Ist ein Microsoft-365-Backup notwendig? Eine ehrliche Antwort, Dienst für Dienst

Die Frage landet meist auf dieselbe Weise auf dem Tisch der Geschäftsführung. Ein Angebot enthält die Position „Microsoft-365-Backup“, ein paar Euro pro Benutzer und Monat, und die Reaktion ist nachvollziehbar: Wir zahlen Microsoft doch schon jeden Monat dafür, diese Daten in einigen der besten Rechenzentren der Welt zu speichern. Warum sollten wir ein zweites Unternehmen bezahlen, um sie noch einmal zu speichern?

Die Frage ist berechtigt und verdient eine bessere Antwort als „weil der Anbieter es sagt“. Microsoft 365 bringt mehr eingebaute Wiederherstellung mit, als Backup-Verkäufer erwähnen, und deutlich weniger, als die meisten Inhaber annehmen. Dieser Artikel geht Dienst für Dienst durch, sagt klar, wann die Bordmittel ausreichen, und gibt Ihnen fünf Fragen an die Hand, mit denen Sie die Sache für Ihr eigenes Unternehmen entscheiden. Wir führen dieses Gespräch mit fast jedem neuen Kunden unseres Microsoft-365-Managed-Service, und die Antwort ist nicht immer die teure.

Kurz beantwortet

Ist ein Microsoft-365-Backup wirklich notwendig, wenn Microsoft ohnehin alles redundant speichert? Redundanz hält den Dienst online, sie bewahrt nicht Ihre Historie. Jede Löschung, jedes Überschreiben und jede Ransomware-Verschlüsselung wird binnen Sekunden auf alle Kopien repliziert. Ist die Papierkorbfrist abgelaufen, gibt es keine ältere Kopie mehr, die Microsoft zurückgeben könnte.

Wie lange kann ich gelöschte Daten ohne Backup wiederherstellen? Gelöschte E-Mails: standardmäßig 14 Tage, 30, wenn ein Administrator die Frist verlängert. Gelöschte SharePoint- und OneDrive-Dateien: 93 Tage. Ein gelöschter Benutzer samt Postfach und OneDrive: 30 Tage. Ein gelöschtes Team: 30 Tage.

Reicht Microsofts eigenes Produkt Microsoft 365 Backup aus? Es ist schnell, gut integriert und hält Wiederherstellungspunkte inzwischen bis zu zwei Jahre vor. Die Kopien bleiben aber in der Microsoft-Cloud, und abgedeckt sind nur Exchange, SharePoint und OneDrive. Für mehrjährige gesetzliche Aufbewahrung oder eine Kopie außerhalb von Microsoft brauchen Sie weiterhin ein Drittanbieter-Produkt.

Was kostet ein Microsoft-365-Backup? Drittanbieter-Produkte kosten typischerweise zwei bis fünf Euro pro Benutzer und Monat, meist mit unbegrenztem Speicher. Microsoft 365 Backup wird zum Listenpreis von 0,15 US-Dollar pro Gigabyte geschützter Inhalte und Monat abgerechnet. Ein Unternehmen, das 400 GB schützt, zahlt also rund 60 US-Dollar im Monat.

Was Microsoft 365 bereits wiederherstellt, Dienst für Dienst

Beginnen Sie mit dem, was Sie schon haben, denn das ist nicht wenig. Für die gestern gelöschte Datei oder die letzte Woche entfernte E-Mail funktionieren die Bordmittel gut und kosten nichts extra. Die Tabelle zeigt für jeden Dienst, welche Wiederherstellung Microsoft von Haus aus bietet und wann sie endet.

Zwei Dinge fallen auf. Erstens endet jede Zeile mit Geschäftsdaten irgendwo zwischen zwei Wochen und drei Monaten. Zweitens liegen all diese Sicherheitsnetze im selben Tenant wie die Daten, die sie schützen, hinter denselben Administratorkonten. Ein Angreifer oder ein unachtsames Skript mit Adminrechten leert einen Papierkorb genauso leicht wie eine Dokumentbibliothek. Die vertragliche Seite, einschließlich dessen, was Microsofts eigener Vertrag dazu sagt, haben wir in Wer sichert Ihre Microsoft-365-Daten? behandelt. In diesem Artikel geht es um die praktische Entscheidung.

Wann reichen die Bordmittel wirklich aus?

Häufiger, als Backup-Anbieter nahelegen, aber immer noch selten. Wir haben Kunden vom Kauf eines Backup-Produkts abgeraten, wenn alles Folgende zutraf: Die rechtlich relevanten Unterlagen liegen in einem separaten System, das bereits gesichert wird, etwa einer Buchhaltungsplattform oder einem Dokumentenmanagementsystem. Microsoft 365 dient der Tageskommunikation, deren Wert nach wenigen Wochen verblasst. Aufbewahrungsrichtlinien in Microsoft Purview sind eingerichtet, und jemand kontrolliert sie. Und die Geschäftsführung hat bewusst akzeptiert, dass ein vor mehr als 30 Tagen gelöschtes Postfach verloren ist.

Das trifft auf manche Zwei-Personen-Beratung zu und auf wenige Betriebe, die Microsoft 365 kaum mehr als für E-Mail nutzen. Es trifft nicht auf ein Unternehmen zu, in dem Angebote, Verträge und Kundenkorrespondenz in Postfächern und SharePoint-Bibliotheken liegen, also auf fast jedes Unternehmen mit mehr als einer Handvoll Mitarbeitern. Wenn Sie unsicher sind, zu welcher Gruppe Sie gehören, entscheiden es die folgenden fünf Fragen.

Fünf Fragen, die entscheiden, ob Sie ein Backup brauchen

Beantworten Sie diese Fragen ehrlich für Ihr eigenes Unternehmen. Ein „Ja“ ist ein starkes Argument für ein Backup. Bei zwei oder mehr ist die Diskussion beendet.

• Müssen Sie einen Teil dieser Daten über Jahre aufbewahren? In Deutschland sind Geschäftsbriefe sechs Jahre und Rechnungen acht Jahre aufzubewahren. Existieren diese Dokumente nur in Postfächern und SharePoint, erfüllt ein 93-Tage-Papierkorb keine sechsjährige Pflicht. Wie sich Aufbewahrungsvorgaben in IT-Einstellungen übersetzen, ist das Feld unseres Service für IT-Governance und Compliance.
• Würden Sie eine Löschung innerhalb von 90 Tagen bemerken? Die meisten Verluste, die wir sehen, werden spät entdeckt: Ein im März aufgeräumter Ordner wird im Oktober in einem Streitfall gebraucht. Wenn niemand Ihre Bibliotheken regelmäßig durchsieht, lautet die ehrliche Antwort nein.
• Hat schon einmal ein Mitarbeiter das Unternehmen verlassen? Beim Offboarding wird das Konto gelöscht, 30 Tage später folgen Postfach und OneDrive. Werden die Daten nicht vorher bewusst umgezogen, vernichtet Fluktuation still und leise Unterlagen.
• Könnte ein einziges kompromittiertes Administratorkonto alles erreichen? In den meisten kleinen Tenants ja, einschließlich der Papierkörbe und der Aufbewahrungsrichtlinien. Das übersteht nur eine Kopie außerhalb des Tenants. Eine Microsoft-365-Sicherheitsanalyse zeigt, wie exponiert Ihre Administratorkonten tatsächlich sind.
• Wie lange könnten Sie ohne ein zentrales Postfach oder eine Projektsite arbeiten? Lautet die Antwort „keinen einzigen Tag“, brauchen Sie eine Wiederherstellung auf einen Zeitpunkt, keine Such- und Exportübung in den Compliance-Werkzeugen.

Für regulierte Berufe beantwortet sich die erste Frage von selbst. Eine Anwaltskanzlei oder eine Steuer- und Buchhaltungskanzlei trägt Aufbewahrungspflichten für praktisch jede Mandantenakte, und „das Konto wurde gelöscht, als sie ging“ akzeptiert weder eine Kammer noch ein Prüfer.

Drei Wege, die Lücke zu schließen, im Vergleich

Wenn die Fragen oben zeigen, dass Sie mehr als die Standardeinstellungen brauchen, haben Sie drei Möglichkeiten. Sie lösen unterschiedliche Probleme, und viele unserer Kunden kombinieren zwei davon. Die Tabelle vergleicht sie danach, wo die Kopie liegt, wie weit sie zurückreicht, wie die Wiederherstellung abläuft und was sie kostet.

Aufbewahrungsrichtlinien sollten Sie in jedem Fall einschalten, im passenden Plan kosten sie nichts extra. Sie bewahren aber nur auf, sie stellen nicht wieder her, und sie liegen hinter denselben Administratorkonten wie alles andere. Microsoft 365 Backup ist der schnellste Weg, einen großen Tenant zurückzubekommen, und seit der Wiederherstellung einzelner Dateien in SharePoint und OneDrive auch für kleine Vorfälle praktikabel. Die Grenze: Das Backup verlässt Microsoft nie. Ein Drittanbieter-Produkt ist die einzige der drei Optionen, die Ihnen eine Kopie außerhalb der Plattform gibt, und die einzige, die bequem sechs oder acht Jahre abdeckt. Für Widerstandsfähigkeit gegen Ransomware sollte die Kopie außerdem unveränderlich sein, das erklären wir in Unveränderliche Backups und die 3-2-1-1-0-Regel.

Was kostet das für ein Unternehmen mit 20 Mitarbeitern?

Nehmen wir einen typischen Kunden: 20 Benutzer, 400 GB in Postfächern, OneDrive und SharePoint. Ein Drittanbieter-Produkt zu drei Euro pro Benutzer kostet 60 Euro im Monat, rund 720 Euro im Jahr, in der Regel mit unbegrenztem Speicher und unbegrenzter Aufbewahrung. Microsoft 365 Backup kostet bei 0,15 US-Dollar pro Gigabyte für dieselben 400 GB 60 US-Dollar im Monat und wächst mit Ihrer Datenmenge statt mit Ihrer Mitarbeiterzahl. Für die Abrechnung ist ein Azure-Abonnement nötig.

Das Preismodell ist wichtiger als die Zahl auf dem Angebot. Abrechnung pro Benutzer begünstigt Unternehmen mit vielen Daten pro Person, etwa Agenturen und Architekturbüros mit großen Projektdateien. Abrechnung pro Gigabyte begünstigt Unternehmen mit vielen Benutzern und wenig Daten und erlaubt es, nur die Postfächer und Sites zu schützen, auf die es ankommt. So oder so liegen Sie bei einem Unternehmen dieser Größe deutlich unter tausend Euro im Jahr, weniger als ein einziger Tag, an dem zwei Personen eine verlorene Projektsite aus E-Mail-Anhängen rekonstruieren.

Was kein Microsoft-365-Backup abdeckt: Ihre Konfiguration

Eine Lücke bleibt offen, egal welche Option Sie wählen. Backup-Produkte schützen Inhalte: E-Mails, Dateien, Sites. Die meisten schützen nicht die Einstellungen, die Ihren Tenant sicher machen, etwa Conditional-Access-Richtlinien, Intune-Geräterichtlinien, Freigabebeschränkungen und Nachrichtenflussregeln. Löscht ein Angreifer oder ein Fehler diese Einstellungen, bringt die Datenwiederherstellung die Dateien zurück, aber nicht die Schlösser an den Türen.

Die praktische Antwort ist Dokumentation statt eines weiteren Produkts: die Sicherheitskonfiguration exportieren, außerhalb des Tenants aufbewahren und bei Änderungen überprüfen. Das gehört dazu, wie wir Cloud-Sicherheit für Kunden betreiben, und es ist der Baustein, der am häufigsten fehlt, wenn wir einen Tenant übernehmen, der „schon ein Backup hat“.

Woher wissen Sie, dass das Backup tatsächlich funktioniert?

Indem Sie daraus wiederherstellen. Ein Backup, aus dem nie wiederhergestellt wurde, ist eine Annahme. Wählen Sie zweimal im Jahr ein Postfach und einen SharePoint-Ordner, stellen Sie beide an einem separaten Ort wieder her und prüfen Sie drei Dinge: ob der Inhalt vollständig ist, wie lange die Wiederherstellung gedauert hat und ob die ausführende Person dem Verfahren folgen konnte, ohne den einen Kollegen, der es eingerichtet hat. Halten Sie das Ergebnis schriftlich fest. Diese Tests durchzuführen und zu dokumentieren ist fester Bestandteil unseres Service für Backup und Wiederherstellung. Genau diese eine Seite verlangen auch ein Prüfer, ein Versicherer oder der Sicherheitsfragebogen eines Großkunden.

Prüfen Sie bei der Gelegenheit den Backup-Bericht auf nicht abgedeckte Konten. Neue Postfächer und neu angelegte Teams sind die übliche Lücke, weil viele Produkte nur schützen, was am Tag der Einrichtung existierte, sofern die automatische Erkennung nicht eingeschaltet ist.