3. Bei Glasfaser, zweitem Betreiber und 5G dieselben Fragen stellen

Ein zweiter Betreiber oder eine 5G-Ersatzverbindung kann Möglichkeiten bieten, unterschiedlichen Ausfällen zu begegnen. Zwei Markennamen im Angebot bedeuten jedoch nicht, dass sämtliche Abhängigkeiten getrennt sind. Gebäudeeinführung, Router, Stromversorgung, Anbindung der Mobilfunkbasisstation und übergeordnetes Netz können gemeinsam genutzt werden. Halten Sie ausdrücklich fest, an welcher Stelle die Ersatzverbindung das Betriebsrisiko verringert. Behandeln Sie einen unbekannten Leitungsweg nicht als unabhängig.

Bewerten Sie die Mobilfunklösung im vorgesehenen Raum und zu Spitzenzeiten. Netzabdeckung, Geräte- und Antennenkompatibilität, Tarifgrenzen, Upload-Kapazität, öffentliche IP beziehungsweise CGNAT und das VPN-Verhalten sind gemeinsam relevant. Ändert sich beim Leitungswechsel die externe IP-Adresse, kann das Freigabelisten und bestehende Sitzungen beeinträchtigen. Bestätigen Sie die Kompatibilität mit den Anbietern der Zahlungs- und Fernzugriffsanwendungen. Anstatt vorab einen unbemerkten Fortbestand jeder Sitzung zu versprechen, legen Sie das Umschaltverhalten im Abnahmetest fest.

4. Die Überwachung muss den tatsächlichen Betrieb abbilden

Ein eingeschalteter Router belegt noch nicht, dass ein Kunde bestellen kann. Wählen Sie für Leitungsstatus, DNS-Auflösung, VPN-Erreichbarkeit und einen grundlegenden Vorgang der kritischen Anwendung getrennte Überwachungsindikatoren. Ist eine synthetische Prüfung ohne Erfassung sensibler Kundendaten möglich, nutzen Sie diese. Bereits vor einem Vorfall muss feststehen, wer einen Alarm erhält, in welcher Sprache kommuniziert wird und wer auf Kundenseite Entscheidungen trifft.

Auch der AWS-Leitfaden zur Verbindungsresilienz betont, dass neben mehreren Wegen die Ersatzkapazität und die Endpunkte geprüft werden müssen. [4] Leiten Sie daraus für die Filiale ein Verkehrsbudget ab: Im Ersatzbetrieb können kritische Aufgaben Vorrang erhalten, während umfangreiche Updates oder Archivübertragungen warten. Ordnen Sie die Protokolle den Ereigniszeiten zu. Die erste Antwort an den Kunden, die Ankunft vor Ort und die vollständige Wiederherstellung des Dienstes sind unterschiedliche Kennzahlen und müssen im Vertrag getrennt definiert werden.

5. Geplanter Ausfalltest und kontrollierte Rückkehr

Legen Sie für einen Test im genehmigten Wartungsfenster die Zustimmung des Fachbereichs, die Rücksetzschritte und die Person fest, die den Test stoppen darf. Erfassen Sie zunächst den Normalbetrieb und beobachten Sie anschließend die kritischen Vorgänge im freigegebenen Ausfallszenario. Prüfen Sie sowohl den Wechsel auf die Ersatzverbindung als auch das Verhalten der Vorgänge, wenn die Hauptverbindung zurückkehrt. Ein System, das in kurzen Abständen zwischen beiden Wegen wechselt, kann mehr Probleme verursachen als eine einzelne geplante Umschaltung.

Nehmen Sie die Ausgangsbedingungen, betroffenen Anwendungen, beobachtete Unterbrechung und noch offenen Aufgaben in das Ergebnisprotokoll auf. Ändert sich die erfolgreich getestete Topologie, etwa durch eine neue Firewall oder eine neue Cloud-Anwendung, wiederholen Sie die betreffenden Kontrollen. Werden im Gespräch mit MyFi Business neben Adresse und gewünschter Geschwindigkeit auch diese Geschäftsprioritäten genannt, lassen sich Hauptleitung, alternativer Betreiber und geeignete mobile Ersatzverbindung in einem gemeinsamen Leistungskonzept bewerten.

6. Kurze Checkliste vor der Angebotsanfrage

Vervollständigen Sie diese Liste gemeinsam mit Einkauf, IT und Betriebsverantwortlichen. Ersetzen Sie eine fehlende Antwort nicht durch eine Annahme, sondern erfassen Sie sie als Prüfschritt für das Angebot.

• Sind die bei einem Ausfall benötigten Anwendungen und ihre verantwortlichen Fachbereiche festgelegt?
• Wurden Kapazität, Datenbedingungen und Stromabhängigkeiten des Ersatzwegs untersucht?
• Wurden VPN, IP-Freigabelisten und Zugriffsregeln auf beiden Wegen geprüft?
• Stehen die Verantwortlichen für Alarmierung, technischen Support, Vor-Ort-Einsatz und Kundeninformation fest?
• Sind Abnahmetests für Umschaltung und Rückkehr sowie der Leistungsumfang schriftlich vereinbart?