ROBO-Backup: Schutz von Remote-Standorten und Zweigstellen

Das eigentliche Problem bei ROBO-Backups

Die Sicherung einer einzigen Zweigstelle ist ein Kinderspiel. Die Sicherung von 500 Zweigstellen ist das eigentliche Problem. Die meisten Empfehlungen zum ROBO-Backup befassen sich mit dem ersten Problem und ignorieren das zweite. Die Architekturen, die in einer Zweigstelle funktionieren, versagen bereits bei 50, und die Architekturen, die bei 50 funktionieren, erfordern bei 500 einen kompletten Neuaufbau.

Ich habe beobachtet, wie Kunden in Einzelhandelsketten mit Hunderten von Standorten in jeder Filiale Backup-Appliances bereitgestellt haben. Nach zwei Jahren sind 400 Backup-Geräte im Einsatz, ohne einheitliche Firmware-Version, ohne IT-Personal vor Ort und mit einem vierteljährlichen Reisebudget für die einzige Person, die weiß, wie man sie repariert. Technisch gesehen laufen die Backups. An den meisten Standorten wurden die Backups jedoch noch nie getestet. Niemand ist zuversichtlich, dass eine echte Wiederherstellung funktionieren würde. 

In diesem Beitrag geht es um einen Ansatz, der skalierbar ist, da er in der Zweigstelle fast nichts erfordert. Die Zweigstelle macht weiterhin das, was Zweigstellen tun. Das Backup läuft zentral.

Warum ROBO-Standorte schwieriger sind als die Zentrale

Die Zentrale verfügt über ein Rechenzentrum, eine schnelle Internetverbindung und ein IT-Team. ROBO-Standorte verfügen über nichts davon, haben aber dieselben Anforderungen an die Geschäftskontinuität. Vier spezifische Herausforderungen treten immer wieder auf.

Die WAN-Bandbreite ist die erste. Ein vollständiges Backup über eine typische Filialverbindung kann das Backup-Fenster sprengen und die Verbindung während der Geschäftszeiten überlasten. Eine für den täglichen Betrieb ausreichende Bandbreite reicht selten für nächtliche Vollsicherungen aus.

Das Fehlen von lokalem IT-Personal ist die zweite Herausforderung. Eine Einzelhandelsfiliale verfügt nicht über einen Backup-Administrator. Was auch immer in der Filiale läuft, muss autonom ablaufen, sich selbstständig wiederherstellen und darf niemals erfordern, dass jemand vor Ort fahren muss.

Die Skalierbarkeit ist die dritte Herausforderung. Eine Filiale ist kein Problem. 500 Filialen mit identischen Richtlinien und identischer Berichterstattung stellen jedoch das eigentliche Problem dar.

Und SLAs sind der vierte Punkt. Kunden und Aufsichtsbehörden interessiert es nicht, dass Ihre Filiale über eine 10-Mbps-Verbindung verfügt. Wenn Kassendaten verloren gehen oder Systeme ausfallen, steht das Geschäft still. Ein ROBO-Backup muss eine Wiederherstellung auf Hauptsitz-Niveau gewährleisten, ohne dass dafür eine Infrastruktur auf Hauptsitz-Niveau erforderlich ist.

Was Ausfallzeiten in Filialen tatsächlich kosten

Die Kosten für Ausfallzeiten variieren, doch die Untergrenze ist hoch. Untersuchungen von Statista zeigen, dass 24 % der Unternehmen stündliche Ausfallkosten zwischen 301.000 und 400.000 US-Dollar für kritische Server angeben, und 14 % berichten von Kosten von mehr als 5 Millionen US-Dollar pro Stunde. Im Einzelhandel oder im Finanzdienstleistungssektor mit verteilten Kassensystemen oder Transaktionssystemen vervielfacht sich die Auswirkung mit jeder Stunde, in der eine Filiale offline ist.

Die Kosten summieren sich in den Filialen, da Ausfälle in der Regel unabhängig voneinander auftreten. Ein Ausfall einer einzelnen Filiale löst keine Krisensitzung auf Unternehmensebene aus. Er führt still und leise zu Umsatzeinbußen, bis jemand dies bemerkt. Bis die zentrale IT-Abteilung eingeschaltet wird, läuft die Wiederherstellungszeit oft bereits seit Stunden.

Compliance-Vorschriften erhöhen die Mindestanforderungen noch weiter. Die DSGVO verlangt ein sorgfältiges Management von Kundendaten einschließlich deren rechtzeitiger Löschung. HIPAA verlangt einen Nachweis der historischen Compliance für Daten im Gesundheitswesen. Von den Filialen generierte Daten fallen in den Geltungsbereich beider Vorschriften, unabhängig davon, ob sie ordnungsgemäß gesichert wurden oder nicht.

Was moderne ROBO-Datensicherung tatsächlich benötigt

Fünf Anforderungen – und jede Architektur, die auch nur eine davon vernachlässigt, wird Ihnen innerhalb eines Jahres schaden.

WAN-effizienter Betrieb. Backups dürfen die Verbindung der Zweigstelle während der Geschäftszeiten nicht überlasten. Vollständige Backups über das WAN sind nicht akzeptabel.

Keine lokale Infrastruktur. Kein dedizierter Backup-Server, keine Appliance und kein proprietärer Speicher in der Zweigstelle. Je weniger bewegliche Teile am Standort vorhanden sind, desto zuverlässiger ist das System.

Zentrale Verwaltung. Ein einheitlicher Überblick über alle Niederlassungen. Einmal festgelegte Richtlinien werden überall durchgesetzt. Berichte werden an die Zentrale weitergeleitet.

Wiederherstellung an beiden Enden. Mitarbeiter in den Niederlassungen können gelöschte Dateien wiederherstellen, ohne die zentrale IT-Abteilung zu kontaktieren. Die zentrale IT-Abteilung kann bei Bedarf ganze Niederlassungen von der Zentrale aus wiederherstellen.

Granular und mandantenorientiert. Wiederherstellung auf VM-, Anwendungs- oder Dateiebene. Zugriff auf Administrator- und Mandantenebene, sodass jede Zweigstelle ihre eigenen Daten verwaltet, ohne Einblick in die Daten anderer zu haben.

So funktioniert „Backup aus der Replik“ tatsächlich

Der architektonische Wandel, der moderne ROBO-Backups praktikabel macht, ist täuschend einfach. Anstatt in jeder Zweigstelle ein Backup durchzuführen, werden die Daten der Zweigstelle im Rahmen des normalen DR-Betriebs in das Rechenzentrum repliziert; anschließend wird das eigentliche Backup im Rechenzentrum anhand der Replik durchgeführt.

Was sich ändert: Der Backup-Prozess beansprucht in der Zweigstelle weder Rechenleistung noch Speicherplatz noch Bandbreite. Die Zweigstelle übermittelt geänderte Daten einmalig zur Replikation. Die Sicherung erfolgt in der Zentrale auf Daten, die dort bereits vorhanden sind.

Der Ablauf ist unkompliziert. Die Zweigstelle repliziert kontinuierlich oder nach festgelegten Richtlinien mithilfe der nativen Replikation in das Rechenzentrum. HYCU im Rechenzentrum führt die Sicherung anhand der replizierten Kopie durch, nicht von der Zweigstelle aus. Optionale sekundäre Sicherungskopien werden zur Einhaltung der 3-2-1-Regel auf Nicht-Nutanix-Speicher im Rechenzentrum geschrieben. Die Wiederherstellung erfolgt an beiden Standorten.

Speziell für Nutanix-basierte ROBO-Umgebungen erfolgt dies in Verbindung mit Clustern mit 1 oder 2 Knoten, die in der Zentrale in weniger als einer Stunde bereitgestellt und betriebsbereit an die Zweigstelle versandt werden. Gleiche Prism-Verwaltungsebene. Gleiche HYCU-Richtlinien. Kein separates ROBO-Produkt. Wir unterstützen zudem ESXi-ROBO-Standorte, und bei der Wiederherstellung können Workloads zwischen AHV und ESXi oder zu Nutanix Clusters auf AWS oder GCP verschoben werden.

Warum Replikation allein keine Notfallwiederherstellung darstellt

Teams verwechseln diese Begriffe ständig. „Wir replizieren von jeder Niederlassung zum Rechenzentrum, also sind wir abgesichert.“ Das ist ein schwerwiegender Fehler.

Replikation ist eine Kopie des aktuellen Zustands. Wenn die Quelle durch Ransomware, einen Anwendungsfehler oder einen fehlerhaften Befehl eines Administrators beschädigt wird, wird auch die Beschädigung repliziert. Das Rechenzentrum verfügt nun über eine exakte Kopie der beschädigten Daten, während das Original verloren gegangen ist. Für die Wiederherstellung gibt es keine Grundlage mehr.

Echte ROBO-Datensicherung folgt der 3-2-1-Regel: mindestens drei Kopien der Daten, auf zwei verschiedenen Medientypen, wobei mindestens eine Kopie außerhalb des Standorts aufbewahrt wird. Die Replikation ist eine dieser Kopien, nicht die gesamte Strategie. Das Backup ergänzt die zeitpunktbezogenen, wiederherstellbaren Kopien, die die Replikation nicht bereitstellt. Die Replikation ermöglicht ein schnelles Failover. Backups ermöglichen eine saubere Wiederherstellung.

Für ROBO ist dies wichtiger als in der Zentrale, da Zweigstellen oft nur über ein einziges Replikationsziel und keine weitere Schutzebene verfügen. Ein Ransomware-Angriff auf eine Zweigstelle kann die Replik beschädigen, bevor jemand in der Zentrale dies bemerkt. Ein Backup der Replik mit Aufbewahrungsfrist löst dieses Problem. Die Zweigstelle kann auch nach einer Kompromittierung der Live-Replik auf einen einwandfreien Zeitpunkt zurückgesetzt werden.

Wie eine ROBO-Wiederherstellung tatsächlich aussieht

Drei Szenarien decken den Großteil der Anforderungen im ROBO-Betrieb ab. Eine einzelne Datei oder ein einzelner Ordner, wenn ein Mitarbeiter versehentlich das falsche Dokument löscht. Die Mitarbeiter der Zweigstelle führen eine selbstständige Wiederherstellung auf Dateiebene aus der letzten Sicherung durch. Eine einzelne VM oder Anwendung, wenn eine POS-VM ausfällt oder eine Anwendung beschädigt wird. Die Ein-Klick-Wiederherstellung stellt die VM in der Zweigstelle wieder her oder vorübergehend in der Zentrale, während die Hardware der Zweigstelle ausgetauscht wird. Ausfall der gesamten Niederlassung aufgrund von Brand, Überschwemmung, Ransomware oder Hardwareausfall. Die gesamte Niederlassung wird entweder an einem Ersatzstandort oder in Nutanix Clusters auf AWS oder GCP für den vorübergehenden Betrieb wiederhergestellt.

In allen drei Fällen erfolgt die Wiederherstellung entweder durch den Administrator oder durch den Mandanten. Die Mitarbeiter der Niederlassung stellen die Daten wieder her, die in ihren Zuständigkeitsbereich fallen. Sie haben keinen Einblick in andere Niederlassungen. Dies ist in Einzelhandels- und Franchise-Umgebungen von Bedeutung, in denen sich mehrere Betreiber die Infrastruktur teilen.

Häufige Fragen zur ROBO-Datensicherung

Benötige ich in jeder Niederlassung eine Backup-Infrastruktur?

Nein, und genau das ist der springende Punkt. Bei „Backup-from-Replica“ repliziert die Zweigstelle Daten an das Rechenzentrum, und der eigentliche Backup-Prozess läuft zentral ab. Keine Backup-Server in der Zweigstelle, keine Appliances, kein proprietärer Speicher. Die Zweigstelle übermittelt geänderte Daten einmalig zur Replikation, und die Zentrale übernimmt den Rest.

Reicht die Replikation für die ROBO-Notfallwiederherstellung aus? 

Nein. Die Replikation kopiert den aktuellen Zustand; dies ist nützlich für das Failover, aber nutzlos, wenn die Quelle beschädigt ist, da die Beschädigung ebenfalls repliziert wird. ROBO benötigt sowohl Replikation für ein schnelles Failover als auch Backups mit Aufbewahrungsfristen für eine saubere Wiederherstellung zu einem bestimmten Zeitpunkt. Die 3-2-1-Regel gilt für Zweigstellen ebenso wie für die Zentrale. 

Wie wird der Totalausfall eines Standorts gehandhabt?

Wenn eine Niederlassung vor Ort aufgrund eines Brandes, einer Überschwemmung oder eines anhaltenden Hardwareausfalls nicht wiederherstellbar ist, werden die Workloads auf Nutanix Clusters auf AWS oder GCP wiederhergestellt. Gleiche Richtlinien, dasselbe Wiederherstellungsmodell. Der Betrieb wird über die in der Cloud gehostete Infrastruktur fortgesetzt, bis die Zweigstelle wieder online ist. Die Workloads werden später ohne Änderung der Einstellungen zurückverlagert.

Wie verhält es sich mit Zweigstellen mit schlechter Konnektivität?

Die Replikation ist die einzige Aktivität, die WAN-Bandbreite beansprucht. Wir haben Kunden, die mit 5 Mbit/s-Verbindungen arbeiten. Die Replikation wird an die verfügbare Bandbreite angepasst, und das Rechenzentrum übernimmt alles Weitere. Sollte die Verbindung der Zweigstelle tatsächlich unbrauchbar sein, hilft diese Architektur zwar nicht weiter, aber das gilt auch für jede andere Option – abgesehen vom Versand von Bändern per Post. 

Wenn Sie mehr als 10 Zweigstellen betreiben, lohnt sich ein Gespräch

Die meisten ROBO-Architekturen, die wir ersetzen, umfassen zwischen 20 und 500 Zweigstellen mit Backup-Geräten an jedem Standort. Die Kosten für den Umstieg auf „Backup-from-Replica“ amortisieren sich in der Regel bereits im ersten Jahr allein durch die Vermeidung von Hardware-Erneuerungen. Die betriebliche Verbesserung ist meist größer als die Kosteneinsparungen, lässt sich jedoch im Voraus schwerer quantifizieren. Sprechen Sie mit Ihrem Kundenbetreuungsteam, wenn dies auf Ihre Umgebung zutrifft.