Bewährte Methoden zur Wiederherstellbarkeit

Unbeabsichtigte Löschungen und Fehlkonfigurationen können bei Ihrem Mandanten vorkommen. Um die Auswirkungen dieser unbeabsichtigten Ereignisse zu minimieren, müssen Sie sich auf deren Auftreten vorbereiten.

Die Wiederherstellbarkeit umfasst die vorbereitenden Prozesse und Funktionen, mit denen Sie Ihre Dienste nach einer unbeabsichtigten Änderung auf einen früheren Funktionszustand zurücksetzen können. Zu unbeabsichtigten Änderungen gehören vorläufige oder endgültige Löschungen oder Fehlkonfigurationen von Anwendungen, Gruppen, Benutzern, Richtlinien und anderen Objekten in Ihrem Microsoft Entra-Mandanten.

Wiederherstellbarkeit trägt zu einer höheren Robustheit Ihrer Organisation bei. Resilienz ist zwar verwandt, bedeutet aber etwas anderes. Resilienz ist die Fähigkeit, Unterbrechungen von Systemkomponenten zu überstehen und die Wiederherstellung mit minimalen Auswirkungen auf Ihr Unternehmen, Ihre Benutzer, Kunden und Abläufe zu gewährleisten. Weitere Informationen dazu, wie Sie Ihre Systeme resilienter gestalten können, finden Sie unter Erzielen von Resilienz für Identitäts- und Zugriffsverwaltung mit Microsoft Entra ID.

In diesem Artikel werden die bewährten Methoden zur Vorbereitung auf Löschungen und Fehlkonfigurationen beschrieben, um die unbeabsichtigten Folgen für die Geschäftstätigkeit Ihrer Organisation zu minimieren.

Löschungen und Fehlkonfigurationen

Löschungen und Fehlkonfigurationen wirken sich unterschiedlich auf Ihren Mandanten aus.

Löschungen

Die Auswirkungen von Löschungen hängen vom Objekttyp ab.

Sie können Objekttypen, die Benutzer, Microsoft 365-Gruppen, Cloudsicherheitsgruppen und Anwendungen enthalten, vorläufig löschen. Elemente, die vorläufig gelöscht wurden, werden in den Papierkorb von Microsoft Entra ID verschoben. Solange sich Elemente im Papierkorb befinden, können sie nicht verwendet werden, behalten aber all ihre Eigenschaften. Sie können sie mit einem Microsoft Graph-API-Anruf oder aus dem Microsoft Entra Admin Center wiederherstellen. Wenn Sie Elemente im Zustand des vorläufigen Löschens nicht innerhalb von 30 Tagen wiederherstellen, löscht Microsoft Entra ID sie endgültig. Wiederherstellen von Löschungen in Microsoft Entra ID stellt eine Tabelle mit Objekten bereit, die das vorläufige Löschen unterstützen.

Wichtig

Alle anderen Objekttypen werden sofort endgültig gelöscht, wenn sie zum Löschen ausgewählt werden. Ein endgültig gelöschtes Objekt kann nicht wiederhergestellt werden. Es muss neu erstellt und neu konfiguriert werden.

Weitere Informationen zu Löschungen und zum Wiederherstellen gelöschter Elemente finden Sie unter Wiederherstellen nach Löschungen.

Konfigurationsfehler

Bei Fehlkonfigurationen handelt es sich um Konfigurationen einer Ressource oder Richtlinie, die von Ihren Organisationsrichtlinien oder -plänen abweichen und unbeabsichtigte oder unerwünschte Folgen nach sich ziehen. Fehlkonfigurationen von mandantenweiten Einstellungen oder Richtlinien für bedingten Zugriff können schwerwiegende Auswirkungen auf Ihre Sicherheit und das öffentliche Image Ihrer Organisation haben. Fehlkonfigurationen können:

• Ändern, wie Administratoren, Mandantenbenutzer und externe Benutzer mit Ressourcen in Ihrem Mandanten interagieren.
• Ändern Sie die Möglichkeit Ihrer Benutzer, mit anderen Mandanten zu interagieren, und von externen Benutzern, mit Ihrem Mandanten zu interagieren.
• Dienstverweigerung verursachen.
• Abhängigkeiten zwischen Daten, Systemen und Anwendungen aufheben.

Weitere Informationen zu Fehlkonfigurationen und zum Wiederherstellen von Konfigurationselementen finden Sie unter Wiederherstellen nach Fehlkonfigurationen.

Im Gegensatz zu Löschungen verändern Fehlkonfigurationen Objekte direkt, anstatt sie in den Papierkorb zu verschieben. Verwenden Sie bei unterstützten betroffenen Objekttypen die Microsoft Entra Backup and Recovery-Differenzberichte, um geänderte Attribute und Änderungen an Verknüpfungen zu identifizieren. Anschließend können Sie einen Wiederherstellungsauftrag ausführen, um ein Objekt wieder in einen vorherigen Zustand zurückzurollen. Wenden Sie bei Konfigurationen, die von Microsoft Entra Backup and Recovery nicht unterstützt werden, die Einstellungen aus Ihrem dokumentierten, bekanntermaßen funktionsfähigen Zustand erneut an.

Gemeinsame Verantwortung

Die Wiederherstellbarkeit liegt in der gemeinsamen Verantwortung von Microsoft als Clouddienstanbieter und Ihrer Organisation.

Sie können die Tools und Dienste verwenden, die Microsoft zur Vorbereitung auf Löschungen und Fehlkonfigurationen bereitstellt.

Planung der Geschäftskontinuität und Notfallwiederherstellung

Die Wiederherstellung eines endgültig gelöschten oder falsch konfigurierten Elements ist ein ressourcenintensiver Prozess. Sie können die erforderlichen Ressourcen minimieren, indem Sie im Voraus planen. Ziehen Sie in Erwägung, ein bestimmtes Team von Administratoren mit der Ausführung von Wiederherstellungen zu beauftragen.

Testen Ihres Wiederherstellungsprozesses

Testen Sie Ihren Wiederherstellungsprozess für verschiedene Objekttypen und die daraus resultierende Kommunikation. Stellen Sie sicher, dass Sie die Tests mit Testobjekten durchführen, idealerweise in einem Testmandanten.

Durch das Testen Ihres Plans können Sie Folgendes bestimmen:

• Gültigkeit und Vollständigkeit Ihrer Objektstatusdokumentation.
• Typische Zeit bis zur Lösung.
• Geeignete Kommunikation und die jeweiligen Zielgruppen.
• Erwartete Erfolge und potenzielle Herausforderungen.

Erstellen des Kommunikationsprozesses

Erstellen Sie einen Prozess für die vordefinierte Kommunikation, um andere Personen über das Problem und die Zeitpläne für die Wiederherstellung zu informieren. Beziehen Sie die folgenden Punkte in Ihren Wiederherstellungskommunikationsplan ein:

• Die Arten der zu übermittelnden Kommunikationsmitteilungen. Ziehen Sie das Erstellen vordefinierter Vorlagen in Betracht.

• Die Beteiligten, die die Kommunikationsmitteilungen erhalten sollen. Beziehen Sie je nach Anwendungsfall die folgenden Gruppen ein:

  • Betroffene Geschäftsinhaber.
  • Betriebsadministratoren, die die Wiederherstellung ausführen.
  • Geschäftliche und technische genehmigende Personen.
  • Betroffene Benutzer.

• Definieren Sie die Ereignisse, die eine Kommunikation auslösen, zum Beispiel:

  • Erste Löschung.
  • Bewertung der Auswirkungen.
  • Zeit bis zur Lösung.
  • Wiederherstellung.

Dokumentieren von bekannten fehlerfreien Status

Dokumentieren und pflegen Sie regelmäßig den Zustand Ihres Mandanten und seiner Objekte in einem externen versionsverwalteten Repository. Wenn eine endgültige Löschung oder eine Fehlkonfiguration auftritt, dient Ihre Dokumentation als Leitfaden für die Wiederherstellung.

Wählen Sie erforderliche APIs aus, und exportieren Sie die Technologie basierend auf Ihren bereitgestellten Ressourcen. Obwohl Sie ressourcenspezifische Microsoft Graph-APIs direkt aufrufen können, können andere Microsoft und nicht Microsoft Optionen Konfigurationsexport- und Downloadprozesse abstrahieren und optimieren.

• Konfigurationsmomentaufnahmen – Die Snapshot-APIs in TCM-APIs (Unified Tenant Configuration Management) in Microsoft Graph vereinfachen das Extrahieren aktueller Konfigurationen über mehrere Workloads innerhalb eines Mandanten (z. B. Microsoft Entra, Microsoft Intune und Exchange Online). Der Mandant speichert Snapshots sieben Tage lang, sodass Sie sie zur externen Aufbewahrung herunterladen können. Das TCM-Schema unterstützt eine Teilmenge von Microsoft Entra Ressourcen und Eigenschaften. Überprüfen Sie die Teilmengeliste, um festzustellen, ob TCM eine ausreichende Abdeckung bietet, anstatt direkt Microsoft Graph APIs aufzurufen.
• * Microsoft Graph-APIs : Verwenden Sie Microsoft Graph-APIs, um regelmäßig Konfigurationen aller kritischen Verzeichnisobjekte zu exportieren, die TCM noch nicht unterstützt. Um Ihre Konfigurationseinstellungen zu exportieren, verwenden Sie das Open Source-Tool Microsoft Entra Exporter.
• Lösungen von Drittanbietern – Um Microsoft-Entra-Konfigurationen in deklarativen Formaten zu exportieren, zu normalisieren und zu speichern, evaluieren Sie Nicht-Microsoft-Tools für die Konfigurationsverwaltung und Infrastructure-as-Code. Diese Lösungen können zugrunde liegende APIs abstrahieren, die Großkonfigurationserfassung vereinfachen und wiederholbare Vergleiche und Einstellungen als Teil von Wiederherstellungsworkflows unterstützen.

Speichern Sie Konfigurationsbaselines in einem versionsgesteuerten Repository (z. B. Azure DevOps oder GitHub) mit einem ausreichenden Aufbewahrungszeitraum. Trennen und verwalten Sie Konfigurationsextrakte, die Sie mithilfe verschiedener Erfassungsmechanismen erhalten, logisch und unabhängig. Während beispielsweise TCM-Momentaufnahmen und direkte Microsoft Graph-API-Exporte zu einem allgemein bekannten guten Zustand beitragen können, kombinieren Sie sie nicht, auch wenn sie dasselbe Format haben (z. B. JSON). Der Grund dafür ist, dass der TCM-Momentaufnahmebereich sie auf unterstützte Ressourcen und Eigenschaften beschränkt, auf die Sie sich nicht verlassen können, um die Konfiguration außerhalb dieses unterstützten Bereichs neu zu erstellen oder erneut zu konfigurieren.

Häufig verwendete Microsoft Graph-APIs

Sie können die Microsoft Graph-APIs dazu verwenden, um den aktuellen Status vieler Microsoft Entra-Konfigurationen zu exportieren. Die APIs decken die meisten Szenarien ab, in denen Referenzmaterial über den vorherigen Status oder die Möglichkeit, diesen Status aus einer exportierten Kopie anzuwenden, für die Aufrechterhaltung des Geschäftsbetriebs Ihres Unternehmens entscheidend sein könnte.

Microsoft Graph-APIs können äußerst flexibel an die Anforderungen Ihrer Organisation angepasst werden. Damit eine Lösung für Sicherungen oder Referenzmaterial implementiert werden kann, müssen Entwickler Code zum Abfragen, Speichern und Anzeigen der Daten entwickeln. Viele Implementierungen verwenden Onlinecoderepositorys als Teil dieser Funktionalität.

Nützliche APIs für die Wiederherstellung

Ressourcentypen	Referenzlinks
Benutzer, Gruppen und andere Verzeichnisobjekte	directoryObject-API Benutzer-API Gruppen-API Anwendungs-API Service Principal-API
Verzeichnisrollen	directoryRole-API Rollenverwaltungs-API
Richtlinien für bedingten Zugriff	API für Richtlinien für bedingten Zugriff
Geräte	Geräte-API
Domänen	Domänen-API
Verwaltungseinheiten	Verwaltungseinheit-API
Gelöschte Elemente*	deletedItems-API

*Sie können diese Konfigurationsexporte sicher speichern und nur einer begrenzten Anzahl von Administratoren Zugriff gewähren.

Der Microsoft Entra Exporter kann den Großteil der von Ihnen benötigten Dokumentation bereitstellen:

• Vergewissern Sie sich, dass Sie die gewünschte Konfiguration implementiert haben.
• Verwenden Sie den Exporter, um aktuelle Konfigurationen zu erfassen.
• Überprüfen Sie den Export, stellen Sie sicher, dass Sie verstehen, welche Einstellungen für Ihren Mandanten nicht exportiert werden, und dokumentieren Sie diese manuell.
• Speichern Sie die Ausgabe an einem sicheren Speicherort mit eingeschränktem Zugriff.

Hinweis

Einstellungen im veralteten MFA-Portal für Anwendungsproxy- und Verbundeinstellungen werden möglicherweise nicht mit dem Microsoft Entra Exporter oder der Microsoft Graph-API exportiert.

Verwenden Sie Graph-APIs für bedingten Zugriff, um Richtlinien wie Code zu verwalten.

Zuordnen der Abhängigkeiten zwischen Objekten

Das Löschen einiger Objekte kann aufgrund von Abhängigkeiten einen Ripple-Effekt auslösen. Beispielsweise würde das Löschen einer Cloudsicherheitsgruppe, die für die Anwendungszuweisung verwendet wird, dazu führen, dass Benutzer, die Mitglieder dieser Gruppe waren, nicht auf die Anwendungen zugreifen können, denen die Gruppe zugewiesen wurde.

Allgemeine Abhängigkeiten

Objekttyp	Potenzielle Abhängigkeiten
Anwendungsobjekt	Service Principal (Unternehmensanwendung). Der Anwendung zugewiesene Gruppen. Richtlinien für bedingten Zugriff, die sich auf die Anwendung auswirken.
Dienstprinzipale	Anwendungsobjekt.
Richtlinien für bedingten Zugriff	Der Richtlinie zugewiesene Benutzer. Der Richtlinie zugewiesene Gruppen. Dienstprinzipal (Unternehmensanwendung), für den (die) die Richtlinie gilt.
Andere Gruppen als Microsoft 365-Gruppen und Cloudsicherheitsgruppen	Der Gruppe zugewiesene Benutzer. Richtlinien für bedingten Zugriff, denen die Gruppe zugewiesen ist. Anwendungen, für die der Gruppe Zugriff zugewiesen ist.

Überwachung und Datenaufbewahrung

Das Microsoft Entra-Überwachungsprotokoll enthält Informationen zu allen Lösch- und Konfigurationsvorgängen, die in Ihrem Mandanten ausgeführt werden. Es wird empfohlen, diese Protokolle in ein SIEM-Tool (Security Information & Event Management) wie Microsoft Sentinel zu exportieren. Sie können auch mit Microsoft Graph Änderungen überwachen und eine benutzerdefinierte Lösung erstellen, um Abweichungen im Laufe der Zeit zu überwachen. Weitere Informationen zum Suchen gelöschter Elemente mithilfe von Microsoft Graph finden Sie unter Auflisten gelöschter Elemente – Microsoft Graph v1.0.

Um Änderungen an Objekten zu identifizieren, die von Microsoft Entra Backup and Recovery unterstützt werden, erstellen Sie einen Differenzbericht. Abweichungsberichte ergänzen Audit-Protokolle und Konfigurations-Snapshots, indem sie seit der letzten Sicherung wiederherstellbare Hinzufügungen, Attributänderungen, Linkänderungen und vorläufige Löschungen anzeigen. Differenzberichte zeigen keine dauerhaft gelöschten Objekte an.

Überwachungsprotokolle

Das Überwachungsprotokoll zeichnet immer dann ein Ereignis vom Typ „<Objekt> löschen“ auf, wenn ein Objekt im Mandanten aus einem aktiven Status entfernt (also entweder vorläufig gelöscht oder endgültig gelöscht) wird.

Ein Delete-Ereignis für Objekttypen, die vorläufiges Löschen unterstützen (z. B. Anwendungen, Dienstprinzipale, Benutzer, Microsoft 365-Gruppen und Cloudsicherheitsgruppen), gibt einen vorläufigen Löschvorgang an. Bei anderen Objekttypen ist ein Delete-Ereignis ein endgültiger Löschvorgang.

Objekttyp	Aktivität im Protokoll	Ergebnis
Anwendung	Löschen einer Anwendung und eines Dienstprinzipal	Vorläufig gelöscht
Anwendung	Anwendung endgültig löschen	Endgültig gelöscht
Dienstprinzipal	Löschen eines Dienstprinzipals	Vorläufig gelöscht
Dienstprinzipal	Endgültiges Löschen eines Dienstprinzipals	Endgültig gelöscht
Benutzer	Benutzer löschen	Vorläufig gelöscht
Benutzer	Benutzer endgültig löschen	Endgültig gelöscht
Microsoft 365-Gruppen	Gruppe löschen	Vorläufig gelöscht
Microsoft 365-Gruppen	Gruppe endgültig löschen	Endgültig gelöscht
Sicherheitsgruppen	Gruppe löschen	Vorläufig gelöscht
Sicherheitsgruppen	Gruppe endgültig löschen	Endgültig gelöscht
Alle anderen Objekte	„objectType“ löschen	Endgültig gelöscht

Hinweis

Im Überwachungsprotokoll wird nicht zwischen den Gruppentypen einer gelöschten Gruppe unterschieden. Microsoft 365-Gruppen und Cloudsicherheitsgruppen werden vorläufig gelöscht. Wenn ein Gruppeneintrag "Löschen" angezeigt wird, kann es sich um das vorläufige Löschen einer Microsoft 365-Gruppe oder einer Cloudsicherheitsgruppe oder um das endgültige Löschen eines anderen Gruppentyps handeln. Ihre Dokumentation des bekannten fehlerfreien Status sollte den Gruppentyp für jede Gruppe in Ihrer Organisation enthalten.

Informationen zum Überwachen von Konfigurationsänderungen finden Sie unter Wiederherstellen nach Fehlkonfigurationen.

Verwenden von Arbeitsmappen zum Nachverfolgen von Konfigurationsänderungen

Mit Azure Monitor-Arbeitsmappen können Sie Konfigurationsänderungen überwachen.

Mit der Arbeitsmappe „Berichte zu sicherheitsrelevanten Vorgängen“ können verdächtige Anwendungs- und Dienstprinzipalaktivitäten identifiziert werden, die auf eine Kompromittierung hinweisen können, zum Beispiel:

• Geänderte Anmeldeinformationen oder Authentifizierungsmethoden für Anwendungen oder Dienstprinzipale
• Dienstprinzipalen wurden neue Berechtigungen erteilt.
• Aktualisierungen der Verzeichnisrollen- und Gruppenmitgliedschaft für Dienstprinzipale
• Geänderte Verbundeinstellungen.

Mit der Arbeitsmappe für mandantenübergreifende Zugriffsaktivitäten können Sie überwachen, auf welche Anwendungen in externen Mandanten Ihre Benutzer*innen zugreifen und auf welche Anwendungen in Ihrem Mandanten externe Benutzer*innen zugreifen. Verwenden Sie diese Arbeitsmappe, um nach anomalen Änderungen bei eingehenden oder ausgehenden Anwendungszugriffen in verschiedenen Mandanten zu suchen.

Microsoft Entra Backup und Wiederherstellung ist eine integrierte Funktion, die für unterstützte Objekttypen und Konfigurationsänderungen innerhalb des Aufbewahrungszeitraums den Wiederherstellungsweg mit dem geringsten Aufwand und der höchsten Genauigkeit bietet. Microsoft Entra Sicherung und Wiederherstellung unterstützt eine Reihe von Mandantenobjekttypen und wiederherstellbare Eigenschaften. Es erstellt automatisch Sicherungen unterstützter Objekte in Microsoft definierten festen Intervallen. Sie können verfügbare Sicherungen anzeigen, Differenzberichte, Wiederherstellungsobjekte erstellen und den Wiederherstellungsverlauf überprüfen.

Betriebssicherheit

Es ist weitaus weniger schwierig, unerwünschte Änderungen zu verhindern, als Objekte neu erstellen und neu konfigurieren zu müssen. Beziehen Sie die folgenden Aufgaben in Ihre Änderungsverwaltungsprozesse ein, um Zwischenfälle zu minimieren:

• Verwenden Sie ein Modell der geringsten Rechte. Stellen Sie sicher, dass jedes Mitglied Ihres Teams über die geringsten Rechte verfügt, die zur Ausführung seiner üblichen Aufgaben erforderlich sind. Legen Sie einen Prozess zur Ausweitung von Rechten für ungewöhnlichere Aufgaben fest.
• Die administrative Kontrolle über ein Objekt ermöglicht die Konfiguration und Löschung. Verwenden Sie weniger privilegierte Rollen, z. B. Sicherheitsleseberechtigter, für Aufgaben, für die keine Vorgänge zum Erstellen, Aktualisieren oder Löschen (CRUD) erforderlich sind. Wenn CRUD-Operationen erforderlich sind, verwenden Sie nach Möglichkeit objektspezifische Rollen. Benutzeradministratoren können beispielsweise nur Benutzer löschen, und Anwendungsadministratoren können nur Anwendungen löschen. Verwenden Sie diese eingeschränkteren Rollen, wenn möglich.
• Verwenden Sie Privileged Identity Management (PIM). PIM ermöglicht die Just-In-Time-Eskalation von Berechtigungen zum Ausführen von Aufgaben wie dem endgültigen Löschen. Sie können PIM so konfigurieren, dass Benachrichtigungen oder Genehmigungen für die Rechteausweitung vorgesehen sind.
• Verwenden Sie geschützte Aktionen in der Microsoft Entra-ID , um eine zusätzliche Ebene des Richtlinienschutzes für bedingten Zugriff zu erzwingen, unabhängig von der verwendeten Rolle oder der Art, wie der Benutzer die Berechtigung erteilt hat. Geschützte Aktionen sollten auf vertrauliche Vorgänge wie das feste Löschen, Änderungen des Authentifizierungskontexts und Änderungen des bedingten Zugriffs angewendet werden.

Nächste Schritte

• Wiederherstellen nach Löschungen
• Wiederherstellen nach Fehlkonfigurationen