So erstellen Sie eine Matrix, die SaaS-Workloads und Backup-Tools zuordnet

Viele Unternehmen gehen beim Umstieg auf Software as a Service (SaaS) davon aus, dass ihre Daten sicher sind. Anwendungen wie Microsoft Teams und Google Drive haben jedoch unterschiedliche Wiederherstellungsmodelle und erfordern deshalb jeweils eigene Backup-Ansätze.

Blinde Flecken entstehen, wenn Managed Service Provider (MSPs) nicht klar zuordnen, welches Backup-Tool welchen Workload abdeckt. Eine Matrix, die Workloads und Backup-Tools zuordnet, macht aus dem Thema Backup eine strukturierte Governance-Aufgabe und zeigt Kund:innen, was geschützt ist und was nicht.

Das Shared-Responsibility-Modell bei SaaS verstehen

Die meisten SaaS-Anbieter arbeiten nach einem Shared-Responsibility-Modell: Der Anbieter sorgt für die Verfügbarkeit der Plattform, während die Kund:innen weiterhin selbst dafür verantwortlich sind, ihre eigenen Daten zu schützen und wiederherzustellen.

Diese Unterscheidung ist für MSPs und IT-Teams entscheidend, die eine Strategie für SaaS-Backups aufbauen. Anbieter wie Microsoft, Google und Salesforce stellen zwar die Verfügbarkeit der Infrastruktur und die Ausfallsicherheit des Dienstes sicher, garantieren aber in der Regel keine vollständige betriebliche Wiederherstellung nach versehentlichem Löschen, Insider-Bedrohungen, Ransomware oder falsch konfigurierten Aufbewahrungsrichtlinien.

Die folgende Tabelle zeigt, wie die Verantwortlichkeiten üblicherweise verteilt sind:

Anleitung: So ordnen Sie SaaS-Workloads und Backup-Tools in einer Matrix zu

Die folgende Schritt-für-Schritt-Anleitung beschreibt, wie Sie Workloads erfassen, Anforderungen an die Wiederherstellung definieren, sie den verfügbaren Backup-Methoden gegenüberstellen und mögliche Risiken oder Redundanzen aufdecken. So lassen sich Backups überprüfen, testen und präsentieren.

📌 Voraussetzungen:

• Ein Inventar aller betrachteten SaaS-Workloads
• Zugriff auf Lizenzdetails und Aufbewahrungsrichtlinien jeder SaaS-Plattform
• Kenntnis der aktuell eingesetzten Backup-Tools
• Eine gemeinsame Dokumentationsplattform für die Matrix

Schritt 1: Genutzte SaaS-Workloads erfassen

Dieser Schritt sorgt für eine einheitliche Anwendung der Richtlinien und bildet die Grundlage für eine umfassende Strategie zu Datenaufbewahrung und Governance.

📌 Anwendungsfall: Ein mittelständisches Unternehmen muss in einem Compliance-Audit nachweisen, dass alle Geschäftssysteme die Aufbewahrungsvorgaben erfüllen. Lizenzierte Tools wie Salesforce und Microsoft Teams sind erfasst, doch das Audit bringt mehrere „Schatten-IT“-Tools ans Licht, die einzelne Teams eigenständig eingeführt haben.

(A) Alle aktiv genutzten Anwendungen aller Abteilungen katalogisieren

Dokumentieren Sie die offiziell lizenzierten Systeme und klären Sie mit Abteilungsleitungen und dem Einkauf, welche Tools geschäftskritisch sind.

(B) Schatten-IT und entdeckte Dienste einbeziehen

Nutzen Sie Umfragen bei der Einarbeitung, Single-Sign-On-Plattformen (SSO) oder Tools für das Identitätsmanagement, um nicht genehmigte oder nicht erfasste Anwendungen aufzudecken. Prüfen Sie, wie verbreitet die Nutzung ist, und bewerten Sie die Risiken dieser Workloads.

(C) Unterschiede bei den Aufbewahrungsrichtlinien prüfen

Stellen Sie fest, ob die Aufbewahrungsrichtlinien je nach Anwendung, Abteilung oder Lizenzstufe variieren. Dokumentieren Sie, wo Lücken zwischen geschäftlichen Anforderungen und der technischen Durchsetzbarkeit bestehen.

(D) Ergebnis: Basisinventar der Dienste

Erstellen Sie zum Abschluss ein zentrales Inventar, das alle SaaS-Workloads samt Verantwortlichen, Lizenzstufe, Aufbewahrungsrichtlinien und Compliance-Status aufführt. Dieses Inventar ist die Grundlage, um Datenschutz-Governance und Kostenoptimierung aufeinander abzustimmen.

⚠️ Achtung: Setzen Sie auf Identitätsmanagement, um Anwendungen sichtbar zu machen, da „Schatten-IT“-Tools sonst leicht übersehen werden. (Mehr dazu finden Sie unter: Worauf Sie achten sollten)

Schritt 2: Anforderungen an Backup und Wiederherstellung definieren

Dieser Schritt legt die Anforderungen fest, damit Wiederherstellungsstrategien zu den betrieblichen Bedürfnissen und regulatorischen Vorgaben passen.

📌 Anwendungsfall: Bei einem Finanzdienstleister fällt das Kundenbeziehungsmanagement aus. Während der E-Mail-Dienst einige Stunden Ausfallzeit verkraftet, legt der Ausfall des CRM-Systems den Vertrieb lahm und stört die Kundenbetreuung.

(A) Ein minimales Ziel des Wiederherstellungspunktes (RPO) festlegen

Bestimmen Sie, wie viel Datenverlust im Fehlerfall akzeptabel ist. Beispiel: „Bei Finanztransaktionen höchstens 15 Minuten Datenverlust.“

(B) Eine minimale Zeitvorgabe für die Wiederherstellungszeit (RTO) festlegen

Definieren Sie, wie schnell der Workload wieder auf ein akzeptables Niveau gebracht werden muss. Beispiel: „Das CRM muss innerhalb von zwei Stunden online sein, HR-Systeme innerhalb von 24 Stunden.“

(C) Compliance- und regulatorische Anforderungen bewerten

Prüfen Sie, ob HIPAA, die Datenschutz-Grundverordnung, SOX oder branchenspezifische Vorschriften strengere Vorgaben machen. Ordnen Sie die Wiederherstellungsstandards den vertraglichen Pflichten, Audits und rechtlichen Rahmenbedingungen zu.

(D) Geschäftliche Auswirkungen eines Ausfalls bewerten

Klassifizieren Sie Workloads danach, wie sie sich auf Umsatz, Betrieb, Kundenvertrauen oder Produktivität der Beschäftigten auswirken. Priorisieren Sie geschäftskritische Anwendungen mit geringer Toleranz für Ausfallzeiten.

Schritt 3: Workloads den verfügbaren Backup-Methoden zuordnen

Legen Sie für jeden Dienst die passende Backup-Methode fest und beurteilen Sie, ob das Unternehmen auf native Anbieter-Tools, SaaS-Backup-Lösungen von Drittanbietern oder exportbasierte Ansätze setzen sollte.

📌 Anwendungsfall: Eine Gesundheitseinrichtung speichert sensible Patientendaten in Microsoft 365. Litigation Hold sorgt zwar dafür, dass Daten aus Compliance-Gründen aufbewahrt werden, schützt aber nicht vor versehentlichem Löschen, Insider-Bedrohungen oder einer Beschädigung durch Ransomware.

Bestimmen Sie für jeden SaaS-Dienst die Backup-Methode:

• Native Aufbewahrung
• SaaS-Backup-Tools von Drittanbietern
• Export- oder Archivierungsmethoden

Zum Beispiel:

💡 Hinweis: Die obige Tabelle dient nur als Referenz. Passen Sie sie an die Situation in Ihrem Unternehmen an.

⚠️ Achtung: Verlassen Sie sich nicht zu sehr auf die native Aufbewahrung, sonst bleiben die Wiederherstellungsmöglichkeiten begrenzt. (Mehr dazu finden Sie unter: Worauf Sie achten sollten)

Schritt 4: Lücken und Redundanzen sichtbar machen

Dieser Schritt deckt kritische Lücken und Redundanzen auf, die Kosten oder den operativen Aufwand in die Höhe treiben können.

📌 Anwendungsfall: Ein global tätiges Unternehmen stellt bei einer internen Prüfung fest, dass sein HR-System über kein unabhängiges Backup verfügt. Sensible Personaldaten sind damit von Verlust oder Bußgeldern wegen Verstößen bedroht.

(A) Workloads ohne Schutz identifizieren

Ermitteln Sie SaaS-Anwendungen, die weder über native Aufbewahrung noch über ein Backup eines Drittanbieters verfügen, und bewerten Sie das Risiko anhand der Sensibilität der Daten und der geschäftlichen Abhängigkeit.

(B) Redundanzen identifizieren

Finden Sie Fälle, in denen mehrere Backup-Tools oder Aufbewahrungsfunktionen denselben Workload schützen. Prüfen Sie, ob eine Konsolidierung Kosten senken kann, ohne die Wiederherstellungsziele zu gefährden.

(C) Compliance-relevante Workloads ohne eigenes Backup kennzeichnen

Sehen Sie sich HR-Systeme, Plattformen für Finanzunterlagen, Gesundheitsanwendungen und andere regulierte Workloads an. Markieren Sie außerdem Workloads, bei denen die native Aufbewahrung allein für die Compliance nicht ausreicht.

Schritt 5: Daten aus Wiederherstellungstests einbeziehen

Regelmäßige Wiederherstellungstests belegen, dass die Backup-Methoden funktionieren und zu den definierten RTO- und RPO-Werten passen.

📌 Anwendungsfall: Ein Team bei einem Finanzdienstleister geht davon aus, dass sein Backup-Tool eines Drittanbieters das CRM-System vollständig schützt. Im Audit zeigt ein Wiederherstellungstest jedoch: Die Daten lassen sich zwar wiederherstellen, der Vorgang dauert aber 12 Stunden statt der geschäftlich geforderten zwei Stunden.

(A) Ergebnisse des letzten Wiederherstellungstests protokollieren

Halten Sie fest, wann der letzte Test stattgefunden hat und wie er ausgegangen ist. Sorgen Sie dafür, dass Wiederherstellungstests nach einem festen Turnus laufen.

(B) Wiederherstellungszeiten erfassen

Messen Sie, wie lange eine Wiederherstellung dauert, und vergleichen Sie den Wert mit dem definierten RTO des Workloads, um die Übereinstimmung zu bestätigen.

(C) Erkenntnisse zur Datenintegrität erfassen

Prüfen Sie, ob die wiederhergestellten Daten vollständig, korrekt und nutzbar sind, und dokumentieren Sie auftretende Probleme.

(D) Kennzahlen zur Überprüfung von RTO und RPO nutzen

Vergleichen Sie die realen Testdaten mit den definierten Wiederherstellungszielen. Heben Sie Abweichungen hervor, bei denen Backup-Tools die geschäftlichen oder regulatorischen Erwartungen nicht erfüllen.

⚠️ Achtung: Planen Sie wiederkehrende Wiederherstellungstests ein, damit Fehler nicht erst im Ernstfall auffallen. (Mehr dazu finden Sie unter: Worauf Sie achten sollten)

Schritt 6: Die Matrix kundentauglich aufbereiten

So können IT-Dienstleister den Schutzstatus klar kommunizieren, Lücken aufzeigen und Maßnahmen oder Upselling-Chancen platzieren.

📌 Anwendungsfall: Ein MSP präsentiert in einer Vierteljährlichen Geschäftsüberprüfung (QBR) eine farblich markierte Matrix zur Backup-Abdeckung. Die Kundschaft erkennt sofort, dass HR- und Finanzsysteme nur durch native Aufbewahrung abgedeckt sind (gelb), während die CRM-Plattform über gar kein eigenes Backup verfügt (rot).

(A) Die Matrix bei wichtigen Kundenterminen präsentieren

Zeigen Sie die Matrix zur Backup-Abdeckung in QBRs, bei der Einarbeitung neuer Kund:innen und in Verlängerungsgesprächen. Nutzen Sie sie als Referenz, um den Wert Ihrer Services und die Reife des Datenschutzes zu belegen.

(B) Abdeckung farblich kennzeichnen

Vergeben Sie Farbcodes für mehr Übersicht. Zum Beispiel:

• Grün: Vollständig geschützt
• Gelb: Nur native Aufbewahrung
• Rot: Keine Backup-Abdeckung

(C) Als Ergebnisdokument beifügen

Exportieren Sie die Matrix als PDF, das die Kundschaft behalten kann. Alternativ binden Sie das PDF direkt in die QBR-Präsentation ein, um es einfacher vorzustellen.

(D) Geschäftlichen Nutzen und Upselling-Chancen aufzeigen

Erklären Sie Risiken mithilfe der Matrix in nicht-technischer Sprache. Nutzen Sie die erkannten Lücken, um Managed-Backup-Lösungen, eine bessere Lizenzierung oder erweiterte Services für Wiederherstellungstests zu empfehlen.

Darum ist native SaaS-Aufbewahrung keine Backup-Strategie

Viele Unternehmen nehmen fälschlicherweise an, native Aufbewahrungsfunktionen von SaaS-Diensten böten einen vollständigen Backup-Schutz. Tatsächlich ist die native Aufbewahrung in erster Linie auf eine grundlegende Compliance-Sicherung und kurzfristige Wiederherstellung ausgelegt, nicht auf vollständige betriebliche Resilienz.

Plattformen wie Microsoft 365, Google Workspace und Salesforce bringen zwar eigene Aufbewahrungsfunktionen mit, doch diese haben oft Einschränkungen, die sich im Ernstfall auf das Ergebnis der Wiederherstellung auswirken.

Typische Einschränkungen nativer SaaS-Aufbewahrung sind:

• Begrenzte granulare Wiederherstellungsmöglichkeiten
• Kurze Aufbewahrungsfristen, die an die Lizenzstufe gekoppelt sind
• Keine Wiederherstellung von Daten, die durch Ransomware verschlüsselt wurden
• Kein Schutz vor böswilligen Handlungen von Insidern
• Eingeschränkte langfristige Versionshistorie
• Eingeschränkte Wiederherstellung über Benutzer:innen oder Workloads hinweg
• Langsame oder manuelle Wiederherstellungsprozesse

Umsatzkritische Systeme, Kollaborationsplattformen, HR-Systeme und Gesundheitsanwendungen brauchen häufig kürzere Wiederherstellungszeiten und flexiblere Wiederherstellungsoptionen, als die native Aufbewahrung bieten kann. Die folgende Tabelle zeigt den Unterschied zwischen nativer Aufbewahrung und dedizierten SaaS-Backup-Lösungen:

Best Practices

Die folgende Tabelle fasst die wichtigsten Best Practices zusammen und zeigt, wie jeder Schritt die Strategie für SaaS-Backup und -Wiederherstellung stärkt.

Beispiel für einen Ansatzpunkt zur Automatisierung

Mit einem PowerShell-Skript lässt sich die Berichterstattung zum Backup-Status für Ihre Matrix automatisieren. Die folgenden Schritte dienen als Beispiel:

1. Drücken Sie Win, geben Sie PowerShell ein und klicken Sie auf Als Administrator ausführen.
2. Kopieren Sie das folgende Skript, fügen Sie es in die Eingabeaufforderung ein und drücken Sie die Eingabetaste:

💡 Hinweis: Damit lässt sich prüfen, ob Litigation Hold (native Aufbewahrung) für Postfächer aktiv ist. Das Ergebnis können Sie in Ihre Matrix zur Zuordnung von Workloads und Tools übernehmen.

⚠️ Worauf Sie beim Aufbau der Matrix achten sollten

NinjaOne-Services, die dieses Framework unterstützen

Mit der einheitlichen Plattform von NinjaOne verfolgen Sie die Abdeckung und machen aus Backup-Erkenntnissen konkrete Schritte in der Service-Erbringung.

Die Matrix zur Zuordnung von SaaS-Workloads und Tools in NinjaOne Docs ablegen

So entsteht eine einzige Quelle, in der Techniker:innen und Account-Manager:innen die Backup-Abdeckung nachschlagen können, einheitlich und jederzeit verfügbar.

Erinnerungen an geplante Wiederherstellungstests je Workload automatisieren

Mit der Automatisierungs-Engine von NinjaOne erinnern Sie Techniker:innen regelmäßig daran, Wiederherstellungsprozesse zu überprüfen, und belegen so, dass die Backups funktionieren.

Kund:innen mit „Backup-Abdeckung: vollständig/teilweise“ taggen, um QBRs vorzubereiten

Diese Funktion zeigt auf einen Blick, wie gut Kund:innen vorbereitet und geschützt sind. So lassen sich Nutzen und Risiken in QBRs leichter hervorheben.

Benutzerdefinierte Felder anlegen, die die Workload-Abdeckung mit Geräten und Endpunkten verknüpfen

Dieser Service verbindet SaaS-Workloads mit Daten aus On-Premises-Umgebungen und von Endpunkten und liefert so ein umfassendes Bild des Schutzniveaus bei Kund:innen.

QBR-Maßnahmen als Tickets/Aufgaben zu ungeschützten Workloads erfassen

Werden QBR-Maßnahmen als Tickets erfasst, werden aus erkannten Lücken konkrete Aufgaben.

Blinde Flecken vermeiden: eine Matrix für SaaS-Workloads und Tools aufbauen

Eine sauber aufgebaute Matrix, die SaaS-Workloads und Backup-Tools zuordnet, macht aus dem Backup-Schutz ein kundentaugliches Governance-Framework. Indem MSPs Workloads inventarisieren, sie Tools zuordnen und Wiederherstellungsergebnisse überprüfen, senken sie verborgene Risiken und stärken ihre Argumentation in QBRs. Mit den Services von NinjaOne verfolgen Sie außerdem die Abdeckung und machen aus Backups konkrete Schritte in der Service-Erbringung.

Verwandte Themen:

• SaaS-Backup: Umfassender Leitfaden und Best Practices
• Die fünf größten Vorteile von SaaS-Lösungen für das IT-Management
• So nutzen Sie RMM-Überwachung, um die SaaS-Lizenznutzung von Kund:innen langfristig zu verfolgen
• Was ist eine MSP-Plattform und welchen Nutzen bringt sie Managed Service Providern?
• Darum ist SaaS-Backup für MSPs so wichtig