Backup-Abdeckung in Microsoft 365 und Google Workspace automatisieren

Software as a Service wird weiterhin stark genutzt und soll in den kommenden Jahren noch zulegen, Fachleute erwarten für den Markt ein Volumen von 1,24 Milliarden US-Dollar bis 2036. Trotzdem kämpfen MSPs weiterhin mit einer typischen Lücke: In diesen Umgebungen werden neue Benutzer:innen angelegt, aber nie einer Backup-Richtlinie zugewiesen. Diese manuelle Zuweisung zu einem passenden Backup-Plan öffnet die Tür für menschliche Fehler, Ineffizienz und weitere Sicherheitsschwachstellen.

Wenn MSPs die Backup-Abdeckung ihrer Benutzer:innen automatisieren, können sie:

• einen umfassenden Schutz für alle lizenzierten Benutzer:innen garantieren;
• das manuelle Nachverfolgen neuer Konten überflüssig machen;
• die Einhaltung von RTO/RPO und regulatorischen Vorgaben sicherstellen;
• eine konsistente Berichterstattung und Transparenz für Kund:innen bieten.

In diesem Leitfaden zeigen wir verschiedene Methoden, um neue Konten zu erkennen, die Backup-Abdeckung automatisiert anzuwenden und Zuweisungen mithilfe von Skripten, APIs und nativen Admin-Workflows zu überprüfen.

Voraussetzungen:

• Administrativer oder delegierter administrativer Zugriff in Microsoft 365 und Google Workspace: Sie benötigen die passenden Rechte, um Benutzerkonten auszulesen, Gruppen zu erstellen und API-Aufrufe auszuführen.
• Ein vorhandenes SaaS-Backup-Tool, das Benutzer:innen auf Richtlinien abbilden kann (z. B. NinjaOne SaaS-Backup): Die meisten modernen SaaS-Backup-Werkzeuge erlauben es, Benutzer:innen über APIs oder Gruppenzuweisungen Backup-Richtlinien zuzuordnen.
• API-Anmeldeinformationen (Microsoft Graph API / Google Admin SDK): Mit diesen Anmeldeinformationen kommunizieren Ihre Skripte direkt mit Microsoft 365 oder Google Workspace.
• Installiertes PowerShell für die Automatisierung in Microsoft 365: PowerShell ist die Skriptsprache der Wahl für Microsoft-Umgebungen. Damit führen Sie wiederkehrende Prüfungen aus, exportieren Benutzerlisten und arbeiten mit Microsoft Graph.

Hinweis: Optional empfiehlt sich außerdem ein Aufgabenplaner oder eine RMM-Plattform für wiederkehrende Prüfungen. Ein Planer oder RMM-Tool sorgt dafür, dass Ihre Erkennungs- und Zuweisungsskripte täglich (oder häufiger) laufen, sodass neue Konten nie ungeschützt bleiben.

Empfohlene Umsetzungsstrategien:

Betrachten Sie die folgenden Methoden als Bausteine, die Sie beliebig kombinieren können. Wählen Sie einfach die aus, die zu Ihrer Umgebung passen. Manche funktionieren für sich genommen am besten, andere entfalten ihren größten Nutzen im Zusammenspiel.

Klicken Sie, um eine Methode auszuwählen	Am besten für Einzelanwender:innen	Am besten für Unternehmen
Methode 1: Lizenzierung standardisieren und gruppenbasiert zuweisen	✓
Methode 2: Erkennung neuer Benutzer:innen automatisieren*		✓
Methode 3: Richtlinienzuweisung im Backup-Tool automatisieren*	✓	✓
Methode 4: In RMM oder Workflow-Automatisierung integrieren*		✓
Methode 5: Backup-Abdeckung prüfen und berichten	✓	✓

Hinweise:

• Methode 2 lässt sich eigenständig betreiben (reine Berichterstattung), wird aber oft mit Methode 3 kombiniert, um einen geschlossenen Automatisierungskreislauf zu erhalten.
• Methode 3 kann eigenständig laufen, wenn Ihr Backup-Anbieter nicht abgedeckte Benutzer:innen selbst ausweist. In der Regel liefert jedoch Methode 2 die Erkennungsdaten.
• Methode 4 funktioniert eigenständig (als Berichterstattung bzw. Ticketing) oder ergänzend zu den Methoden 2 und 3, um Prüfungen fest im Tagesgeschäft zu verankern.

Methode 1: Lizenzierung standardisieren und gruppenbasiert zuweisen

Am zuverlässigsten decken Sie neue Benutzer:innen ab, indem Sie Backup-Richtlinien direkt an Lizenzen oder organisatorische Gruppen koppeln. Wird jemand der richtigen Gruppe hinzugefügt, ist diese Person automatisiert geschützt.

Anwendungsfälle: Ideal für MSPs, die neue Beschäftigte einarbeiten.

Voraussetzungen:

• Microsoft 365: Microsoft Entra ID P1 oder höher (für dynamische Gruppen)
• Google Workspace: Administrationsrechte zur Verwaltung von OUs oder Gruppen
• SaaS-Backup-Tool, das die Zuordnung von Gruppen/OUs unterstützt

Schritte:

(A) In Microsoft 365

1. Erstellen Sie in Microsoft Entra ID eine dynamische Gruppe mit einer lizenzbasierten Regel in PowerShell.

Beispielskript:

(user.assignedPlans -any (assignedPlan.servicePlanId -eq „<ExchangeOnlinePlanID>“ -and assignedPlan.capabilityStatus -eq „Enabled“))\

Achten Sie darauf, die Platzhalter wie user.assignedPlans und assignedPlan.servicePlan durch die passenden Werte für Ihre Umgebung zu ersetzen.

2. Ordnen Sie diese Gruppe der Richtlinie in Ihrem Backup-Tool zu, damit alle Mitglieder automatisiert geschützt sind.

(B) In Google Workspace

1. Teilen Sie Benutzer:innen in Organisationseinheiten (OUs) oder Gruppen auf (z. B. „Staff“, „Contractors“).
2. Wenden Sie Backup-Richtlinien im Portal Ihres Backup-Anbieters auf Ebene der OU oder Gruppe an.

Methode 2: Erkennung neuer Benutzer:innen automatisieren

Selbst bei sauberen Gruppenzuweisungen rutschen Ausnahmen durch. Regelmäßige automatisierte Scans helfen Ihnen, ungeschützte Benutzer:innen schnell zu entdecken, bevor Daten in Gefahr geraten. Diese Methode funktioniert eigenständig, wenn Sie nur Transparenz und Berichte benötigen, lässt sich aber gut mit Methode 3 zu einer vollständigen Automatisierung verbinden.

Anwendungsfälle: Empfohlen für Unternehmen mit gemischten Kontotypen (z. B. Beschäftigte und externe Dienstleister:innen) oder für MSPs, die mehrere Mandanten mit unterschiedlicher Lizenzierung betreuen.

Voraussetzungen:

• Installiertes PowerShell
• Anmeldeinformationen für die Microsoft Graph API
• Zugriff auf das Google Admin SDK

Schritte:

(A) In Microsoft 365

1. Stellen Sie die Verbindung zu Microsoft Graph mit den nötigen Berechtigungen her.

Führen Sie in PowerShell diesen Befehl aus:

Connect-MgGraph -Scopes "User.Read.All"

2. Exportieren Sie alle aktiven Benutzer:innen.

Führen Sie in PowerShell aus:

$allUsers = Get-MgUser -All

3. Gleichen Sie das Ergebnis mit Ihrer Liste der Backup-Zuweisungen ab und exportieren Sie nicht abgedeckte Konten als CSV.

Führen Sie in PowerShell aus:

$backupList = Import-Csv "CurrentBackupAssignments.csv"
$unprotected = $allUsers | Where-Object { $_.UserPrincipalName -notin $backupList.User }
$unprotected | Export-Csv "UsersMissingBackup.csv" -NoTypeInformation

(B) In Google Workspace

1. Exportieren Sie aktive Benutzer:innen mit der Methode users.list der Directory API.
2. Gleichen Sie die Daten mit Ihren Aufzeichnungen zu den Backup-Zuweisungen ab.
3. Speichern Sie die Abweichungen in einer CSV-Datei zur Prüfung oder für automatisierte Aktionen.

Methode 3: Richtlinienzuweisung im Backup-Tool automatisieren

Sind neue Benutzer:innen erkannt, folgt als nächster Schritt die automatisierte Aufnahme in Backup-Richtlinien. Wenn die API Ihres Backup-Anbieters nicht abgedeckte Benutzer:innen bereits ausweist, können Sie diese Methode eigenständig nutzen. Andernfalls kombinieren Sie sie mit Methode 2 zu einer Lösung mit geschlossenem Kreislauf.

Anwendungsfälle: Nützlich für IT-Unternehmen mit strengen Compliance-Anforderungen rund um SLAs.

Voraussetzungen:

• API-Anmeldeinformationen des Anbieters
• Erkennungsskript oder Workflow (aus Methode 2)

Schritte:

1. Erkennen Sie neue Benutzer:innen mit Microsoft Graph (365) oder dem Google Admin SDK (Workspace).
2. Rufen Sie die API des Anbieters auf, um jede:n nicht abgedeckte:n Benutzer:in einer Backup-Richtlinie hinzuzufügen.
3. Protokollieren Sie die Antwort, um die Zuweisung zu bestätigen.

Methode 4: In RMM oder Workflow-Automatisierung integrieren

RMM-Plattformen wie NinjaOne machen Backup-Automatisierung zu einem festen Bestandteil Ihres IT-Alltags. Diese Methode ist nicht auf Methode 2 oder 3 angewiesen. Sie kann beide im Hintergrund ausführen oder die Ergebnisse einfach in Tickets melden. Nutzen Sie sie als Ergänzung für operative Transparenz, nicht als Pflichtschritt in einer Abfolge.

Anwendungsfälle: Empfohlen für MSPs, die mehrere Mandanten betreuen.

Voraussetzungen:

• RMM-Plattform (z. B. NinjaOne)
• Skripte aus den Methoden 2 und 3
• API- oder Export-Integration des Backup-Werkzeugs

Schritte:

1. Führen Sie täglich PowerShell- oder Python-Skripte aus, um nicht abgedeckte Benutzer:innen zu finden.

Beispiel-PowerShell-Skript zur Erkennung nicht abgedeckter M365-Benutzer:innen

# Connect to Microsoft Graph # Requires Microsoft.Graph module: Install-Module Microsoft.Graph -Scope AllUsers Connect-MgGraph -Scopes "User.Read.All" # Export all active users from Microsoft 365 $allUsers = Get-MgUser -All | Select-Object UserPrincipalName, DisplayName, AccountEnabled # Import list of users currently assigned to backup policies # Format: CSV should have a „User“ column with UserPrincipalNames $backupList = Import-Csv "C:\BackupData\CurrentBackupAssignments.csv" # Compare: find users not in backup list and are enabled accounts $unprotected = $allUsers | Where-Object { $_.UserPrincipalName -notin $backupList.User -and $_.AccountEnabled -eq $true } # Export results to CSV for reporting or integration $timestamp = Get-Date -Format "yyyyMMdd_HHmm" $outputPath = "C:\BackupData\UsersMissingBackup_$timestamp.csv" $unprotected | Export-Csv $outputPath -NoTypeInformation Write-Host „Unprotected users exported to $outputPath“

Hinweis: Das leistet dieses Skript:

• • Es verbindet sich mit delegierten Rechten (User.Read.All) mit Microsoft Graph.
  • Es ruft alle Benutzer:innen des Mandanten ab (mit Get-MgUser).
  • Es gleicht die Daten mit einer CSV-Datei (CurrentBackupAssignments.csv) ab, die die UPNs bereits geschützter Benutzer:innen enthält.
  • Es filtert deaktivierte Konten heraus, sodass Sie nur aktive, nicht abgedeckte Benutzer:innen sehen.
  • Es exportiert die Ergebnisse in eine CSV-Datei mit Zeitstempel, zur Nachverfolgung oder zur Integration mit Methode 3 (API-basierte Zuweisung) bzw. Methode 4 (Ticketerstellung im RMM).

2. Erstellen Sie bei Abweichungen automatisiert ein Ticket.
3. Hängen Sie die CSV-Datei oder die API-Ausgabe zur Prüfung an das Ticket an.

Methode 5: Backup-Abdeckung prüfen und berichten

Eine regelmäßige Berichterstattung schafft Vertrauen bei Kund:innen und belegt die Einhaltung interner wie externer Richtlinien.

Anwendungsfälle: Ideal für MSPs, die Ergebnisse in vierteljährlichen Geschäftsüberprüfungen (QBRs) präsentieren, oder für Unternehmen, die Compliance- bzw. Audit-Nachweise benötigen. Mehr dazu finden Sie in Die 5 besten MSP-Strategien, um Ihr QBR als Vertriebsinstrument zu nutzen.

Voraussetzungen:

• SaaS-Backup-Tool mit Funktionen zur Berichterstattung
• Zugriff auf die Lizenz-Exporte von Microsoft 365/Google Workspace

Schritte:

1. Erstellen Sie monatlich Berichte aus Ihrem Backup-Tool.
2. Gleichen Sie die Abdeckung mit den Lizenz-Exporten ab.
3. Präsentieren Sie die Ergebnisse in QBRs, darunter:
   • Anteil der abgedeckten Benutzer:innen in Prozent
   • Anteil erfolgreicher Wiederherstellungstests in Prozent
   • Ausnahmen (z. B. nicht lizenzierte oder ausgeschlossene Konten)

⚠️ Darauf sollten Sie achten

Risiken	Mögliche Folgen	Gegenmaßnahmen
Skripte oder API-Jobs scheitern unbemerkt	Neue Benutzer:innen bleiben ungeschützt, ohne dass es jemandem auffällt	Protokollierung, E-Mail-Alarmierungen oder RMM-Ticketing für jeden Durchlauf ergänzen
API-Ratenbegrenzungen des Backup-Anbieters	Die Automatisierung überspringt Benutzer:innen bei der Einarbeitung größerer Gruppen	Jobs zeitlich versetzen oder eine Wiederholungslogik einbauen
Falsche Zuordnung von Gruppen/OUs	Benutzer:innen werden ungewollt von Richtlinien ausgeschlossen	Zuordnungen vierteljährlich prüfen und Validierungsberichte erstellen
Deaktivierte oder nicht lizenzierte Konten sind enthalten	Verschwendete Backup-Lizenzen und aufgeblähte Kosten	Deaktivierte und nicht lizenzierte Konten in den Skripten herausfiltern
Änderungen beim Anbieter (API-Updates, Abkündigungen)	Automatisierungsskripte brechen ohne Vorwarnung ab	Release Notes des Anbieters verfolgen und Skripte regelmäßig aktualisieren

Beispiel für einen Automatisierungs-Touchpoint

So kann ein täglicher Workflow zur Automatisierung der Backup-Abdeckung in der Praxis aussehen:

1. Microsoft 365 und Google Workspace nach neuen Konten abfragen: Nutzen Sie Microsoft Graph PowerShell (Get-MgUser) und das Google Admin SDK (users.list), um eine Liste aller aktiven Konten abzurufen.
2. Ergebnisse mit den aktuellen Backup-Zuweisungen abgleichen: Vergleichen Sie Ihren Export mit der Benutzerliste aus Ihrem SaaS-Backup-Tool, um noch ungeschützte Konten zu identifizieren.
3. Benutzer:innen automatisiert Backup-Richtlinien zuweisen: Rufen Sie die API Ihres Backup-Anbieters auf (Acronis, Dropsuite, Veeam usw.), um nicht abgedeckte Konten aufzunehmen. So entsteht ein geschlossener Workflow für die automatisierte Backup-Zuweisung.
4. Alarmierungen oder Tickets für nicht abgedeckte Konten erzeugen: Lassen sich einzelne Benutzer:innen nicht automatisiert zuweisen (z. B. wegen abweichender Lizenz), lösen Sie eine Alarmierung in Ihrer RMM-Plattform wie NinjaOne aus. Das System kann ein Support-Ticket mit der CSV-Datei der betroffenen Benutzer:innen im Anhang erstellen.
5. Ergebnisse für Compliance und Audit-Bereitschaft archivieren: Speichern Sie tägliche CSV-Dateien oder Protokolle, die zeigen, welche Konten geprüft, zugewiesen oder markiert wurden. Diese Berichte helfen, bei Audits oder Kund:innen-QBRs die Einhaltung gesetzlicher Vorgaben und die Wiederherstellungsbereitschaft nachzuweisen.

Tipp: Viele MSPs lassen diesen Job alle 24 Stunden über einen RMM-Planer laufen. Manche ergänzen einmal pro Quartal eine automatisierte Wiederherstellungsprüfung, sodass die Validierung der Abdeckung und die Erfolgsquote der Wiederherstellungen direkt im Workflow verankert sind.

Best Practices für die Backup-Automatisierung

• Gruppenbasierte Zuweisung für eine automatisierte Backup-Abdeckung nutzen: Dynamische Gruppen in Microsoft 365 und Organisationseinheiten (OUs) in Google Workspace sorgen dafür, dass jede:r neue lizenzierte Benutzer:in automatisiert einer Backup-Richtlinie hinzugefügt wird. Das reduziert manuellen Aufwand und garantiert vom ersten Tag an eine umfassende Backup-Abdeckung für SaaS-Benutzer:innen.
• API- und PowerShell-Skripte zur Erkennung von Benutzer:innen einsetzen: Automatisierte Erkennungsskripte über die Microsoft Graph API oder das Google Admin SDK machen es leicht, ungeschützte Konten zu identifizieren. Dieses proaktive Vorgehen hilft MSPs, Lücken in der Abdeckung zu vermeiden, und unterstützt die Einhaltung von Aufbewahrungs- und Regulierungsvorgaben.
• Richtlinienzuweisung mit Anbieter-APIs automatisieren: Viele Backup-Anbieter stellen APIs bereit, über die Sie nicht abgedeckten Benutzer:innen automatisiert Richtlinien zuweisen können. Die Kombination aus Erkennung und Zuweisung ergibt einen geschlossenen Workflow zur Backup-Automatisierung, der menschliche Fehler ausschließt und die Zuverlässigkeit erhöht.
• Prüfungen der Backup-Abdeckung mit RMM-Plattformen verbinden: Geplante PowerShell- oder Python-Skripte über NinjaOne oder ein anderes RMM-Tool verankern die Prüfungen fest in Ihren täglichen IT-Abläufen. So laufen Überwachung und Alarmierung für SaaS-Benutzer:innen automatisiert, und nicht abgedeckte Konten erzeugen Tickets zur Prüfung.
• Abdeckung mit automatisierter Berichterstattung und Wiederherstellungstests validieren: Monatliche Berichte aus Ihrer SaaS-Backup-Plattform sollten Sie mit den Lizenz-Exporten aus Microsoft 365/Google Workspace abgleichen. Wenn Sie Backup-Validierung und Tests der Wiederherstellungsbereitschaft in diese Berichte aufnehmen, schaffen Sie Transparenz, stärken das Vertrauen Ihrer Kund:innen und sind für Audits gerüstet.

So unterstützt NinjaOne bei der Automatisierung der Backup-Abdeckung

NinjaOne kann die Automatisierung der Backup-Abdeckung verbessern, indem es Ihre Erkennungs- und Zuweisungsskripte direkt in die täglichen IT-Abläufe einbettet. Statt diese Prüfungen manuell anzustoßen, führt NinjaOne sie nach Zeitplan aus, erzeugt Alarmierungen bei Problemen und bietet eine integrierte Nachverfolgung für die Compliance.

So nutzen MSPs und IT-Administrator:innen NinjaOne in der Praxis:

• Geplante Skripte für Microsoft 365 und Google Workspace ausführen: Stellen Sie PowerShell-Skripte (für Microsoft Graph) und Python-Skripte (für das Google Admin SDK) über die Automatisierungs-Engine von NinjaOne bereit.
• CSV-Exporte und Protokolle in NinjaOne Docs ablegen: Bei jedem Durchlauf des Erkennungsskripts lassen sich die Ergebnisse automatisiert in NinjaOne Docs speichern.
• Automatisierte Tickets für nicht abgedeckte Konten erstellen: Werden neue Konten ohne Backup-Abdeckung gefunden, kann NinjaOne automatisiert ein Service-Ticket eröffnen. Das Ticket kann einen direkten Link zum CSV-Export oder zur API-Antwort enthalten, damit Techniker:innen genau wissen, wer noch Schutz braucht.
• Behebungsmaßnahmen gegen SLAs nachverfolgen: Jedes Ticket lässt sich mit den Kund:innen-SLAs verknüpfen. So messen Sie leicht, wie schnell nicht abgedeckte Benutzer:innen unter Schutz gestellt werden.
• Erkenntnisse zur Abdeckung in QBR-Dashboards zeigen: Die Berichterstattung von NinjaOne lässt sich so anpassen, dass sie Kennzahlen zur Backup-Abdeckung darstellt (z. B. Anteil geschützter Benutzer:innen, Erfolgsquote von Wiederherstellungstests).

Expertentipp: Wenn Sie NinjaOne mit der API Ihres SaaS-Backup-Anbieters kombinieren, erhalten Sie eine einheitliche Benutzeroberfläche für die Verwaltung der Backup-Abdeckung, von der Erkennung über die Behebung bis zur Berichterstattung.

Die Backup-Abdeckung von NinjaOne auf einen Blick

Funktion	Microsoft 365	Google Workspace
Automatisiertes Backup	Tägliches Backup von Exchange Online, SharePoint Online, OneDrive for Business und Teams	Tägliches Backup von Gmail, Google Drive (inklusive geteilter Ablagen), Kalender und Kontakten
Benutzerverwaltung	Benutzer:innen manuell hinzufügen oder per AutoDiscover automatisiert alle einbeziehen; Ausschlusslisten werden unterstützt.	Benutzer:innen manuell hinzufügen oder per AutoDiscover automatisiert alle einbeziehen; Ausschlusslisten werden unterstützt.
Wiederherstellungsoptionen	Ganze Postfächer, einzelne Ordner oder einzelne E-Mails wiederherstellen, in den ursprünglichen Ordner, einen neuen Ordner oder durch Anhängen an vorhandene Dateien.	Ganze Drives, einzelne Ordner oder einzelne Dateien wiederherstellen, wahlweise aus dem neuesten Backup oder einer beliebigen früheren Version.
Compliance und Sicherheit	Audit-Protokolle erfassen Backup- und Wiederherstellungsaktivitäten. NinjaOne Archiver ergänzt Legal Hold, konfigurierbare Aufbewahrungsrichtlinien und Volltextsuche für regulatorische Anforderungen.	Audit-Protokolle erfassen Backup- und Wiederherstellungsaktivitäten. NinjaOne Archiver ergänzt Aufbewahrungsrichtlinien und Volltextsuche für regulatorische Anforderungen.

Geschäftskritische Daten mit einem sauberen Backup-Prozess für Benutzer:innen schützen

Mit einer automatisierten Backup-Abdeckung stellen Sie sicher, dass jedes Konto vom ersten Tag an geschützt ist. Gruppenbasierte Zuweisungen bilden das Fundament, während die Erkennung per API und die automatisierte Richtlinienzuweisung verbleibende Lücken schließen.

Eine RMM-Integration und Validierungsberichte gehen noch einen Schritt weiter und verankern die Backup-Kontrolle direkt im Tagesgeschäft und in den Reviews mit Kund:innen.

Verwandte Themen:

• Umfassender Leitfaden zu Daten-Backup und Wiederherstellung
• Umfassender Leitfaden zum Endpunkt-Backup
• Backup von Microsoft 365 Exchange Online erstellen
• Backup von Google Workspace Drive erstellen