RTO und RPO als Steuerungsgrößen operationaler Resilienz

.

RTO und RPO: Wiederherstellungsziele festlegen und wirksam nachweisen

Wie Finanzunternehmen DORA-Anforderungen, Business-Impact-Analyse und Wiederanlauftests zu einer belastbaren Steuerung verbinden

Ein Zahlungsverkehrssystem ist wieder erreichbar. Doch Berechtigungen fehlen, Schnittstellen stehen noch nicht zur Verfügung und der Datenbestand ist nicht abschließend abgestimmt. Ist die Geschäftsfunktion damit wiederhergestellt? Für einen belastbaren Nachweis reicht die technische Verfügbarkeit allein nicht aus. DORA verlangt funktionsbezogene Wiederherstellungsziele und berücksichtigt dabei sowohl die Dienstleistungsgüte als auch die Datenintegrität. eur-lex.europa

Recovery Time Objective (RTO) und Recovery Point Objective (RPO) übersetzen diese Anforderungen in konkrete Zielgrößen: Bis wann muss eine Funktion wieder arbeiten, und wie aktuell müssen ihre Daten sein? Entscheidend ist der Wirksamkeitsnachweis – also die überprüfbare Fähigkeit, diese Ziele unter festgelegten Bedingungen tatsächlich einzuhalten.

Der Beitrag verwendet ausschließlich amtliche Quellen: die DORA-Verordnung und Veröffentlichungen des Bundesamts für Sicherheit in der Informationstechnik. Das durchgehende Fallbeispiel und die vorgeschlagenen Steuerungsinstrumente sind eigene methodische Konkretisierungen, keine zusätzlichen gesetzlichen Vorgaben.

1. Vier Begriffe, vier unterschiedliche Fragen

Das Recovery Time Objective beschreibt die geforderte Wiederanlaufzeit. Das BSI-Glossar zum Standard 200-4 definiert sie als Zeitraum vom Ausrufen des Notfalls bis zur geforderten Inbetriebnahme der Notfalllösung. Für die Anwendung müssen deshalb Messbeginn und Messende eindeutig feststehen. bsi.bund

Das Recovery Point Objective beschreibt den maximal zulässigen Datenverlust. Gemeint ist das Alter, das verfügbare Daten höchstens haben dürfen, damit zeitkritische Geschäftsprozesse nach einer Unterbrechung sinnvoll betrieben werden können. Ein RPO von fünf Minuten ist somit eine Anforderung an den wiederherstellbaren Datenstand, nicht bereits dessen Nachweis. bsi.bund

Die Maximum Tolerable Period of Disruption (MTPD) bezeichnet die zeitliche Obergrenze, bis zu der ein Geschäftsprozess ausfallen darf, bevor nicht tolerierbare Auswirkungen eintreten. Sie wird anhand einer Schadensbewertung ermittelt. bsi.bund

Das Notbetriebsniveau beschreibt schließlich die im Notfall erforderliche Leistungsfähigkeit. Es wird je Geschäftsprozess oder Ressource individuell festgelegt. Damit lässt sich unterscheiden, ob lediglich eine Anwendung gestartet wurde oder bereits ein angemessener Geschäftsbetrieb möglich ist. bsi.bund

Wichtig ist außerdem die begriffliche Trennung zwischen Wiederanlauf und vollständiger Wiederherstellung: Im BSI-Verständnis führt der Wiederanlauf in einen geregelten Notbetrieb. Die Wiederherstellung bezeichnet die geordnete Rückkehr in einen Zustand, in dem der Normalbetrieb wieder möglich ist. Ein erreichtes RTO bedeutet daher nicht zwangsläufig, dass sämtliche Leistungen bereits wieder im Normalumfang verfügbar sind.bsi.bund

2. Was DORA verbindlich verlangt

DORA gilt seit dem 17. Januar 2025. Welche Anforderungen ein Unternehmen konkret erfüllen muss, hängt unter anderem vom Anwendungsbereich, den Ausnahmen und einer möglichen Zuordnung zum vereinfachten IKT-Risikomanagementrahmen nach Art. 16 ab. Die folgenden Ausführungen beziehen sich auf den regulären Rahmen. eur-lex.europa

Verantwortung und Business-Impact-Analyse

Art. 5 DORA weist dem Leitungsorgan die Verantwortung für den IKT-Risikomanagementrahmen zu. Wiederherstellungsfähigkeit ist damit nicht nur Aufgabe der IT, sondern auch Gegenstand der Unternehmensführung und Überwachung. eur-lex.europa

Art. 11 Abs. 5 verlangt eine Business-Impact-Analyse hinsichtlich der Risiken schwerwiegender Geschäftsunterbrechungen. Sie berücksichtigt quantitative und qualitative Auswirkungen sowie unter anderem geschäftliche Funktionen, unterstützende Prozesse, Drittparteienabhängigkeiten und Informationswerte. eur-lex.europa

Die fachliche Anforderung steht folglich am Anfang: Welche Unterbrechung ist tragbar? Erst anschließend lässt sich beurteilen, ob die vorhandenen technischen und organisatorischen Lösungen ausreichen.

Funktionsbezogene Ziele und Tests

Nach Art. 12 Abs. 6 DORA sind RTO und RPO für jede Funktion festzulegen. Dabei müssen Finanzunternehmen berücksichtigen, ob eine kritische oder wichtige Funktion vorliegt und welche Gesamtauswirkungen auf die Markteffizienz entstehen können. Die Zeitvorgaben müssen darauf ausgerichtet sein, die vereinbarte Dienstleistungsgüte auch in Extremszenarien zu erreichen. Einheitliche Minuten- oder Stundenwerte schreibt die Vorschrift nicht vor. eur-lex.europa

Art. 11 Abs. 6 verlangt mindestens jährliche Tests der IKT-Geschäftsfortführungspläne sowie der IKT-Reaktions- und Wiederherstellungspläne in Bezug auf die IKT-Systeme, die sämtliche Funktionen unterstützen. Hinzu kommen Tests bei den dort genannten wesentlichen Änderungen. Art. 12 Abs. 7 ergänzt die zeitliche Perspektive um Prüfungen und Abstimmungen zur Sicherung der Datenintegrität. eur-lex.europa

Der BSI-Standard 200-4 bietet hierzu einen behördlichen Methodenrahmen für das Business Continuity Management. Er ist von den unmittelbar verbindlichen Anforderungen der DORA zu unterscheiden. bsi.bund

3. Fallbeispiel: Eine Zahlungsverkehrsfunktion absichern

Ein fiktives Finanzunternehmen untersucht seine Zahlungsverkehrsfunktion. Sämtliche folgenden Werte sind illustrative Annahmen und keine aufsichtsrechtlichen Mindest- oder Höchstwerte.

Die Business-Impact-Analyse ergibt: Nach vier Stunden ununterbrochenen Ausfalls wären die Folgen nicht mehr tragbar. Das Unternehmen legt die MTPD deshalb auf vier Stunden fest.

Die Notfalllösung soll innerhalb von 120 Minuten nach Ausrufen des Notfalls betriebsbereit sein. Zusätzlich wird die gesamte Zeit vom Eintritt der Unterbrechung bis zur fachlichen Freigabe gemessen. Damit bleiben mögliche Verzögerungen vor der Notfallaktivierung sichtbar.

Als RPO werden fünf Minuten festgelegt. Im Notbetrieb müssen priorisierte Zahlungsaufträge verarbeitet werden können. Das Unternehmen verlangt dafür mindestens 50 Prozent der üblichen Verarbeitungskapazität sowie funktionsfähige Berechtigungen, erforderliche Kontrollverfahren und verfügbare Schnittstellen.

Diese Festlegungen beantworten unterschiedliche Fragen: Die MTPD begrenzt die geschäftlich tragbare Unterbrechung. Das RTO setzt das Wiederanlaufziel. Das RPO bestimmt den erforderlichen Datenstand. Das Notbetriebsniveau beschreibt die fachlich notwendige Leistung.

Datenverlust fachlich übersetzen

Bei angenommenen 200 Transaktionen pro Minute könnten in einem Fünf-Minuten-Zeitraum bis zu 1.000 Transaktionen liegen. Diese Größenordnung ist noch kein tatsächlicher Verlust. Sie zeigt aber, welchen Umfang die Prüfung einer möglichen Datenlücke erreichen kann.

Das Unternehmen muss deshalb untersuchen, ob betroffene Aufträge aus Eingangsprotokollen oder anderen verfügbaren Quellen identifiziert, rekonstruiert und abgestimmt werden können. Für die Integritätsprüfung reicht es nicht, lediglich das Alter einer Sicherung zu dokumentieren. DORA verlangt im Wiederherstellungsprozess geeignete Prüfungen und Abstimmungen. eur-lex.europa

4. Der Test zeigt die Lücke in der Wiederherstellungskette

Das Unternehmen testet den Ausfall seiner primären Betriebsumgebung. Zehn Minuten nach Eintritt der Unterbrechung wird der Notfall ausgerufen. Ab diesem Zeitpunkt benötigt der externe Dienstleister 90 Minuten, um seine Leistung bereitzustellen.

Anschließend dauern interne Anbindung und Berechtigungsprüfung weitere 20 Minuten. Die fachliche Abstimmung und Freigabe beanspruchen nochmals 25 Minuten. Da diese Schritte im Test nacheinander erfolgen, ist die Funktion erst 135 Minuten nach Ausrufen des Notfalls nutzbar.

Das Ergebnis:

Das RTO von 120 Minuten wird um 15 Minuten überschritten.

Die gesamte Geschäftsunterbrechung beträgt einschließlich der Aktivierungsphase 145 Minuten.

Die MTPD von vier Stunden wird nicht überschritten.

Der nachweisbar nutzbare Datenstand liegt acht Minuten vor dem Störungszeitpunkt. Das RPO von fünf Minuten wird damit verfehlt.

Das vereinbarte Notbetriebsniveau wird bei der fachlichen Freigabe erreicht.

Der Test ist folglich nicht insgesamt erfolgreich, nur weil die MTPD eingehalten wurde. Die eigenen Wiederanlauf- und Datenziele wurden verfehlt.

Zugleich zeigt sich die Grenze isolierter Dienstleisterzusagen: Der Anbieter hat seine 90-Minuten-Zusage erfüllt. Die Geschäftsfunktion steht dennoch zu spät zur Verfügung. Für die interne Planung müssen daher externe Leistungen, eigene Anschlussarbeiten und fachliche Freigaben zusammen betrachtet werden. Den regulatorischen Rahmen für die Steuerung der IKT-Drittparteienrisiken und die Vertragsgestaltung bilden insbesondere Art. 28 und 30 DORA. eur-lex.europa

5. Ausgefülltes Wiederherstellungsregister: Eintrag für das Fallbeispiel

Ein kompaktes Register führt Anforderungen, Testergebnisse und Maßnahmen zusammen. Für die Zahlungsverkehrsfunktion könnte der Eintrag wie folgt aussehen:

Funktion: Verarbeitung und Freigabe priorisierter Zahlungsaufträge.

Fachliche Verantwortung: Leitung Zahlungsverkehr.

Kritikalität: Im Fallbeispiel als kritische oder wichtige Funktion eingestuft; Begründung in der freigegebenen Business-Impact-Analyse dokumentiert.

MTPD: Vier Stunden ab Eintritt der Geschäftsunterbrechung.

RTO: 120 Minuten ab Ausrufen des Notfalls bis zur fachlich bestätigten Betriebsbereitschaft der Notfalllösung.

RPO: Fünf Minuten bezogen auf den nachweisbar nutzbaren Datenstand vor dem Störungszeitpunkt.

Notbetriebsniveau: Mindestens 50 Prozent der üblichen Verarbeitungskapazität für priorisierte Aufträge einschließlich erforderlicher Berechtigungen, Kontrollen und Schnittstellen.

Wesentliche Abhängigkeiten: Externe Betriebsplattform, Identitätsdienst, Netzverbindungen, Zahlungsverkehrsschnittstellen und fachliches Freigabepersonal.

Testszenario: Ausfall der primären Betriebsumgebung mit Wechsel auf die vorgesehene Notfalllösung.

Testergebnis: Wiederanlauf nach 135 Minuten ab Notfallaktivierung; gesamte Geschäftsunterbrechung 145 Minuten; Datenstand acht Minuten vor Störungseintritt; Notbetriebsniveau bei Freigabe erreicht.

Bewertung: RTO um 15 Minuten und RPO um drei Minuten überschritten. MTPD eingehalten. Nachweis gilt ausschließlich für das getestete Szenario und die dokumentierten Testbedingungen.

Maßnahmen: Interne Anschlussarbeiten auf Parallelisierung prüfen, Berechtigungen für den Notbetrieb vorbereiten und das Verfahren zur Bereitstellung geeigneter Wiederherstellungspunkte verbessern.

Verantwortliche: IT-Betrieb für technische Anpassungen; Leitung Zahlungsverkehr für fachliche Abnahmekriterien; BCM für die Koordination des Wiederholungstests.

Frist und Kontrolle: Umsetzung innerhalb von sechs Wochen; anschließend erneuter End-to-End-Test mit gesonderter Prüfung von Wiederanlaufzeit, Datenstand und Notbetriebsniveau.

Eskalation: Bericht an die Geschäftsleitung über die Zielüberschreitungen und die bis zum erfolgreichen Wiederholungstest verbleibenden Risiken.

6. Vom Testergebnis zur wirksamen Verbesserung

Das Register ersetzt keine Auswertung. Im Fallbeispiel müssen zwei Ursachenstränge getrennt bearbeitet werden.

Die RTO-Überschreitung entsteht nach Bereitstellung der externen Leistung. Zu prüfen ist deshalb, ob Berechtigungsprüfungen vorbereitet oder Anschlussarbeiten teilweise parallel durchgeführt werden können. Eine bloße Verkürzung der Dienstleisterzusage würde die interne Ursache möglicherweise nicht beseitigen.

Die RPO-Überschreitung betrifft dagegen den nutzbaren Datenstand. Hier ist zu untersuchen, warum nur ein acht Minuten alter Stand verfügbar war und welche Anpassung erforderlich ist, um das Fünf-Minuten-Ziel belastbar zu erreichen.

Die Maßnahmen gelten erst dann als wirksam, wenn ein erneuter Test ihre Wirkung bestätigt. Für dessen Aussagekraft sollten insbesondere Szenario, Datenmenge, Lastannahmen, beteiligte Dienstleister und ausgeschlossene Komponenten dokumentiert werden. Ein erfolgreicher Einzeltest darf nicht mit dem Nachweis der vollständigen Geschäftsfunktion gleichgesetzt werden.

7. Verantwortlichkeiten und Managementbericht

Für die Umsetzung bietet sich eine klare Aufgabenverteilung an:

Die Fachverantwortlichen begründen Geschäftstoleranz, Datenanforderungen und Notbetriebsniveau. IT und Betrieb setzen die Wiederanlauflösung um und dokumentieren die technischen Ergebnisse. BCM koordiniert Abhängigkeiten, Pläne, Tests und Maßnahmenverfolgung. Risikomanagement und Kontrollfunktionen hinterfragen Annahmen und Abweichungen. Die Interne Revision beurteilt unabhängig die Angemessenheit und Wirksamkeit im Rahmen ihrer Aufgaben.

Die Geschäftsleitung benötigt daraus eine verdichtete Entscheidungsgrundlage. Im Fallbeispiel lautet die Kernaussage nicht „Notfalltest durchgeführt“, sondern: „Wiederanlaufzeit und Datenziel verfehlt; Ursachen und Maßnahmen benannt; Wiederholungstest terminiert.“

Eine solche Berichterstattung unterstützt die Verantwortung des Leitungsorgans nach Art. 5 DORA. Sie zeigt nicht nur Aktivitäten, sondern den erreichten Stand der Wiederherstellungsfähigkeit und den notwendigen Handlungsbedarf. eur-lex.europa

8. Fazit: Zielwerte brauchen einen überprüfbaren Bezug zur Geschäftsfunktion

RTO und RPO entfalten ihren Nutzen erst im Zusammenhang mit der Geschäftstoleranz, dem erforderlichen Leistungsniveau und den tatsächlichen Abhängigkeiten. DORA verlangt funktionsbezogene Ziele, Tests und Integritätsprüfungen; der BSI-Standard 200-4 liefert einen methodischen Rahmen für das Business Continuity Management.eur-lex.europa+1

Das Fallbeispiel zeigt den entscheidenden Unterschied: Eine eingehaltene Dienstleisterzusage und eine nicht überschrittene MTPD belegen noch nicht, dass das eigene Wiederherstellungsziel erreicht wurde. Belastbare Steuerung macht solche Lücken sichtbar, ordnet Verantwortung zu und schließt den Regelkreis mit einem erneuten Nachweis.

Quellenverzeichnis

Alle Quellen sind amtliche Rechts- oder Behördenquellen, abgerufen am 23. Oktober 2026.

Europäische Union

Verordnung (EU) 2022/2554 (DORA), insbesondere Art. 5, 11, 12, 28 und 30: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R2554

Bundesamt für Sicherheit in der Informationstechnik (BSI)

BSI, Standard 200-4 – Business Continuity Management (BCM): https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/BSI_Standards/standard_200_4.pdf

BSI, Standard 200-4 – Glossar und Abkürzungsverzeichnis (Definitionen von RTO, RPO und verwandten Begriffen): https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Hilfsmittel/Standard200_4_BCM/Standard_200-4_BCM_Glossar.pdf