In der letzten SHD.NEWS ging es bereits um das Modell der geteilten Verantwortung im Public Cloud Bereich. Innerhalb dieses Umfelds stellen Kunden auch die Frage, warum sie ihre Daten aus Microsoft Office 365 Exchange Online, SharePoint Online und OneDrive for Business (und somit auch Teams) sichern sollten. Schließlich herrscht der Irrglaube, dass sich Microsoft darum kümmert.

Wir möchten Ihnen in diesem Artikel das von Veeam geschaffene „Office 365 - Shared Responsibility-Modell“ vorstellen. Ziel ist zu verstehen, wofür Microsoft verantwortlich ist und welche Verantwortung auf das Office 365 nutzende Unternehmen selbst fällt.

Außerdem werden im 2. Teil des Artikels die Möglichkeiten mit Veeam for Office 365 vorgestellt.

1. Office 365 - Shared Responsibility-Modell der geteilten Verantwortung

1.1 Allgemeine Darstellung

Die Hauptverantwortung von Microsoft konzentriert sich auf deren globale Infrastruktur und seine Verpflichtung gegenüber Millionen von Kunden, diese Infrastruktur am Laufen zu halten, die Zuverlässigkeit seiner Cloud-Dienste durchgehend zu gewährleisten und weltweit die Produktivität der Benutzer sicherzustellen. Die Verantwortung einer Kunden-IT-Organisation besteht darin, vollständigen Zugriff und Kontrolle über ihre Daten zu haben – unabhängig davon, wo sich diese befinden. Diese Verantwortung bleibt bestehen, auch wenn das Unternehmen eine geschäftliche Entscheidung für die Nutzung einer Software as a Service (SaaS)-Anwendung getroffen hat.

1.2 Detaillierte Darstellung

Office 365 enthält eine integrierte Datenreplikation, die eine Georedundanz von Microsoft-Rechenzentrum zu Microsoft-Rechenzentrum bietet. Dies ist eine Grundfunktionalität. Wenn in einem der globalen Rechenzentren von Microsoft etwas schiefgeht, kann ein Failover auf das Replikations­ziel erfolgen. In den meisten Fällen sind die Benutzer über solche Vorgänge völlig im Unklaren. Aber die Replikation ist kein Backup. Und außerdem ist diese Kopie nicht einmal Ihre Kopie, sondern die von Microsoft. Eine alleinige Replikation reicht für Kunden nicht aus. Beispielsweise werden gelöschte oder korrupte Daten zusammen mit gesunden Daten repliziert, was bedeutet, dass Ihre replizierten Daten dann ebenfalls gelöscht oder korrupt sind. Für den vollständigen Schutz benötigen Sie ein eigenes Datenbackup.

Microsoft bietet zur Unterstützung einige verschiedene Papierkorb-Optionen an, und diese können Ihnen bei der begrenzten, kurzfristigen Wiederherstellung von Datenverlusten helfen. Darüber hinaus benötigen Sie sowohl granulare Wiederherstellungs-, Massenwiederherstellungs- als auch Point-in-Time-Wiederherstellungsoptionen.

Für Sicherheit sind Microsoft und Kundenunternehmen gemeinsam verantwortlich: Microsoft schützt Office 365 auf der Infra­strukturebene. Dazu gehören neben der physischen Sicherheit der Microsoft-Rechenzentren und der Authentifizierung und Identifizierung innerhalb der Cloud-Dienste auch die in die Office 365-Benutzeroberfläche integrierten Benutzer- und Verwaltungskontrollen. Die Kunden-IT-Organisation ist für die Sicherheit auf der Datenebene verantwortlich. Es gibt eine lange Liste interner und externer Datensicherheitsrisiken, darunter versehentliches Löschen, heimtückische Administratoren, die den Zugriff missbrauchen und Lösegeldforderungen, um nur einige zu nennen.

Der letzte große Punkt „Regeltreue“ bezieht sich auf gesetzliche und Compliance-Anforderungen. Microsoft macht im Office 365 Trust Center sehr deutlich, dass seine Rolle die des Datenverarbeiters ist. Dies treibt den Fokus auf den Datenschutz voran, und Microsoft ist auf seine große Anzahl von Branchenzertifizierungen stolz. Auch wenn Ihre Unternehmensdaten in Office 365 gespeichert sind, ist die Rolle einer IT-Organisa­tion immer noch die des Dateneigentümers. Und diese Verantwortung geht mit allen Arten von externen Branchenvorgaben sowie mit den Anforderungen an die Einhaltung von Vorschriften durch Ihre Kollegen aus den Fachbereichen Recht, Compliance oder Personalwesen einher.