Warum ein Backup für Cloud-basierte Anwendungen unerlässlich ist SaaS-Anwendungen verlustfrei sichern

Anbieter zum Thema

Oseon GmbH & Co. KG

Aagon GmbH

Vitel GmbH

Rund ein Viertel der Unternehmen hält Daten in der Cloud noch immer für sicher und wiederherstellbar. Ohne eine Backup-und-Recovery-Lösung kommen SaaS-Anwendungen jedoch nicht aus. Worauf es bei der Strategie und den verschiedenen Anforderungen der einzelnen Anwendungen ankommt.

Die Nutzung von SaaS-Anwendungen ist im vergangenen Jahr noch einmal deutlich gestiegen. Allein Microsoft 365 (M365) wurde im Jahr 2020 laut Statista von über einer Million Unternehmen weltweit genutzt, Microsoft Teams hat rund 96 Millionen Nutzer*innen hinzugewonnen. Neben dem gebotenen Komfort birgt Cloud-basierte Software jedoch auch die Gefahr von Datenverlusten. Geschäftsdaten, die zuvor On-Premises gespeichert waren, wurden mit dem Wechsel zur Cloud dem jeweiligen Software-Unternehmen, wie etwa Microsoft, anvertraut. Dabei ging jedes vierte Unternehmen in 2019 noch von der Prämisse aus: „Was in der Cloud liegt, ist sicher und wiederherstellbar“, so eine Studie zu Data Protection und Cloud Strategies der Enterprise Strategy Group. Eine KPMG-Studie aus dem Jahr 2020 zeigt: Knapp einem Viertel (23 Prozent) der Cloud-nutzenden Unternehmen fehlen Sicherheitskonzepte für alle oder einzelne Cloud-Szenarien. Damit riskieren Unternehmen bei der Nutzung von für den Geschäftsbetrieb relevanten Anwendungen ohne Backup-Konzept schlimmstenfalls einen erheblichen Datenverlust und Betriebsausfall.

Trügerische Sicherheit

Nicht allen IT-Expert*innen scheint klar, wo die Verantwortlichkeiten liegen und wie viel Kontrolle sie über die Cloud-Daten haben. Das Prinzip der „geteilten Verantwortung“ ist zentral für das Verständnis der Zusammenhänge und des Handlungsbedarfs in Sachen Datensicherheit. Ein Beispiel verdeutlicht das: Microsoft verantwortet laut SLA die Infrastruktur und sorgt per Georedundanz für die Verfügbarkeit und Nutzbarkeit der Plattform. Microsoft garantiert jedoch weder bestimmte Recovery Point Objectives noch die dauerhafte Wiederherstellbarkeit von Daten. Sowohl Datenhoheit als auch Datenkontrolle obliegen dem Anwenderunternehmen. Es ist also selbst für den Schutz und die Verwaltung der eigenen Daten verantwortlich und muss dafür sorgen, dass die Daten verfügbar, zugänglich, sicher und wiederherstellbar sind.

Die automatische Synchronisierung zwischen Cloud und Endgerät kann dabei zur Falle werden, denn sie löst ein Überschreiben der Daten auf allen synchronisierten Geräten aus. Das gilt auch für fehlerhafte Daten, eine Löschung oder mit Malware infizierte Dateien. Anwendungsinterne Wiederherstellungen sind sehr begrenzt möglich. Am Beispiel Microsoft verdeutlicht: Aus dem Papierkorb können aktiv gelöschte Dateien innerhalb von 30 Tagen zurückgeholt werden, Postfächer und Gruppen sind für 14 Tage abrufbar. Beschädigte Dateien repliziert Microsoft automatisch kurzfristig, um Redundanzen zu vermeiden. Darüber hinaus stellt Microsoft keine Wiederherstellbarkeit sicher.

Löschen und Überschreiben sind jedoch nicht die einzigen Risiken. Verlässt ein*e Mitarbeiter*in das Unternehmen und der Account wird deaktiviert, hält Microsoft das inaktive Benutzerkonto und alle dazugehörigen Daten nur für 90 Tage vor. Nach dieser Frist kann das Unternehmen sie nicht wiederherstellen. Ist die Datenhaltung vom Datenmanagement nicht vollständig und konsequent geregelt, können Lücken in den Aufbewahrungsrichtlinien entstehen. Das sogenannte Litigation-Hold-Feature von Microsoft friert aktuell verfügbare Daten zwar dauerhaft ein und schützt sie vor Löschung, aber nur bis zu einem Datenvolumen von 100 GB. Das bietet keinen zuverlässigen Schutz bezüglich rechtlicher Sanktionen und Compliance-Verstößen, etwa gegen die DSGVO.

Die Wahl der Backup-und-Recovery-Lösung

Verschiedene Cloud-Anwendungen haben verschiedene Anforderungen und Voraussetzungen. Die Wahl der Backup-und-Recovery-Lösung sollte darauf eingehen. Grundsätzlich gilt: Sie sollte gewährleisten, dass IT-Administratoren die Daten jederzeit sicher und wiederherstellbar speichern können. Sie muss dabei einfach zu konfigurieren sowie absolut verlässlich im Tagesgeschäft sein.

Wichtige Kriterien für eine gute Lösung sind:

• Vollständige Wiederherstellung der Daten nach einem Vorfall, zum Beispiel versehentliche Löschung, Ransomware-Befall, Cyberattacke oder interne Sabotage, ist schnell und einfach möglich.

• Anwender können bei der Lösung flexible Aufbewahrungsregeln und individuelle Archivierungszeiträume abbilden.

• Eine Suchfunktion für E-Discovery-Aufgaben muss auch Backup-Daten einschließen.

• Die gesicherten Daten sollten auf lokalen Storage-Medien liegen, um IT-Verantwortlichen direkten Zugriff auf die gesicherten SaaS-Daten zu geben.

Effiziente Backup-Strategie

Die Frequenz von Backups hängt von individuellen Anforderungen im Unternehmen ab. Verwaltet ein Unternehmen große Mengen kritischer Daten, benötigt es Backups täglich oder sogar im Stundentakt. Jedes Mal vollständige Sicherungen durchzuführen, würde sehr viel Zeit, Bandbreite und Speicherplatz benötigen. Inkrementelle Backups sind deshalb auch für SaaS-Anwendungen unerlässlich. Nach einem initialen, vollständigen Backup werden inkrementell nur die Daten kopiert, die sich seit der letzten Sicherung geändert haben. Das erhöht die Backup-Geschwindigkeit deutlich und schont gleichzeitig Speicherplatz und das lokale Netzwerk. Eine umfassende Backup-Lösung schützt die gesamten physischen, virtuellen und Cloud-Infrastrukturen.

Granulare Wiederherstellung

Flexible Point-in-Time-Wiederherstellung bedeutet, dass Objekte eines gewünschten Zeitpunkts wiederhergestellt werden können, ohne dabei eine Full-Scale-Recovery initiieren zu müssen. Dies kann am ursprünglichen oder auch an einem neu zu bestimmenden Speicherort durchgeführt werden. Dafür muss die Backup-Lösung eine ausreichende Menge an Recovery Points erstellen können. Mitunter gelten außerdem je nach gesetzlichen Anforderungen verschiedene Zeiträume für die Datenhaltung.

Erweiterte Suche spart Zeit

Es kann sehr zeitaufwendig sein, die verlorenen Objekte im Backup wiederzufinden. Müssen für den Geschäftsbetrieb unverzichtbare Daten wiederhergestellt werden, sind Schnelligkeit und Effizienz aber besonders wichtig. Eine gute Backup-Lösung sollte es ermöglichen, nach einzelnen E-Mails und OneDrive-Dateien sowie SharePoint-Bibliotheken und Listen zu suchen und diese auch wieder herzustellen.

Ressourcenschonung

Ebenfalls sehr zeitaufwendig ist eine manuelle Durchführung von Backups. Ein automatisierter Sicherungsplan spart Zeit und stellt die Durchführung sicher. Der Überblick auf vergangene, aktuelle und zukünftige Sicherungen hilft dabei, Überschneidungen und Netzwerküberlastungen zu vermeiden. Das Backup-Retention-Schema, etwa nach dem Grandfather-Father-Son-Prinzip, lässt die Recovery-Punkte täglich, wöchentlich, monatlich und jährlich rotieren.

Eine flexible Lösung, die je nach Geschäftsanforderungen und Datenvolumen skaliert und auf sich mit der Zeit verändernde Hard- und Software-Grundlagen angepasst werden kann, bietet auch die Möglichkeit, den Kostenfaktor zu beeinflussen und im Vergleich zu einer starren Lösung erheblich zu senken.

Klassifizierungs-, Backup- und Recovery-Prozesse

Wie gehen IT-Verantwortliche vor, um für die mittel- und langfristige Wiederherstellbarkeit der Daten zu sorgen? Drei Prozesse sind wichtig: Datenklassifizierung, Backup und Recovery.

Datenklassifizierung

Damit die Backup-und-Recovery-Lösung die relevanten Daten erfassen kann, muss die Klassifizierung der Daten für eine geordnete Datenstruktur und effektives Datenmanagement sorgen. Zum einen muss definiert werden, welche Daten für den Betriebsablauf unverzichtbar sind. Zum anderen kann eine Kategorisierung der Daten in die vier Klassen helfen, den Compliance- und DSGVO-konformen Umgang und die Autorisierungen für den Datenzugriff zu erleichtern.

3-2-1: Backup!

Die 3-2-1-Regel gilt nach wie vor als die Faustformel für Backups schlechthin. Die Kombination aus physischen Backups vor Ort und (Multi-)Cloud-Backup-Lösungen von Drittanbietern ist sinnvoll. Unterschiede in den Lösungen finden sich vor allem in der Geschwindigkeit der Wiederherstellung, in der Speicherkapazität und im Preis.

Recovery

Die Art der Sicherung und der zu sichernden Datenklassen bestimmen Recovery Time Objective (RTO) und Recovery Point Objective (RPO) von der einzelnen Datei bis zur ganzen Bibliothek. Je schneller die lückenlose Wiederherstellung, umso geringer die Folgekosten von Datenverlusten, desto sicherer die Business Continuity. Die Lösung von Nakivo beispielsweise kann die RTO im Schnitt halbieren.

Backup und Recovery am Beispiel Microsoft 365

In den M365-Anwendungen OneDrive, Exchange und SharePoint liegen die meisten zu sichernden Daten. Jede Anwendung hat ihre eigenen Anforderungen:

OneDrive ist der individuelle Cloud-Speicher für jede*n M365-Nutzer*in, der in Microsofts Cloud-Paket enthalten ist. Einzelne Dateien und Ordner werden per Duplikat gesichert, ganze Anwendungen oder das Betriebssystem jedoch nicht. Die meisten Verluste entstehen durch Nutzerverhalten: Die Synchronisierung zwischen Cloud und Festplatte überträgt deren Fehler in beide Richtungen. Ein Backup sollte deshalb die gesamte Dateistruktur übernehmen.

Exchange ist die Groupware- und Mail-Server-Software für die Ablage und Verwaltung von E-Mails, Kalender und Aufgaben, die sowohl über die Cloud als auch On-Premises genutzt werden kann. Vor allem für die Exchange-Daten ausgeschiedener Mitarbeiter*innen ist ein Backup unerlässlich.

SharePoint dient als Content Management System und als Dateiverwaltung für die team- und unternehmensweite Zusammenarbeit. Daten, die über Microsoft Teams geteilt werden, werden über das SharePoint-Backup gesichert, Konversationen hingegen über die Exchange-Sicherung. Entsprechend wichtig ist ein feingranulares Backup der Daten, von einzelnen Terminen bis hin zu ganzen SharePoint-Seiten, abgestimmt auf die Rollen und Rechte von Mitarbeiter*innen.

IT-Administratoren sollten Sicherheits- und Wiederherstellungsszenarien eines Systems also auf Herz und Nieren testen. Macht eine Lösung mit einer überall zugänglichen Benutzeroberfläche die Verwaltung der Backup-und-Recovery-Prozesse einfach und flexibel möglich, ist es für die Verantwortlichen umso einfacher, sie im Alltag zu integrieren und im Ernstfall schnell reagieren zu können.

Über den Autor

Sergei Serdyuk hat NAKIVO 2012 mitgegründet. Seit 2018 verantwortet er als Vice President of Product Management das gesamte Produktportfolio des Software-Unternehmens. Er ist seit über 15 Jahren in der IT-Branche tätig und verfügt über umfangreiche Erfahrungen in den Bereichen Software-Projektmanagement, Produktmanagement, Virtualisierung, Cloud und Datenschutz. Mit der Mission, die ultimative Datenschutzlösung zu entwickeln, liegt Sergei Serdyuks Leidenschaft darin, kundenorientierte Produkte zu entwickeln, mit denen Menschen Zeit, Geld und Aufwand sparen können. Neben dem Produktmanagement ist Sergei Serdyuk auch für das Marketing und den Kundensupport von NAKIVO tätig.

(ID:47422920)