Warum Unternehmen ihre M365-Konfigurationen sichern müssen Das übersehene Backup

Anbieter zum Thema

DataCore Software GmbH

FAST LTA GmbH

Es gibt kaum mehr Unternehmen, die ihre Daten nicht sichern. Allerdings sind Daten-Backups nur ein Teil einer erfolgreichen Recovery. Ebenso bedeutend ist die Sicherung der Konfigurationen. Verliert man den Zugriff auf alle oder auch nur einen Großteil der M365-Konfigurationen, können die betrieblichen Auswirkungen enorm sein.

Sicherheitseinstellungen, Compliance-Richtlinien, administrative Kontrollen, Gerätekonfigurationen, Einstellungen für die Zusammenarbeit und Zugriffsrichtlinien bestimmen, wie sich M365 im täglichen Betrieb verhält. Werden diese Einstellungen geändert, gelöscht oder unbemerkt abgeschwächt, laufen die Systeme zwar technisch gesehen weiter, jedoch weitaus weniger sicher und regelkonform.

Man kann sich das ganz einfach als ein Glas Wasser vorstellen. Das Wasser sind hierbei die Daten, das Glas ist der Tenant. Wird das Glas nun auf den Boden geworfen, ist das Wasser überall verstreut und das Gefäß zerbrochen. Glücklicherweise hat man noch Wasser (das Daten-Backup), aber wohin soll man es gießen? Vielleicht hat das Glas ja nur einen Sprung, aber kann man ihm deshalb vertrauen? Wird es halten? Auf den Tenant übertragen: Kann man sicher sein, dass die Freigabeeinstellungen nicht geändert wurden oder essenzielle Kontrollen immer noch korrekt konfiguriert sind? Wenn man der Umgebung, also dem Tenant, nicht vertrauen kann, erscheint es nicht ratsam, hierin alle Daten wiederherzustellen.

Deshalb geht die Wiederherstellung über die reine Wiederherstellung von Inhalten hinaus. Die Frage lautet nicht mehr nur: „Können wir die Daten wiederherstellen?“, sondern auch: „Können wir die Umgebung wieder in den gewünschten Zustand zurückversetzen?“

Warum Konfigurationsänderungen häufig lange unentdeckt bleiben

Manche Störungen lassen sich unmöglich ignorieren. Wenn Nutzer den Zugriff verlieren, Geräte nicht mehr wie erwartet funktionieren oder wichtige Richtlinieneinstellungen entfernt werden, wird das Problem schnell sichtbar. Die Zahl der Support-Anfragen steigt, der Betrieb kommt zum Erliegen, und allen ist klar, dass etwas Ernstes passiert ist.

Unauffällige Änderungen sind ein anderes Kaliber. Eine geringfügige Konfigurationsänderung führt möglicherweise nicht sofort zu Störungen. Sie kann lediglich eine Sicherheitsmaßnahme schwächen, eine Abhängigkeit verändern, den Zugriff erweitern oder eine Schutzvorrichtung entfernen, die im Hintergrund eine zentrale Funktion erfüllt. Der Tenant läuft weiter, doch die Voraussetzungen für einen späteren Ausfall oder eine Kompromittierung sind nun gegeben. Und genau deshalb sind diese Änderungen oftmals besonders gefährlich.

Große Unternehmen sind hier besonders gefährdet, allein schon aufgrund der schieren Menge an Konfigurationen. Kein einzelner Administrator oder Sicherheitsverantwortlicher kann jedes einzelne Detail permanent im Blick haben. Zudem arbeiten Teams häufig bereichsübergreifend. Die Zuständigkeiten sind verteilt. Ständig kommt es zu Änderungen. Entsprechend bleiben subtile Änderungen oftmals für längere Zeit unentdeckt. Resiliente Unternehmen sind nicht nur in der Lage, offensichtliche Ereignisse zu identifizieren, sondern auch die unauffälligen. Und in beiden Fällen den sicheren Zustand schnell wiederherzustellen.

M365 – erschreckend komplex

Microsoft 365 ist kein einzelnes Produkt mit einer einzigen Nutzerschnittstelle. Vielmehr ist es eine Sammlung eng miteinander verbundener Dienste und Verwaltungsebenen wie:

• Identitäts- und Zugriffskontrollen,

• Richtlinien für Endpunkte und Geräte,

• Konfiguration des Messaging-Systems,

• Einstellungen für die Zusammenarbeit,

• Compliance-Kontrollen.

Zudem gibt es häufig Richtlinienabhängigkeiten zwischen einzelnen Diensten. Entsprechend ist M365 ein komplexes System, das sich nur sehr schwer manuell nachverfolgen lässt.

Die Herausforderung besteht nicht nur darin, dass es viele Einstellungen gibt. Die Herausforderung ist vor allem, dass diese Einstellungen miteinander interagieren. Eine scheinbar geringfügige Änderung in einem Bereich kann an anderer Stelle Auswirkungen auf die Sicherheit oder den Betrieb haben. Wenn es zu einem Vorfall kommt, zählt jede Minute. Die Sicherheitsverantwortlichen brauchen dann schnelle Antworten, nicht erst nach tagelanger manueller Rekonstruktion.

Herkömmliche Wiederherstellungsstrategien und -lösungen stoßen hier an ihre Grenzen. Sie sichern zwar die Daten, verfügen jedoch nicht über hinreichende Kontextinformationen zum Konfigurationsstatus, um eine zügige und zuverlässige Wiederherstellung zu ermöglichen.

Microsoft-365-Governance-Teams müssen im Ernstfall folgende Fragen schnell beantworten können:

• Was wurde geändert? Sie müssen nicht nur erkennen, dass sich etwas geändert hat, sondern auch die konkrete Konfiguration, Richtlinie, das Objekt oder die administrative Einstellung, um die es geht.

• Wann wurde die Änderung vorgenommen? Der Zeitpunkt ist sowohl für die Incident-Response als auch für die Abfolge der Wiederherstellungsmaßnahmen von Bedeutung.

• Wer hat die Änderung vorgenommen? Dies ist nicht nur für die Frage der Verantwortung entscheidend, sondern kann auch Hinweise geben, ob es sich um verdächtige oder versehentliche Aktionen handelt.

• Wurde die Änderung genehmigt? Hier tun sich viele Unternehmen nach wie vor schwer: Zu wissen, dass eine Änderung stattgefunden hat, ist nützlich. Zu wissen, ob sie beabsichtigt war, ist jedoch viel wertvoller.

• Wie sieht der gewünschte Zustand aus? Ohne diese Information wird die Wiederherstellung oft zu einer manuellen Neuinstallation.

• Können wir den Zustand schnell wiederherstellen? Und ebenso wichtig: Können wir nur das betroffene Element wiederherstellen, oder sind wir zu umfassenderen Korrekturmaßnahmen gezwungen, weil der ursprüngliche Zustand nicht mehr klar ist?

In sechs Schritten die M365-Resilienz verbessern

Sicherheitsverantwortliche und M365-Administratoren sollten folgende praxisnahe Schritte auf dem Weg zu einer höheren Widerstandsfähigkeit ihrer Microsoft-365-Umgebung in Erwägung ziehen:

1. Identifizieren Sie kritische Konfigurationen anhand ihrer Auswirkungen auf die Prozesse: Nicht jede Einstellung hat die gleiche Bedeutung. Beginnen Sie mit denjenigen, die einen wesentlichen Einfluss haben auf:

• Zugriff,

• Endpunkte,

• Messaging,

• Compliance,

• Zusammenarbeit,

• Servicekontinuität.

2. Verbessern Sie die Transparenz bei risikoreichen Änderungen: Sie müssen nicht gleich zu Beginn alles gleichermaßen im Blick behalten. Konzentrieren Sie sich zunächst auf die Änderungen, die die Sicherheit erheblich beeinträchtigen oder den Betrieb stören könnten.

3. Machen Sie aus „Erkennen von Veränderungen“ „Verstehen von Veränderungen“: Die bloße Benachrichtigung, dass sich „etwas geändert hat“, reicht nicht aus. Teams benötigen ausreichende Details, um zu verstehen, was sich geändert hat, warum dies von Bedeutung ist und ob Maßnahmen erforderlich sind.

4. Sichern Sie den Konfigurationsverlauf: Wenn eine wichtige Einstellung gelöscht oder geändert wird, sollten Sie sich bei der Wiederherstellung nicht auf Ihr Gedächtnis, Screenshots oder alte Administratornotizen verlassen.

5. Testen Sie den Wiederherstellungsprozess, bevor der Notfall eintritt: Diesen Schritt überspringen viele Unternehmen. Gehen Sie nicht davon aus, dass Ihr Team den Konfigurationszustand des Tenants wiederherstellen kann, nur weil die Plattform noch verfügbar ist. Überprüfen Sie den Prozess.

6. Beziehen Sie alle Beteiligten ein: Die Sicherheitsteams sind in aller Regel für die Risikoanalyse zuständig. Die Administrationsteams sind für die Maßnahmen auf Plattformebene verantwortlich. Die Teams für Geschäftskontinuität legen die Prioritäten für die Wiederherstellung der Dienste fest. Alle drei müssen in den Prozess zur Wiederherstellung einbezogen werden.

Oft werden Prävention und Wiederherstellung getrennt behandelt, als seien es unterschiedliche Disziplinen. Doch diese Betrachtungsweise ist unter Microsoft 365 längst überholt. Wenn legitime Administratorrechte missbraucht werden und durch einen zu weit gefassten Zugriffsbereich aus einer einzelnen böswilligen Aktion ein unternehmensweiter Vorfall wird, wird die Wiederherstellung der Tenant-Konfigurationen zum Teil der Sicherheitsarchitektur.

* Der Autor: Andrea Sivieri, Chief Product and Technology Officer von CoreView

(ID:50994230)