Die Uni Leipzig ist tagelang offline, und bei euch?

Die Universität Leipzig hat nach einem Angriff ihre IT vom Netz genommen. Tage später waren zentrale Dienste immer noch nicht erreichbar, und es gab kein Datum, ab wann sie zurück sind. Das ist der Teil, der im Betrieb wehtut. Nicht der Angriff selbst, sondern die Woche danach, in der niemand sagen kann, wann was wieder läuft.

Die Frage für dich ist nicht, ob deine Firewall hält. Die Frage ist, was passiert, wenn sie nicht hält. Und die Antwort darauf schreibt man vorher auf, nicht am Samstagmorgen um halb sieben.

Drei Dienste, eine Reihenfolge

Nimm dir eine halbe Stunde und schreib auf, welche drei Dienste deinen Betrieb am Laufen halten. Bei einem Metallbauer mit 60 Leuten sind das typischerweise die Warenwirtschaft mit den Aufträgen, die Dateiablage mit den Zeichnungen und die E-Mail. Mehr als drei brauchst du für den Anfang nicht, und weniger reicht nicht.

Jetzt der unbequeme Teil. Diese drei kommen nicht gleichzeitig zurück. Wenn alles neu aufgebaut werden muss, arbeitet ihr nacheinander, und du legst die Reihenfolge jetzt fest, nicht im Ernstfall. Für den Metallbauer heißt das vielleicht: zuerst die Dateiablage, weil die Maschinen sonst stehen, danach die Warenwirtschaft, zuletzt die E-Mail, weil die Leute zwei Tage lang telefonieren können. Für einen Großhändler steht die Reihenfolge genau andersherum, weil ohne Bestelleingang nichts passiert.

Zu jedem der drei Dienste gehören zwei Zahlen, die du selbst festlegst. Wie alt darf der Stand sein, den ihr zurückspielt, eine Stunde oder ein Tag? Und wie lange darf es dauern, bis er wieder da ist, vier Stunden oder drei Tage? Beide Zahlen kosten Geld, wenn sie klein sind. Deshalb legst du sie pro Dienst fest und nicht pauschal für alles.

Wer entscheidet am Samstagmorgen

Im Ernstfall gibt es Entscheidungen, die keine Technik treffen kann. Ziehen wir die Produktion vom Netz? Informieren wir heute die Kunden oder erst, wenn wir mehr wissen? Spielen wir den Stand von gestern Abend zurück und verlieren einen Tag Buchungen, oder warten wir noch zwei Stunden auf eine Analyse?

Das entscheidet ein Mensch, und dieser Mensch hat einen Namen. Schreib ihn auf, dazu eine Vertretung, dazu beide Telefonnummern. Auf Papier, denn wenn die Dateiablage weg ist, ist die Notfallliste darin auch weg. Dieselbe Logik gilt für die Technik. Überwachung darf melden und vorschlagen, ein größerer Versionssprung oder ein Zurückrollen wird von einem Menschen freigegeben. Automatik, die ohne Freigabe in einen laufenden Vorfall eingreift, macht Lagen schlimmer, nicht besser.

Woran du eine Sicherung erkennst, die es nicht gibt

Eine Sicherung, die nie zurückgespielt wurde, ist eine Behauptung. Unter Administratoren ist das ein Dauerthema, und der wiederkehrende Punkt in Diskussionen über Sicherungswerkzeuge ist immer derselbe. Bewertet wird ein Werkzeug nicht an der Sicherung, sondern am Zurückspielen, und genau das ist der Teil, den die wenigsten regelmäßig üben.

Drei Prüfungen, die du ohne tiefes Technikwissen anstoßen kannst:

• Hol dir eine Datei zurück. Nenne eine beliebige Datei aus der letzten Woche und lass sie aus der Sicherung herausholen. Wenn das länger als eine Stunde dauert oder jemand erst nachlesen muss, wie es geht, weißt du Bescheid.
• Lass einen ganzen Dienst auf Ersatzhardware hochfahren. Einmal im Jahr, mit gestoppter Uhr. Die Zeit, die dabei herauskommt, ist deine echte Zahl. Die aus dem Angebot ist es nicht.
• Frag, wer die Sicherungen löschen kann. Wenn das Konto, mit dem ein Angreifer deine Server verschlüsselt, auch die Sicherungen erreicht, hast du keine. Eine Kopie muss außer Haus liegen und für das laufende System unerreichbar oder unveränderbar sein.

Drei Kopien, zwei verschiedene Medien, eine außer Haus. Das ist alt, unspektakulär und trägt immer noch.

Wir selbst, ein Beispiel aus dem Plan

Ein Punkt aus unserem eigenen Wiederanlauf, weil er selten irgendwo steht. Der erste Dienst, den wir wiederherstellen, ist der Passwortsafe. Ohne ihn kommt niemand an die Zugänge für alles andere, und damit wäre die gesamte Reihenfolge blockiert. Dafür liegen zwei Passwörter auf Papier an zwei Orten, und der Safe ist nach dem Muster drei Kopien, zwei Medien, eine außer Haus gesichert. Auf derselben Infrastruktur laufen Cloud, Mailserver, Git-Server und diese Website. Prüf bei dir, welcher Dienst diese Rolle hat. Es ist fast nie der, den man zuerst nennt.

Drei Wege, nicht zwei

Wenn du jetzt merkst, dass du die Antworten nicht hast, gibt es drei Wege, und sie werden oft auf zwei verkürzt.

Du kannst es selbst machen. Dafür brauchst du jemanden im Haus, der Sicherungen prüft, Aktualisierungen einspielt und nachts erreichbar ist. Du kannst einen Dienst pro Kopf und Monat mieten. Dann liegt die Wiederherstellung beim Anbieter, und du liest in seinen Statusmeldungen mit, so wie es die Universität Leipzig gerade von außen erlebt hat.

Dazwischen liegt der dritte Weg. Offene Bausteine laufen auf einem Server, der dir gehört, gepflegt von jemandem, der dafür bezahlt wird. Die Daten liegen bei dir, der Dienstleister ist austauschbar, und die Rufbereitschaft steht im Vertrag. In dieser Kategorie arbeiten wir.

Souveränität ist dabei keine Alles-oder-nichts-Frage. Du entscheidest die Tiefe. Eine Cloud-KI für Textvorschläge ist eine legitime Wahl, ein lokales Modell auf eigener Hardware ebenso, und es kostet mehr. Wer auf Instagram veröffentlicht, schickt Daten zu Instagram, daran ändert kein Serverstandort etwas. Der Unterschied liegt darin, ob du den Anbieter wechseln kannst, ohne deine Daten zu verlieren.

Fang klein an. Drei Dienste, eine Reihenfolge, zwei Zahlen pro Dienst, ein Name auf Papier. Das ist eine halbe Stunde Arbeit und der Unterschied zwischen einem schlechten Samstag und einer schlechten Woche.