Multi-Region-Replikation, die niemand nutzte
Multi-Region-Datenbankreplikation aufgesetzt, „für Disaster Recovery“.
Wofür wir bezahlt haben:
- Primary in us-east-1, Read Replicas in eu-west-1 und ap-southeast-1
- ~$8.000/Monat all-in: rund $5.300 für zwei dauerhaft laufende Replica-Instanzen mit Storage, $1.800 für Cross-Region-Replikationstraffic (ein schreibintensiver Workload schickt jedes WAL-Byte in beide Regionen) und $900 für Snapshots und Backup-Storage
Was wir tatsächlich genutzt haben:
- 100% der Lese- und Schreibzugriffe aus us-east-1 bedient
- 0 Failover-Tests in 18 Monaten
- Kein DR-Runbook
- Niemand, der wusste, wie man den Failover auslöst
Die Erkenntnis:
Auf dem Papier hatten wir eine RTO von Minuten (Replica promoten) und eine RPO von Sekunden. In der Praxis waren beide Zahlen Fiktion: nie getestet heißt nie gewusst. Wäre us-east-1 ausgefallen, wäre unsere echte RTO „so lange, wie es dauert, Failover während eines Ausfalls zu lernen“ gewesen — unbegrenzt.
Was wir getan haben:
- Reduziert auf eine einzelne Read Replica in us-east-1 für HA innerhalb der Region
- Cross-Region-DR über Cold Backups: Snapshots plus kontinuierliches WAL-Archiving in einen S3-Bucket, der nach us-west-2 repliziert wird
- Echte Runbooks geschrieben und vierteljährliche DR-Tests gestartet
Der Trade-off — explizit benannt:
Das war ein bewusstes Downgrade der Wiederherstellung nach Regionsverlust, kein Gratisgeschenk:
- RTO vorher: Minuten auf dem Papier, nie validiert — tatsächlicher Wert unbekannt. Nachher: ~4 Stunden, um den Snapshot wiederherzustellen und WAL in us-west-2 nachzuspielen; der letzte Game Day maß 3h20m.
- RPO vorher: Sekunden auf dem Papier, nie validiert. Nachher: ≤15 Minuten, begrenzt durch das WAL-Archivierungsintervall.
- Kosten: $8.000/Monat → $1.200/Monat.
Das Business stimmte zu, weil für diesen Workload ein regionsweiter Ausfall, der ein paar Stunden kostet, akzeptabel war; $6.800/Monat extra für ungetestete „Minuten“ zu zahlen war es nicht. Wenn Ihr Workload Stunden wirklich nicht verträgt, behalten Sie die warme Replica — aber dann müssen Sie das Promoten testen. Dieses Sizing-Gespräch ist der Kern der Cloud-Kosten- und Architektur-Reviews, die wir durchführen.
Der vierteljährliche Test:
Jedes Quartal: den neuesten Snapshot in us-west-2 wiederherstellen, WAL bis zu einem Zielzeitstempel nachspielen, einen Staging-Stack auf die wiederhergestellte Datenbank zeigen lassen, die Smoke-Suite laufen lassen und die Wanduhrzeit als gemessene RTO festhalten. Das Runbook wird an Ort und Stelle korrigiert, und jedes Mal führt ein anderer Engineer es aus, damit das Wissen nicht in einem einzigen Kopf lebt. Dieselbe Disziplin, nur für das zu bezahlen, was man validiert, zieht sich durch unseren Leitfaden zur Cloud-Kostensenkung.
Ergebnis: $8.000/Monat → $1.200/Monat, mit DR-Zahlen, die wir tatsächlich gemessen haben.
Lektion: DR, das nie getestet wird, ist kein DR. Es ist nur teuer. Eine günstigere, getestete Wiederherstellung schlägt eine teure, hypothetische.
Incidents wie dieser sind vermeidbar. Unser AWS Managed Services-Team überwacht Kundenumgebungen 24/7 mit KI-gestütztem Monitoring und Senior Engineers am Pager — damit Geschichten wie diese im Archiv bleiben.