Microsoft sichert Ihre Infrastruktur – aber wer sichert Ihre Daten? Das Shared Responsibility Model von Microsoft 365 wird von vielen Schweizer Unternehmen unterschätzt, mit potenziell gravierenden Folgen für die Datensicherheit.
Warum Backup?
Shared Responsibility
Microsoft garantiert die Verfügbarkeit der Plattform und schützt vor Hardware-Ausfällen und Naturkatastrophen. Für den Schutz Ihrer Daten vor versehentlichem Löschen, Ransomware, böswilligen Insider:innen oder fehlerhaften Migrationen sind jedoch Sie als Kunde verantwortlich. Diese Abgrenzung ist vielen IT-Verantwortlichen nicht bewusst.
Datenverlust-Szenarien
Gelöschte E-Mails, SharePoint-Dokumente oder Teams-Daten lassen sich nur innerhalb begrenzter Aufbewahrungsfristen wiederherstellen – danach sind sie unwiderruflich verloren. Retention Policies sind kein Backup-Ersatz: Sie dienen der Compliance, nicht der gezielten Wiederherstellung einzelner Elemente. Auch Ransomware-Angriffe können Cloud-Daten verschlüsseln, wenn synchronisierte Clients betroffen sind.
Compliance
Schweizer Unternehmen unterliegen branchenspezifischen Aufbewahrungspflichten (z.B. OR Art. 958f für Geschäftsunterlagen). Ein dediziertes Backup stellt sicher, dass diese Anforderungen unabhängig von Microsofts Retention-Einstellungen erfüllt werden. Für regulierte Branchen wie Finanz- oder Gesundheitswesen gelten zusätzliche Vorgaben der FINMA bzw. des Datenschutzgesetzes.
Backup-Optionen
Native Funktionen
Microsoft bietet mit Retention Policies, Litigation Hold und Versionierung grundlegende Schutzmechanismen. Diese eignen sich für Compliance-Szenarien, bieten aber keine granulare Point-in-Time-Wiederherstellung. Microsoft 365 Backup (Preview) erweitert die nativen Möglichkeiten, deckt aber nicht alle Workloads ab.
Drittanbieter-Lösungen
Spezialisierte Backup-Lösungen wie Veeam, AvePoint oder Acronis bieten umfassenden Schutz für Exchange, SharePoint, OneDrive und Teams. Achten Sie auf Schweizer Datenresidenz: Die Backup-Daten sollten in Schweizer Rechenzentren oder mindestens in der EU gespeichert werden. Automatisierte Backups mit granularer Wiederherstellung sind der Industriestandard.
Best Practices
Definieren Sie RPO (Recovery Point Objective) und RTO (Recovery Time Objective) für jeden Workload. Testen Sie Ihre Wiederherstellungsprozesse regelmässig. Dokumentieren Sie Ihre Backup-Strategie als Teil des Business Continuity Plans und stellen Sie sicher, dass Ihre Lösung die Schweizer Datenschutzanforderungen erfüllt.
Fazit
Ein Microsoft 365 Backup ist keine optionale Ergänzung, sondern eine geschäftskritische Notwendigkeit. Schweizer Unternehmen sollten die Verantwortungslücke im Shared Responsibility Model ernst nehmen und eine passende Backup-Strategie implementieren.