365 Backup: Microsoft 365 sichern und wiederherstellen
Was 365 Backup aus Microsoft 365 sichert, warum Microsoft das nicht selbst tut, wie die Verschlüsselung je Schutzeinheit arbeitet und wie eine Wiederherstellung abläuft.
Microsoft betreibt Microsoft 365 hochverfügbar, aber es sichert Ihre Inhalte nicht für Sie. Ein gelöschtes Postfach ist nach dreißig Tagen fort, ein überschriebenes Dokument nach der Versionsgrenze, ein gelöschtes Team nach Ablauf der Aufbewahrung im Papierkorb. Gegen einen Verschlüsselungsvorfall, eine fehlgeleitete Massenlöschung oder das Ausscheiden einer Person hilft das nicht. Genau dafür gibt es 365 Backup.
Was gesichert wird
Neun Quellenarten, jede einzeln auswählbar:
- Postfach und Archivpostfach samt Ordnerstruktur und Anlagen
- Gruppenpostfach mit Unterhaltungen und Gruppenkalender
- OneDrive und SharePoint-Listen mit Dateien und Metadaten
- Microsoft Teams mit Kanälen und Kanalnachrichten
- Teams-Chat mit Verlauf und Anlagen
- Planner mit Plänen, Aufgaben und Zuweisungen
- Microsoft Entra ID als Verzeichnisabzug mit Benutzern und Gruppen
Was in Ihrem Mandanten gefunden wird, ist damit noch nicht gesichert. Eine Quelle wird erst gesichert, wenn sie unter Benutzer oder Gruppen ausgewählt wurde. Siehe Was gesichert wird.
Verschlüsselung je Schutzeinheit
Jede Schutzeinheit trägt ihren eigenen Schlüssel. Ein Postfach, ein OneDrive, ein Team sind je eine eigene Einheit mit einem eigenen Schlüssel, und dieser Schlüssel liegt nicht beim Speicheranbieter. Wer den Speicher hätte, hätte damit noch keinen einzigen lesbaren Inhalt.
Das hat eine Folge, die Sie kennen sollten: eine Löschung auf Verlangen erfolgt je Schutzeinheit, nicht je Person. Angaben zu einer Person liegen in einer Microsoft-365-Sicherung nicht in ihrer eigenen Einheit, sondern verteilt in den Postfächern, Kanälen und Dokumenten ihrer Kommunikationspartner. Siehe Rechtliche Sperren und Löschen.
Wiederherstellung und Ausgabe
Zwei Wege führen aus einer Sicherung zurück:
Zurück nach Microsoft 365. Elemente werden in das ursprüngliche oder ein anderes Ziel geschrieben. Das verlangt eine eigene Zustimmung, getrennt von der Sicherung, und je nach Einstellung eine Freigabe nach dem Vier-Augen-Prinzip.
Als Datei. Ein verschlüsseltes ZIP-Archiv mit den Elementen, abrufbar über einen Link, der für genau eine Anmeldeadresse gilt. Diesen Weg gibt es immer, auch ohne Zustimmung zum Zurückschreiben.
Siehe Wiederherstellen und Ausgabe und Abruf.
Betrieb in der EU
Die Sicherungen liegen voreingestellt im Objektspeicher von Cloudflare R2 in dessen EU-Jurisdiktion; die Daten verlassen die Europäische Union nicht. Für erhöhte Anforderungen an die Datenhoheit lässt sich ein Mandant auf den Objektspeicher der STACKIT GmbH & Co. KG in der Region eu01 (Deutschland) umstellen. Wer ein eigenes S3-kompatibles Speicherziel stellt, kann auch dorthin sichern lassen.
Beide Anbieter sind in Anlage 1 der Auftragsverarbeitungsvereinbarung benannt.
Einstieg
Ein Administrator des Microsoft-Mandanten erteilt die Zustimmung, danach wählen Sie aus, was gesichert werden soll. Weiter mit Einrichtung.