Erst ein Recovery-Drill zeigt, ob Microsoft 365 Backup im Ernstfall trägt

Viele Organisationen stecken Geld in Backups, doch ob das Konzept etwas taugt, erfährt man erst bei einer erfolgreichen Wiederherstellung. In den vergangenen Wochen habe ich in mehreren Kundenumgebungen gezielt Recovery-Drills mit Microsoft 365 Backup durchgeführt und dabei mehr gelernt als in jeder Produktdemo. Microsofts eigene Backup-Lösung für OneDrive, SharePoint und Exchange nimmt einem viel Arbeit ab. Wo es in der Praxis hakt, sieht man trotzdem erst bei einem echten Restore-Test.

Wiederherstellungen setzen die Rolle „Backup Administrator“ voraus

Alle Backup- und Restore-Aufgaben beginnen im Microsoft 365 Admin Center → Einstellungen → Microsoft 365 Backup. Wer Daten wiederherstellen will, braucht die Rolle „Backup Administrator“, die im Rollenmanagement von Entra ID zugewiesen werden muss. Ohne diese Rolle bekommt man zwar die Backup-Übersicht zu sehen, aber keine Restore-Optionen. Gegenüber früheren Drittanbieter-Tools, die oft weit mehr Berechtigungen verlangten, ist das ein klarer Fortschritt.

Die Restore-Möglichkeiten sind nach Workload getrennt. OneDrive, SharePoint und Exchange haben jeweils eigene Restore Points, die auf regelmäßigen Snapshots beruhen. Frühere Versionen findet man erfreulich schnell, nicht zuletzt weil die Oberfläche alle verfügbaren Wiederherstellungspunkte auf einer Zeitleiste anzeigt. Für einen aussagekräftigen Test sollte man die granulare Auswahl nutzen und beispielsweise einzelne SharePoint-Sites oder Postfächer wiederherstellen statt gleich ganzer Tenants.

Für Testläufe ist Express Restore die sicherere Wahl

Microsoft 365 Backup bietet bei der Wiederherstellung zwei Wege an: Express Restore an einen neuen Speicherort oder die In-Place-Wiederherstellung. Bei Express Restore landen die Daten, etwa ein komplettes Postfach, ein OneDrive oder eine Site Collection, an einem separaten Ort. So lassen sich Stände vergleichen oder Inhalte gezielt zurückspielen, ohne dass produktive Daten überschrieben werden. Die In-Place-Wiederherstellung ersetzt dagegen den aktuellen Stand durch das gewählte Backup. Im Notfall ist genau das gewollt, für einen Drill ist es meist zu riskant. Bei Testläufen rate ich deshalb grundsätzlich zur Express-Variante.

Tipp aus der Praxis: Passen Sie nach dem Express Restore sofort die Zugriffsrechte für den neuen Speicherort an. Sonst liegen Daten womöglich offen und können von Unbefugten eingesehen werden.

Aufschlussreich war der unterschiedliche Zeitbedarf. Ein mittelgroßes Exchange-Postfach war bei mir nach wenigen Minuten wiederhergestellt, bei einer umfangreichen SharePoint-Site kann durchaus eine halbe Stunde vergehen. Mit solchen Messwerten lässt sich das Zeitfenster für den Ernstfall realistisch einschätzen und das Runbook entsprechend anpassen.

Ein Recovery-Drill folgt bei mir immer demselben Ablauf

Bevor der erste Wiederherstellungstest startet, sollte schriftlich festgehalten sein, mit welchen Ressourcen, Restore Points und Zielorten gearbeitet wird. Ich gehe in der Regel so vor:

• Testbenutzer bzw. Test-Site auswählen
• passenden Restore Point bestimmen, z. B. aus der Vorwoche
• Express Restore an einen neuen Speicherort ausführen
• Datenintegrität und Zugriffsrechte prüfen
• Dauer messen und den Ablauf dokumentieren

Die genaue Menüfolge kann sich ändern, grundsätzlich ist der Prozess im Microsoft 365 Admin Center aber sehr geradlinig. Wer den Ablauf protokollieren möchte, macht am besten Screenshots und notiert alle vergebenen Berechtigungen. Spätestens beim nächsten Audit zahlt sich das aus.

Das folgende vereinfachte Diagramm zeigt, wie ein Recovery-Drill mit Microsoft 365 Backup abläuft:

flowchart TD
  start["Backup Admin startet Drill"] --> select["Restore Point auswählen"]
  select --> express["Express Restore auswählen"]
  express --> target["Neuer Speicherort festlegen"]
  target --> execute["Wiederherstellung durchführen"]
  execute --> verify["Daten & Rechte prüfen"]
  verify --> doc["Ablauf dokumentieren"]

Abbildung: Ablauf eines Recovery-Drills mit Microsoft 365 Backup

Kosten und Runbook verdienen beim Drill genauso viel Aufmerksamkeit

Microsoft 365 Backup wird nach dem Pay-as-you-go-Modell abgerechnet. Restore-Vorgänge und belegter Speicher erscheinen also monatlich auf der Rechnung, so weist es das Admin Center derzeit aus. Viele Unternehmen schätzen das, weil sie ohne große Vorabinvestition flexibel bleiben. Nach meiner Erfahrung sollte man die Kosten trotzdem regelmäßig prüfen, vor allem wenn häufiger Recovery-Drills laufen. Das Backup-Dashboard listet erfolgreiche wie fehlgeschlagene Wiederherstellungen auf, und wer was ausgelöst hat, lässt sich dort sauber nachvollziehen.

In ein vollständiges Runbook gehören die Rollenvergabe über Entra ID, die Auswahl der Restore Points und der Zugriff darauf, die Entscheidung zwischen Express und In-Place Restore, die Rechtekontrolle nach der Wiederherstellung sowie die gemessene und dokumentierte Dauer. Einen Testlauf pro Quartal halte ich für Pflicht, denn nur so erkennt man rechtzeitig, wo es im Ernstfall klemmen würde.

Wie Einrichtung und erste Wiederherstellung im Detail funktionieren, beschreibe ich in meinem Beitrag zur allgemeinen Verfügbarkeit von Microsoft 365 Backup. Weitere Informationen liefern die offizielle Backup-Übersicht und die Restore-Dokumentation von Microsoft.

Ein regelmäßiger Drill macht das Runbook belastbar

Papier ist geduldig. Ob ein Backup im Ernstfall tatsächlich hilft, weiß man erst nach einem sauberen Recovery-Test. In vielen Tenants, die ich betreue, war das Runbook nach dem ersten Drill spürbar ausgereifter als vorher. Fehlende Berechtigungen, eine schleppende Rechtevergabe oder unerwartete Kosten fallen eben erst beim Testen auf. Wer Microsoft 365 Backup einsetzt, sollte es deshalb nicht bei der Einrichtung belassen und in festen Abständen eine kontrollierte Wiederherstellung durchspielen. Das schafft Sicherheit und ist die beste Vorbereitung auf den Tag, an dem es wirklich darauf ankommt.