Beim Wort „Katastrophe“ denken die meisten vielleicht an Wirbelstürme, Waldbrände und andere Naturkatastrophen, die man nur einmal im Leben erlebt. Doch für Managed Service Providers (MSPs) sind Katastrophen mehr als das. Ein einziger Ransomware-Angriff, ein einwöchiger ISP-Ausfall, ein Fehler eines Mitarbeitenden, bei dem wichtige Kundendaten vernichtet werden – all dies kann für MSPs katastrophale Folgen haben und ihre Widerstandsfähigkeit sowie die Loyalität ihrer Kunden auf die Probe stellen.

Für MSPs geht es in Sachen Katastrophenbereitschaft um das „Wann“, nicht das „Ob“. Wie überstehen Sie also eine Katastrophe? Indem Sie sich frühzeitig vorbereiten, widerstandsfähige Systeme aufbauen und diese häufig testen.

In diesem Blogbeitrag stellen wir Ihnen die Maßnahmen vor, die die besten MSPs ergreifen, um auch mit unerwarteten Situationen zurechtzukommen.

Unternehmen brauchen mehr als einen grundlegenden Business-Continuity-Plan

Als MSP wissen Sie, wie wichtig die Business-Continuity-Planung ist. Grundlegende Protokolle sind vielleicht verlockend, doch Sie sollten noch einen Schritt weiter gehen. Kümmern Sie sich um wichtige Details und aktualisieren Sie Ihren Plan regelmäßig, um die Chancen zu erhöhen, dass Sie eine Katastrophe nicht nur überstehen, sondern sogar gestärkt daraus hervorgehen.

Gehen Sie einen Schritt weiter und stellen Sie sicher, dass Ihre Business-Continuity-Checkliste Folgendes enthält:

Klare Kommunikationsabläufe.

• Weisen Sie Verantwortlichkeiten und Protokolle für die Kommunikation direkt zu. Wer spricht mit den Kunden, wenn die Systeme ausfallen? Was wird gesagt und wie wird es kommuniziert? Überprüfen Sie dies vierteljährlich, um sicherzustellen, dass Ihre Kontaktstellen auf dem neuesten Stand sind.

Priorisierte Systemwiederherstellungslisten.

• Wie sieht die Befehlskette in Ihrem System aus? Was muss zuerst wiederhergestellt werden, um Unterbrechungen zu minimieren? Erstellen Sie detaillierte Checklisten und überprüfen Sie diese regelmäßig.

Rollen und Verantwortlichkeiten nach Namen, nicht nach Titel oder Abteilung.

• Im Notfall sollte es keinen Interpretationsspielraum geben. Führen Sie die Namen klar nach Zuständigkeit auf und geben Sie an, wie die einzelnen Personen zu erreichen sind (E-Mail-Adresse, Slack-Benutzername, Telefonnummer usw.).

Jede Person in Ihrem Unternehmen sollte wissen, wie sie im Notfall auf Ihren BCP zugreifen kann. Lassen Sie sich in jedem Quartal in Ihrem Kalender daran erinnern, Ihre Protokolle zu überprüfen, einen Testlauf durchzuführen und sicherzustellen, dass alles auf dem neuesten Stand ist.

Wiederherstellungsziele, die zu einer echten Infrastruktur werden

Ein Teil der Katastrophenbereitschaft besteht darin, Ihre Wiederherstellungszeitziele (Recovery Time Objectives, RTO) und Ihren Wiederherstellungspunkt (Recovery Point Objective) zu ermitteln. Sobald Sie diese definiert haben, müssen Sie Ihre Infrastruktur so aufbauen, dass sie den von Ihnen festgelegten Standards entspricht.

• Ihr RTO gibt an, wie schnell Sie Systeme wiederherstellen müssen. Dies sollte auf Daten beruhen, nicht auf dem Bauchgefühl. Machen Sie sich klar, was auch nur eine Minute Ausfallzeit für Sie und Ihre Kunden bedeutet, und erstellen Sie dann Standards und Verfahren auf der Grundlage dieser Zahlen.
• Ihr RPO gibt an, bis zu welchem Umfang Sie sich einen Datenverlust leisten können. Niemand möchte kritische Daten verlieren, doch Sie müssen Protokolle für den Ernstfall erstellen. Der RPO wird in der Regel in einer Zeiteinheit gemessen und definiert das maximale Alter der Daten, die nach einem Ausfall wiederhergestellt werden können (d. h. wenn Ihr RPO 5 Stunden beträgt, bedeutet dies, dass ein Unternehmen einen Datenverlust von bis zu 5 Stunden tolerieren kann). Dies ist je nach Kunde und Branche unterschiedlich.

Legen Sie diese Definitionen präzise fest. Wenn Ihr RTO zwei Stunden beträgt, Ihre derzeitige Backup-Lösung aber sechs Stunden benötigt, werden Sie wahrscheinlich scheitern.

Stimmen Sie Ihre Backup- und Disaster-Recovery-Tools auf Ihre RTO und RPO ab. Möglicherweise müssen Sie verschiedene Ebenen einrichten, sodass Systeme mit hoher Priorität nahezu sofortige Ausfallsicherung erhalten, während für weniger kritische Systeme ein längeres Zeitfenster gilt.

Testen, testen und nochmals testen

Gehen Sie nicht davon aus, dass etwas funktioniert, nur weil es dokumentiert ist und die Leute wissen, wie man es findet. Ein Sicherungsprotokoll, das nie getestet wurde, ist im Prinzip nur Theorie. Schaffen Sie Vertrauen, indem Sie Ihren Business-Continuity-Plan und Ihre Prozesse immer wieder auf den Prüfstand stellen.

Testen Sie, als wäre es Ihr Job (Moment mal, ist es ja auch!). Das geht so:

• Tabletop Exercises – versammeln Sie Ihr Team, simulieren Sie verschiedene Katastrophenszenarien und gehen Sie abwechselnd Ihre Reaktion durch.
• Unangekündigte Wiederherstellungsübungen – überraschen Sie Ihr Team, um sicherzustellen, dass es unter Druck arbeiten und Daten innerhalb der angestrebten RTO wiederherstellen kann.
• Alles dokumentieren – erstellen Sie nach jedem Test einen detaillierten Bericht, in dem Sie angeben, was funktioniert hat, was nicht funktioniert hat, wie hoch Ihr RTO und RPO waren und wie Sie sich beim nächsten Mal verbessern können (Profi-Tipp: Speisen Sie diese Daten in Ihr KI-System ein, damit Sie schnellere und fundiertere Geschäftsentscheidungen treffen können).

Machen Sie Disaster-Recovery-Tests zu einem regelmäßigen Bestandteil Ihres Arbeitsrhythmus, um Vertrauen aufzubauen, eine Kultur der Verantwortlichkeit zu schaffen und das Vertrauen Ihrer Kunden zu gewinnen.

Redundanzen, die gewollt sind

Manchmal ist Redundanz Ihre beste Versicherungspolice. So wie Sie sich nicht auf eine Methode verlassen würden, um jedes Problem zu lösen, sollten Sie sich auch nicht auf ein einziges System verlassen, das Sie durch eine Katastrophe bringen soll.

Gehen Sie über Datensicherungen hinaus und stellen Sie sicher, dass Ihre Protokolle Folgendes berücksichtigen:

• Konnektivität – Sie sollten mehrere Ausfallsicherungen und ISPs haben. Falls Ihre Hauptleitungen ausfallen, haben Sie verschiedene andere Pläne in petto.
• Systeme – erwägen Sie den Einsatz von Cloud-Replikation und geodiversen Servern und Rechenzentren.
• Menschen – schulen Sie Ihre Mitarbeitenden und listen Sie Notfallkontakte für jeden Schritt in Ihrem Wiederherstellungsprotokoll auf.

Nehmen Sie sich jedes Quartal Zeit, um Ihre Single Points of Failure zu überprüfen. Wo verlassen Sie sich auf einen Anbieter, ein System oder eine Person? Darin liegt Ihr Risiko.

Cybersecurity als erste Verteidigungslinie

Die häufigsten MSP-Katastrophen treten heute in Form von Cyberangriffen auf, nicht von Naturkatastrophen. Moderne Cybersicherheitsmaßnahmen müssen Teil Ihres Notfallplans sein und sollten Folgendes umfassen:

• Endgeräteerkennung und -schutz (Endpoint Detection & Response, EDR)
• Umfassende Multifaktor-Authentifizierung (MFA)
• Häufiges und automatisiertes Patchen und Scannen auf Sicherheitslücken
• Proaktive Bedrohungsüberwachung
• Aktuelle Einhaltung wichtiger Vorschriften

Ihre Cybersicherheitstechnologie sollte in direktem Zusammenhang mit Ihrer Disaster-Recovery-Planung stehen. Wenn Ransomware und andere Cyberbedrohungen zuschlagen, wie schnell können Sie sie isolieren, eindämmen und wiederherstellen?
Übrigens gehen viele MSP-Kunden davon aus, dass Sie sich um ihre Cybersicherheit kümmern. Machen Sie klar, was Ihre Kunden von Ihnen in Bezug auf die Cybersicherheit erwarten können und was nicht.

Schulungen, die Ausrichtung schaffen

Wenn eine Katastrophe eintritt, ist dies ein unternehmensweites Problem, das nicht nur von der IT-Abteilung zu lösen ist. Alle Mitarbeitenden Ihres MSP sollten wissen, wie sie auf Ihren Business-Continuity-Plan zugreifen können, ihn verstehen und seine spezifische Rolle in einer Krise kennen.

Gewährleistung der Einhaltung und Anpassung des BCP:

• Halten Sie Schulungen für alle Mitarbeitenden in Ihrem Unternehmen ab und kommunizieren Sie größere Planänderungen.
• Seien Sie transparent und kommunikativ mit Ihren Kunden. Stellen Sie Notfallpläne zur Verfügung, die beschreiben, was sie von Ihnen während einer Katastrophe erwarten können und was Sie von ihnen benötigen.

Je mehr Sie Ihre Kunden und Ihr Personal schulen, desto mehr Loyalität werden Sie von beiden Seiten erfahren. Sie bauen Vertrauen auf und werden als jemand wahrgenommen, der sich für den Erfolg aller einsetzt.

Erfolg unter allen Umständen

Katastrophen sind unvermeidlich, aber ein Scheitern muss nicht sein. Operativ ausgereifte MSPs integrieren Katastrophenbereitschaft in die Kernabläufe ihres Betriebs und sind zuversichtlich, dass sie die von ihnen erstellten Protokolle umsetzen können.

Datengestützte, getestete und regelmäßig gewartete Bereitschaftspläne für den Katastrophenfall schaffen Widerstandsfähigkeit, fördern ein Gefühl des Vertrauens und zeigen, dass Ihr MSP darauf vorbereitet ist, Ihr Unternehmen und das Ihrer Kunden zu schützen, egal was passiert.

MSPs, die die Katastrophenbereitschaft ernst nehmen, sind diejenigen, die langfristig profitabel sind und wachsen, denn Kunden werden immer wieder in einen Partner investieren, der jedem Sturm trotzen kann.

Sind Sie neugierig, wie operativ ausgereifte MSPs dorthin gekommen sind? Sehen Sie sich unseren MSP Maturity Blueprint an – eine kostenlose Ressource mit Strategien für den Aufbau eines intelligenteren, profitableren Unternehmens.