BSI differenziert Betriebs- und Georedundanz

Behrooz Moayeri

Seit Ende Oktober 2019 steht die Version 2.0 der BSI-Kriterien f√ľr die Wahl von RZ-Standorten zur Verf√ľgung: https://www.bsi.bund.de/DE/Themen/Sicherheitsberatung/Hochverfuegbarkeit/Standort-Kriterien_HV-RZ/Standort-Kriterien_HV-RZ_node.html¬†

Darin wird anders als in der Vorversion vom Ende 2019 zwischen Betriebs- und Georedundanz bei Rechenzentren unterschieden. 

RZ-Georedundanz 

Das Bundesamt f√ľr Sicherheit in der Informationstechnik (BSI) bleibt bei seiner aus 2018 stammenden Definition der RZ-Georedundanz. Demnach spricht man von Georedundanz, wenn der Abstand zwischen den sich Redundanz gebenden Standorten mindestens 200 km betr√§gt. Mit einer Risikoanalyse und einer schriftlichen Begr√ľndung sind auch k√ľrzere Entfernungen akzeptabel, allerdings keinesfalls unter 100 km. Gemeint ist die Luftlinie (nicht der Kabelweg), auch wenn das BSI-Papier dies nicht ausdr√ľcklich erw√§hnt. Mit 200 bzw. 100 km Abstand ist sicherzustellen, dass ein gro√üfl√§chiges Ereignis wie z.B. ein nuklearer Unfall nicht gleichzeitig alle RZ-Standorte betrifft.¬†

Neu: RZ-Betriebsredundanz 

Neu in der Version 2.0 des BSI-Papiers ist die RZ-Betriebsredundanz in Abgrenzung zur Georedundanz. In dem einen Jahr zwischen den Versionen 1 und 2 m√ľssen das BSI Anregungen f√ľr eine solche Differenzierung erreicht haben. Denn viele Organisationen – unter anderem solche, die sich an BSI-Richtlinien orientieren oder gem√§√ü diesen auditiert werden – betreiben RZ-Standorte, die nur wenige Kilometer Luftlinie voneinander entfernt sind. Ein wesentlicher Grund ist das Ziel der Betreiber dieser RZs, die Daten in den RZ-Standorten jederzeit konsistent zu halten. ‚ÄěJederzeit‚Äú ist durchaus w√∂rtlich zu nehmen und bedeutet eine laufende, bei jeder einzelnen Transaktion sicherzustellende synchrone Replikation. Da sich eine solche Synchronisation auf die Antwortzeiten aller Transaktionen auswirkt, bestimmen die Anwendungen mit den sch√§rfsten Latenzanforderungen den maximalen Abstand zwischen den RZ-Standorten. Nach heutigem Stand darf die Round Trip Time (RTT) zwischen zwei synchronen RZs eine Millisekunde (ms) nicht wesentlich √ľberschreiten. Das entspricht einem Kabelweg von ca. 100 km. Der Kabelweg zwischen zwei RZs ist wesentlich l√§nger als die Luftlinie. Somit schlie√üen sich Georedundanz gem√§√ü BSI-Definition und synchrone Datenhaltung bisher aus.¬†

Zielkonflikt und Abwägung 

Das neue BSI-Papier wird dem Zielkonflikt zwischen Georedundanz und der Synchronisation insofern gerecht, dass es die Betriebsredundanz zwischen Standorten mit weniger als 100 km Abstand definiert. Den RZ-Betreibern wird nahegelegt, zwischen zwei Zielen (wie immer in solchen F√§llen schriftlich dokumentiert) abzuw√§gen: der Vermeidung jeglichen Datenverlusts und der m√∂glichst kurzen Ausfallzeit, auch nach gro√üfl√§chigen Ereignissen. Ist Ersteres vorrangig, kann man sich f√ľr Betriebsredundanz entscheiden. Georedundanz sichert dagegen unter Verzicht auf hundertprozentige Datenkonsistenz, dass der RZ-Betrieb auch nach einem Gro√üereignis wie Erdbeben, Atomunfall etc. fast nahtlos weitergehen kann. Eine Kombination ist nat√ľrlich m√∂glich: zwei Standorte mit Betriebsredundanz und ein paar hundert Kilometer weiter ein georedundanter Standort.¬†

RZ-Georedundanz und RZ-Betriebsredundanz: Vorgaben, Vernetzung, Datenreplikation, Hochverf√ľgbarkeit 23.03.-24.03.2021 Online

Georedundanz und Betriebsredundanz f√ľr RZs sind Gegenstand dieses Seminars. Know-how f√ľr die Planung der RZ-Redundanz in den Bereichen Standortwahl, Netz, Server und Speichertechnik sowie Erfahrungen verschiedener Branchen werden vermittelt.

Der Netzwerk Insider geh√∂rt mit seinen Produkt- und Markt-Bewertungen rund um IT-Infrastrukturen zu den f√ľhrenden deutschen Technologie-Magazinen. Der Bezug des Netzwerk Insiders ist kostenlos.

0 Kommentare

Dein Kommentar

An Diskussion beteiligen?
Hinterlasse uns Deinen Kommentar!

Schreiben Sie einen Kommentar

Ihre E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.