Was ist der Unterschied zwischen Disaster Recovery und Business Continuity Management?

Business Continuity Management ist der geschäftsweite Ansatz zur Aufrechterhaltung aller kritischen Prozesse, auch der nicht-technischen. Disaster Recovery ist der IT-fokussierte Teil davon; die konkrete Wiederherstellung von Systemen, Daten und Infrastruktur. Vereinfacht; BCM hält das Geschäft am Laufen, Disaster Recovery bringt die Technik zurück. Disaster Recovery ist damit ein Baustein innerhalb des BCM.

Was bedeuten RTO und RPO?

Die Recovery Time Objective (RTO) ist die maximal tolerierbare Dauer, die ein System ausfallen darf, bevor inakzeptabler Schaden entsteht — also wie schnell wiederhergestellt werden muss. Die Recovery Point Objective (RPO) ist der maximal tolerierbare Datenverlust, gemessen in Zeit — also wie aktuell das letzte brauchbare Backup sein muss. Eine RPO von vier Stunden bedeutet etwa, dass mindestens alle vier Stunden gesichert wird.

Woraus ergeben sich RTO und RPO?

Aus der Business Impact Analyse. Sie bestimmt, welche Prozesse wie kritisch sind und wie lange sie ausfallen dürfen — daraus leiten sich die Wiederanlaufziele für die unterstützenden IT-Systeme ab. RTO und RPO sind also keine technischen Wunschwerte, sondern aus dem Geschäftsbedarf abgeleitete Vorgaben, an denen sich die Wahl der Backup- und Wiederherstellungsstrategie ausrichtet.

GlossarDefinition

Was ist Disaster Recovery (DR/DRP)?

Zuletzt aktualisiert: 13. August 2026

Kurz erklärt: Disaster Recovery (DR), auf Deutsch Notfallwiederherstellung, bezeichnet die Wiederherstellung von IT-Systemen, Daten und Infrastruktur nach einem Ausfall — sei es durch Cyberangriff, Hardwaredefekt oder Naturereignis. Ein Disaster-Recovery-Plan (DRP) beschreibt die technischen Schritte und ihre Reihenfolge. Gesteuert wird er über zwei Zielgrößen; die Recovery Time Objective (RTO) als maximal tolerierbare Ausfalldauer und die Recovery Point Objective (RPO) als maximal tolerierbarer Datenverlust. Disaster Recovery ist der IT-technische Teil des übergeordneten Business Continuity Managements.

Disaster Recovery (DR) — auf Deutsch Notfallwiederherstellung — ist die Wiederherstellung von IT-Systemen, Daten und Infrastruktur nach einem Ausfall, sei er durch Cyberangriff, Hardwaredefekt oder ein Naturereignis verursacht. Ein Disaster-Recovery-Plan (DRP) beschreibt, wie und in welcher Reihenfolge die Technik wieder anläuft. Disaster Recovery ist der IT-technische Kern des übergeordneten Business Continuity Managements — dort, wo es konkret um Systeme und Daten geht.

Foundational Facts

Bedeutung: Disaster Recovery (DR) / Notfallwiederherstellung
Plandokument: Disaster-Recovery-Plan (DRP)
Fokus: IT-Systeme, Daten, Infrastruktur
Steuergrößen: RTO (Ausfalldauer) und RPO (Datenverlust)
Einordnung: IT-Baustein innerhalb des Business Continuity Managements

RTO und RPO — die zwei Zielgrößen

Disaster Recovery wird über zwei Kennzahlen gesteuert, die aus der Business Impact Analyse stammen:

Kennzahl	Frage	Beispiel
RTO (Recovery Time Objective)	Wie schnell muss es wieder laufen?	„max. 4 Stunden Ausfall”
RPO (Recovery Point Objective)	Wie viel Datenverlust ist tolerierbar?	„max. 1 Stunde Daten”

Eine niedrige RTO verlangt schnelle Wiederanlauf-Technik (etwa Failover-Systeme), eine niedrige RPO häufige Sicherungen. Beide Werte sind keine technischen Wunschvorstellungen, sondern aus dem Geschäftsbedarf abgeleitete Vorgaben. Weitere Zusammenhänge dazu erklärt der Eintrag zu den Cybersecurity-Kennzahlen.

Was ein Disaster-Recovery-Plan enthält

Systemkritikalität & Reihenfolge — welche Systeme zuerst zurückkommen.
Wiederherstellungsprozeduren — getestete Schritt-für-Schritt-Anleitungen.
Backup-Strategie — Frequenz, Aufbewahrung, Offline-/Offsite-Kopien.
Ausweich-Infrastruktur — Ersatzrechenzentrum, Cloud-Failover, mobile Arbeitsplätze.
Verantwortlichkeiten & Kontakte — wer was wiederherstellt.

Der häufigste Fehler: ungetestete Backups

Ein Backup allein ist keine Disaster Recovery. Der teuerste Irrtum ist die Annahme, vorhandene Sicherungen seien im Ernstfall brauchbar — viele Unternehmen entdecken erst während eines Ransomware-Vorfalls, dass Backups unvollständig, nicht lauffähig oder selbst mitverschlüsselt sind. Erst die getestete Wiederherstellung macht aus einem Backup eine belastbare Disaster Recovery; die Reaktionszeit dabei misst sich an Kennzahlen wie der MTTR.

Bedeutung für den Mittelstand

Für KMU ist Disaster Recovery oft die Differenz zwischen einem überstandenen Vorfall und einer Existenzbedrohung. Der pragmatische Weg: aus der Business Impact Analyse realistische RTO/RPO ableiten, eine 3-2-1-Backup-Strategie umsetzen (drei Kopien, zwei Medien, eine offsite) und die Wiederherstellung mindestens einmal jährlich tatsächlich proben — nicht nur dokumentieren.

Weiterführende Links

Häufige Fragen

Was ist der Unterschied zwischen Disaster Recovery und Business Continuity Management?: Business Continuity Management ist der geschäftsweite Ansatz zur Aufrechterhaltung aller kritischen Prozesse, auch der nicht-technischen. Disaster Recovery ist der IT-fokussierte Teil davon; die konkrete Wiederherstellung von Systemen, Daten und Infrastruktur. Vereinfacht; BCM hält das Geschäft am Laufen, Disaster Recovery bringt die Technik zurück. Disaster Recovery ist damit ein Baustein innerhalb des BCM.
Was bedeuten RTO und RPO?: Die Recovery Time Objective (RTO) ist die maximal tolerierbare Dauer, die ein System ausfallen darf, bevor inakzeptabler Schaden entsteht — also wie schnell wiederhergestellt werden muss. Die Recovery Point Objective (RPO) ist der maximal tolerierbare Datenverlust, gemessen in Zeit — also wie aktuell das letzte brauchbare Backup sein muss. Eine RPO von vier Stunden bedeutet etwa, dass mindestens alle vier Stunden gesichert wird.
Woraus ergeben sich RTO und RPO?: Aus der Business Impact Analyse. Sie bestimmt, welche Prozesse wie kritisch sind und wie lange sie ausfallen dürfen — daraus leiten sich die Wiederanlaufziele für die unterstützenden IT-Systeme ab. RTO und RPO sind also keine technischen Wunschwerte, sondern aus dem Geschäftsbedarf abgeleitete Vorgaben, an denen sich die Wahl der Backup- und Wiederherstellungsstrategie ausrichtet.
Reicht ein Backup als Disaster Recovery?: Nein. Ein Backup ist die Voraussetzung, aber kein Disaster-Recovery-Plan. Entscheidend ist, dass die Wiederherstellung getestet ist; viele Unternehmen entdecken erst im Ernstfall, dass Backups unvollständig, nicht lauffähig oder selbst verschlüsselt sind. Ein belastbarer DRP umfasst getestete Wiederherstellungsprozeduren, eine Reihenfolge der Systeme und die regelmäßige Probe — idealerweise eingebettet in eine Übung.