Verfügbarkeit ist das Schutzziel, nach dem Informationen und Systeme dann nutzbar sind, wenn sie gebraucht werden. Der Nachsatz ist entscheidend: Verfügbarkeit ist keine Eigenschaft der Technik, sondern eine Anforderung des Prozesses. Ein Lohnabrechnungssystem, das am Monatsende drei Tage steht, richtet mehr Schaden an als eines, das im Juli eine Woche ausfällt.
Die zwei Werte, aus denen alles folgt
Am Anfang steht nicht die Technik, sondern eine Festlegung durch die Fachseite. Wie lange darf ein Prozess ohne dieses System laufen, bevor es weh tut? Und wie viel Arbeit darf verloren gehen, wenn zurückgesichert werden muss? Die erste Frage führt zur Wiederanlaufzeit, die zweite zum tolerierbaren Datenverlust.
Diese beiden Werte bestimmen die Kosten. Eine Stunde Wiederanlaufzeit ist eine völlig andere Investition als ein Tag. Deshalb ist die Reihenfolge nicht verhandelbar: erst der Bedarf des Prozesses, dann die Lösung. Wer umgekehrt vorgeht, kauft Technik und begründet den Bedarf hinterher.
Für Organisationen, die Verfügbarkeit systematisch angehen wollen, ist ISO 22301 der passende Rahmen — sie beschreibt das Business Continuity Management und geht deutlich über die Anforderungen hinaus, die ISO/IEC 27001 an dieser Stelle stellt.
Verfügbarkeit hängt nicht nur an Systemen
Der übersehene Teil ist das Personal. Ein Prozess, den genau eine Person beherrscht, hat eine Verfügbarkeit, die an deren Urlaubsplan hängt. Dasselbe gilt für Zugangsdaten, die nur eine Person kennt, für den Schlüssel zum Technikraum und für den Dienstleistervertrag, dessen Reaktionszeit niemand geprüft hat.
Auditoren fragen hier gern konkret nach: Wer stellt das System wieder her, wenn die dafür zuständige Person nicht erreichbar ist? Wenn darauf ein Name statt einer Regelung folgt, ist das ein Befund.
Woran es in der Praxis scheitert
Der häufigste Fehler ist der ungetestete Notfall. Sicherungen laufen, die Meldungen sind grün, und niemand hat je versucht, daraus einen Server zurückzuholen. Der erste Versuch findet dann im Ernstfall statt — mit einer unvollständigen Dokumentation, unter Zeitdruck und ohne die Person, die das System aufgesetzt hat.
Der zweite Fehler betrifft den Ort der Sicherung. Eine Kopie, die im selben Serverraum liegt oder dauerhaft im selben Netz erreichbar ist, überlebt weder Wasserschaden noch Verschlüsselungsangriff. Getrennte Aufbewahrung und mindestens eine offline oder unveränderlich gehaltene Kopie sind der Standard, an dem sich das messen lässt.
Der dritte Punkt ist die fehlende Verbindung zum Sicherheitsvorfall: Ausfälle werden behoben, aber nicht erfasst. Damit fehlt die Datengrundlage für die Managementbewertung, und die Frage nach der Wirksamkeit der Maßnahmen lässt sich nur mit Eindrücken beantworten. Eine simple Liste mit Datum, betroffenem System, Dauer und Ursache ist der kleinste brauchbare Nachweis — und nach zwölf Monaten die einzige Grundlage, um zu erkennen, ob dasselbe Problem wiederkehrt.