Backup und Wiederanlauf: Was bei einem Softwareausfall vorbereitet sein muss

Ein Softwareausfall ist kein Netzwerkausfall. Bei einem Netzwerkausfall wiegt die Waage lokal weiter. Bei einem Softwareausfall, ob durch defekte Festplatte, fehlgeschlagenes Update oder Schadsoftware, ist der Waagenrechner selbst betroffen, und die Frage lautet nicht mehr „wie lange halten wir durch“, sondern „wie kommen wir zurück“. Die Antwort steht in einer Prüfliste mit zehn Punkten, und der wichtigste davon ist der letzte: die Rücksicherung, die geübt wurde, bevor sie gebraucht wird.

Wer alle zehn Punkte abhaken kann, braucht den Rest des Artikels nur zur Bestätigung. Für alle anderen erklären die folgenden Abschnitte, was hinter den Punkten steht.

Was gesichert wird

Die Datenbank ist der offensichtliche Teil: Stammdaten, Aufträge, Wiegungen, Lieferscheine, Rechnungen. Vergessen werden vier andere. Die Dokumente, also die erzeugten PDF-Belege, unterschriebene Fassungen, Fotos, die in einem Dateisystem oder im Archiv liegen und ohne die die Datenbank nur Zahlen enthält. Die Konfiguration: Belegvorlagen, Prüfregeln, Druckziele, Rollen, Schnittstellenparameter, die in Wochen der Einrichtung entstanden sind. Die Warteschlangen der Schnittstellen: Übergaben an ERP-System, Fakturierung und Portal, die zum Zeitpunkt der Sicherung noch nicht bestätigt waren. Und die Einstellungen der Peripherie: Kalibrierung der Kennzeichenkamera, Parameter der Auswerteelektronik, Terminalkonfiguration, die teilweise auf den Geräten selbst liegen.

Ein Sicherungskonzept nennt für jeden dieser fünf Bestandteile den Ort, den Rhythmus und die Person, die prüft, dass die Sicherung gelaufen ist.

Wie oft und wohin

Zwei Größen bestimmen das Konzept, und beide legt das Werk fest, nicht die IT. Die erste ist der tolerierbare Datenverlust: Wie viele Stunden Wiegungen darf ein Ausfall kosten? Eine Sicherung um Mitternacht bedeutet, dass ein Ausfall um 15 Uhr die Wiegungen eines ganzen Tages verliert. Sie müssen dann aus den gedruckten Lieferscheinen nacherfasst werden. Wer das nicht will, sichert stündlich oder fortlaufend. Die zweite Größe ist die tolerierbare Ausfallzeit: Wie lange darf die Waage stehen, bis sie wieder mit Software arbeitet? Eine Stunde verlangt einen Ersatzrechner vor Ort, ein Tag erlaubt eine Neuinstallation.

Wohin: Eine Kopie im Werk für die schnelle Rücksicherung, eine außerhalb, gegen Brand, Diebstahl und Schadsoftware, die im Werksnetz alles erreicht, was erreichbar ist. Die externe Kopie darf vom Werksnetz aus nicht veränderbar sein, sonst verschlüsselt eine Schadsoftware die Sicherung gleich mit. Bei zentralem Betrieb durch den Anbieter übernimmt dieser die Sicherung der zentralen Dienste. Die lokale Komponente an der Waage bleibt trotzdem zu sichern, weil dort die Vorgänge der letzten Stunden liegen. Welche Teile lokal und welche zentral laufen, ergibt sich aus der Betriebsform.

Wiederanlauf in Reihenfolge

Nach einem Ausfall wird nicht alles gleichzeitig hochgefahren. Zuerst die Waage: Rechner ersetzen oder neu installieren, Datenbank und Konfiguration zurückspielen, Peripherie anbinden, eine Testwiegung durchführen. Dann der Abgleich: Welche Vorgänge liegen zwischen der letzten Sicherung und dem Ausfall? Sie werden aus den Papierbelegen des Notfallprozesses nacherfasst, mit ihrem tatsächlichen Datum. Dann die Fakturierung mit der Prüfung, ob Rechnungen doppelt oder gar nicht übergeben wurden. Dann die Schnittstellen: Die Warteschlangen werden geprüft, bevor sie abgearbeitet werden, damit eine Lieferung, die vor dem Ausfall bereits im ERP-System angekommen war, nicht ein zweites Mal ankommt. Zuletzt das Portal, dessen Stand sich aus dem Archiv ergibt.

Der Papierprozess an der Waage ist dabei der Teil, der den Wiederanlauf überhaupt erlaubt. Bei einem reinen Verbindungsausfall steht die Waage dagegen gar nicht, wenn sie als Edge-Installation lokal weiterarbeitet.

Der Test, den kaum ein Werk macht

Eine Sicherung, die nie zurückgespielt wurde, ist eine Vermutung. Der Test ist einfach und wird trotzdem selten gemacht: Die letzte Sicherung wird auf ein Testsystem zurückgespielt, eine Person prüft, ob Datenbank, Dokumente und Konfiguration vollständig sind, ob eine Testwiegung gelingt und wie lange das Ganze gedauert hat. Das Protokoll hält Datum, Dauer und Abweichungen fest. Einmal im Jahr genügt. Nach jedem größeren Update ist es sinnvoll. Häufig zeigt der erste Test, dass die Dokumente nicht in der Sicherung waren oder dass niemand das Passwort der Verschlüsselung kannte. Beides lässt sich vor dem Ausfall beheben, danach nicht.

Zuständigkeit: Anbieter, IT-Dienstleister, Werk

Die Tabelle ist eine Vorlage, keine Vorgabe. Was in jedem Fall gilt: Für jede Zeile gibt es einen Namen und eine Telefonnummer, und beides steht nicht nur im System, das gerade ausgefallen ist.

Häufige Fragen zu Backup und Wiederanlauf

Reicht die Datensicherung des Anbieters bei zentralem Betrieb?

Für die zentralen Dienste ja, wenn sie vertraglich zugesichert und nachgewiesen ist. Für die lokale Komponente an der Waage nicht. Dort liegen die Vorgänge seit dem letzten Abgleich, und die sichert nur das Werk.

Wie lange dauert ein Wiederanlauf?

Das hängt vom Ersatzrechner, der Größe der Sicherung und der Peripherie ab. Wer es wissen will, misst es beim Rücksicherungstest. Das ist der einzige Weg zu einer belastbaren Zahl.

Was ist mit Schadsoftware, die die Sicherung mitverschlüsselt?

Dagegen hilft nur eine Kopie, die vom Werksnetz aus nicht veränderbar ist, und ein Rhythmus, der mehrere Generationen aufhebt. Eine Sicherung, die die einzige vorige überschreibt, ist nach einem Verschlüsselungsangriff wertlos.

So geht es weiter