Braucht man für Office 365 eigentlich ein Backup ?

Unternehmen, die sich heute für Microsoft Office 365 Umgebungen entscheiden, nutzen die Vorteile einer flexiblen und bedarfsgerechten Software-as-a-Service Plattform für Messaging und Collaboration. Mit Übergang zu Office 365 endet allerdings nicht die Verantwortung der Unternehmer für eine valide Sicherung der Daten zu sorgen. Vor dem Hintergrund beschäftigen sich viele Unternehmen mit der Frage:

„Braucht man für Office 365 eigentlich ein Backup?“

 

Im Rahmen meines heutigen Blogs werde ich auf o.g. Frage näher eingehen und meine Sicht sowie die des Analysten Gartner teilen.

 

Data Resiliency in Office 365

Zu allererst möchte ich einen Blick auf Office 365 und deren Resiliency Funktionen werfen. 

Bild1.png

Wie Microsoft selbst auf der O365 Dienste & Verfügbarkeit Seite schreibt, wurden Vorkehrungen bei unerwarteten Ereignissen wie Hardware- oder Anwendungsfehlern, Datenbeschädigungen oder anderen Incidents wie beispielsweise Naturkatastrophen oder Rechenzentrumsausfall getroffen. Dies impliziert allerdings nicht, dass Microsoft auch eine „klassische“ Sicherung der Unternehmensdaten durchführt und diese den Endkunden zur Verfügung stellt.  

 

Die Hoheit aller gespeicherten oder gelöschten Objekte sowie die Administration der Benutzer obliegen auch bei Office 365 weiterhin dem Endkunden. Kurzum der Endkunde ist für seine Daten und Benutzer selbst verantwortlich.

 

Heute stellt Microsoft in Office 365 eine Vielzahl an Built-In Funktionen für den Schutz und die Sicherheit der Daten zur Verfügung. Diese Office 365 Resiliency Funktionen sind u.a. hier näher beschrieben.

 

Exchange Online

In Exchange Online werden die Daten, identisch einer DAG (Database Availability Group) über verschiedene EMEA Lokationen (z.B. Amsterdam, Dublin, Helsinki und Wien) repliziert. Zusätzlich bieten die Funktionen „Deleted Items“ und „Recoverable Items“ verschiedene – ich nenne es mal vorsichtig – Papierkörbe an.  Mit Funktionen wie Litigation- oder In-Place Hold empfiehlt Microsoft die Daten über einem längeren Zeitraum aufzubewahren.

 

Bild2.png

 

SharePoint Online & Onedrive for Business

Beide Dienste basieren auf der gleichen Infrastruktur. Identisch zu Exchange Online werden auch hier die Daten mittels SQL Server Replikation auf verschiedene Standorte und Systeme repliziert. Alle 12 Stunden erfolgt eine Sicherung der Applikationen und Daten. Die Aufbewahrung dieser Sicherung beträgt 14 Tage. Für eine granulare Wiederherstellung in SharePoint Online als auch OneDrive for Business kommen entsprechende „Recycle Bins“ zum Einsatz. Mit Hilfe der Versionierung können Benutzer in einer Art Selfservice veränderte Dateien wiederherstellen.

 

Lassen Sie uns nun zur ursprünglichen Frage zurückkommen. Braucht man dann überhaupt noch für Office 365 ein Backup?

Meine Meinung: „Ja, Unternehmen sollten sich zwingend mit 3rd Party Backup Produkten für Office 365 auseinander setzen“.

 

Aber zu diesem Entschluss kommen auch Analysten wie beispielsweise Gartner. In einer kürzlich erschienenen StudieAdopt Microsoft Office 365 Backup for Damage Control and Fast Recovery After Malicious Attacks“ wurde klar die Empfehlung für den Einsatz von 3rd Party Backup Produkten zur Sicherung der Office 365 ausgesprochen.

 

Empfehlung von Gartner: I&O leaders using or evaluating O365 should consider investing in third-party backup and recovery tools for faster, more-flexible recovery options, as well as reputation damage control after a malicious attack.

Bild4.png

 

Was ist der Grund für meine Aussage und die der Analysten:Bild3.png

 

Viele der o.g. Office 365 Built-In Funktionen bieten Unternehmen m.E. keinen ausreichenden Schutz vor beispielsweise …

 

  • unbeabsichtigtes Löschen (Accidental Deletion)
  • Viren & Ransomware
  • Hacker- & Cyber Attacken
  • Insider Thread
  • uvm.

Zudem sollten sich Unternehmen auch Gedanken in Bezug auf eine valide Exit-Strategie machen. Hier können Backup/Recovery Szenarien u.a. eine Rolle spielen.

 

Accidental Deletion

 

Lassen Sie uns einen Blick auf den ersten Punkt „unbeabsichtigtes Löschen“ werfen. Wie bereits erwähnt, nutzt Exchange Online verschiedene Papierkörbe also „Deleted Items“ und „Recoverable Items“. Wie das genau funktioniert steht unter anderem hier.

 

Bild5.png

 

  • Der Deleted Items Ordner in Office 365 kann mit unterschiedlichen Retention Policies von min 14 Tage bis unendlich konfiguriert werden. Aber, viele Benutzer haben in der Vergangenheit gelernt, diesen Deleted Items Ordner regelmäßig zu entleeren, um den Speicherplatz für die Mailbox klein zu halten. Ich glaube, das Benutzerverhalten lässt sich auch in Office 365 trotz größerer Mailboxen nicht so einfach umstellen.
  • Viele Benutzer haben sich daher auch angewöhnt, per „Shift“ + „Delete“ den Deleted Items Ordner komplett zu umgehen.
  • Die nächste Sicherheitsstufe ist nun „Recoverable Items“. Hier landen alle aus dem Deleted Items und/oder per „Shift“ + „Delete“ gelöschten Elemente. Maximale Aufbewahrungsdauer ist 30 Tage. Für viele Anforderungen sicherlich nicht ausreichend, zumal auch im Recoverable Items keine Ordner enthalten sind und so eine Wiederherstellung von Ordnerstrukturen nur schwer möglich wird.
  • Zudem kann jeder Benutzer in Office 365 seine Objekte im Recoverable Items löschen (purge). Damit sind alle Elemente aus der Mailbox verschwunden und eine Wiederherstellung von eMails, Kontakten o.ä. ist für den Benutzer nicht mehr möglich.
  • Nun kommt „In-Place Hold“ oder „Litigation Hold“ ins Spiel. Voraussetzung dafür sind natürlich entsprechende Office 365 Pläne. Hier werden sprichwörtlich alle Informationen d.h. alle Ordner und alle eMails für einen bestimmten Zeitraum aufbewahrt. Eine Segmentierung beispielsweise nur den Deleted Items Folder dauerhaft aufzuheben ist nicht möglich. Die Regel besagt, alles oder nichts. Hier gilt es natürlich wieder ausfindig zu machen, welche Daten aus rechtlicher Sicht wie lange aufbewahrt werden dürfen oder müssen.
  • Ein weiterer Punkt ist sicherlich das Procedere für die Wiederherstellung der Daten mittels des In-Place eDiscovery Tool. Schonmal gemacht? Wenn nein, empfehle ich folgenden Link sowie den entsprechenden Hinweis (gelb markiert) zu beachten:

Bild6.png 

 

Viren/Ransomware

 

OneDrive for Business ermöglicht die Synchronisation der Daten zwischen verschiedenen Devices. Ist ein Device durch Ransomware infiziert, können auch innerhalb kurzer Zeit eine Vielzahl an Dateien in Onedrive for Business verschlüsselt werden. Hier bietet Onedrive for Business die Funktion der Versionierung. Wie man mittels Versionierung Dateien wiederherstellen kann, steht u.a. hier:

 

  • In Onedrive for Business gibt es keine Konsistenzpunkte (z.B. Snapshot) auf Ordner o.ä. die man vielleicht aus dem klassischen Fileservice kennt. Aus diesem Grund muss Datei für Datei wiederhergestellt werden. Sind viele hunderte, tausende oder gar mehr Dateien betroffen, ist dies extrem zeitaufwendig. Würde der Trojaner nur Teile einer Datei verschlüsseln, müsste man im schlimmsten Fall auch alle Dokumente und Versionen sichten.
  • Onedrive for Business erlaubt die Erstellung von bis zu 512 Datei Versionen. Allerdings sollte man auch beachten, dass Versionierung zusätzlichen Speicherplatz in Anspruch nimmt. Die Balance zwischen einer sinnvollen Datei-Versionierung und benötigtem Platz gilt es also auszuloten.

 

Hacker-/Cyber-Angriffe

 

Ich denke, Worst-Case Szenarien wie Hacker- oder Cyber Angriffe sprechen für sich. Aber auch ein „hijacked“ Admin Account oder ein verlorengegangenes Handy/Device können schwerwiegende Folgen auf Unternehmensdaten haben.

 

  • Heute befinden sich alle Daten in der Office 365 Infrastruktur. Anforderung vieler Unternehmen nach einer 3-2-1 Regel (3 Kopien, 2 verschiedenen Medien und 1 Medium außerhalb von Office 365) kann mit den Standard O365 Methoden nicht Rechnung getragen werden.

 

Insofern hoffe ich, dass Ihnen mein heutiger Blog bei der Entscheidungsfindung, warum man ein Backup für Office 365 braucht, geholfen hat.

Natürlich liefern wir von NetApp auch eine entsprechende Lösung namens Cloud Control for Office 365. Wenn sie mehr über Cloud Control erfahren möchte verweise ich gerne auf unsere Webseite sowie den Blog meines Kollegen.