Verfügbarkeit, Live DR, Datensicherung und der Tresor

Die drei Verfügbarkeitsstufen, die Kontinuitätsmuster mit ihren RPO- und RTO-Werten, wie Live DR erprobt und geübt wird, die Backup-Richtlinie pro Umgebung, die Langzeitaufbewahrung und der Air-Gap-Tresor.

Verfügbarkeitsstufen (Produktion, vorgeschlagener Standard)

Stufe	Verfügbarkeit	Was es ist
Standard	99,7 %	Multi-Zone-, HA-Datenbank, Air-Gap-Backups.
Live DR	99,9 %	Eine zweite Region ist live.
Live DR Premium	99,95 %	Verkehrslage in beiden Regionen, 24/7-Prioritätsreaktion.

Nicht-Produktionsbetrieb: 95 %. Monatliche Messung am TRANXACT-Eingang, außerhalb des vereinbarten Wartungsfensters. Die SLAs der Cloud-Anbieter unterliegen der TRANXACT-Verpflichtung.

Die Stufe muss vor der Dimensionierung festgelegt werden. Live DR nutzt eine zweite Region in voller Größe, wodurch sich die Infrastrukturkosten im laufenden Betrieb etwa verdoppeln. Diese Kosten sollten als separate Zeile gegenüber den dadurch vermiedenen Ausfallkosten aufgeführt und integrierte Drittanbietersysteme auf dieselbe Stufe gesetzt werden.

Geplante und ungeplante Ereignisse

Ereignis	Was geschieht	Wird das als Verstoß gegen die Service-Level-Vereinbarung gewertet?
Geplant – Aktualisierungen, Größenänderungen, Übungen	Durch fortlaufende Updates auf drei Knotenpunkten wird die Weiterarbeit der Nutzer gewährleistet. Ausfallzeiten ergeben sich lediglich im monatlichen Zeitfenster (vorgeschlagene 4 Stunden).	Nein, innerhalb des vereinbarten Zeitraums.
Ungeplanter Ausfall eines Knotens, Pods oder einer Zone innerhalb der Region	Pods neu geplant; Datenbank-Failover auf synchronen Standby. RPO ≈ 0, Wiederherstellung in Minuten.	Nur wenn das Stufenziel verfehlt wird.
Ungeplant, regionsweit	Mit Live DR wird die Replik hochgestuft und der Traffic Manager verschiebt Schreibvorgänge. RPO Sekunden, RTO ≤ 15 Minuten (vorgeschlagen).	Pro Stufe.

Kontinuitätsmuster

Muster	RPO / RTO	Knoten	DB	Zone	Region	Ransomware
Standard HA (99,7 %)	Zone: RPO ≈ 0. Region: Wiederherstellung aus dem Tresor.	Ja	Ja	Ja	NEIN	Ja
Live DR (99,9 %)	RPO Sekunden, RTO ≤ 15 Minuten	Ja	Ja	Ja	Ja	Ja
Live DR Premium (99,95 %)	RPO Sekunden, RTO ≤ 5 Minuten	Ja	Ja	Ja	Ja	Ja
Passive DR (typische SaaS) – wird nicht angeboten	RPO Minuten–Stunden, RTO Stunden	Ja	Ja	Ja	Unsicher	NEIN

Live DR ist kein passiver Standby-Modus. Die zweite Region betreibt einen vollwertigen Cluster und eine kontinuierlich replizierte Datenbank, die Live-Lesevorgänge, Berichte, ASK Abfragen und synthetische Postings verarbeitet. Ihre Funktionsfähigkeit wird minütlich überprüft, und ein Failover ist ein Upgrade – es wird nichts hochskaliert oder wiederhergestellt.

Integrationen müssen die automatische Schreibweiterleitung tolerieren und alle in den letzten Sekunden vor einem Failover gesendeten Daten erneut senden. Die Endpunkte der Partner müssen dem Traffic Manager folgen (TO_4.10.09, Ausgeschlossen).

Live DR Beweis

Prüfen	Was geschieht	Auswirkungen auf das Geschäft	Frequenz	Kategorie	R&R
Kontinuierliche Überprüfung	Synthetische Buchungen, Benachrichtigungen bei Replikationsverzögerungen, regionsübergreifende Ledger-Prüfsumme	Keiner	Jede Minute	Standard	TO_4.10.01
Geplante Umstellungsübung	Ankündigung → Schreibvorgänge pausieren (Sekunden) → DR-Server hochstufen → Datenverkehr umleiten → Ledger überprüfen → vom DR-Server ausführen. Rollentausch.	Schreibvorgänge für Sekunden angehalten	Vierteljährlich	Standard	TO_4.10.03
Zusätzliche Umschaltübung	Wie oben erwähnt, außerhalb des Quartalsplans	Schreibvorgänge für Sekunden angehalten	Auf Anfrage, 2 Wochen im Voraus	Zusätzlich	TO_4.10.04
Isolierte (eingezäunte) Bohranlage	Eine Kopie, die von der DR-Replik geklont wurde, wobei ausgehende Integrationen deaktiviert sind; destruktive Tests sind zulässig.	Keine in der Produktion	Auf Anfrage, 2 Wochen im Voraus	Zusätzlich	TO_4.10.05
Reinraum-Wiederherstellungstest	Wiederherstellung aus dem Tresor in einer isolierten Umgebung, Scannen, Abgleich	Keine in der Produktion	Jährlich	Standard	TO_4.9.07
Geschäftliche Validierung einer Übung	Der Kunde bestätigt Prozesse und Integrationen nach der Umstellung	Kundenaufwand	Jede Übung	Ausgeschlossen	TO_4.10.06

Nach einer Übung erfolgt kein Wiederaufbau: Das alte Primärsystem wird zum Live DR. Die Lesevorgänge werden nie unterbrochen.

Führen Sie vor dem Go-Live die erste Umschaltungsübung und die Wiederherstellung des Reinraums durch. Beides sind Go-Live-Kriterien, und jede weitere Übung dient als Nachweis für Auditoren und die SLA-Überprüfung.

Sicherungsrichtlinie (vorgeschlagene Standardeinstellung)

	Produktionsdatenbank	Produktionsdokumente	Nicht-Produktionsdatenbank	Nicht-Produktionsdokumente
Frequenz	Tägliche Momentaufnahme + kontinuierliche Protokollierung	Kontinuierliche Versionierung	Tagesüberblick	Kontinuierliche Versionierung
Momentaufnahme	Jeder Zeitpunkt innerhalb des Aufbewahrungszeitraums	Version wiederherstellen	Letzter Schnappschuss	Version wiederherstellen
Betriebsbindung	30 Tage	30 Tage (Versionen)	14 Tage	14 Tage
Tresorkopie	Täglich, unveränderlich	Täglich, unveränderlich	Wöchentlich, unveränderlich	Optional
Tresoraufbewahrung	90 Tage (verlängerbar)	90 Tage (verlängerbar)	30 Tage	30 Tage
Verschlüsselung	Im Ruhezustand und während des Transports; Tresorschlüssel werden separat aufbewahrt	Im Ruhezustand und während der Fahrt	Im Ruhezustand und während der Fahrt	Im Ruhezustand und während der Fahrt

Kubernetes-Manifeste und -Konfigurationen befinden sich in der Infrastruktur als Code und werden ebenfalls in den Vault kopiert – daher wird die Laufzeitumgebung neu erstellt, nicht wiederhergestellt.

Stellt wieder her

Wiederherstellen	Kategorie	Lieferzeit	R&R
On-Demand-Backup vor einer größeren Änderung	Standard, Serviceanfrage	Std	TO_4.9.04
Wiederherstellung zu einem bestimmten Zeitpunkt	Standard, Serviceanfrage	Stunden; P1 sofort	TO_4.9.05
Reinraumwiederherstellung aus dem Tresor	Zusätzliche Gebühr pro Lieferung	Std	TO_4.9.06
Geschäftsfreigabe der wiederhergestellten Daten	Ausgenommen – der Finanzcontroller	—	TO_4.9.11

Der luftgetrennte Tresorraum

Ein separates Cloud-Konto bzw. ein separater Mandant mit separaten Identitäten, MFA und Schlüsseln.
Es gibt keinen eingehenden Netzwerkpfad aus der Produktionsumgebung. Die Produktionsumgebung überträgt Daten unidirektional über eine Rolle mit ausschließlich Schreibrechten ohne Lese- oder Löschrechte.
Eine einmalige Schreibsperre (WORM): Kopien können nicht verändert oder gelöscht werden, auch nicht von Administratoren.
Für die Löschung ist eine doppelte Genehmigung erforderlich; die Integrität wird bei der Ankunft geprüft.
Wiederherstellungsprozesse werden in einer isolierten Umgebung im Rahmen des Reinraumverfahrens durchgeführt – Scannen, Abgleichen, dann Freigeben – niemals direkt in die Produktion überführt.
Eine optionale Offline-Kopie in einer zweiten Cloud oder einem Cold Storage, die regelmäßig getrennt wird (TO_4.9.09, Optional).

Zweck: Replikation und Live DR -Kopien werden sofort repariert. Auch Ransomware oder fehlerhafte Daten werden repliziert. Der Tresor speichert eine saubere, unveränderliche Ledger-Historie außerhalb beider Regionen.

Klären Sie, wer die Zugangsberechtigung für den Tresor besitzt. TRANXACT wendet das Vier-Augen-Genehmigungsverfahren an (TO_4.9.12); der Kunde benennt seine Genehmiger (TO_4.9.13, Ausgenommen).

Langzeitaufbewahrung (optional)

Option	Frequenz	Zurückbehaltung	Metrisch	Block	Kategorie
Monatsarchivkopie	Monatlich	1 Jahr	Gigabyte	256 GB	Optional
Vierteljährliche Archivkopie	Vierteljährlich	1 Jahr	Gigabyte	256 GB	Optional
Archivkopie zum Jahresende	Jährlich, nach Schließung	2, 3 oder 4 Jahre	Gigabyte	256 GB	Optional
Offline-Kopie	Periodisch	Gemäß Kundenrichtlinie	Gigabyte	256 GB	Optional
Rechtliche Sperre einer Kopie	Auf Anfrage	Bis zur Veröffentlichung	Auf Anfrage	—	Zusätzlich

Eine einmal festgelegte Aufbewahrungsfrist kann nicht verkürzt werden. Wenn Prüfungs- oder Aufbewahrungsvorschriften eine längere Aufbewahrungsdauer erfordern, sollte diese von vornherein verlängert werden – und zwar anhand des Wachstums der Buchhaltung und des Dokumentenvolumens, nicht anhand der aktuellen Datenbankgröße.

Die als Standardvorschlag gekennzeichneten Werte sind die im Bereitstellungsleitfaden empfohlenen Ausgangspunkte. Bitte bestätigen Sie jeden Wert für jeden Kunden einzeln. Vertrag, Bestellformular, SLA und DPA haben Vorrang vor den Angaben auf dieser Seite.

Machen Sie dazu den Kurs, mit Diagrammen und einer Überprüfung.