Microsoft-365-Daten sicher speichern und verwalten

1. Es gilt das Prinzip der geteilten Verantwortung

IT-Experten müssen sich für alle SaaS-Anwendungen darüber informieren, wieviel Kontrolle sie über die Cloud-Daten haben und wer letztlich die Verantwortung für die Daten und deren Sicherung trägt. Deshalb müssen sie zunächst das Prinzip der „geteilten Verantwortung“ verstehen.

Laut Service Level Agreement verantwortet Microsoft die Cloud-Infrastruktur und stellt per Geo-Redundanz die Verfügbarkeit und Nutzbarkeit der Plattform sicher. Microsoft garantiert jedoch weder bestimmte Recovery Point Objectives noch eine dauerhafte Wiederherstellbarkeit der Daten. Datenhoheit sowie Datenkontrolle und damit auch die Verantwortung für den Schutz und die Verwaltung der eigenen Daten obliegen dem Anwenderunternehmen. Eine Ablage in OneDrive ist nicht ausreichend und somit ein vollwertiges Backup absolut notwendig.

2. Die 365-Datensicherheit ist trügerisch

Für Nutzer ist die automatische Synchronisierung zwischen Cloud und Endgerät sehr komfortabel. Doch genau hier gilt es, aufzupassen und nicht der trügerischen Datensicherheit von Office 365 aufzuliegen. Denn die Automatisierung sorgt für das Überschreiben der Daten auf allen synchronisierten Geräten – und macht dabei vor fehlerhaften oder mit Malware infizierten Daten oder einer Löschung nicht Halt. Zwar bietet Microsoft selbst einen gewissen Schutz, wie etwa dass innerhalb von 30 Tagen aktiv gelöschte Daten aus dem Papierkorb zurückgewonnen werden können oder beschädigte Dateien automatisch kurzfristig repliziert werden, um Redundanzen zu vermeiden. Mehr Wiederherstellbarkeit bietet Microsoft jedoch nicht.

Weitere Risiken für die Datensicherheit können etwa durch Lücken in den Aufbewahrungsrichtlinien entstehen. Wird beispielsweise beim Ausscheiden von Mitarbeiter ein Konto deaktiviert, löscht Microsoft automatisch nach 90 Tagen das inaktive Benutzerkonto und alle dazugehörigen Daten. Das Unternehmen kann diese dann nicht mehr wiederherstellen. Bezüglich rechtlicher Sanktionen und Compliance-Verstößen, etwa gegen die DSGVO, bietet Microsoft zwar ein sogenanntes Litigation-Hold-Feature, das aktuell verfügbare Daten dauerhaft einfriert und vor Löschung schützt, jedoch nur bis zu einem Datenvolumen von 100 Gigabyte.

3. Eine passende Backup- und Recovery-Lösung ist essenziell

Aus den bereits genannten Punkten ergibt sich ein klarer Bedarf nach einer professionellen, einfach zu bedienenden Backup- und Recovery-Lösung. Jede Cloud-Anwendung hat ihre eigenen Anforderungen und spezifischen Datensicherheitsbedarf, auf die eine Backup- und Recovery-Lösung eingehen sollte. Zudem sollten IT-Verantwortliche sie leicht konfigurieren und sich im Tagesgeschäft auf die Lösung verlassen können. Die folgenden vier Faktoren helfen bei der Auswahl:

• Die Daten müssen sich nach einer versehentlichen Löschung, im Falle eines Ransomware-Befalls, einer gezielten Cyberattacke oder auch nach interner Sabotage vollständig wiederherstellen lassen.
• Die Lösung muss flexible Aufbewahrungsregeln und individuelle Archivierungszeiträume abbilden können. Zudem sollte sie mit einer Zwei-Faktor-Authentifizierung abgesichert sein, um den Zugriff auf das Backup absolut sicher zu gestalten.
• Eine Suchfunktion für E-Discovery-Aufgaben muss auch Backup-Daten einschließen.
• Die gesicherten Daten sollten auf lokalen Storage-Medien liegen, um IT-Verantwortlichen direkten Zugriff auf die gesicherten Microsoft-365-Daten zu geben.

4. Es bedarf einer gezielten Backup-Strategie

Damit die gewählte Lösung auch das tut, was sie soll, müssen IT-Admins eine dedizierte Backup-Strategie zurechtlegen. Die richtige Strategie besteht aus drei Prozessen: Datenklassifizierung, Backup und Recovery.

Die Klassifizierung der Daten sorgt für eine geordnete Datenstruktur und effektives Datenmanagement. Hier müssen die für den Geschäftsbetrieb unverzichtbaren Daten identifiziert werden. Eine Kategorisierung in öffentlich, intern, vertraulich, sowie geschützt erleichtert zudem den Compliance- und DSGVO-konformen Umgang und die Autorisierung für den Datenzugriff. Die 3-2-1-Regel gilt nach wie vor als Faustformel für Backups und kombiniert physische Backups vor Ort mit (Multi-)Cloud-Backup-Lösungen.

Die Art der Sicherung und der zu sichernden Datenklassen bestimmen Recovery Time Objective (RTO) und Recovery Point Objective (RPO) von der einzelnen Datei bis zur ganzen Bibliothek. Je schneller die lückenlose Wiederherstellung, umso geringer die Folgekosten von Datenverlusten, desto sicherer die Business Continuity. Die Lösung von Nakivo beispielsweise kann die RTO im Schnitt halbieren.

Zudem sollten die Administratoren eine geeignete Frequenz für das Backup festlegen. Denn abhängig von Datenmenge und davon, wie kritisch die Daten eines Unternehmens sind, sollte es die Frequenz der Backups täglich oder gar stündlich einrichten. Hier jedes Mal eine vollständige Sicherung durchzuführen, würde viel Bandbreite, Speicherplatz und Zeit beanspruchen. Daher sind hier inkrementelle Backups geeignet: Nach einem initialen vollständigen Backup werden nur noch die Daten kopiert, die sich seit der letzten Sicherung geändert haben. Diese Vorgehensweise beschleunigt das Backup erheblich.

Da manuelle Backup-Steuerungen sehr zeitaufwändig sein können, bietet sich zudem eine Automatisierung nach Sicherungsplan an. Diese gewährleistet die routinierte Durchführung und kann dabei helfen, Überschneidungen und Netzwerküberlastungen zu vermeiden.

Das Backup-Retention-Schema, etwa nach dem Grandfather-Father-Son-Prinzip, lässt die Recovery-Punkte täglich, wöchentlich, monatlich und jährlich rotieren. Flexible Point-in-Time-Wiederherstellung garantiert, dass Objekte eines gewünschten Zeitpunkts wiederhergestellt werden können, ohne dabei eine Full-Scale-Recovery initiieren zu müssen.

Dafür kann der ursprüngliche, aber auch ein neu zu bestimmender Speicherort in Frage kommen. Die Backup-Lösung muss dafür sorgen können, dass eine ausreichende Menge an Recovery Points zur Verfügung stehen kann. Für die Datenhaltung gelten je nach gesetzlichen Anforderungen verschiedene Zeiträume.

5. Zeitaufwände für IT-Admins minimieren durch eine flexible Lösung

Da es einige Zeit in Anspruch nehmen kann, verlorene Objekte wiederzufinden, kann eine erweiterte Suchfunktion im Backup eine zusätzliche Zeitersparnis bewirken. Um jedoch im Geschäftsbetrieb möglichst ohne Unterbrechung weiterarbeiten zu können, sollte eine gute Backup-Lösung die Suche nach einzelnen E-Mails, OneDrive-Dateien, aber auch nach SharePoint-Bibliotheken und Listen ermöglichen.

Die Kosten lassen sich mit einer flexiblen Lösung im Griff behalten, die je nach Geschäftsanforderungen und Datenvolumen skaliert und auf sich mit der Zeit verändernde Hard- und Software-Grundlagen angepasst werden kann. Eine umfassende Backup-Lösung schützt nicht nur die 365-Daten, sondern die gesamten physischen, virtuellen und Cloud-Infrastrukturen.

6. Jede Office-Anwendung benötigt eine individuelle Herangehensweise

In SharePoint, Exchange oder OneDrive liegen die meisten zu sichernden Daten von Microsoft 365. Jede Anwendung hat dabei ganz spezifische Anforderungen:

OneDrive etwa ist im Microsoft-Cloud-Paket enthalten und gilt als individueller Cloud-Speicher. Dateien und Ordner werden per Duplikat gesichert, Anwendungen oder das Betriebssystem jedoch nicht. Dementsprechend kann ein Ausfall einer ganzen Festplatte nicht aufgefangen werden. Die meisten Verluste entstehen durch ein Fehlverhalten auf der Anwenderseite. Die Synchronisierung zwischen Cloud und Festplatte sorgt dann dafür, dass dieser Fehler in beide Richtungen übertragen wird. Ein Backup sollte deshalb die gesamte Dateistruktur übernehmen.

„Durch das fehlende Backup-Konzept riskiert also rund jedes fünfte deutsche Unternehmen einen Betriebsausfall oder sogar einen kompletten Datenverlust.“

Sergei Serdyuk, Nakivo

Exchange ist die Groupware- und Mail-Server-Software für die Ablage und Verwaltung von E-Mails, Kalender und Aufgaben, die sowohl über die Cloud als auch On-Premise genutzt werden kann. Vor allem für die Exchange-Daten ausgeschiedener Mitarbeiter ist ein Backup unerlässlich, denn Microsoft behält diese nur für 30 Tage – danach wären die Daten für immer verloren.

SharePoint dient als Content Management System und als Dateiverwaltung für die team- und unternehmensweite Zusammenarbeit. Über Microsoft Teams geteilte Daten werden über das SharePoint-Backup gesichert, Unterhaltungen hingegen über die Exchange-Sicherung. Entsprechend wichtig ist eine feingranulare Sicherung und Wiederherstellbarkeit der Daten, etwa von einzelnen Terminen, vollständigen Postfächern oder SharePoint-Seiten.

Abschließend gilt: IT-Verantwortliche kommen nicht um ein ausführliches Testen von Sicherheits- und Wiederherstellungs-Szenarien herum. Mithilfe einer Lösung, die durch eine unkompliziert zugänglichen Benutzeroberfläche Backup- und Recovery-Prozesse einfach und flexibel ermöglicht, können User die Datensicherung leichter in ihren Alltag integrieren und im Ernstfall schnell reagieren.

Über den Autor:
Sergei Serdyuk hat NAKIVO 2012 mitgegründet. Seit 2018 verantwortet er als Vice President of Product Management das gesamte Produktportfolio des Softwareunternehmens. Er ist seit über 15 Jahren in der IT-Branche tätig und verfügt über umfangreiche Erfahrungen in den Bereichen Softwareprojektmanagement, Produktmanagement, Virtualisierung, Cloud und Datenschutz. Mit der Mission, die ultimative Datenschutzlösung zu entwickeln, liegt Sergei Serdyuks Leidenschaft darin, kundenorientierte Produkte zu entwickeln, mit denen Menschen Zeit, Geld und Aufwand sparen können. Neben dem Produktmanagement ist Sergei Serdyuk auch für das Marketing und den Kundensupport von NAKIVO tätig.

Die Autoren sind für den Inhalt und die Richtigkeit ihrer Beiträge selbst verantwortlich. Die dargelegten Meinungen geben die Ansichten der Autoren wieder.