Bei Cloud-Diensten wie Microsoft Entra ID (ehemals Azure Active Directory) gehen viele davon aus, dass Microsoft alles von der Sicherheit bis zur Datensicherung übernimmt. Tatsächlich haben Unternehmen immer noch ihre eigenen Verantwortlichkeiten. Das Microsoft Shared Responsibility Model ist ein grundlegendes Framework, das klar erläutert, welche Rollen Microsoft übernimmt, und welche in den Verantwortungsbereich des Unternehmens fallen.
In diesem Blog erfahren Sie alles, was Sie über das Modell der geteilten Verantwortung wissen müssen, und lernen die Rollenverteilung zwischen Ihrem Unternehmen und Microsoft für die wichtigsten Komponenten kennen. Wir beschreiben auch die wichtigsten Verfahren für die Berücksichtigung dieses Modells in der Microsoft Entra ID-Datensicherungsstrategie Ihres Unternehmens und erklären, wie Veeam Sie dabei unterstützen kann, bestehende Lücken zu schließen.
Da die Branche immer mehr übergeht, cloudbasierte Software-as-a-Service (SaaS)-Lösungen in ihre Geschäftsabläufe zu integrieren, ist das Konzept der gemeinsamen Verantwortung („Shared Responsibility“) heute wichtiger denn je. Zu wissen, wo die Rolle von Microsoft endet ,und wo Ihre beginnt, ist die Grundlage für den Schutz Ihres Entra ID-Mandanten. Lassen Sie uns diese Aufteilung der Verantwortung durchgehen.
Primäre Verantwortung
Verantwortung von Microsoft
Die Hauptaufgabe von Microsoft in der Entra ID-Umgebung besteht darin, die Verfügbarkeit und die betriebliche Integrität der Plattform zu gewährleisten. Das bedeutet, dass Sie sicherstellen müssen, dass die Infrastruktur weltweit einsatzfähig bleibt, dass Benutzer ordnungsgemäß authentifiziert werden und dass der Zugriff über Anwendungen hinweg möglich ist. Als Cloud-Anbieter verwaltet Microsoft die physischen Hosts, Netzwerke und Rechenzentren am Backend.
Ihre Verantwortung
Alternativ ist Ihr Unternehmen in erster Linie für die Verwaltung von Identitätslebenszyklen, Zugriffsrichtlinien und Governance verantwortlich. Selbst bei einer cloudbasierten Plattform bleiben Sie für die Konfiguration und Verwaltung der Identitäten in Ihrer Umgebung verantwortlich.
Was ist mit Ihren Daten? Ein weit verbreiteter Irrglaube bei SaaS-Anwendungen ist, dass „cloudbasiert“ automatisch bedeutet, dass sie vollkommen sicher und geschützt sind. Aber das ist nicht wirklich der Fall. Während Microsoft die Plattform verwaltet, die Ihre Daten verarbeitet, liegt die Verantwortung für die Verfügbarkeit, Integrität und angemessene Nutzung der Daten bei Ihrem Unternehmen. Die Wahrung der Datenresilienz von Entra ID ist von entscheidender Bedeutung dafür, das ordnungsgemäße Management und die Konfiguration von Identitäten zu unterstützen, und um vor Datenvorfällen geschützt zu bleiben.
Während Microsoft die Plattform verwaltet, die Ihre Daten verarbeitet, liegt die Verantwortung für die Verfügbarkeit, Integrität und angemessene Nutzung der Daten bei Ihrem Unternehmen.
Unterstützende Technologie
Verantwortung von Microsoft
Microsoft hat die Entra ID-Plattform mit Funktionen ausgestattet, die die Verfügbarkeit der Plattform durch Redundanz und Failover-Infrastruktur sicherstellen. Diese plattformunterstützenden Technologien erstrecken sich jedoch nicht auf Entra ID-Daten. Zum Beispiel: Mit Redundanz werden die Änderungen der Benutzer auf allen Replikaten dupliziert. Das bedeutet, dass ein Fehler, der bei einer Version gemacht wird, für alle Versionen gilt.
Microsoft investiert auch intensiv in die Resilienz der Entra ID-Plattform, indem es ein robustes Backup-Authentifizierungssystem unterhält, um die Servicekontinuität zu gewährleisten. Diese Technologien eignen sich hervorragend, um die Plattform zu pflegen und einen reibungslosen Ablauf zu gewährleisten. Aber wenn es um den Schutz Ihres Entra ID-Mandanten geht, müssen Sie für den Fall, dass etwas nicht funktioniert, Vorkehrungen zur Sicherstellung der Business Continuity treffen.
Ihre Verantwortung
Während Microsoft eine kontinuierlich verfügbare Plattform für Entra ID bereitstellt, steuert Ihr Unternehmen das Schiff von dort aus. Richtlinien für den bedingten Zugriff, Rollenzuweisungen und andere Identitätseinstellungen sind nur dann wirklich effektiv, wenn sie auf die Sicherheitsanforderungen Ihres Unternehmens zugeschnitten sind.
Dennoch sind auch die ausgefeiltesten Konfigurationen angreifbar, wenn sie nicht wiederhergestellt werden können. Eine versehentliche Löschung oder eine Fehlkonfiguration kann sich erheblich auf die Business Continuity auswirken.
„Aber was ist mit dem Papierkorb?“ Das kann meine Entra ID-Daten wiederherstellen.“
Hier ist der Haken: Der systemeigene Papierkorb von Entra ID ermöglicht die Wiederherstellung von „weich“ gelöschten Objekten nur für 30 Tage. Das mag zwar als ausreichend erscheinen, aber der Microsoft Defense Report 2024 stellt fest, dass es im Durchschnitt 207 Tage dauern kann, einen Datenvorfall zu entdecken und zu beheben. Aufgrund der begrenzten Aufbewahrungszeit des systemeigenen Papierkorbs ist es sehr wahrscheinlich, dass die Daten nicht mehr wiederhergestellt werden können, wenn Sie ein mögliches Problem erkannt haben. Dann müssen alle kritischen Daten manuell neu konfiguriert werden, was Sie erheblich zurückwerfen kann. Es ist ein weit verbreiteter (und riskanter) Irrglaube, dass der Papierkorb eher ein Wiederherstellungsplan als eine grundlegende Sicherung ist. Und wenn es um Fehlkonfigurationen geht, ist keine native Wiederherstellung auf einen bestimmten Zeitpunkt möglich, das heißt, alle erkannten Fehlkonfigurationen müssen manuell in den korrekten Zustand zurückversetzt werden. Ohne ein Entra ID-Backup sind Löschungen und Fehlkonfigurationen oft ein zeitaufwändiger und fehleranfälliger Prozess.
So wie Microsoft seine Infrastruktur sichert, um seine Verpflichtungen aus dem Shared Responsibility Model zu erfüllen, muss auch Ihr Unternehmen handeln. Microsoft fördert Best Practices für die Wiederherstellbarkeit , die vorschlagen, dass Unternehmen proaktiv Prozesse für die Wiederherstellung ihres Tenants in einen funktionierenden Zustand entwickeln. Dieses optimale Niveau der Wiederherstellbarkeit von Entra ID-Daten kann nur mit einer geeigneten Backup-Lösung erreicht werden.
Sicherheit
Verantwortung von Microsoft
Wenn es um Sicherheit geht, ist Microsoft für den Schutz seiner Rechenzentren, Netzwerke und der Entra ID-Plattform verantwortlich. Sie setzen verschiedene Schutzmechanismen ein, um Angriffe wie Distributed Denial of Service (DDoS) auf Server zu verhindern. Beachten Sie, dass Microsoft eine begrenzte Verschlüsselung von Entra ID-Daten bietet, allerdings nur, wenn diese Daten in Azure-Rechenzentren gespeichert sind.
Ihre Verantwortung
In Ihrem Unternehmen obliegt es Ihrer IAM-Strategie, Sicherheitslücken zu schließen und die Identität Ihrer Benutzer zu schützen. Dazu gehören die weitere Verschlüsselung der Daten während der Übertragung und die Verwaltung der von Microsoft bereitgestellten Verschlüsselungsschlüssel im Ruhezustand. Darüber hinaus ist Ihr Unternehmen für die Sicherheit Ihrer gespeicherten Identitäten und der damit verbundenen Identitätseinstellungen verantwortlich. Um den bestmöglichen Schutz der Entra ID-Daten zu erreichen, sollte Ihr Unternehmen eine umfassende Backup-Lösung einsetzen, um die Sicherheitslücke zu schließen.
Vorschriften
Verantwortung von Microsoft
Microsofts Rolle bei der Verwaltung der Entra ID-Compliance liegt in der regulatorischen Wartung der Plattform. Sie stellen sicher, dass die Anwendung im Backend konform ist, sind aber nicht dafür verantwortlich, dass die Daten Ihres Unternehmens konform sind.
Ihre Verantwortung
In Entra ID fungiert Microsoft als Datenverarbeiter, und Ihr Unternehmen ist der Datenverantwortliche. Sie tragen die Verantwortung für die Einhaltung der branchenspezifischen Vorschriften und internen Richtlinien, die vorschreiben, wie Ihre Identitätsdaten erfasst, verwendet, gespeichert und geschützt werden. Sie sind auch direkt für die Verwaltung von Aufbewahrungsrichtlinien und den Export von Protokollen für Auditing-Zwecke verantwortlich. Entra ID-Backups machen durch die einfache Abrufbarkeit der Entra ID-Protokolle die Vorbereitung auf Audits zu einem optimierten Prozess. Damit entfällt die Notwendigkeit, in letzter Minute noch die notwendigen Daten zu sammeln, bevor die Prüfung ansteht.
Beispiele für die gemeinsame Verantwortung bei Entra ID
Das Verständnis der Rolle Ihres Unternehmens als Eigentümer Ihrer Entra ID-Daten ist wichtig, um Missverständnisse zu vermeiden, Sicherheitslücken zu schließen und beide Seiten des Shared Responsibility Model aufeinander abzustimmen. Microsoft stellt zwar nützliche Tools in Entra ID zur Verfügung, aber sie funktionieren nicht als vollständige Sicherungs- und Wiederherstellungslösungen. Um besser zu verstehen, wie diese gemeinsame Verantwortung in der Praxis aussieht, werden wir einige Szenarien untersuchen, in denen Schwachstellen in Ihrer Strategie zum Schutz von Identitätsdaten entstehen können. Die folgenden Beispiele verdeutlichen die Lücken im nativen Schutz von Microsoft Entra ID und zeigen, warum zusätzliche Schritte für die Business Continuity und die Einhaltung von Vorschriften ein Muss sind.
Löschungen: Wenn Microsoft Entra ID-Objekte versehentlich oder von einem bösen Akteur gelöscht werden, können die Auswirkungen bestimmte Geschäftsfunktionen zum Erliegen bringen.
Stellen Sie sich Folgendes vor: eine Microsoft 365-Gruppe wird versehentlich gelöscht, und die Benutzer innerhalb der Gruppe verlieren schließlich den Zugang zu gemeinsamen Postfächern, Teams und SharePoint-Sites. Bis die IT-Administratoren das Problem gefunden haben, hat das Gruppenobjekt die 30-tägige Frist für die sanfte Löschung überschritten und ist nun für immer verloren. Ohne ein Backup ist es ein langwieriger Prozess, die Gruppe und alle anderen zugehörigen Richtlinien wiederherzustellen.
Selbst im Falle einer rechtzeitigen Erkennung und Wiederherstellung der Gruppe werden einige damit verbundene Abhängigkeiten wie Rollenzuweisungen nicht im Papierkorb aufbewahrt und sind sofort unwiederbringlich, sodass eine manuelle Neukonfiguration erforderlich ist, um diese Lücken in der Funktionalität zu schließen.
Fehlkonfigurationen: Wenn Sie neue Konfigurationen in Ihrer Entra ID Umgebung vornehmen, weist Microsoft darauf hin, dass es in Ihrer Verantwortung liegt, die vorgenommenen Änderungen zu überwachen und aufzuzeichnen. Im Idealfall wird die Wahrscheinlichkeit von Konfigurationsfehlern durch diese Praktiken gemindert, aber dennoch: Unfälle oder externe Bedrohungen können vorkommen.
Stellen Sie sich das vor: Ein Cyberangriff verschafft einem böswilligen Akteur Zugriff auf die Entra ID Umgebung Ihres Unternehmens. Sobald er eingedrungen ist, konfiguriert er Ihre Richtlinien für den bedingten Zugriff neu, um alle Benutzer außer sich selbst zu blockieren. Legitime Benutzer und Administratoren werden für eine unbekannte Zeitspanne von der Umgebung Ihres Unternehmens ausgesperrt. Dies wird zu einer sehr realen Bedrohung für Unternehmen, da es täglich über 600 Millionen identitätsbasierte Angriffe gibt.
Da es keine echte native Versionskontrolle oder Rollback-Funktionen für Konfigurationen gibt, müssen frühere Einstellungen manuell neu konfiguriert oder zugewiesen werden. Dieser Prozess kann je nach Ausmaß des Vorfalls zu unterschiedlichen Ausfallzeiten führen. In einem Fall wie dem oben geschilderten kann ein Unternehmen für längere Zeit lahmgelegt werden, da es unterschiedlich lange dauern kann, bis der Zugang wiederhergestellt ist. Und wenn Ihr Unternehmen nicht über ein Break-Glass-Konto verfügt, müssen Sie damit rechnen, dass es Tage dauert, bis Sie auf Ihre Entra ID-Umgebung zugreifen können, bevor eine Neukonfiguration überhaupt möglich ist. Möchten Sie mehr darüber erfahren, warum Microsoft Entra ID über die nativen Tools hinaus geschützt werden muss? Entdecken Sie 6 Gründe für Entra ID Backup.
Um Ihren Anteil an der Entra ID-Verantwortung zu steuern, stellt Microsoft Best Practices für Ihre Entra ID-Datenstrategie vor:
- Erstellen Sie regelmäßig Snapshots Ihrer Entra ID Umgebung: Dies ist sehr wichtig, um den „bekannten korrekten Zustand“ Ihres Mandanten zu dokumentieren und im Falle einer Datenkatastrophe darauf zurückgreifen zu können.
- Überwachen Sie Änderungen und Neukonfigurationen genau: Exportieren und überwachen Sie Audit-Protokolle, um unbefugte und unbeabsichtigte Änderungen zu erkennen. Die Überwachung ist zwar der erste Schritt, aber ohne ein Entra ID Backup ist es oft unmöglich, eine unerwünschte Änderung rückgängig zu machen.
- Testen Sie regelmäßig Ihre Wiederherstellungen: Microsoft empfiehlt, dass Sie Ihre Wiederherstellungsprozesse testen, um die Zeit bis zur Lösung des Problems und mögliche Probleme besser zu verstehen. Dies setzt natürlich voraus, dass Sie Ihre Entra ID-Daten an einem sicheren Ort gespeichert haben, z. B. in einer Backup-Lösung eines Drittanbieters.
Wie Veeam Ihr Unternehmen in die Verantwortung nimmt
Wir haben erklärt, wie das Shared Responsibility Model für Microsoft Entra ID funktioniert und warum es kritische Lücken in Ihrer Strategie für das Identitäts- und Zugriffsmanagement geben kann, wenn Sie sich ausschließlich auf native Tools verlassen.
Hier kommt Veeam Data Cloud for Microsoft Entra ID ins Spiel. Die cloudbasierte Entra ID-Backup-Lösung von Veeam bietet zielgerichtete Funktionen für Sicherung und Wiederherstellung, um den Schutz Ihrer Entra ID-Daten zu vereinfachen. Wenn Sie mit Datenvorfällen oder schwierigen Compliance-Anforderungen konfrontiert werden, kann Veeam Ihr Unternehmen dabei unterstützen, die Business Continuity nahtlos aufrechtzuerhalten. Sie können auch Ihre Microsoft 365 Daten mit Veeam mit der gleichen Lösung schützen.
Wer ist verantwortlich wofür?
- Microsoft: Gewährleistet die Verfügbarkeit der Plattform, sichert die Backend-Infrastruktur und bietet einige integrierte Sicherheits- und Wiederherstellungsfunktionen.
- Ihre Organisation: Konfiguriert Zugriffsrichtlinien, verwaltet Identitäten, überwacht auf mögliche Bedrohungen und schützt vor unerwünschten Änderungen.
- Veeam Data Cloud for Microsoft Entra ID: unterstützt Ihre Strategie für Identitätsdaten, indem es ein umfassendes Backup, die granulare Wiederherstellung von Objekten sowie die langfristige Aufbewahrung von Konfigurationen und Objekten ermöglicht.
Veeam Data Cloud for Microsoft Entra ID wurde auf einer bewährten Partnerschaft aufgebaut. Veeam und Microsoft arbeiten schon seit Jahren zusammen, um die Datenresilienz in Microsoft-Umgebungen zu verbessern, und diese Partnerschaft wurde kürzlich erweitert.
Der Entra ID-Schutz ist nur der Anfang. Veeam Data Cloud bietet umfassenden Schutz für Ihr gesamtes Unternehmen und schützt auch andere kritische Workloads wie Microsoft 365 und Salesforce, um ein einheitliches Konzept für Ihre Datenresilienzstrategie zu ermöglichen.
Um mehr darüber zu erfahren, was Veeam Data Cloud for Entra ID bietet, klicken Sie hier .
Lesen Sie auch den Blog zum Thema Microsoft 365 Shared Responsibility Model.
