Mobile-Menu

Shared Responsibility Model Daten in Microsoft 365 sind automatisch geschützt? Ein gefährlicher Irrtum!

Ein Gastbeitrag von Alexander Spaller* 5 min Lesedauer

Anbieter zum Thema

Hornetsecurity GmbH
sysob IT-Distribution GmbH & Co. KG
FAST LTA GmbH
FTAPI Software GmbH

Viele Unternehmen verlassen sich beim Einsatz von Microsoft 365 auf einen Rundumschutz durch die Lösung. Dabei wiegen sie sich allerdings in falscher Sicherheit, denn die Verantwortung des Softwareherstellers endet beim Schutz der reinen Cloud-Infrastruktur.

Für die Sicherung der Daten, die in Public-Cloud-Lösungen wie MS365 gespeichert werden, hat der Kunde selbst zu sorgen.(Bild: Midjourney / KI-generiert)
Für die Sicherung der Daten, die in Public-Cloud-Lösungen wie MS365 gespeichert werden, hat der Kunde selbst zu sorgen.
(Bild: Midjourney / KI-generiert)

Für die umfassende Sicherheit und das Backup von Unternehmensdaten, Identitäten und Konfigurationen hingegen sind Unternehmen nach Microsofts „Shared Responsibility Model“ selbst verantwortlich. Security-Teams, die diese klare Aufgabenteilung nicht kennen oder ignorieren, riskieren so im Ernstfall gravierende Datenverluste, kostspielige Ausfallzeiten und Imageschäden. Dieser Beitrag beleuchtet gängige Stolperfallen, liefert praxisnahe Prüfansätze und zeigt auf, wie Unternehmen ihre Daten nachhaltig und zukunftssicher absichern können.

Was Microsoft schützt und was nicht

Das Shared Responsibility Model ist vor allem für Unternehmen von Bedeutung, die Cloud-Dienste wie Azure oder Microsoft 365 nutzen. Auf diese Weise teilt Microsoft die Verantwortung für die Sicherheit in der Cloud zwischen sich selbst und den Firmen auf. Der Softwareanbieter aus Redmond ist dabei für die „Security of the Cloud“ verantwortlich, was bedeutet, dass das Unternehmen die grundlegende Cloud-Infrastruktur schützt. Dazu gehören die Rechenzentren, die physischen Netzwerke, die Hardware, die Virtualisierungsplattformen und die Basisdienste. Außerdem sorgt Microsoft für Sicherheitsfunktionen wie Verschlüsselung, Authentifizierung und grundlegende Bedrohungserkennung, die auf der Plattformebene bereitgestellt werden.

Die Unternehmen selbst sind hingegen für die „Security in the Cloud“ zuständig. Das bedeutet, dass Firmen für die Sicherheit ihrer eigenen Daten und Inhalte verantwortlich sind, die sie in die Cloud laden. Ebenso sind sie für die korrekte Konfiguration der Cloud-Dienste, die Verwaltung von Benutzerkonten und -berechtigungen, die Absicherung von Geräten und Endpunkten sowie die Implementierung von Zugriffsrichtlinien zuständig.

Wichtig zu wissen: Microsoft stellt zwar Tools und Funktionen bereit, mit denen Unternehmen diese Aspekte sichern können, die eigentliche Implementierung und Verwaltung dieser Sicherheitsmaßnahmen obliegt ihnen jedoch selbst. Um ihre Cloud-Umgebung also wirksam abzusichern und potenzielle Risiken zu minimieren, müssen die IT-Sicherheitsverantwortlichen proaktiv handeln, beispielsweise durch den Einsatz starker, Phishing-resistenter Authentifizierungsmethoden, die Implementierung robuster Backup-Strategien, die Definition umfassender Zugriffsrichtlinien und die Durchführung regelmäßiger Sicherheitsüberprüfungen.

Vom Papierkorb bis zur Compliance: Backup-Herausforderungen in Microsoft 365

Microsoft gewährleistet die Verfügbarkeit und Sicherheit der Cloud-Infrastruktur und bietet Funktionen wie mehrere Kopien von Exchange-Mailboxen in verschiedenen Rechenzentren sowie die Speicherung von Daten in separaten Azure-Regionen für SharePoint und OneDrive. Dennoch gibt es keine umfassende Garantie für die Wiederherstellung versehentlich gelöschter oder durch Angriffe verlorener Daten, beispielsweise durch Ransomware, böswillige Insider oder Fehlkonfigurationen. Native Funktionen wie der Papierkorb oder das Wiederherstellen gelöschter Elemente sind oft komplex und reichen bei schwerwiegendem Datenverlust oder zur Einhaltung langfristiger Aufbewahrungspflichten nicht aus.

Eine fokussierte Backup-Lösung hingegen ermöglicht eine schnelle, präzise Wiederherstellung einzelner E-Mails oder ganzer Postfächer in Exchange Online, SharePoint Online, OneDrive for Business und Teams. Sie bietet maximale Kontrolle, erfüllt Compliance-Anforderungen und ist ein zentraler Bestandteil im Shared Responsibility Model. Dies ist entscheidend für Resilienz und den Schutz geschäftskritischer Informationen.

Ein praxisnahes Zielbild für ein robustes Microsoft-365-Backup-Konzept

Ein effektives Backup-Konzept für Microsoft 365 stützt sich auf vier technische Kernkomponenten, die zusammen eine hohe Ausfallsicherheit, Datenverfügbarkeit und Wiederherstellbarkeit gewährleisten:

  • Automatisierte, mehrmals tägliche Sicherungen: Diese sichern Daten kontinuierlich ab und schützen effektiv vor Datenverlust durch Benutzerfehler, Ransomware oder versehentliches Löschen. Die Häufigkeit der Backups minimiert den potenziellen Datenverlust zwischen zwei Sicherungszeitpunkten erheblich.
  • Granulare Wiederherstellungsmöglichkeiten: Im Gegensatz zu den oft eingeschränkten nativen Optionen ermöglichen dedizierte Lösungen die gezielte Wiederherstellung einzelner E-Mails, Dateien, ganzer Postfächer oder spezifischer SharePoint-Elemente. Dies ist besonders wichtig, um den Geschäftsbetrieb nach einem gezielten Datenverlust schnell wieder aufnehmen zu können.
  • Unabhängige Speicherung: Backups werden außerhalb der Microsoft-Infrastruktur gespeichert. Dies schafft eine zusätzliche Sicherheitsebene und bietet Schutz vor Angriffen oder Systemausfällen, die die primären Microsoft-Dienste beeinträchtigen könnten.
  • Einfache Einrichtung und Verwaltung: Moderne Backup-Lösungen zeichnen sich durch ein schnelles Onboarding, eine zentrale Verwaltung und ein benutzerfreundliches Dashboard aus, was den Administrationsaufwand für Unternehmen erheblich reduziert.

Ein weiterer Fallstrick ist das Fehlen regelmäßiger Backup-Überprüfungen und Wiederherstellungstests. Ein durchdachtes Backup-Konzept berücksichtigt diese Aspekte und stellt sicher, dass Daten jederzeit verfügbar und wiederherstellbar sind, selbst bei komplexen Szenarien wie Ransomware-Angriffen oder internen Bedrohungen.

Konkrete Prüf- und Handlungsansätze für CISOs

Für Chief Information Security Officers (CISOs) und IT-Sicherheitsverantwortliche gehört es zum Pflichtprogramm, die eigene Microsoft-365-Strategie regelmäßig auf den Prüfstand zu stellen – nicht nur um Sicherheitslücken zu identifizieren, sondern um aktiv für Resilienz zu sorgen. Denn nur wer die Eigenverantwortung ernstnimmt, schützt Unternehmensdaten wirksam vor Verlust und stellt die Geschäftskontinuität sicher. Orientierung bieten dabei die folgenden Prüf- und Handlungsfelder:

  • Strategieüberprüfung und Lückenanalyse: CISOs sollten die bestehende Backup-Strategie evaluieren und dabei die Grenzen der nativen Microsoft-365-Funktionen erkennen. Zwar sorgt Microsoft grundlegend für Datenaufbewahrung, doch ersetzt dies keine umfassende Backup-Lösung. Eine dedizierte Backup-Lösung erlaubt eine präzise Bestandsaufnahme und hilft, identifizierte Lücken effektiv zu schließen. Es ist wichtig zu verstehen, dass Microsoft primär auf Dienstverfügbarkeit fokussiert und nicht auf den vollständigen Schutz vor allen Datenrisiken.
  • Implementierung nachhaltiger Maßnahmen: Nach der Identifikation von Schwachstellen sollten CISOs proaktiv handeln. Eine spezialisierte Backup-Lösung bietet hierfür entscheidende Funktionen wie automatisierte, mehrfache Sicherungen täglich, granulare Wiederherstellung einzelner Elemente und einen effektiven Schutz vor Ransomware durch externe Speicherung der Backups außerhalb der Microsoft-Infrastruktur. So ist eine unabhängige, sichere Datenkopie im Notfall jederzeit verfügbar.
  • Etablierung von Best Practices: CISOs tun gut daran, kritische Aktionen durch das Vier-Augen-Prinzip abzusichern und auf Backup-Lösungen mit zentraler Verwaltung und intuitivem Dashboard zu setzen. So behalten sie die volle Kontrolle und gewährleisten die Einhaltung interner sowie externer Compliance-Vorgaben.

Fazit

Angesichts wachsender Bedrohungen und steigender Compliance-Anforderungen gewinnt ein robustes Backup-Konzept für Microsoft 365 zunehmend an Bedeutung. Unternehmen, die proaktiv in dedizierte Backup-Lösungen investieren, schützen ihre Daten effektiv, stärken ihre digitale Resilienz und sichern sich einen klaren Wettbewerbsvorteil. Die kontinuierliche Überprüfung und Anpassung der Backup-Strategie wird zu einer unverzichtbaren Säule der Unternehmenssicherheit.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Alexander Spaller, Head of Sales DACH, Hornetsecurity.(Bild: Hornetsecurity)
Alexander Spaller, Head of Sales DACH, Hornetsecurity.
(Bild: Hornetsecurity)

* Der Autor: Alexander Spaller verantwortet seit 2021 als Head of Sales DACH bei Hornetsecurity den Vertrieb sowie die Entwicklung des Partnergeschäftes im deutschsprachigen Markt. Er ist bereits seit 2015 im Unternehmen und war zunächst über sechs Jahre für das Key-Account-Business in der DACH-Region verantwortlich. Insgesamt blickt er auf mehr als 16 Jahre Erfahrung im IT-Vertrieb zurück, zunächst als Projektmanager bei Dell Technologies und später als Account-Manager bei einem IT-Security-Reseller.

(ID:50479761)

Weiterführende Inhalte