Startseite › Lexikon › Failover und Failback
Lexikon · Backup & Recovery
Failover und Failback: Umschalten im Notfall – und wieder zurück
Kurz erklärt
Ein Failover ist das Umschalten von IT-Diensten auf ein Ersatzsystem, wenn das primäre System ausfällt – automatisch oder manuell. Der Failback ist der Rückweg: Nach der Reparatur werden Dienste und die zwischenzeitlich geänderten Daten wieder auf das Primärsystem übertragen. Beide Schritte gehören zu jedem Disaster-Recovery-Konzept.
Failover
Umschalten bei Ausfall
Ersatzsystem übernimmt.
Failback
Rückkehr zum Primärsystem
Zurück in den Normalbetrieb.
Switchover
Geplantes Umschalten
Z. B. für Wartung oder Tests.
Was ist ein Failover?
Beim Failover übernimmt ein Ersatzsystem die Aufgaben eines ausgefallenen Systems – etwa ein zweiter Server, ein zweites Rechenzentrum oder eine Cloud-Umgebung. Ziel ist, dass Anwender den Ausfall möglichst wenig bemerken.
Ein automatischer Failover erkennt den Ausfall über regelmäßige Statussignale (Heartbeat) und schaltet selbstständig um. Ein manueller Failover wird bewusst von Administratoren ausgelöst – langsamer, dafür ohne Gefahr von Fehlentscheidungen durch falsch erkannte Ausfälle.
Was ist ein Failback?
Nach dem Failover läuft der Betrieb auf dem Ersatzsystem weiter, während das Primärsystem repariert oder ersetzt wird. Beim Failback wird der Betrieb geordnet zurückverlagert.
Der Failback wird häufig unterschätzt: Alle Daten, die während des Notbetriebs entstanden sind, müssen zurück synchronisiert werden – ohne dass dabei etwas verloren geht. Das erfordert Planung, ein Wartungsfenster und einen Test.
Der Ablauf im Überblick
Normalbetrieb
Ausfall · Failover
Notbetrieb
Reparatur · Failback
Normalbetrieb
Während des Notbetriebs läuft alles auf dem Ersatzsystem. Beim Failback werden die dort geänderten Daten zurück übertragen.
Failover-Varianten
Aktiv-Passiv
Kosten: mittel · Umschaltzeit: Sekunden bis Stunden
Ein Ersatzsystem wartet im Hintergrund – je nach Bereitschaft als Hot, Warm oder Cold Standby – und übernimmt erst im Fehlerfall.
Aktiv-Aktiv
Kosten: hoch · Umschaltzeit: nahezu null
Mehrere Systeme arbeiten gleichzeitig und teilen sich die Last. Fällt eines aus, übernehmen die anderen – typisch für Cluster und Lastverteilung.
Failover in die Cloud
Kosten: nutzungsabhängig · Umschaltzeit: Minuten bis Stunden
Systeme werden im Notfall in einer Cloud-Umgebung gestartet. Spart eigene Ersatzhardware, erfordert aber geplante Netz- und Lizenzfragen.
Failover, RTO und RPO
Ein Failover verkürzt vor allem die RTO, also die Ausfallzeit. Wie viele Daten dabei verloren gehen (RPO), hängt davon ab, wie aktuell das Ersatzsystem ist: Synchrone Replikation erreicht nahezu null Datenverlust, asynchrone oder zeitgesteuerte Replikation verliert die Änderungen seit dem letzten Abgleich. Mehr dazu: RTO und RPO.
Ersetzt ein Failover das Backup?
Nein. Failover sichert die Verfügbarkeit, nicht die Unversehrtheit der Daten. Gelöschte Dateien, logische Fehler oder von Ransomware verschlüsselte Daten werden auf das Ersatzsystem mitrepliziert. Für diese Fälle braucht es zusätzlich Backups mit Versionsständen – idealerweise unveränderlich oder per Air Gap getrennt.
Typische Stolperfallen
Typische Lücken
• Split-Brain: Beide Systeme halten sich gleichzeitig für aktiv und schreiben widersprüchliche Daten
• Veraltetes Ersatzsystem: Patches, Konfiguration oder Lizenzen fehlen auf dem Standby
• Vergessene Abhängigkeiten: DNS, Active Directory, Zertifikate oder Firewall-Regeln
• Ungetesteter Failback: Der Rückweg scheitert oder verliert Daten aus dem Notbetrieb
Best Practices
Checkliste
✓ Failover und Failback regelmäßig testen, mindestens jährlich
✓ Auslösekriterien und Zuständigkeiten im Notfallplan festlegen
✓ Ersatzsystem bei Patches und Konfigurationsänderungen mitpflegen
✓ Kapazität des Ersatzsystems für den Volllastbetrieb prüfen
✓ Zusätzlich unveränderliche Backups für logische Fehler und Ransomware vorhalten
So unterstützt Cristie
Wiederanlauf mit Cristie
System Recovery
Server auf neuer, abweichender oder virtueller Hardware wiederherstellen – auch ohne permanent laufendes Ersatzsystem. Zur System Recovery
Recovery-Lösungen
Passende Wiederanlauf-Strategien für Ihre Umgebung. Zu den Recovery Solutions
Disaster Recovery
Wie Failover in einen vollständigen Notfallplan passt. Zum Lexikon-Eintrag
Funktioniert Ihr Failover – und der Weg zurück?
Wir prüfen mit Ihnen Ihre Umschalt- und Wiederanlaufprozesse.
Häufige Fragen
Was ist der Unterschied zwischen Failover und Failback?
Failover schaltet bei einem Ausfall auf das Ersatzsystem um. Failback verlagert den Betrieb nach der Reparatur wieder auf das Primärsystem zurück – inklusive der zwischenzeitlich geänderten Daten.
Was ist der Unterschied zwischen Failover und Switchover?
Ein Failover ist eine Reaktion auf einen ungeplanten Ausfall. Ein Switchover ist ein geplantes, kontrolliertes Umschalten, etwa für Wartungsarbeiten oder Tests.
Ersetzt ein Failover-System das Backup?
Nein. Failover schützt vor Ausfällen, nicht vor Datenverlust durch Löschen, logische Fehler oder Ransomware – diese werden mitrepliziert. Backups mit Versionsständen bleiben unverzichtbar.
Wie oft sollte ein Failover getestet werden?
Mindestens einmal jährlich und nach größeren Änderungen – und zwar inklusive Failback. Erst der vollständige Durchlauf zeigt, ob der Notbetrieb wirklich funktioniert.
Verwandte Begriffe: Disaster Recovery · Business Continuity · RTO und RPO · Backup-Arten · Immutable Backup · Air Gap