Backup von Microsoft Entra ID durchführen

Microsoft Entra ID ist eine cloudbasierte Identitäts- und Zugriffsverwaltungsplattform (IAM). Es ist die zentrale Vertrauensinfrastruktur Ihrer Organisation und verwaltet die Authentifizierung für Microsoft 365, Azure und Tausende von externen SaaS-Diensten. Microsoft bietet zwar einen integrierten Schutz für Entra ID-Daten, dieser weist jedoch gravierende Mängel auf. Beispielsweise haben Gruppen und Nutzer ein begrenztes Schutzfenster vor der endgültigen Löschung, aber Security-Richtlinien verschwinden, wenn sie gelöscht werden, und es gibt keine Möglichkeit, dies rückgängig zu machen, außer durch die Verwendung von Skripten zur Abfrage der Graph-API. Microsoft selbst empfiehlt das Backup von Entra ID-Daten als Teil des Modells der gemeinsamen Verantwortung für Cloud-Dienste, weshalb eine Backup-Lösung eines Drittanbieters unerlässlich ist. 

Ransomware-Gruppen nehmen die Identitäts-Infrastruktur ins Visier. Ohne angemessene Backups riskieren Unternehmen, Produktionstage durch manuelle Wiederherstellungsprozesse zu verlieren. Das Entra ID Backup mithilfe einer automatisierten Lösung schützt vor diesen Risiken, indem vollständige Momentaufnahmen Ihrer Entra ID-Daten gespeichert werden. Es enthält Informationen über Nutzer, Gruppen, Richtlinien, Anwendungen und die ihnen zugrunde liegenden Beziehungen und ermöglicht eine granulare Wiederherstellung innerhalb von Minuten statt Tagen.

Richtlinienänderungen treten sofort in Kraft. Es gibt keine Backups der ursprünglichen Einstellungen, was bedeutet, dass einmal gespeicherte Änderungen nicht ohne manuelle Neukonfiguration rückgängig gemacht werden können. Dies führt zu ernsthaften Problemen, wenn Änderungen Dienste unterbrechen. Die Teams müssen mühsam Richtlinien neu erstellen und Gruppenzugehörigkeiten neu zuweisen, um die Funktionalität wiederherzustellen. Außerdem müssen Anwendungen neu konfiguriert werden, um die neu erstellten Richtlinien zu verwenden, was die Wiederherstellungszeit erheblich verlängert.

Besonders besorgniserregend ist, dass Entra ID zu einem begehrten Ziel für Ransomware-Gruppen und Angreifer geworden ist. Sie wollen maximalen Schaden anrichten, indem sie Zugriff auf kritische Identitätsdaten erlangen und diese zerstören, wie z. B. Nutzer-Zugangsdaten, Zugriffsrollen, Berechtigungszuweisungen, Tokeninformationen und Konfigurationen von Identitätsrichtlinien. Ohne einen voll ausgestatteten Backup-Service sind Unternehmen dem Angreifer ausgeliefert und müssen im Falle eines Ransomware-Angriffs möglicherweise ein Lösegeld zahlen, um ihre Dateien wiederherstellen zu können.

Ihre Strategie zum Entra ID Backup muss eine Vielzahl von Komponenten und deren Abhängigkeiten abdecken. Nachfolgend sind einige der wichtigsten Elemente aufgeführt, die gesichert werden können.

Identitätsobjekte

Nutzer, Gruppen, Rollen und Administratoreinheiten bilden die zentralen Elemente des Identitäts-Managements. Diese Objekte steuern, wer Zugriff auf bestimmte Ressourcen hat, und enthalten Verknüpfungen und Beziehungen, die während des Wiederherstellungsprozesses wieder eingerichtet werden müssen.

Security und Zugriff

Richtlinien für bedingten Zugriff sind anfällig für versehentliche Änderungen, da Microsoft keine native Versionierung für Rollback vorsieht. Die Einstellungen für den Identitätsschutz und die Rollenzuweisungen enthalten Informationen über die Security-Lage Ihrer Organisation. Wenn diese endgültig gelöscht werden oder verloren gehen, müssen sie nachträglich unter enormem Zeit- und Arbeitsaufwand wiederhergestellt werden. 

Anwendungen

Anwendungsregistrierungen, Service-Principals und Unternehmensanwendungen verbinden Ihre Organisation mit mitarbeiterorientierten Anwendungen. Diese übernehmen Single Sign-On (SSO) und API-Berechtigungen sowie Authentifizierungsworkflows. Ohne sie funktionieren keine Anwendungen mehr, und Nutzer können sich erst anmelden, wenn die manuelle Neukonfiguration oder Wiederherstellung abgeschlossen ist.

Geräte und Schlüssel 

Die Gerätekonfigurationen sind für die Steuerung der Security-Richtlinien für Geräte verantwortlich, die bei Entra ID registriert sind. Obwohl dies keine Identitätskomponenten im klassischen Sinne sind, speichert BitLocker sie in Entra ID und sie können über das Microsoft Entra Admin Center abgerufen werden.

Prüfungsinformationen

Prüfprotokolle und Anmeldeprotokolle erfassen jede Änderung in Ihrer Umgebung. Microsoft speichert diese Daten nur 7 Tage lang bei der kostenlosen Version von Entra ID und 30 Tage lang bei P1/P2-Lizenzen. Für Unternehmen, die langfristig die Compliance von Vorschriften wie DSGVO, HIPAA und SOC 2 nachweisen müssen, reicht das nicht aus.

Die aufgeführten Komponenten sind alle durch eine Reihe komplizierter Beziehungen miteinander verbunden. Nutzer gehören Gruppen an, Gruppen werden Rollen zugewiesen und bedingte Zugriffsrichtlinien bestimmen, wer sich anmelden darf. Wenn Entra-ID-Objekte gelöscht oder beschädigt werden, gehen auch die Beziehungen verloren. Um Ihre Entra-ID richtig zu schützen, müssen sowohl die Objekte als auch ihre Abhängigkeiten in Ihr Backup aufgenommen werden.

Organisationen haben zwei Hauptoptionen, wenn es um die Sicherung von Entra ID geht: die Verwendung manueller Methoden oder den automatisierten Weg. 

Manueller Backup-Ansatz

Die Graph APIs von Microsoft ermöglichen Systemadministratoren, den aktuellen Zustand der Entra ID-Konfigurationen zu exportieren. PowerShell-Skripte werden verwendet, um die API abzufragen und Daten abzurufen, die dann in Form von JSON-Dateien gespeichert werden. 

Das Ausführen von Skripten mag für einige attraktiv klingen, weil es kostenlos ist, aber es gibt Einschränkungen, die Sie kennen müssen, wenn Sie sich für einen manuellen Prozess entscheiden.

• Komplexität: Bevor Sie Skripte in einer Live-Produktionsumgebung ausführen, müssen Sie sicherstellen, dass alles korrekt konfiguriert ist und dass Sie eine Art Notfallplan haben, falls Sie bei der Ausführung Ihres Skripts auf Probleme stoßen.

• Unvollständige Wiederherstellung: Manuelle Exporte erfassen Objektbeziehungen nicht automatisch, obwohl fortgeschrittenere Skripte dies durch Abfragen der Graph API mildern können, um sie explizit zu speichern. Wenn die Beziehungen nicht korrekt erfasst werden, müssen Sie die Gruppenmitgliedschaften, Rollenzuweisungen und Lizenzzuweisungen nach der Wiederherstellung manuell neu zuordnen, was viel Zeit in Anspruch nehmen kann und fehleranfällig ist.

Automatisierte Backup-Lösungen

Durch automatisierte Backups entfallen der manuelle Aufwand und mögliche Fehlkonfigurationen, die durch menschliches Versagen entstehen. Sie verbinden sich direkt mit Ihrem Entra ID-Mandanten und können die benötigten Daten über geplante Ausführungen abrufen.  

Einige Vorteile der Verwendung einer automatisierten Lösung:

• Granulare Wiederherstellung: Sie können einen einzelnen Nutzer, eine Gruppe oder eine Richtlinie ohne Auswirkung auf andere Elemente wiederherstellen.

• Verlängerte Aufbewahrung: Sie entscheiden, wie lange Sie Ihre Daten aufbewahren möchten, da die Dauer des Backups bei Ihnen liegt. 

• Beziehungen beibehalten: Wenn das automatisierte System ein Nutzer-Backup durchführt, erfasst es die Gruppenmitgliedschaften, Rollenzuweisungen und Authentifizierungseinstellungen mit Entra ID-Daten. Wenn die Daten wiederhergestellt werden, werden gleichzeitig auch die Beziehungen wiederhergestellt – was unzählige Stunden spart. 

Um die Identitätsinfrastruktur Ihres Unternehmens zu schützen, müssen Sie mit einer Entra ID Backup- und Wiederherstellungsstrategie beginnen, die alle Grundlagen abdeckt, die Ihrer aktuellen Lösung möglicherweise fehlen. Im Folgenden finden Sie einige bewährte Methoden, die Sie befolgen sollten, um sicherzustellen, dass Ihre Entra-ID-Daten im Falle einer Fehlkonfiguration oder eines Datenverlusts ordnungsgemäß geschützt sind.

Wiederherstellungsziele definieren

Die Ziele bei der Wiederherstellung bestimmen, wie viel Zeit eine Wiederherstellung benötigt und wie viel Datenverlust akzeptabel ist. Diese werden mittels Recovery Time Objective (RTO) und Recovery Point Objective (RPO) definiert. Die meisten Unternehmen benötigen mindestens ein tägliches Entra ID-Backup, aber häufige Richtlinienaktualisierungen können mehrere Snapshots im Laufe des Tages erfordern, um alle möglichen Änderungen abzudecken.

Automatisierung nutzen 

Manuelle Backups sind nicht zuverlässig. Wenn das dafür verantwortliche Personal nicht verfügbar ist, besteht ein erhebliches Risiko, dass ein Backup nicht abgeschlossen wird. Die Automatisierung beseitigt dieses Risiko und wird immer zum geplanten Zeitpunkt ausgeführt.

Verschlüsselung aktivieren

Verschlüsselung ist für Data Protection unerlässlich. Daten müssen während der Übertragung geschützt werden, um ein einfaches Abfangen selbst im Ruhezustand zu verhindern. Nur so sind Sie vor unbefugtem Zugriff auf die Inhalte Ihres Backup-Speichers geschützt, falls dieser jemals kompromittiert werden sollte. 

Backups prüfen 

Da sich Ihre Organisation im Laufe der Zeit verändert, müssen Sie regelmäßig überprüfen, ob alle Ihre wichtigen Entra-ID-Komponenten tatsächlich in Ihren Backups enthalten sind. Sie müssen Ihre Backup-Verfahren aktualisieren und neue Komponenten einbeziehen, wenn sich Ihre Anforderungen ändern.

Wiederherstellungsverfahren testen

Planen Sie regelmäßige Wiederherstellungstests in Nicht-Produktionsumgebungen ein. Übung in ruhigen Zeiten stellt sicher, dass Support-Teams genau wissen, wie sie fehlende Objekte und Richtlinien wiederherstellen können. 

Prozess zur Wiederherstellung von Dokumenten 

Support-Teams müssen über eine Reihe aktueller, detaillierter Verfahren verfügen, die die genauen Schritte zur Wiederherstellung von Entra ID-Daten im Falle einer falsch konfigurierten Richtlinie, eines versehentlich gelöschten Objekts oder eines Cyberangriffs beschreiben. Dadurch werden Spekulationen vermieden und sichergestellt, dass der Wiederherstellungsprozess den während der Tests festgelegten Schritten folgt.

Protokolle und Warnungen überwachen

Backup-Logs müssen regelmäßig erstellt und überprüft werden, um sicherzustellen, dass der Prozess korrekt funktioniert. Benachrichtigungen für Fehler oder ungewöhnliche Situationen sind ebenfalls erforderlich, damit Teams wissen, wenn ein Backup fehlgeschlagen ist oder Probleme aufgetreten sind. 

Das Barracuda Entra ID-Backup schützt Ihre Entra-ID-Daten und ermöglicht es Ihnen, sie bei größeren Störungen schnell wiederherzustellen. Hier einige der Vorteile, die Sie erwarten können: 

• Schnelle Bereitstellung: Der Einstieg mit Barracuda Entra ID-Backup dauert Minuten, nicht Stunden. Verbinden Sie Ihren Entra ID-Mandanten, erteilen Sie die notwendigen Berechtigungen und konfigurieren Sie Ihren Backup-Zeitplan. Nach diesen Schritten sind Sie bereit, Ihr erstes Backup durchzuführen.

• Unbegrenzte Speicherung und Aufbewahrung: Speichern Sie Backup-Daten so lange, wie Ihre Organisation sie benötigt. Sie können es monatelang, jahrelang oder für immer aufbewahren – Sie entscheiden. 

• Erweiterte Verschlüsselung: Die AES-256-Verschlüsselung sichert Daten sowohl während der Übertragung als auch im Ruhezustand und gewährleistet, dass Ihre Identitätsdaten geschützt bleiben, selbst wenn Ihr Backup-Speicher kompromittiert wird. Dieses Verschlüsselungsniveau hilft auch, Compliance-Standards für SaaS-Sicherheit zu erfüllen.

• Umfassende Audit-Protokollierung: Verfolgen Sie jede Aktion, die im Backup-System durchgeführt wurde. Finden Sie schnell heraus, wer ein Backup veranlasst hat, wann es abgeschlossen wurde und was wiederhergestellt wurde. Detaillierte Protokolle beseitigen Unklarheiten und unterstützen Security-Untersuchungen, Compliance-Audits und Problemlösungen.

• Skalierbarer Support: Egal, ob Sie einen einzelnen Mandanten oder mehrere Umgebungen verwalten, Barracuda skaliert mit Ihnen. IT-Teams und Managed Service Provider profitieren von einem vereinfachten Identitätsschutzmanagement für alle ihre Kunden.

• Einfache Preisgestaltung pro Nutzer: Bezahlen Sie nach der Anzahl der Nutzer, die Sie schützen. Wenn Sie bereits Cloud-to-Cloud-Backup für Microsoft 365 verwenden, ist die Basisversion von Entra ID Backup kostenlos enthalten.

Mandanten verbinden

Verbinden Sie zunächst Ihren Entra ID-Mandanten über das Standard-Zustimmungsframework von Microsoft mit der Plattform von Barracuda. Die Verbindung benötigt nur Leseberechtigungen, und Barracuda fordert niemals Schreibberechtigungen für Ihre Produktionsumgebung an. 

Automatische Backup-Planung

Barracuda konfiguriert Backup-Zeitpläne so, dass sie für jeden Mandanten zur optimalsten Zeit laufen. Nutzer können den nächsten geplanten Backup-Zeitpunkt im Dashboard einsehen und jederzeit manuelle Backups auf Abruf auslösen, um den Zustand der Umgebung vor der Implementierung einer Richtlinienänderung zu erfassen.  

Was wird gesichert?

Sobald Sie den Dienst konfiguriert haben, werden geplante Backups automatisch ausgeführt. Barracuda fragt bei jedem Backup die Microsoft Graph-API ab und erfasst eine vollständige Momentaufnahme des aktuellen Status Ihres Mandanten. Dazu gehören Objekte wie Nutzer, Gruppen, Richtlinien, Anwendungen und Geräte sowie die Beziehungen, in der sie zueinander stehen. Gruppenmitgliedschaften, Rollenzuweisungen, Richtlinienanwendungen und Authentifizierungseinstellungen werden alle wie zum Zeitpunkt des Backups beibehalten.

Wiederherstellung Ihrer Daten

Über die Wiederherstellungsschnittstelle können Sie nach Objekttyp, Name oder Datumsbereich suchen. Von hier aus können Sie sich jedes Objekt vor der Wiederherstellung in einer Vorschau ansehen und so sicherstellen, dass Sie die jeweils benötigte Version wiederherstellen. Sie können Ihre aktuellen Konfigurationen mit Ihren alten Snapshots vergleichen, um zu sehen, was sich geändert hat, damit Sie spezifische Probleme finden und genau lokalisieren können. Bei der Wiederherstellung wählen Sie den Umfang; Sie können eine einzelne falsch konfigurierte Richtlinie wiederherstellen oder einen gelöschten Nutzer mit allen seinen Mitgliedschaften wiederherstellen oder mehrere Objekte gleichzeitig zurücksetzen. Diese Änderungen werden innerhalb weniger Minuten nach Beginn der Wiederherstellung wirksam. 

Verwaltung mehrerer Mandanten

Die einheitliche Benutzeroberfläche ermöglicht es Ihnen, von einem einzigen Dashboard aus zwischen Mandanten zu wechseln und Konfigurationen zu vergleichen. So können Sie problemlos mehrere Umgebungen verwalten, ohne sich bei mehreren Konten anmelden zu müssen. Erfahren Sie mehr darüber, wie Entra-ID-Daten gefährdet sind und wie sie geschützt werden müssen. 

Wenn Entra-ID-Konfigurationen fehlerhaft sind, kann die manuelle Wiederherstellung mehrere Tage an Produktivität kosten. Barracuda Entra ID Backup automatisiert den Schutz und ermöglicht die Wiederherstellung in Minuten, nicht in Stunden. 

Starten Sie noch heute Ihr kostenloses Probeabo und erhalten Sie Schutz, bevor Sie ihn brauchen. Laden Sie das technische Datenblatt von Barracuda Entra ID Backup herunter, um mehr darüber zu erfahren, was diese Lösung in Ihrem Unternehmen bewirken kann.