Veeam Data Cloud für Microsoft 365 Flex: Der praktische Leitfaden für Behörden

Behörden, die Veeam Data Cloud for Microsoft 365 Flex nutzen möchten, müssen wichtige Einschränkungen kennen. Tatsächlich wird das Backup eines Microsoft 365-Mandanten nicht unterstützt, wenn die ursprüngliche Domain der Organisation geändert wurde. Darüber hinaus bietet die Lösung keine Unterstützung für Microsoft-Organisationen in US Government GCC High-Regionen, während Express-Backups in GCC-Regionen ebenfalls nicht verfügbar sind.

Für öffentliche Einrichtungen und Bildungsorganisationen ist es besonders wichtig, diese technischen Grenzen zu verstehen. Für optimale Leistung empfiehlt Veeam beispielsweise, nicht mehr als 300.000 Dateien in einem einzelnen OneDrive zu speichern. Ebenso wichtig zu wissen: Veeam Data Cloud for Microsoft 365 unterstützt maximal 2 parallele Wiederherstellungsvorgänge. Dieser Leitfaden behandelt alle wichtigen Aspekte, von den grundlegenden Einschränkungen bis hin zu spezifischen Backup-Strategien und Wiederherstellungsoptionen für Behörden.

Voraussetzungen und Einschränkungen für Behörden

Öffentliche Einrichtungen benötigen besondere Lösungen für ihre Datensicherung. Veeam Data Cloud for Microsoft 365 Flex (Public Sector and Education) wurde speziell für Behörden, kommunale Einrichtungen, Schulen und Hochschulen konzipiert. Diese maßgeschneiderte Lösung berücksichtigt die besonderen Anforderungen im öffentlichen Dienst und im Bildungsbereich. Allerdings müssen einige wichtige Voraussetzungen und Einschränkungen beachtet werden.

Unterstützte Microsoft 365-Dienste

Veeam Data Cloud for Microsoft 365 Flex (Public Sector and Education) konzentriert sich auf die Sicherung der wichtigsten Collaboration-Dienste. Konkret werden folgende Kerndienste unterstützt:

• Exchange Online: Sicherung von Postfächern, E-Mails und Anhängen
• SharePoint Online: Backup von Sites, Listen und Dokumentbibliotheken
• OneDrive for Business: Datensicherung persönlicher Cloud-Speicher
• Microsoft Teams: Sicherung von Kanälen, Tabs und Teaminhalten

Bemerkenswert ist, dass gemeinsame Postfächer (shared) und öffentliche Ordner ebenfalls in der Lizenzierung enthalten sind. Die Lösung wurde speziell für Microsoft 365-Businesspläne für Unternehmen entwickelt, nicht für Microsoft 365-Pläne für Privatanwender. Zu den Businessplänen zählen auch Pläne für Behörden, Bildungseinrichtungen und gemeinnützige Organisationen.

Nicht unterstützte Funktionen und Regionen

Trotz des umfassenden Funktionsumfangs gibt es einige wichtige Einschränkungen, die Behörden beachten müssen:

1. Regionale Einschränkungen:

   • Veeam Backup for Microsoft 365 unterstützt keine Microsoft 365-Organisationen in der Microsoft Entra Germany-Region
   • Der Microsoft Teams-Dienst wird für Organisationen in der Microsoft Entra China-Region nicht unterstützt
   • Team-Chat-Backups werden für Microsoft-Organisationen in den Regionen Microsoft Entra China, US Government DOD und US Government GCC High nicht unterstützt

2. Funktionale Einschränkungen:

   • Das Backup dynamischer Verteilungsgruppen wird für Microsoft 365-Organisationen mit moderner App-only-Authentifizierung nicht unterstützt
   • E-Mail-Benachrichtigungen über Backup- und Backup-Copy-Job-Ergebnisse funktionieren in der Microsoft Entra China-Region möglicherweise nicht korrekt
   • IPv6 wird für die Microsoft Entra China-Region nicht unterstützt

Außerdem funktioniert das Backup eines Microsoft 365-Mandanten nicht, wenn die Standarddomäne (fallback domain) der Organisation geändert wurde.

Besonderheiten bei der Authentifizierung

Bei der Authentifizierung gibt es mehrere Besonderheiten, die für Behörden relevant sind:

Veeam Data Cloud for Microsoft 365 Flex nutzt die Microsoft-Einzelanmeldung mit Multi-Faktor-Authentifizierung (MFA). Dies erhöht die Sicherheit erheblich und entspricht den Anforderungen vieler Behörden an sichere Zugangslösungen.

Wichtig zu beachten ist allerdings:

• Das Hinzufügen von Microsoft 365-Organisationen mit modernen Authentifizierungsmethoden, bei denen Legacy-Protokolle erlaubt sind, wird nicht unterstützt
• Bei Organisationen mit mehreren Domains müssen diese als Mesh konfiguriert werden, um mit dem Dienstkonto domainübergreifend auf Inhalte zugreifen zu können

Falls einer der Rechner mit Veeam Backup for Microsoft 365-Komponenten umbenannt wurde (oder sein FQDN geändert wurde) oder ein Rechner zu einer anderen Domäne hinzugefügt wurde, werden alle Komponenten für einander unzugänglich.

Besonders vorteilhaft für Behörden ist die Möglichkeit, selbst festzulegen, in welcher Region die Sicherungen gespeichert werden. Veeam Data Cloud for Microsoft 365 Flex-Backup-Daten werden in einem virtuell luftdichten Bereich gespeichert, der von Veeam in Microsoft Azure gehostet wird. Diese Umgebung ist sowohl von Microsoft 365 als auch von der Kundeninfrastruktur isoliert und entkoppelt. Diese Flexibilität ermöglicht es den Behörden, Aufbewahrungsrichtlinien zu definieren, die ihren spezifischen Compliance-Vorgaben, Datenschutzanforderungen und gesetzlichen Regularien entsprechen.

Für öffentliche Einrichtungen bietet dieser spezielle Tarif eine ideale Kombination aus operativem Backup, rechtssicherer Aufbewahrung und Disaster-Recovery-Funktionen in einem zentralen Service, der auf die Haushalts- und Budgetvorgaben öffentlicher Einrichtungen abgestimmt ist[23].

Backup-Strategien mit Veeam Data Cloud Flex

Die praktische Anwendung der Veeam Data Cloud für Microsoft 365 erfordert ein durchdachtes Backup-Konzept. Behörden müssen zunächst entscheiden, welches Modell ihren Anforderungen entspricht und wie Backup-Policies optimal strukturiert werden können.

Unterschied zwischen Flex und Express Backup

Veeam Data Cloud bietet drei unterschiedliche Tarife für Microsoft 365-Backups – Flex, Express und Premium, die jeweils unterschiedliche Anwendungsfälle bedienen. Für Behörden ist besonders der Flex-Tarif relevant, der als Nachfolger des bisherigen Backup-Service von Veeam konzipiert wurde.

Flex zeichnet sich durch folgende Merkmale aus:

• Vollständige Kontrolle über die Datensicherung mit anpassbaren Aufbewahrungsfristen
• Granulare Wiederherstellungsmöglichkeiten und Datenexportoptionen
• Umfassender Schutz für Teams, Exchange, SharePoint und OneDrive
• Ideale Lösung für Behörden, die granularen Schutz benötigen

Im Gegensatz dazu nutzt der Express-Tarif den Microsoft 365 Backup Storage für äußerst schnelle Sicherungs- und Wiederherstellungsvorgänge ohne Drosselung. Dieser Tarif konzentriert sich auf:

• Blitzschnelle Backups und skalierbare Massenwiederherstellungen
• Fokus auf Exchange, SharePoint und OneDrive – ohne Teams-Unterstützung
• Besonders geeignet für schnelle Wiederherstellungen nach Cyberangriffen

Der Premium-Tarif kombiniert alle Funktionen von Flex und Express und ermöglicht Behörden, die 3-2-1-Regel von Backup-Best-Practices zu erfüllen.

Empfohlene Aufteilung nach Diensten

Bei der Konfiguration von Backup-Policies empfiehlt Veeam ausdrücklich, nicht alle Daten in einer einzigen Policy zu sichern. Eine solche Vorgehensweise birgt Risiken wie einen Single Point of Failure, Managementkomplexität sowie Probleme bei Backup-Dauer und Wiederherstellung.

Stattdessen sollten Behörden als bewährte Praxis in den meisten Fällen mindestens zwei separate Backup-Policies erstellen:

• Backup-Policy 1: Exchange-Postfächer und Archiv-Postfächer
• Backup-Policy 2: OneDrive for Business, SharePoint Online und Teams

Bei komplexeren Backup-Anforderungen ist sogar eine Aufteilung in drei Policies empfehlenswert:

• Backup-Policy 1: Exchange-Postfächer und Archiv-Postfächer
• Backup-Policy 2: OneDrive for Business
• Backup-Policy 3: SharePoint Online und Teams

Wichtig: Es sollten nie mehr als ein oder zwei Backup-Policies gleichzeitig ausgeführt werden. Beispielsweise können Postfach- und Teams-Backups parallel laufen, da sie Daten unterschiedlicher Anwendungen verarbeiten. OneDrive- und SharePoint-Backups sollten dagegen niemals gleichzeitig ausgeführt werden, da OneDrive auf SharePoint aufbaut.

Backup-Policies für Exchange, OneDrive, SharePoint und Teams

Für eine einfachere Wartung sollten Backup-Policies für alle benutzerbasierte Dienste auf Benutzer- oder Gruppenobjekten basieren. Folgende Optionen stehen zur Verfügung:

1. Gesamte Organisation sichern: Diese Option sichert alle Objekte innerhalb der Microsoft-Organisation. Die Liste der zu sichernden Elemente wird automatisch aktualisiert, wenn Postfächer hinzugefügt oder gelöscht werden.

2. Teilweise Organisation sichern: Hierbei werden bestimmte Dienste wie Postfächer, Archiv-Postfächer, OneDrive, SharePoint-Sites oder Teams ausgewählt. Auch hier wird die Liste der zu sichernden Elemente automatisch aktualisiert.

3. Spezifische Objekte sichern: Diese Option erlaubt die Auswahl bestimmter Benutzer, Gruppen, SharePoint-Sites oder Teams.

Für Microsoft SharePoint Online wird empfohlen, die Anzahl der verarbeiteten SharePoint-Seiten innerhalb einer einzelnen Backup-Policy unter dem empfohlenen Maximum zu halten. Außerdem sollte geprüft werden, ob persönliche SharePoint-Sites tatsächlich geschützt werden müssen. Der Ausschluss dieser Sites kann die Backup-Zeiten und Performance-Auswirkungen erheblich reduzieren.

Besonders effizient ist die Verwendung dynamischer Entra ID-Gruppen für Backup-Policies. Diese werden automatisch aktualisiert, wenn Benutzer hinzugefügt oder entfernt werden – im Gegensatz zu einfachen Gruppen, die manuell aktualisiert werden müssen.

Während des ersten vollständigen Backups kann Microsoft aufgrund der hohen Last an Microsoft Exchange-Daten eine Drosselung des Datenverkehrs vornehmen. Um dies zu umgehen, kann die Microsoft Exchange-Drosselung im Microsoft 365 Admin Center vorübergehend deaktiviert werden.

Technische Empfehlungen für optimale Leistung

Für eine optimale Nutzung der Veeam Data Cloud müssen Behörden bestimmte technische Parameter und Einschränkungen berücksichtigen. Diese Empfehlungen helfen dabei, die bestmögliche Leistung zu erzielen und Probleme bei Backup-Vorgängen zu vermeiden.

Maximale Dateigrößen und Objekte

Bei der Planung von Backups ist zu beachten, dass ein SharePoint-Standort zwar als ein Objekt für die Dimensionierung der Veeam Data Cloud for Microsoft 365-Infrastruktur zählt, dies jedoch nicht immer die tatsächliche Belastung der Backup-Infrastruktur widerspiegelt. Beispielsweise erfordert eine SharePoint-Site mit 250.000 Dokumenten innerhalb einer Dokumentenbibliothek deutlich mehr Rechenressourcen als eine einfache 50-MB-Intranet-Site.

Behörden sollten daher folgende Empfehlungen beachten:

• Für optimale Leistung sollten nicht mehr als 300.000 Dateien in einem einzelnen OneDrive gespeichert werden
• Die von Microsoft angegebenen Grenzen für SharePoint Online sollten eingehalten werden
• OneDrive eignet sich nicht als Backup-Repositorium, da es eine Dateigrößenbeschränkung von 250 GB gibt

Stattdessen empfiehlt sich für Behörden die Nutzung geeigneter Cloud-Speicheroptionen wie Azure Blob Storage, Amazon S3 oder spezialisierter Dienste. Dies verhindert Probleme mit korrupten Backups und gewährleistet die Zuverlässigkeit der gesicherten Daten.

Microsoft Throttling verstehen und umgehen

Microsoft implementiert Drosselungsmechanismen (Throttling), um die Servicequalität für alle Kunden zu schützen. Diese Drosselung kann allerdings die Backup-Vorgänge erheblich verlangsamen[41]. Am häufigsten tritt dieses Problem beim ersten vollständigen Backup auf.

Die Drosselung lässt sich anhand folgender Anzeichen erkennen:

• HTTP-Antwortcodes wie 500 (Internal Server Error) oder 429 (Too Many Requests)
• Logeinträge mit "throttled [^0]" oder "TOO MANY REQUESTS (status: ProtocolError)"

Zur Umgehung der Drosselung können Behörden mehrere Maßnahmen ergreifen:

1. Für Exchange Online: Die EXO-Drosselung kann über das Microsoft 365 Admin Center für bis zu 90 Tage deaktiviert werden[41]. Allerdings beschränkt Microsoft den Datenverkehr weiterhin auf 150 MB pro Postfach alle 5 Minuten, selbst nach Deaktivierung der Drosselung[41].

2. Für SharePoint Online und OneDrive: Die Drosselung basiert auf dem Konto, das über die Microsoft Graph API auf die SPO-Ressourcen zugreift. Die verfügbaren API-Aufrufe und Bandbreite hängen von der Größe des Microsoft 365-Mandanten ab.

Um die Drosselung bei Exchange temporär aufzuheben, können Behörden folgende Schritte durchführen:

1. Im Microsoft 365 Admin Center mit Administratoranmeldedaten anmelden
2. Zu "Support" > "Hilfe & Support" navigieren
3. "EWS Throttling Policy Increase" in der Suchleiste eingeben
4. Tests ausführen und bei Bestätigung der Drosselung die Richtlinie für die ausgewählte Dauer lockern

Backup-Zeitplanung und gleichzeitige Ausführung

Eine durchdachte Backup-Zeitplanung ist entscheidend für die Leistungsoptimierung. Standardmäßig werden Backup-Richtlinien alle 24 Stunden ausgeführt und generieren Wiederherstellungspunkte. Behörden können jedoch eigene Zeitpläne erstellen und bearbeiten, sofern diese Option in ihrem Abonnement verfügbar ist.

Bei der Planung der Backup-Zeitpläne sollten folgende Aspekte beachtet werden:

• Es sollten nicht mehr als ein oder zwei Backup-Richtlinien gleichzeitig ausgeführt werden[41]
• Postfach- und Teams-Backup-Richtlinien können parallel laufen, da sie Daten unterschiedlicher Anwendungen verarbeiten[41]
• OneDrive- und SharePoint-Backup-Richtlinien dürfen niemals gleichzeitig ausgeführt werden, da OneDrive auf SharePoint aufbaut[41]

Für die Erstellung benutzerdefinierter Zeitpläne stehen verschiedene Optionen zur Verfügung:

• Einmalige Ausführung: Backup-Richtlinie wird nur einmal zu einer bestimmten Zeit ausgeführt
• Regelmäßige Ausführung: Backup-Richtlinie wird in festgelegten Stundenintervallen ausgeführt
• Backup-Fenster: Optional kann ein spezifischer Zeitraum festgelegt werden, in dem die Backup-Richtlinie ausgeführt werden soll

Die Startzeiten der Backup-Richtlinien werden dynamisch verwaltet, um die Systemleistung zu optimieren und einen zuverlässigen Service zu gewährleisten. Dabei wird stets sichergestellt, dass die vereinbarten RPOs (Recovery Point Objectives) eingehalten werden.

Wiederherstellungsoptionen im Detail

Die granulare Wiederherstellung bildet das Herzstück der Veeam Data Cloud for Microsoft 365 Flex-Lösung für Behörden. Jeder Microsoft 365-Dienst verfügt über spezifische Wiederherstellungsmöglichkeiten, aber auch über bestimmte Einschränkungen, die für eine erfolgreiche Datenrettung unbedingt zu beachten sind.

Exchange Online: Einschränkungen und Möglichkeiten

Bei Exchange Online bietet Veeam eine Aufbewahrungsdauer von 52 Wochen für Wiederherstellungspunkte, die alle 10 Minuten erstellt werden. Allerdings unterliegt die Wiederherstellung bestimmten Einschränkungen. So können Postfächer ausschließlich zu Postfächern desselben Typs wiederhergestellt werden – beispielsweise ein Benutzerpostfach zu einem Benutzerpostfach oder ein Archivpostfach zu einem Archivpostfach.

Beachtenswert ist zudem, dass Entwürfe nicht gesichert und folglich auch nicht wiederhergestellt werden können. Bei der Kalenderwiederherstellung aktualisiert die Wiederherstellung der Organisatorkopie nicht automatisch die Teilnehmerkopien. Stattdessen ermöglicht sie dem Organisator lediglich, künftige Updates für diesen Kalendereintrag zu versenden.

Behörden sollten beachten: Elemente, die in den Ordner "Gelöschte Elemente" verschoben wurden, werden nicht wiederhergestellt. Postfachbenutzer können diese Elemente selbst wiederherstellen, indem sie sie aus dem Ordner "Gelöschte Elemente" zurück in den Posteingang verschieben.

OneDrive for Business: Besonderheiten bei der Wiederherstellung

Bei OneDrive-Wiederherstellungen werden OneNote-Notizbücher nicht unterstützt. Als Workaround können Nutzer die benötigte OneNote-Datei auf ihren Computer herunterladen und anschließend auf ihre OneDrive- oder SharePoint-Site hochladen.

Für große Datenmengen bietet Veeam einen Hintergrund-Download an, allerdings mit einer Größenbeschränkung von maximal 200 GB für OneDrive for Business und SharePoint Online Daten. Wiederherstellungspunkte werden bei OneDrive alle 10 Minuten erstellt, mit einer Aufbewahrungsdauer von zwei Wochen. Zusätzlich werden einmal wöchentlich weitere Wiederherstellungspunkte erstellt, die 50 Wochen aufbewahrt werden.

SharePoint Online: Versionierung und Listenverhalten

Für SharePoint Online bietet Veeam Data Cloud zwei Wiederherstellungsmethoden: Flex Restore und Express Full Restore. Die verfügbaren Optionen hängen davon ab, welcher Backup-Richtlinientyp den Microsoft 365-Benutzer abdeckt, dessen Daten wiederhergestellt werden.

Einige SharePoint-spezifische Einschränkungen sind besonders zu beachten:

• Versionierungseinstellungen von SharePoint-Listen werden bei der Wiederherstellung nicht beibehalten
• Das Feld "Erstellt von" wiederhergestellter Dokumente wird mit dem Konto aktualisiert, das die Wiederherstellung durchführt
• Die Wiederherstellung von Generic List und Pages Library kann mit dem Fehler "No content type 'XXX' found in web YYY" fehlschlagen

Bei der Wiederherstellung von Listenelementen geht Veeam Data Cloud methodisch vor: Zunächst wird ein vorhandenes Element gelöscht, dann die neueste Version des Elements mit Daten aus dem Backup neu erstellt und schließlich überprüft, ob es als Datensatz deklariert ist.

Microsoft Teams: Wiederherstellung von Kanälen und Tabs

Die Wiederherstellung von Microsoft Teams-Daten ist nur für Nutzer der Flex- und Premium-Tarife verfügbar. Dies ist besonders relevant für Behörden, da Teams-Daten nur in die ursprüngliche Organisation wiederhergestellt werden können.

Für die Wiederherstellung eines Microsoft Teams-Kanal-Tabs sind folgende Schritte erforderlich:

1. Auf der Teams-Backups-Seite das Team erweitern, dessen Kanal-Tab wiederhergestellt werden soll
2. Den Kanal erweitern, dessen Tab wiederhergestellt werden soll, und "Other Tabs" auswählen
3. Den erforderlichen Tab in der Elementliste auswählen
4. Auf "Restore Selected Tab Item" klicken

Wichtig zu wissen: Bei der Wiederherstellung eines Kanal-Tabs bleibt die Beziehung zwischen dem Link zu einer auf dem Tab veröffentlichten Datei und der Datei selbst nicht erhalten. Nach der Wiederherstellung muss der Tab manuell mit der Datei verknüpft werden. Diese Einschränkung gilt nicht für die Wiederherstellung eines gesamten Teams.

Zudem werden Posts nicht an ihrem ursprünglichen Speicherort im Teamkanal wiederhergestellt. Stattdessen exportiert Veeam Data Cloud sie in eine HTML-Datei, erstellt einen separaten Tab im ursprünglichen Kanal und fügt die HTML-Datei diesem Tab hinzu.

Beachtenswert ist außerdem, dass bei der Wiederherstellung eines Teams ein umbenannter General-Kanal und dessen Inhalte nicht wiederhergestellt werden. Stattdessen wird während der Team-Wiederherstellung ein neuer leerer General-Kanal erstellt.

Sicherheits- und Compliance-Aspekte für Behörden

Sicherheit und Datenschutz stehen bei öffentlichen Einrichtungen besonders im Fokus. Veeam Data Cloud for Microsoft 365 Flex (Public Sector and Education) bietet umfassende Mechanismen, die speziell auf die strengen Compliance-Anforderungen von Behörden zugeschnitten sind.

Datenschutzkonformität mit Veeam Flex

Veeam verfolgt einen Zero-Trust-Ansatz, um die Sicherheit behördlicher Daten zu gewährleisten. Dieser umfasst mehrere Sicherheitsebenen, darunter die Verschlüsselung von Daten bei Übertragung und Speicherung, Multifaktorauthentifizierung sowie strenge Sicherheitskontrollen für Benutzer und Administratoren. Dadurch werden vertrauliche Bürgerdaten, Studierenden- und Forschungsdaten effektiv geschützt.

Besonders relevant für deutsche Behörden: Falls Sie EU-Kunde sind, können Sie einen Rechenzentrumsstandort innerhalb der EU Data Boundary von Microsoft wählen. Dies gewährleistet, dass die Daten in Europa bleiben und die europäischen Standards für Datenintegrität, -sicherheit und -schutz eingehalten werden. Darüber hinaus befinden sich die Backup-Daten an einem virtuell durch ein Air-Gap getrennten Ort, isoliert und entkoppelt von Microsoft 365 und der Kundeninfrastruktur.

Für zusätzlichen Schutz sorgen integrierte Sicherheitsmechanismen:

• Unveränderliche Backup-Kopien (Immutability), die physisch vom primären Backup getrennt sind
• Lokaler redundanter Speicher (LRS), bei dem drei Kopien der Kundendaten auf drei separaten Festplatten innerhalb der primären Azure-Region gespeichert werden
• Erweiterte Verschlüsselung für Microsoft 365-Daten im Ruhezustand in Objektspeichern

Veeam wurde zudem speziell im Hinblick auf die Einhaltung der Datenschutzvorschriften von Behörden entwickelt und implementiert zuverlässige Verschlüsselungsmethoden.

Aufbewahrungsfristen und Datenlöschung

Die Daten bleiben standardmäßig sieben Jahre lang in Ihrem Veeam Data Cloud-Backup gespeichert. Allerdings kann dieser Aufbewahrungszeitraum entsprechend den individuellen Anforderungen angepasst werden. Diese Flexibilität ermöglicht es Behörden, ihre eigenen Aufbewahrungsrichtlinien zu definieren und dabei lokale Gesetze, behördliche Vorgaben und interne Compliance-Richtlinien zu berücksichtigen.

Besonders wichtig für die langfristige Datenverwaltung: Veeam ermöglicht zur Einhaltung von behördlichen Bestimmungen und Compliance-Anforderungen die Speicherung Ihrer Daten so lange, wie es Ihre Richtlinien für die Langzeitaufbewahrung vorsehen. Hiermit können öffentliche Einrichtungen gesetzliche Archivierungspflichten und interne Aufbewahrungsrichtlinien problemlos erfüllen.

Nach Ablauf der festgelegten Aufbewahrungsfrist werden die Daten automatisch gelöscht, was den Lebenszyklus der Daten gemäß den Anforderungen der DSGVO regelt und unnötige Speicherkosten vermeidet.

Rollenbasierte Wiederherstellung und Zugriffskontrolle

Ein wesentlicher Aspekt der Sicherheitsarchitektur von Veeam Data Cloud for Microsoft 365 Flex ist die rollenbasierte Zugriffskontrolle. Diese ermöglicht es Behörden, den Zugriff auf sensible Daten präzise zu steuern und nur autorisierten Personen bestimmte Wiederherstellungsaktionen zu erlauben.

Durch die rollenbasierte Wiederherstellung können verschiedene Administratorrollen mit unterschiedlichen Berechtigungen definiert werden. Beispielsweise können bestimmte Mitarbeiter nur für die Wiederherstellung von Exchange-Postfächern zuständig sein, während andere Zugriff auf SharePoint-Daten haben. Dies entspricht dem Prinzip der geringsten Berechtigung und minimiert das Risiko unbefugter Datenzugriffe.

Zusätzlich bietet Veeam granulare Recovery-Funktionen, die es ermöglichen, einzelne E-Mails, Dateien, Ordner oder ganze Postfächer und Sites gezielt wiederherzustellen, wenn Inhalte versehentlich gelöscht, überschrieben oder im Rahmen eines Sicherheitsvorfalls kompromittiert wurden. Diese Flexibilität gewährleistet, dass Behörden schnell und effizient auf Datenverlustszenarien reagieren können, ohne dabei die Sicherheit zu beeinträchtigen.

Grundsätzlich stellt Veeam sicher, dass die Datensicherheit während des gesamten Backup- und Wiederherstellungsprozesses gewahrt bleibt – von der Erfassung der Daten bis zur endgültigen Löschung nach Ablauf der Aufbewahrungsfrist.

Best Practices für öffentliche Einrichtungen

Bei der Implementierung von Veeam Data Cloud for Microsoft 365 Flex können öffentliche Einrichtungen durch gezielte Optimierungen die Effizienz deutlich steigern. Folgende bewährte Verfahren haben sich in der Praxis besonders bewährt.

Verwendung dynamischer Entra ID-Gruppen

In größeren Behördenumgebungen sollten Backup-Gruppen auf dynamischen Entra ID-Gruppen basieren. Dieser Ansatz verhindert wirksam, dass Benutzer versehentlich übersehen werden. Im Gegensatz zu statischen Gruppen aktualisieren sich dynamische Gruppen automatisch, wenn Mitarbeiter hinzugefügt oder entfernt werden. Dadurch entfällt die Notwendigkeit einer manuellen Aktualisierung der Gruppenmitgliedschaften.

Für SharePoint- und Teams-Backups müssen allerdings zusätzlich objektbezogene Konfigurationen berücksichtigt werden, da hier nicht nur Benutzerobjekte relevant sind. Die zugehörigen SharePoint-Sites sowie Teams-Kanäle und -Inhalte erfordern entsprechende Backup-Konfigurationen.

Vermeidung von Performance-Engpässen

Die Thread-Anzahl ist ein entscheidender Faktor für die Performance. Obwohl theoretisch zwischen 1 und 256 Threads möglich sind, führen zu hohe Werte häufig zu übermäßiger RAM- und CPU-Auslastung. Außerdem steigt das Risiko, dass Microsoft-Drosselungsmechanismen die Anfrage- und Datenverarbeitungsrate stark einschränken.

Neben der verfügbaren Bandbreite spielen auch die Microsoft-seitigen Einschränkungen eine wesentliche Rolle. Um Engpässe zu vermeiden, sollten Behörden daher:

• Backup-Zeiten außerhalb der normalen Arbeitszeiten planen, wenn die Zugangspunkte weniger belastet sind
• Backup-Jobs mit gleichen Diensten auf einem Proxy-Server konsolidieren
• Separate Repositorys oder Unterordner für jeden Dienst erstellen

Empfohlene Backup-Policy-Struktur für Behörden

Für öffentliche Einrichtungen empfiehlt sich von Anfang an eine klare Trennung der Dienste in individuelle Repositorys und separate Proxys. Diese vorausschauende Strukturierung ermöglicht es, die entsprechenden Backup-Daten mittels der Backup-APIs auf Microsoft-Seite zu separieren.

Selbst wenn aktuell eine Umgebungsmigration stattfindet oder künftiges Wachstum geplant ist, sollten mehr Repositorys pro Dienst erstellt werden, als zunächst erforderlich. Diese Vorsortierung erleichtert das Management und verhindert spätere Umstrukturierungen.

Ein weiterer Vorteil der Parallelisierung von Backup-Jobs liegt in ihrer Unabhängigkeit im Fehlerfall. Sollte ein Problem innerhalb einer Datenstruktur auftreten, beeinträchtigt dies nicht die gesamte Backup-Strategie, sondern nur den betroffenen Teilbereich.

Systemanforderung

Die technische Grundlage für einen reibungslosen Betrieb von Veeam Data Cloud for Microsoft 365 Flex umfasst mehrere Komponenten mit spezifischen Anforderungen. Behörden sollten diese bereits in der Planungsphase berücksichtigen, um optimale Performance zu gewährleisten.

Für die Hardware benötigt die Veeam Backup-Lösung mindestens 8 GB RAM für Exchange und OneDrive oder 16 GB RAM für SharePoint. Bei virtuellen Maschinen mit dynamischer Speicherzuweisung sind mindestens 32 GB RAM erforderlich. Zudem wird ein Vier-Kern-Prozessor mit 2,0 GHz oder mehr vorausgesetzt. Für optimale Leistung empfehlen sich SSD-Laufwerke mit mindestens 5000 IOPS.

Auf der Software-Seite unterstützt die Lösung 64-Bit-Versionen verschiedener Windows-Betriebssysteme. Für Backup-Proxy-Server kommen zusätzlich bestimmte Linux-Distributionen in Frage. Die Konfiguration und Cache-Datenbank kann auf PostgreSQL basieren, wobei diese nicht mit anderen Diensten geteilt werden sollte.

Bemerkenswert ist, dass die Drosselungsrichtlinien für Exchange Online nicht in der Microsoft 365-Oberfläche verwaltet werden können. Außerdem muss bei bereits installierten PostgreSQL-Instanzen die Standard-Postgres-Datenbank vorhanden sein, da Veeam Backup für Microsoft 365 eine Verbindung zu dieser Datenbank herstellt, um auf die Konfigurationsdatenbank zuzugreifen.

Hinsichtlich der Lizenzierung verbraucht jedes geschützte Benutzerkonto eine Veeam Data Cloud for Microsoft 365-Lizenz. Dies umfasst Exchange Online-Postfächer, OneDrive for Business-Konten und persönliche SharePoint Online-Websites. Unter dem Flex-Plan deckt eine Lizenz Postfach, OneDrive-Konto und SharePoint-Seite eines Benutzers ab, für die innerhalb der letzten 31 Tage mindestens ein Wiederherstellungspunkt erstellt wurde. Wenn ein Objekt 31 Tage lang nicht gesichert wurde, wird seine Lizenz automatisch widerrufen.

Einige Objekte wie Microsoft Teams, Gruppen- und nicht-persönliche SharePoint-Websites sowie freigegebene Postfächer ohne zugewiesene Microsoft 365-Lizenz verbrauchen hingegen keine separate Lizenz. Gleiches gilt für externe SharePoint-Benutzer und Gast-Teams-Benutzer.

Nach Ablauf der Lizenzen ohne Erneuerung behandelt Veeam Data Cloud die gesicherten Daten gemäß der Veeam Data Cloud Service-Vereinbarung.