Verschlüsseltes Microsoft 365 Backup – Sicherheit auf jeder Ebene
Vault-verwaltete Verschlüsselung, unveränderliche Backups, Anomalieerkennung und Datenhaltung ausschließlich in der EU — entwickelt zum Schutz vor Ransomware, Datenverlust und Compliance-Verstößen.
Ransomware-Angriff erkannt
Quell-Tenant kompromittiert
Archiv unveränderlich — nicht betroffen
WORM-Siegel intakt, keine Daten verändert
AES-256-GCM-Verschlüsselung aktiv
Mandantenspezifische Schlüssel über HashiCorp Vault
Wiederherstellungspunkt verfügbar
Point-in-Time-Wiederherstellung bereit, vor 2 Min.
Vollständige Wiederherstellung gestartet
Geschätzte Dauer: < 3 Sekunden pro Element
RBAC
Aktiv
Audit-Log
Zeichnet auf
BYOK
Aktiviert
EU-Datenhaltung
DE / FI
AES-256-GCM
Vault-verwaltete Verschlüsselung
Unveränderliche Backups
WORM-geschütztes Archiv
EU-Datenhaltung
Deutschland (primär) & Finnland (sekundär)
Backup Shield
Anomalieerkennung
Verschlüsselung
Vault-verwaltete Verschlüsselung auf jeder Ebene
Alle Verschlüsselungsschlüssel werden von HashiCorp Vault Transit verwaltet und nach der Verwendung aus dem Speicher gelöscht.
AES-256-GCM-Verschlüsselung im Ruhezustand
Jedes archivierte Element wird mit AES-256-GCM innerhalb der Plattform verschlüsselt, bevor es den Speicher erreicht. Die Schlüssel werden pro Mandant über die HashiCorp Vault Transit Engine verwaltet.
- Clientseitige Verschlüsselung mit eigenem Schlüssel pro Mandant — der Storage-Anbieter sieht ausschließlich Chiffrat
- Automatische Schlüsselrotation über Vault Transit
- SecureBuffer: Verschlüsselungsschlüssel werden nach kryptografischen Operationen aus dem Speicher gelöscht
- Komprimierung (gzip) vor der Verschlüsselung für effiziente Speicherung
Bring Your Own Key (BYOK)
Behalten Sie mit Envelope-Verschlüsselung die vollständige Kontrolle. Ihr Masterschlüssel verschlüsselt den Data Encryption Key (DEK) — widerrufen Sie ihn jederzeit, um Daten dauerhaft unzugänglich zu machen.
- Ein eigener Datenschlüssel pro Objekt, eingepackt durch Ihren eigenen Schlüssel
- Ihr Masterschlüssel verlässt niemals Ihren Kontrollbereich
- Schlüssel widerrufen und alle archivierten Daten unzugänglich machen
- Kompatibel mit jedem Key Vault, der AES-256 unterstützt
Ablauf der Envelope-Verschlüsselung
Jedes Objekt wird mit einem eigenen Datenschlüssel verschlüsselt. Dieser wird durch Ihren Mandanten-Objektschlüssel eingepackt, der wiederum durch einen mandantenspezifischen Schlüssel geschützt ist, der Vault Transit nie verlässt. Laden Sie Ihren eigenen Objektschlüssel hoch, wurzelt die Kette in Material, das wir nicht neu erzeugen können.
Ransomware-Schutz
Unveränderliche Backups, Anomalieerkennung in Echtzeit
Ihr Archiv ist write-once und integritätsgeprüft. Backup Shield erkennt verdächtige Aktivitäten, bevor sich Schäden ausbreiten.
Backup Shield Anomalieerkennung
Sechs unabhängige Erkennungssignale überwachen jeden Backup-Lauf — Verhaltensbaselines, Inhaltsanalyse und ein kuratierter Ransomware-IOC-Feed. Das bestätigungsbasierte Einfrieren verhindert, dass kompromittierte Daten saubere Backups überschreiben, ohne Fehlalarme auszulösen.
- Erkennt Massenlöschungen, Massenverschlüsselung, Volumenspitzen und Entropie-Anomalien
- Ransomware-IOC-Abgleich: über 100 bekannte Dateiendungen und Muster von Erpresserbrief-Dateinamen
- Bestätigtes Auto-Freeze: kritische Funde oder zwei übereinstimmende, unabhängige Signalfamilien
- Postfachübergreifende Korrelation erkennt mandantenweite Angriffe; der Clean Score verfolgt die Gesundheit jedes Laufs
Unveränderliches Archiv (WORM)
Write-once-read-many-Speicher mit kryptografischen Hash-Ketten. Nach der Versiegelung sind Archivdaten durch Trigger auf Datenbankebene vor Änderung und Löschung geschützt — auch vor Administratoraktionen auf Anwendungsebene.
- SHA-256-Hash-Ketten prüfen die Datenintegrität
- Lebenszyklus SEAL_PENDING → SEALED mit Aufbewahrungsrichtlinien
- Automatisierte Integritätsprüfung (VERIFY_HASHES)
- Konfigurierbare Aufbewahrungsfristen mit Unterstützung für Legal Hold
Shield Replication
Saubere Backup-Läufe werden automatisch in geografisch getrennten S3-Speicher replizert, sodass eine Wiederherstellung auch bei kompromittiertem Primärspeicher möglich bleibt.
- Automatische Replikation nachweislich sauberer Backups alle 30 Minuten
- Sekundärer S3-Speicher an einem separaten Standort
- Nur als CLEAN bewertete Läufe werden repliziert — kompromittierte Daten bleiben isoliert
- Geografische Redundanz innerhalb der EU
Point-in-Time-Wiederherstellung
Granulare Wiederherstellung von jedem Backup-Punkt der Versionshistorie. Stellen Sie einzelne Elemente oder ganze Postfächer in jedem früheren Zustand wieder her.
- Versionshistorie für jedes gesicherte Element
- Wiederherstellung auf Element- und Postfachebene
- Wiederherstellung direkt nach M365 oder Download als Archiv
- Typische Wiederherstellungszeit unter 3 Sekunden pro Element (abhängig von Elementgröße und Zustand der M365-API)
Datenhaltung
Ihre Daten bleiben in der EU
Alle Daten werden ausschließlich in Rechenzentren der Europäischen Union gespeichert und verarbeitet. Für die Speicherung oder Verarbeitung von Kundendaten werden keine US-Unterauftragsverarbeiter eingesetzt. DNS- und TLS-Zertifikatsverwaltung erfolgen über Cloudflare, das keine Kundendaten einsieht oder speichert.
- Primärspeicher in Deutschland, Sekundärspeicher in Finnland
- k3s-Cluster mit dedizierten Data Nodes in der EU
- Keine Datenübertragung außerhalb der Europäischen Union
- Deutsches Unternehmen unter deutscher/EU-Rechtsprechung
- Shield Replication in die Sekundärregion (Finnland)
Europäische Union
S3 Object Storage, Deutschland
Europäische Union
S3 Object Storage, Finnland
Zugriffskontrolle
Granulare Berechtigungen, vollständiger Audit-Trail
Vier Systemrollen mit über 20 Berechtigungen sichern Zugriffe nach dem Least-Privilege-Prinzip. Jede Aktion wird sowohl in PostgreSQL als auch in OpenSearch für durchsuchbare Audit-Trails protokolliert.
Rollenbasierte Zugriffskontrolle (RBAC)
Vier Systemrollen — Owner, Admin, Member, ReadOnly — mit über 20 granularen Berechtigungen für Mandanten, Benutzer, Provider, Backups, Wiederherstellungen, Suche, Abrechnung, Audit und Compliance.
- Berechtigungen für die Performance in Redis zwischengespeichert (5 Minuten TTL)
- Isolation auf Mandantenebene — Benutzer sehen nur die Daten ihres eigenen Mandanten
- Least-Privilege-Prinzip auf Middleware-Ebene erzwungen
- Individuelle Berechtigungsprüfungen an jedem API-Endpunkt
Dual-Write-Audit-Protokollierung
Jede administrative Aktion, jeder Datenzugriff und jedes Sicherheitsereignis wird über Redis Streams sowohl in PostgreSQL (dauerhaft) als auch in OpenSearch (durchsuchbar) protokolliert.
- Strukturierte Audit-Ereignisse mit Akteur, Aktion, Ressource und Metadaten
- Volltextdurchsuchbarer Audit-Trail über OpenSearch
- Exportierbare Protokolle für Compliance-Prüfungen und Incident Response
- Echtzeit-Event-Streaming für die Monitoring-Anbindung
Compliance & Transparenz
Nachprüfbar, nicht nur behauptet
Wir veröffentlichen unseren DPA, unsere technischen Maßnahmen und unsere Richtlinie zur Schwachstellenmeldung. Prüfen Sie unsere Sicherheitslage, bevor Sie sich entscheiden.
GDPR-Konformität
Unternehmen mit Sitz in der EU und Datenspeicherung ausschließlich in der EU. Vollständige Unterstützung der Betroffenenrechte, Consent-Management und GDPR-konforme Datenverarbeitung.
Auftragsverarbeitungsvertrag
Veröffentlichter DPA nach Art. 28 GDPR mit 13 Abschnitten: Unterauftragsverarbeiter, Betroffenenrechte, technische Maßnahmen, Meldung von Verletzungen und Auditrechte.
Dokument lesenTechnische & organisatorische Maßnahmen
TOM-Dokument nach Art. 32 GDPR mit Details zu Verschlüsselungsstandards, Zugriffskontrollen, Backup-Verfahren und Incident-Response-Prozessen.
Dokument lesenRichtlinie zur Schwachstellenmeldung
Öffentliches Responsible-Disclosure-Programm mit definiertem Umfang. 48-Stunden-SLA für die Bestätigung und Zusage einer Untersuchung innerhalb von 7 Tagen für gemeldete Schwachstellen.
Dokument lesenMandantenisolation
Mandantenisolation auf Datenbankebene über eine Prisma-Extension mit AsyncLocalStorage. Über 26 Modelle werden automatisch nach Mandanten-ID gefiltert — mandantenübergreifender Datenzugriff ist konstruktionsbedingt ausgeschlossen.
NIS2-Ausrichtung
In der EU gehostete Infrastruktur, umfassende Audit-Protokollierung, Incident-Response-Verfahren und Verschlüsselungsstandards erfüllen die Anforderungen der NIS2-Richtlinie für wesentliche Einrichtungen.
Weitere Themen
Ransomware-Schutz
Ransomware-Schutz für Microsoft 365: unveränderliche Backups, Erkennung aus sechs Signalen und eine saubere Kopie in einem zweiten EU-Rechenzentrum.
DSGVO-konformes Backup
DSGVO-konformes Microsoft 365 Backup eines deutschen Unternehmens: Speicherung nur in der EU, Primärdaten in Deutschland, verschlüsselt, mit AVV und TOM.
Backup Shield
Ransomware-Erkennung für Microsoft-365-Backups aus sechs Signalen, darunter Entropie und IOC-Abgleich, plus Replikation in ein zweites EU-Rechenzentrum.
E-Mail-Archivierung
Revisionssichere E-Mail-Archivierung für Microsoft 365: WORM-Speicher mit SHA-256-Hash-Kette, Aufbewahrung von 1 bis 10 Jahren, Legal Hold und eDiscovery.
Sicherheit, die Sie überprüfen können
Lesen Sie unseren DPA, prüfen Sie unsere Richtlinie zur Schwachstellenmeldung, sehen Sie sich unsere technischen Maßnahmen an. Unveränderliche Backups, Vault-verwaltete Verschlüsselung und Backup Shield Anomalieerkennung — alles nachprüfbar.