Was bedeuten RTO und RPO, und wie verändern sie dein Backup-Design?

RTO ist, wie lange du unten sein darfst, RPO ist, wie viele Daten du verlieren darfst. Ein RTO von vier Stunden mit einem RPO von fünfzehn Minuten heißt Log Shipping und geprobte Restores, kein nächtlicher Dump. Ein enges RPO drängt dich zu kontinuierlicher Replikation oder Point-in-Time Recovery, ein enges RTO zu warmen Standbys. Beides sind Businessentscheidungen, und ein ungetestetes Backup erfüllt keins von beiden.

RTO ist die Uhr dafür, wie lange das Business einen Ausfall überlebt, RPO ist, wie viele Daten es verlieren kann. Sie ziehen an unterschiedlichen Hebeln. Ein enges RPO heißt kontinuierliche Replikation oder Archivierung des Write Ahead Log, damit du Point-in-Time Recovery machen kannst, während ein enges RTO heißt, dass etwas schon warm sein muss, denn zwei Terabyte aus Object Storage zurückzuspielen dauert Stunden, egal wie gut deine Backups sind. Worauf ich am stärksten dränge, sind Übungen. In meiner letzten Firma haben wir quartalsweise einen Restore in eine Wegwerf-Umgebung gefahren und gestoppt, und der erste Versuch hat elf Stunden gebraucht bei einem angesetzten RTO von vier Stunden, schlicht weil es nie jemand mit voller Datenmenge getestet hatte. Wir haben das mit einem Standby-Replica plus Snapshot-Restores gelöst. Ich betone außerdem, dass ein Replica kein Backup ist. Wenn jemand eine Tabelle truncated, repliziert sich das in Millisekunden.