Wer Daten in Microsoft 365 oder Azure speichert, geht leicht davon aus, dass Microsoft sich auch um die Sicherung kümmert. Microsoft beschreibt die Aufgabenteilung anders: Nach dem Modell der geteilten Verantwortung bleiben Sie für Ihre Daten zuständig, egal ob Sie fertige Software als Dienst wie Microsoft 365 nutzen oder eigene Server in Azure betreiben.
Dieser Beitrag zeigt, welche Wiederherstellungsmöglichkeiten Microsoft 365 von sich aus bietet, was die nutzungsbasiert abgerechneten Dienste Microsoft 365 Backup und Azure Backup leisten und was Sie selbst festlegen sollten. Allgemeine Kriterien für die Auswahl eines Cloud-Backups finden Sie im Beitrag Cloud-Backup in Deutschland.
Geteilte Verantwortung: Wer wofür zuständig ist
Microsoft stellt die Verteilung der Aufgaben in einer Zuständigkeitsmatrix dar (Microsoft Learn: Gemeinsame Verantwortung in der Cloud). IaaS steht dabei für Infrastruktur als Dienst, etwa virtuelle Server in Azure; SaaS für Software als Dienst, etwa Microsoft 365. Ein Auszug:
| Bereich | Eigenes Rechenzentrum | IaaS | SaaS |
|---|---|---|---|
| Kundendaten | Sie | Sie | Sie |
| Konfigurationen und Einstellungen | Sie | Sie | Sie |
| Identitäten und Benutzer | Sie | Sie | Sie |
| Betriebssystem | Sie | Sie | Microsoft |
| Physische Hosts und Rechenzentrum | Sie | Microsoft | Microsoft |
Microsoft weist darauf hin, dass die Matrix Zuständigkeiten im Sinne der Steuerung beschreibt und keine Vertragsbedingungen ändert. Für die Praxis empfehlen wir: Klären Sie selbst, welche Daten Sie wie weit zurück wiederherstellen können müssen, und prüfen Sie, ob die vorhandenen Funktionen das abdecken.
Was Microsoft 365 von sich aus wiederherstellen kann
Microsoft 365 hat eingebaute Wege, gelöschte oder veränderte Inhalte zurückzuholen. Sie haben feste Fristen:
| Dienst | Funktion | Frist laut Microsoft |
|---|---|---|
| Exchange Online | Ordner „Wiederherstellbare Elemente“ für gelöschte Elemente | standardmäßig 14 Tage, für Postfächer auf bis zu 30 Tage einstellbar |
| SharePoint | Papierkorb der Website und der Websitesammlung | 93 Tage ab dem Löschen am ursprünglichen Speicherort |
| OneDrive | „OneDrive wiederherstellen“ | macht Änderungen an Dateien und Ordnern der letzten 30 Tage rückgängig |
Quellen: Exchange Online, SharePoint, OneDrive. Nach Ablauf der Aufbewahrungsdauer für gelöschte Elemente wird ein Element laut Microsoft aus Exchange Online entfernt. Eine Datei, die dauerhaft aus dem OneDrive-Papierkorb gelöscht wurde, kann laut Microsoft nicht wiederhergestellt werden.
Diese Funktionen helfen bei versehentlich gelöschten Dateien und Mails. Ob sie reichen, hängt davon ab, wie weit Sie zurückgehen müssen und ob ein Fehler innerhalb der Frist bemerkt wird.
Microsoft 365 Backup: Sicherung als eigener Dienst
Für längere Zeiträume bietet Microsoft den Dienst Microsoft 365 Backup an. Laut der Microsoft-Übersicht zu Microsoft 365 Backup gilt:
- Umfang: alle oder ausgewählte SharePoint-Websites, OneDrive-Konten und Exchange-Postfächer.
- Wiederherstellungsfenster: in einer Sicherungsrichtlinie wählbar: 3 Monate, 6 Monate, 1 Jahr oder 2 Jahre; voreingestellt ist 1 Jahr.
- Wiederherstellungspunkte: bei OneDrive und SharePoint alle 10 Minuten für die letzten zwei Wochen, danach wöchentlich; bei Exchange Online alle 10 Minuten für die letzten 52 Wochen.
- Schutz der Sicherungen: Microsoft nutzt einen Speicher, an den nur angefügt wird. Vorhandene Wiederherstellungspunkte lassen sich dadurch nicht ändern. Löschen ist dagegen nicht gesperrt, damit Kunden den Dienst beenden können. Danach gilt eine feste Frist von 90 Tagen, in der sich Sicherungen noch wiederherstellen lassen.
- Abrechnung: nutzungsbasiert statt pro Benutzer, also nach der Menge der gesicherten Daten. Preise nennen wir Ihnen auf Anfrage.
Zwei Punkte sollten Sie bei der Bewertung kennen. Erstens erstellt Microsoft 365 Backup die Sicherungen innerhalb der Datengrenzen der geschützten Dienste. Das ermöglicht laut Microsoft schnelle Wiederherstellungen; die Kopie liegt damit aber beim selben Anbieter. Ob Ihnen das als „weiterer Ort“ im Sinne der 3-2-1-Regel des BSI genügt, sollten Sie bewusst entscheiden (BSI, Vorschläge zu BC-Strategien). Zweitens nennt die Übersicht nur die drei Dienste SharePoint, OneDrive und Exchange Online. Prüfen Sie, ob alle Daten, die Sie brauchen, dort liegen.
Microsoft weist außerdem auf Partneranwendungen hin, die auf derselben Speicherplattform aufbauen und über die Anwendung des Partners verwaltet und bezahlt werden.
Azure Backup: Server und virtuelle Maschinen sichern
Für Server ist Azure Backup zuständig. Der Dienst sichert laut Microsoft Learn unter anderem:
- virtuelle Maschinen und Datenträger in Azure,
- Datenbanken wie SQL Server auf virtuellen Maschinen in Azure,
- Azure Files und Azure Blobs,
- lokale Server: Dateien, Ordner und Systemstatus über einen Agent, außerdem Hyper-V und VMware.
Die Sicherungen liegen in einem Tresor, getrennt von der Produktionsumgebung. Azure Backup bietet dafür vorläufiges Löschen, bei dem gelöschte Sicherungsdaten einen festgelegten Zeitraum erhalten bleiben, außerdem unveränderliche Sicherungen und eine rollenbasierte Zugriffskontrolle. Für die Speicherung stehen lokal redundanter, zonenredundanter und georedundanter Speicher zur Wahl; georedundant bedeutet eine Kopie in einer zweiten Azure-Region. Recovery-Services-Tresore verwenden laut Microsoft standardmäßig georedundanten Speicher (Microsoft Learn: Architektur).
Wichtig für die Planung: Azure Backup dient laut Microsoft der Sicherung und Wiederherstellung von Daten. Für Notfallwiederherstellung mit Umschalten auf andere Systeme (Failover) verweist Microsoft auf einen eigenen Dienst, Azure Site Recovery. Wie eine Sicherung über das Internet allgemein abläuft und was Sie bei Erstsicherung und Wiederherstellung über die Leitung bedenken sollten, beschreibt unser Beitrag Online-Backup.
Was Sie selbst festlegen sollten
- Umfang: Welche Postfächer, Websites, Konten und Server gesichert werden, auch wenn neue Mitarbeitende oder neue Teams hinzukommen.
- Ziele: Wie viel Datenverlust und wie viel Ausfallzeit je Anwendung tragbar sind. Das BSI nennt diese Werte RPO und RTO; mehr dazu im Beitrag Backup Managed Service.
- Aufbewahrung: Wie weit Sie zurückgehen müssen. Die eingebauten Fristen von Microsoft 365 liegen zwischen 14 und 93 Tagen.
- Berechtigungen: Wer Sicherungen verwalten und löschen darf. Microsoft 365 Backup kann eine festgelegte Gruppe von Administratoren per E-Mail benachrichtigen, wenn im Sicherungswerkzeug eine potenziell schädliche Aktion ausgeführt wird. Wie Sie Administratorrollen und Notfallkonten ordnen, beschreibt der Beitrag Microsoft 365 Tenant.
- Tests: Das BSI fordert im Baustein CON.3 Datensicherungskonzept, regelmäßig zu testen, ob gesicherte Daten einwandfrei und in angemessener Zeit zurückgespielt werden können. Wir empfehlen, Cloud-Daten in diese Tests einzubeziehen. Wo solche Festlegungen im schriftlichen Datensicherungskonzept stehen, zeigt unsere Backup-Konzept-Vorlage.
Cloud-Backup mit der GSL Groß GmbH besprechen
Die GSL Groß GmbH betreut kleine und mittelständische Unternehmen in Rheinland-Pfalz und Hessen von Idar-Oberstein aus; im Raum Darmstadt arbeitet sie dafür mit einem Partnersystemhaus zusammen. Zu unseren Cloud-Lösungen gehören Microsoft 365 und Azure. Mit unseren Managed Services übernehmen wir den laufenden Betrieb Ihrer IT zum monatlichen Festpreis. Wie ein Dienstleister Microsoft 365 im Alltag betreuen kann, zeigt der Beitrag Microsoft 365 Managed Services.
Sie möchten klären, welche Sicherung Ihre Daten in Microsoft 365 und Azure brauchen? Sprechen Sie uns an.