Business | 28.08.2020 7 min zum lesen

Microsoft Office 365 Shared Responsibility Model

Mit Abstand am häufigsten hören wir die Frage: „Warum muss ich meine Daten in Microsoft 365 Exchange Online, SharePoint Online, OneDrive for Business und Microsoft Teams sichern?“

Gleich darauf geben sich die Ratsuchenden meist selbst die Antwort: „Microsoft kümmert sich schon darum.“

Stimmt das? Sind Sie sicher?

Um diese Frage nun eindeutig zu beantworten, haben wir das Microsoft 365 Shared Responsibility Model erarbeitet. Seine Grundlage bildet das etwas allgemeiner gehaltene Shared Responsibility Model von Microsoft für SaaS-, PaaS-, IaaS- und lokale Daten. Es zeigt Ihnen und jedem, der diese Technologien nutzt, welche Services Microsoft bereitstellt und für welche Aufgaben Unternehmen selbst verantwortlich sind. Schließlich sind es Ihre Daten.

Was ist das Microsoft Shared Responsibility Model?

Zum Einstieg eine Definition des Modells: Das Shared Responsibility Model gibt den Umfang vor, in dem Sie selbst für Komponenten und Aufgaben in einer IT-Umgebung verantwortlich sind. Dieses Framework legt also fest, wo Ihre Pflichten enden und die des Serviceproviders beginnen. So wissen Sie genau, wohin Sie Ihre Ressourcen lenken müssen und was Sie getrost anderen überlassen können.

Rollen und Verantwortlichkeiten kennen

Gerade für Cloud-Umgebungen unterscheidet sich die Rolle des Kunden deutlich von der des Serviceproviders. Anders als in einem lokalen Rechenzentrum, für das in der Regel der Betreiber die gesamte Verantwortung trägt, bestehen Cloud-Umgebungen aus Elementen, für die mal der Kunde, mal der Cloudprovider zuständig ist. Einige Aufgaben sind allein Ihre Aufgabe, an andere müssen Sie nicht einmal einen Gedanken verschwenden. Und in manchen Fällen tragen beide Parteien gemeinsam die Verantwortung.

Die Rolle von Microsoft in diesem Modell

Bei der genauen Betrachtung des Shared Responsibility Model ist unübersehbar, dass Microsofts Hauptaufgaben für Microsoft 365 die Backend-Infrastruktur betreffen. Microsoft muss die Ausfallsicherheit bei der Servicebereitstellung gewährleisten, sprich: Die Services müssen praktisch ständig verfügbar sein. Für Microsoft 365-Daten fungiert Microsoft als Auftragsverarbeiter.

Die Rolle des Kunden in diesem Modell

Microsoft 365-Kunden sind Dateneigentümer. Sie müssen alles daran setzen, die Daten verfügbar zu halten und abzusichern.

So können Kunden ihre Daten und Anwendungen schützen: Datenverfügbarkeit können Kunden nur gewährleisten, wenn sie Backups vornehmen, diese abseits der Microsoft-Cloud verwahren und dafür sorgen, dass sie umstandslos auf einen möglichst nahe liegenden Wiederherstellungszeitpunkt wiederhergestellt werden können.

Im Laufe dieses Beitrags werden wir das Shared Responsibility Model Punkt für Punkt durchgehen. Den oberen Teil der Grafik nimmt der Verantwortungsbereich von Microsoft ein. Dieser Inhalt basiert auf Informationen aus der Microsoft-Dokumentation; Sie können dies also noch einmal selbst nachlesen, wenn gewünscht.

Unten tragen wir nach und nach die Pflichten Ihres Unternehmens ein, genauer gesagt: die der IT-Abteilung.

Kernpunkte des Shared Responsibility Model

Primäre Verantwortung
Unterstützende Technologie
Sicherheit
Vorschriften

Primäre Verantwortung

Am besten beginnen wir mit der Hauptverantwortung jeder Seite. Microsoft ist vor allem für SEINE EIGENE globale Infrastruktur verantwortlich und dafür, sein Kundenversprechen zu halten: Millionen von Kunden verlassen sich darauf, dass die Infrastruktur in Betrieb ist, die Cloud-Services durchgängig verfügbar sind und Nutzer weltweit produktiv damit arbeiten können.

Die wichtigste Aufgabe einer IT-Abteilung ist es, die Daten des Unternehmens vollständig zugänglich und unter Kontrolle zu haben – unabhängig vom Speicherort. Dieser Verantwortung kann sie sich nicht entziehen, nur weil die Geschäftsleitung entschieden hat, eine SaaS-Anwendung zu nutzen.

Unterstützende Technologie

Kommen wir nun zu den Technologien, die jeder Seite helfen können, ihre Hauptverantwortung wahrzunehmen. In Microsoft 365 ist die Datenreplikation integriert, für die Georedundanz von Rechenzentren. Diese Funktion ist notwendig für den Fall, dass es in einem von Microsofts weltweit verteilten Rechenzentren zu Problemen kommt. Denn dann kann ein Failover zum Replikationsziel erfolgen – und die Nutzer bekommen in den meisten Fällen nichts davon mit.

Replikation kann aber ein Backup nicht ersetzen. Außerdem ist es ja nicht einmal IHR Replikat, sondern das von Microsoft. Was das bedeutet, zeigt vielleicht diese hypothetische Frage:

Womit sind Sie vollständig geschützt: mit einem Backup oder mit einem Replikat?

Manche setzen auf Replikate, weil die Daten kontinuierlich oder wenigstens beinahe an einen anderen Speicherort repliziert werden, sodass es nicht zu Ausfallzeit kommt. Doch einige von Ihnen werden wissen, dass eine Datensicherungsstrategie, die ausschließlich auf Replikate setzt, Lücken hat. So werden beispielsweise auch gelöschte oder manipulierte Daten zusammen mit „guten“ Daten repliziert, und das bedeutet, dass das Replikat auch gelöschte oder manipulierte Daten enthält.

Um vollständig abgesichert zu sein, sind sowohl Backups als auch Replikate notwendig. Dieses Grundprinzip leitet die Datensicherungsstrategie bei Veeam nun schon seit mehr als zehn Jahren. Nicht umsonst heißt unser Flagship-Produkt Veeam Backup & Replication.

„Und was ist mit dem Papierkorb von Microsoft 365?“, werden Sie sich fragen. Zwar bietet Microsoft einige Papierkorboptionen, die in eingeschränktem Umfang bei der schnellen Datenwiederherstellung nützlich sein können, doch wenn Sie Ihre Daten vollständig unter Kontrolle haben möchten, reicht „eingeschränkt“ einfach nicht. Für eine lückenlose Erreichbarkeit und Kontrolle geschäftskritischer Daten benötigen Sie umfassende Datenaufbewahrungsfunktionen. Das heißt: kurz- und langfristige Aufbewahrung und die Möglichkeit, sämtliche Lücken in der Aufbewahrungsrichtlinie zu schließen. Außerdem benötigen Sie bequem aktivierbare Funktionen für die granulare Wiederherstellung, Massenwiederherstellung und Wiederherstellung auf einen bestimmten Zeitpunkt.

Sicherheit

Ein weiterer Aspekt des Microsoft Office 365 Shared Responsibility Model ist Sicherheit. Es ist Absicht, dass diese Spalte beide Sphären kreuzt, denn sowohl Microsoft als auch die IT-Abteilung des Nutzerunternehmens sind für die Sicherheit verantwortlich.

Microsoft schützt Microsoft 365 auf Ebene der Infrastruktur. Dies beinhaltet die physische Sicherheit seiner Rechenzentren sowie die Authentifizierung und Identifizierung bei seinen Cloud-Services. Hinzu kommen die benutzer- und administratorgesteuerten Kontrollmechanismen in der Benutzeroberfläche von Microsoft 365.

Die IT-Abteilung ist für die Sicherheit auf Datenebene zuständig. Daten sind von vielerlei Gefahren bedroht – von innen und von außen. Versehentliche Löschung, Administratoren, die unkontrolliert ihre Rechte ausreizen, und Ransomware, um nur einige zu nennen. In diesem fünfminütigen Video sehen Sie, wie Ransomware mit Microsoft 365 kurzen Prozess macht. Dieser Albtraum kann leicht Ihr eigener werden.

Vorschriften

Last but not least: Gesetze und Compliance-Anforderungen. Im Microsoft 365 Trust Center macht Microsoft unmissverständlich klar, dass es sich in der Rolle des Auftragsverarbeiters sieht. Daher auch der Fokus auf Datenschutz. Auf der Website ist eine Vielzahl diesbezüglicher Zertifizierungen aufgeführt. Doch obwohl die Daten in Microsoft 365 gehostet werden, ist die IT-Abteilung stellvertretend für das Nutzerunternehmen der Dateneigentümer. Diese Verantwortung bringt einiges mit sich: externer Druck aus der Branche und Vorschriften vonseiten der Rechts-, Compliance- oder Personalabteilung.

Beispiele und Szenarien

Was passiert, wenn Sie sich bei einer Aufgabe, die eigentlich Ihre ist, auf Microsoft verlassen? Bei Datenverlust, zum Beispiel durch versehentliche Löschung oder Ransomware, bietet Microsoft zwar eine Art Sicherheitsnetz, aber ein grobmaschiges. Es hilft nur bei Datenverlust, der sofort bemerkt wird, wie das Zurückholen von gelöschten Dateien aus dem Papierkorb. Auch einfache Compliance-Funktionen wie Aufbewahrungsrichtlinien gibt es. Mehr als Compliance-Tools sind sie allerdings nicht. Wenn Sie davon ausgehen, dass Microsoft Ihre verloren gegangenen Daten schon wieder herausgeben wird, dann handeln Sie fahrlässig, da es keine Garantie gibt, wann dies geschieht und ob überhaupt. Deshalb ist es zwingend notwendig, seine eigene Rolle als Dateneigentümer ernst zu nehmen – wer seine Daten kontrolliert, kann sie jederzeit und in jeder Form wiederherstellen.

Vorteile und Herausforderungen

Das Shared Responsibility Model schafft Klarheit: Jedes Unternehmen weiß, wofür es selbst die Verantwortung trägt. So können Unternehmen und ihre IT-Abteilungen Pflichten und Aufgaben verteilen und für deren Erfüllung sorgen. Riskant wäre es, diese Verantwortung nicht ernst zu nehmen. Immer noch verschließen zahlreiche Unternehmen und Organisationen die Augen vor dem, was laut diesem Modell von ihnen erwartet wird. Stattdessen reden sie sich ein, sie trügen weniger Verantwortung für ihre Microsoft 365-Daten, als es tatsächlich der Fall ist.

Best Practices für die Implementierung des Modells

Für Eigentümer von Microsoft 365-Daten ist der erste Schritt zur Umsetzung des Shared Responsibility Model die Datensicherung. Hierbei empfiehlt sich die Anwendung der 3-2-1-1-0-Regel: drei Kopien der Daten auf zwei verschiedenen Medien, eine Kopie wird an einem externen Ort aufbewahrt, eine ist durch ein Air-Gap getrennt und alle sind auf Fehlerfreiheit geprüft. Eine herkömmliche Backup-Lösung reicht allerdings nicht. Die richtige Lösung muss Optionen zur Backup-Anpassung, flexiblen Wiederherstellung und leistungsstarken Suche bieten, um den Anforderungen des Unternehmens gerecht zu werden.

So kann Veeam helfen

Jetzt wissen Sie, was genau Microsoft in Microsoft 365 schützt und weshalb. Wenn Sie Ihre Daten in Microsoft 365 nicht sichern, haben Sie nur eingeschränkt Zugriff und Kontrolle. Sie laufen Gefahr, unzureichender Aufbewahrung und Datenverlust zum Opfer zu fallen. Zudem gehen Sie große Sicherheitsrisiken von innen und außen ein und Sie riskieren Verstöße gegen gesetzliche und andere Vorschriften. Obwohl sich immer mehr Microsoft 365-Nutzer für Backup-Drittlösungen entscheiden, lassen 71 % der Unternehmen ihre Daten überraschenderweise immer noch ungesichert.1

Dabei ist es so einfach: Sichern Sie Ihre Daten, speichern Sie das Backup, wo Sie möchten, sodass Sie im Bedarfsfall einfach darauf zugreifen und Ihre Daten wiederherstellen können – was und wann auch immer.

Sie suchen eine einfache, benutzerfreundliche Backup-Lösung für Microsoft 365?

Dann ist Veeam Backup for Microsoft 365 genau das Richtige. Diese Lösung schützt bereits 13 Millionen Microsoft 365-Nutzer weltweit. Veeam zählt laut Forbes zu den 100 besten Cloud-Unternehmen weltweit und ist ein Gold-Partner von Microsoft. Testen Sie Veeam und überzeugen Sie sich selbst.

Sie möchten mehr über die Vorteile erfahren? Hier finden Sie mehr darüber, weshalb Backups von Microsoft 365-Daten unverzichtbar sind.

Quellen:

¹ Stimmungsumfrage im Marktsegment 2021, Veeam