Schlüsselpunkte
- Das Shared Responsibility Model für Microsoft 365 grenzt die Pflichten zum Datenschutz zwischen Microsoft und Kund:innen ab und legt fest, wer für Backup, Aufbewahrung und Governance verantwortlich ist.
- Weisen Sie für zentrale operative Kontrollen wie MFA, Aufbewahrung und Schutz vor Datenverlust klare RACI-Rollen zu (Responsible, Accountable, Consulted, Informed), um die Verantwortlichkeit zu stärken.
- Setzen Sie Zero Trust mit MFA, bedingtem Zugriff und Privileged Access Management (PIM) um, um versehentlichem oder böswilligem Datenverlust vorzubeugen.
- Standardisieren Sie Backup-Umfang, Häufigkeit, Aufbewahrung und Wiederherstellungstests über OneDrive, SharePoint und weitere Tools hinweg.
- Erzwingen Sie rollenbasierte Zugriffskontrolle (RBAC), entfernen Sie ungenutzte Administratorrechte und nutzen Sie Privileged Identity Management für Just-in-Time-Zugriff.
Seit sich Cloud-Computing flächendeckend durchgesetzt hat, ist Datenmanagement wichtiger denn je. Microsoft 365 bringt native Funktionen für Datenschutz und Backup mit, dennoch müssen Unternehmen passende Strategien für Backup und Wiederherstellung von Workloads wie OneDrive, SharePoint und Teams festlegen. MSPs können dabei helfen, die Pflichten der Kund:innen aus dem Shared Responsibility Model für Microsoft 365 in die Praxis zu überführen und die Aufbewahrung von Arbeitsdaten über alle Microsoft-365-Workloads hinweg zu standardisieren.
So lässt sich erkennen, welche Daten von den nativen Schutz- und Wiederherstellungsfunktionen in Microsoft 365 abgedeckt sind, und es entstehen zusätzliche Workflows auf Basis der Backup-Anforderungen des Unternehmens. Dieser Leitfaden zeigt mit konkreten Schritten, wie Sie interne Datensicherungen operativ umsetzen.
So erstellen Sie ein Shared Responsibility Model für Microsoft 365
Dieser Leitfaden baut auf dem Shared Responsibility Model von Microsoft auf, ergänzt es um den jeweiligen Kundenkontext und hebt Ihre Standards für Backup und Wiederherstellung mit einer Plattform für Fernwartung und -Verwaltung (RMM) auf ein neues Niveau.
Voraussetzungen:
- Vereinbarte Zeitvorgabe für Wiederherstellungszeit (RTO) und Ziel des Wiederherstellungspunktes (RPO) je Workload sowie eine namentlich benannte verantwortliche Person aus dem Fachbereich
- Administrativer Zugriff auf Microsoft 365, Rollen in Microsoft Entra ID und Backup-Tools
- Ein Dokumentenbereich für Richtlinien, RACI-Matrizen und monatliche Nachweispakete
- Ein Änderungsfenster und ein Ticketing-Prozess für Konfigurationsanpassungen
Schritt 1: RACI-Matrix und Kontrollübersicht für den Tenant aufbauen
Listen Sie zunächst die operativen Kontrollen auf, die Sie in jedem Arbeitsbereich überwachen müssen, und ordnen Sie Rollen und Verantwortlichkeiten zu. Das stärkt die Governance von Anfang an und verbessert die Reaktion auf Vorfälle. Legen Sie für jede Kontrolle (z. B. MFA, Schutz vor Datenverlust, Aufbewahrungsrichtlinien) Folgendes fest:
- Responsible: Personen oder ein Team, die die operativen Kontrollen betreuen
- Accountable: Eine Instanz, die für Risiko und Ergebnis einsteht
- Consulted: Quellen für Fachwissen und wichtige Zuarbeit
- Informed: Personen, die Updates und Endergebnisse erhalten sollen
Ihre Kontrollübersicht für Backup und Wiederherstellung könnte zum Beispiel so aussehen:
| Aktivität | Responsible | Accountable | Consulted | Informed |
| Backup-Lösung auswählen | IT-Betriebsteam | IT-Manager | Microsoft-Partner | Geschäftsleitung |
| Backups planen | IT-Betriebsteam | IT-Manager | Support-Hotline des Anbieters | Betroffene Geschäftsbereiche |
| Wiederherstellungs-Workflows testen | IT-Betriebsteam | IT-Manager | Datensicherheitsteam | Geschäftsleitung |
Schritt 2: Zuerst Identitäten und Zugriffe schützen
Wenden Sie Zero-Trust-Prinzipien mit Kontrollen für privilegierten Zugriff und bedingtem Zugriff an, um Zugriffe und Administratorrechte in Microsoft 365 einzuschränken. Das reduziert unbefugte Zugriffe, zu weitreichende Rechte und damit verbundene Risiken für Datenverluste.
Anwendungsfälle: Vorkehrungen treffen (z. B. zeitlich begrenzte Administratorrechte und zusätzliche Genehmigungen), um Risiken durch privilegierten Zugriff zu senken.
Voraussetzungen: Microsoft 365 Business Premium, Administratorrechte in Microsoft Entra.
- Melden Sie sich im Microsoft Entra Admin Center an.
- Um Authentifizierungsmethoden für MFA zu konfigurieren, gehen Sie zu Entra ID > Authentifizierungsmethoden > Richtlinien.
- Aktivieren Sie die passenden Authentifizierungsmethoden für die erforderlichen Benutzer:innen und Gruppen.
- Um MFA verpflichtend zu machen, gehen Sie zu Entra ID > Bedingter Zugriff > Richtlinien > Neue Richtlinie.
- Wählen Sie die passenden Benutzer:innen und Zielressourcen aus und konfigurieren Sie die Richtlinie anschließend so, dass MFA erforderlich ist.
- Um privilegierten Zugriff zu konfigurieren, gehen Sie zu ID Governance > Privileged Identity Management > Microsoft Entra-Rollen > Rollen.
- Wählen Sie die passende Rolle aus, weisen Sie Benutzer:innen als berechtigt zu und konfigurieren Sie bei Bedarf zeitlich begrenzte Aktivierungsanforderungen und Genehmigungen.
Schritt 3: Backup-Abdeckung je Workload festlegen
Legen Sie Ziele für Backup und Wiederherstellung fest, die sich an den technischen Rahmenbedingungen und den von Ihnen und Ihren Kund:innen genutzten Tools orientieren. Definieren und dokumentieren Sie Folgendes:
- Backup-Umfang
- Backup-Häufigkeit
- Datenaufbewahrung
- Verschlüsselungsprotokolle
- Speicherorte
- Geplante Wiederherstellungstests je Workload
- Lücken im Backup (z. B. nicht unterstützte Dateitypen, umgesetzte Workarounds usw.)
Schritt 4: Aufbewahrung, Archivierung und Backup voneinander trennen
Die Aufbewahrungsfunktionen von Microsoft 365 decken einen Großteil der Aufbewahrung und der SLA-Einhaltung ab, sie ersetzen jedoch kein Backup und bieten unter Umständen nicht die zeitpunktgenaue Wiederherstellung, die für jedes Wiederherstellungsszenario nötig ist. Stärken Sie Ihr Speichermanagement und Ihr Backup mit einem All-in-one-Backup-Tool mit klarer Refinanzierung der Investition.
Schritt 5: Minimalprivilegien mit Microsoft Entra-Rollen umsetzen
Die rollenbasierte Zugriffskontrolle (RBAC) hilft dabei, Benutzerberechtigungen im gesamten Unternehmen festzulegen, und stärkt so Ihr Shared Responsibility Model für Microsoft 365. Zur Umsetzung muss Ihr IT-Team Folgendes tun:
Rollenbasierte Aufgaben zuweisen
- Weisen Sie Sicherheitspersonal, das Berichte prüfen muss, ausschließlich Leserechte zu.
- Geben Sie Ihrem SLA-Team Administratorrechte für Compliance, damit es Aufbewahrungsrichtlinien verwalten kann.
- Weisen Sie den E-Mail-Verantwortlichen für die Postfach-Transparenz die minimal erforderlichen Exchange-Berechtigungen zu.
- Vergeben Sie für Passwort-Zurücksetzungen Administratorrechte für den Helpdesk, keine globalen Administratorrechte.
Ungenutzte globale Administratorrechte entfernen
- Prüfen Sie monatlich alle Konten mit globalen Administratorrechten.
- Entziehen Sie ehemaligen externen Dienstleister:innen die Rechte als globale Administrator:innen.
- Behalten Sie 2 bis 3 Notfallkonten mit globalen Rechten bei.
Genehmigungen und zeitlich begrenzte Rechte einführen
- Erhöhte Rollen müssen von Führungskräften genehmigt werden.
- Setzen Sie Privileged Identity Management (PIM) ein, um kurzfristige Zugriffe zu steuern.
- Richten Sie Echtzeit-Alarmierungen für Berechtigungsänderungen ein.
- Nutzen Sie MFA, um sichere Genehmigungs-Workflows aufzubauen.
Neue Rollenzuweisungen regelmäßig prüfen
- Prüfen Sie wöchentlich, ob sich Verantwortlichkeiten verschoben haben.
- Prüfen Sie monatlich neu vergebene Administratorrollen.
- Gleichen Sie die aktuellen Berechtigungen mit Ihrer Kontrollübersicht ab, um Abweichungen bei den Rechten zu erkennen.
Schritt 6: Überwachen, testen und Nachweise liefern
Regelmäßige Prüfungen halten die operativen Standards auch zwischen den großen Stakeholder-Meetings aufrecht. Wenn Sie Ihr Shared Responsibility Model für Microsoft 365 in Ihren monatlichen Newsletter aufnehmen, sollten Sie Folgendes beachten:
- Verfolgen Sie Backup-Tests mit einer zentralen Plattform.
- Erstellen Sie Scorecards für die Erfolgsquoten Ihrer Backups.
- Stimmen Sie die Lizenzverfolgung mit den Asset-Verantwortlichen ab.
- Fügen Sie Momentaufnahmen hinzu, die den Erfolg Ihres Shared Responsibility Model belegen.
Schritt 7: Ihr Shared Responsibility Model für Microsoft 365 als Managed Service anbieten
Ihre Backup-Richtlinien für Microsoft 365 schützen nicht nur Ihre Daten, sie gewinnen auch neue Kund:innen und binden bestehende.
Vermarkten Sie Ihr Shared Responsibility Model in Ihren aktuellen Angeboten, um neue Kund:innen zu gewinnen, die Kundenbindung zu erhöhen und sich einen Vorsprung gegenüber MSPs zu sichern, die kein operativ umgesetztes Verantwortungsmodell für Microsoft 365 haben.
Mit der Integration von NinjaOne werden Backup-Pläne im Shared Responsibility Model für Microsoft 365 einfacher
Das Dashboard von NinjaOne liefert aussagekräftige Einblicke in Backup- und Wiederherstellungsvorgänge in Microsoft 365. So vereinfacht NinjaOne den Prozess:
|
Schritt |
Ohne NinjaOne |
Mit NinjaOne |
| RACI-Matrix (Responsible, Accountable, Consulted, Informed) und Kontrollübersicht für den Tenant aufbauen. | Tabellen werden manuell gepflegt und aktualisiert, ohne Versionskontrolle | Zentrale Betriebsdaten und Berichterstattung als Grundlage für RACI- und Kontrollprüfungen |
| Zuerst Identitäten und Zugriffe schützen. | Mehrere Tools für Authentifizierung, bedingten Zugriff, Identitätsverwaltung usw. | Backup und Wiederherstellung von Microsoft Entra-Objekten und -Konfigurationen |
| Backup-Abdeckung je Workload festlegen. | Getrennte Backup-Zeitpläne für einzelne Workloads und manuelle Wiederherstellungen | Automatisierte Backup-Planung, Wiederherstellungsfunktionen und Berichte in einer einzigen Plattform |
| Aufbewahrung, Archivierung und Backup voneinander trennen. | Verlass auf die nativen Aufbewahrungs- und Wiederherstellungsfunktionen von Microsoft | Granulare Wiederherstellungsoptionen, integrierte Wiederherstellungsfunktionen und konfigurierbare Backup-Aufbewahrung |
| Überwachen, testen und Nachweise liefern | Manuelle Datenerhebung und uneinheitliche Berichtsvorlagen | Integrierte Datenvisualisierung, Scorecards und kundenfreundliche Berichte |
| Ihr Shared Responsibility Model für Microsoft 365 als Angebot schnüren | Begrenzte Einblicke und Schwierigkeiten, die Refinanzierung der Investition zu belegen | Dashboards im eigenen Branding, die Backup-Erfolge und SLA-Kennzahlen sichtbar machen |
Bringen Sie System in Ihr Shared Responsibility Model
Datengestützte Workflows, die Daten innerhalb und außerhalb der Cloud absichern, geben Ihren bestehenden Kund:innen Sicherheit und ziehen gleichzeitig neue an. Um Ihr Shared Responsibility Model für Microsoft 365 operativ umzusetzen, bauen Sie eine RACI-Matrix für den Tenant auf, erzwingen Sie MFA, richten Sie Backups je Workload ein, testen Sie regelmäßig, archivieren Sie die Ergebnisse und veröffentlichen Sie sie monatlich.
Verwandte Themen:
- So erklären Sie Kund:innen das Shared Responsibility Model für Microsoft 365
- So erklären Sie Kund:innen das Shared Responsibility Model für Microsoft 365 (Video)
- Reaktion auf Cloud-Vorfälle: Best Practices in 2026
- Darum ist SaaS-Backup für MSPs so wichtig
- So erklären Sie den Unterschied zwischen Archivierung und Backup in Microsoft 365
