RPO und RTO sind die beiden zentralen Kennzahlen jeder Backup- und Notfallplanung. Der RPO legt fest, wie viele Daten Sie höchstens verlieren dürfen, der RTO, wie lange ein System höchstens ausfallen darf. Beide Werte bestimmen, wie oft gesichert werden muss, welche Technik nötig ist und was die Lösung kostet.
RPO: Wie viel Datenverlust ist akzeptabel?
Das Recovery Point Objective beschreibt den maximal zulässigen Datenverlust als Zeitspanne. Läuft die Sicherung einmal pro Nacht, liegt der RPO bei bis zu 24 Stunden: Fällt der Server am Nachmittag aus, ist alles verloren, was seit der letzten Sicherung erfasst wurde. Je kleiner der RPO, desto häufiger muss gesichert oder repliziert werden.
RTO: Wie lange darf der Stillstand dauern?
Das Recovery Time Objective beschreibt die Zeit vom Ausfall bis zum Wiederanlauf. Der BSI-Standard 200-4 zum Business Continuity Management nennt diesen Wert die geforderte Wiederanlaufzeit. Müssen Sie nach einem Totalausfall binnen zwei Stunden wieder arbeiten können, beträgt der RTO zwei Stunden. Je kleiner der RTO, desto mehr Redundanz ist nötig, etwa ein vorbereitetes Ersatzsystem oder ein Hochverfügbarkeits-Cluster.
Merksatz: RPO = „Wie viel Arbeit darf verloren gehen?“, RTO = „Wie lange können wir stillstehen?“
Typische Richtwerte im Mittelstand
Die folgenden Werte sind Richtwerte aus der Praxis, keine Norm. Die richtigen Werte ergeben sich erst aus der Frage, was ein Ausfall Ihren Betrieb pro Stunde kostet.
| System | RPO | RTO |
|---|---|---|
| Büro-Fileserver | 24 h | 4 h |
| ERP-Datenbank | 15 min | 1 h |
| Webshop | 5 min | 30 min |
| Archivdaten | 7 Tage | 48 h |
So legen Sie RPO und RTO fest
- Prozesse statt Server betrachten: Welche Abläufe müssen zuerst wieder laufen, etwa Auftragsannahme, Buchhaltung, Produktion?
- Ausfallkosten schätzen: Was kostet eine Stunde Stillstand, was ein Tag verlorener Erfassungen?
- Werte je System festlegen und schriftlich mit der Geschäftsführung abstimmen.
- Technik daran ausrichten: Sicherungsintervall, Speicherort, Ersatzhardware.
- Wiederherstellung testen: Erst ein Test zeigt, ob der geplante RTO in der Praxis erreicht wird.
Häufige Fehler
- Der RTO wurde nie getestet. Eine Sicherung ist erst dann etwas wert, wenn die Rücksicherung in der geforderten Zeit klappt. Die tatsächlich erreichte Zeit liegt ohne Test oft deutlich über dem Plan.
- Ransomware wird nicht mitgedacht. Laut BSI-Lagebericht 2025 zählten BSI und BKA im Berichtszeitraum 950 Ransomware-Angriffe, in 80 % der Fälle traf es kleine und mittlere Unternehmen. Verschlüsselt ein Angreifer auch die Sicherung, sind RPO und RTO hinfällig. Mindestens eine Kopie gehört deshalb getrennt oder unveränderbar abgelegt, siehe 3-2-1-Backup-Regel.
- Ein Wert für alles. Nicht jedes System braucht denselben Schutz. Wer Archivdaten wie das ERP behandelt, zahlt zu viel.
Wie wir RPO und RTO umsetzen
Im Rahmen von Backup & Disaster Recovery legen wir die Werte gemeinsam mit Ihnen je System fest, richten die Sicherung danach aus und prüfen die Wiederherstellung regelmäßig. Einen ausführlichen Leitfaden finden Sie im Ratgeber Backup-Strategie 3-2-1 für KMU.