Sophos Backup and Recovery für M365 mit Rubrik

Sophos Backup and Recovery für Microsoft 365 ist nun verfügbar. Die Lösung wird von Rubrik betrieben und über Sophos Central eingebunden. Damit will Sophos ein Thema abdecken, das in vielen Unternehmen längst kritisch ist: die Wiederherstellung von Exchange Online, OneDrive, SharePoint und Teams nach Ransomware, kompromittierten Konten, versehentlichem Löschen oder internen Vorfällen.

Grundsätzlich ist das ein sinnvoller Schritt. Microsoft 365 ist heute für viele Unternehmen nicht mehr nur E-Mail, sondern Dateiablage, Zusammenarbeit, Teams-Kommunikation, Kalender, Identität und oft auch ein grosser Teil des operativen Gedächtnisses. Wenn dort Daten verloren gehen oder manipuliert werden, hilft es wenig, wenn Endpoint und Firewall sauber melden, dass etwas passiert ist. Man muss die Daten auch zuverlässig zurückholen können.

Trotzdem sollte man die Ankündigung nüchtern einordnen. Wenn ich an Microsoft-365-Backups denke, stehen bei vielen Unternehmen zuerst Anbieter wie Veeam, AvePoint, Acronis, Hornetsecurity, Dropsuite, Rubrik oder mittlerweile auch Microsoft 365 Backup auf der Shortlist. Sophos ist vor allem stark im Security-Betrieb rund um Endpoint, MDR, XDR, Firewall und Central Management und bringt mit Rubrik nun einen spezialisierten Backup-Anbieter in diese Umgebung. Das kann sinnvoll sein, ersetzt aber keinen sauberen Vergleich.

Was Sophos und Rubrik jetzt anbieten

Sophos Backup and Recovery Powered by Rubrik ist ein cloudbasierter Backup- und Recovery-Dienst für Microsoft 365. Laut Sophos werden die vier zentralen Workloads geschützt:

• Exchange Online
• OneDrive
• SharePoint
• Teams

Die Lösung wird in Sophos Central eingebunden, die eigentliche Backup-Technologie kommt aber von Rubrik. Das ist wichtig, denn Rubrik ist im Backup- und Cyber-Recovery-Markt ein etablierter Name. Der Mehrwert liegt vor allem in der Kombination aus Sophos Central und einer spezialisierten Rubrik-Plattform.

Die interessantesten Punkte sind:

• Immutable Backups: Backups sollen mit WORM-Locks und Air-Gap-Architektur vor Manipulation geschützt werden.
• Granulare Wiederherstellung: Einzelne E-Mails, Ordner, Mailboxen, OneDrive-Inhalte, SharePoint-Sites oder grössere Bereiche können wiederhergestellt werden.
• Wiederherstellung auf alternative Benutzer: Das ist wichtig, wenn Konten deaktiviert, kompromittiert oder nicht mehr vorhanden sind.
• Flexible Retention: Sophos nennt Retention-Optionen von einem Jahr, sieben Jahren, zehn Jahren oder länger.
• SLA Domains: Backup-Frequenz und Aufbewahrungsdauer werden über Rubrik-Policies gesteuert.
• Datenresidenz: Die Backups liegen in Microsoft Azure, die Region wird beim Onboarding gewählt.

Aus technischer Sicht sind das die richtigen Bausteine. Besonders die Kombination aus unveränderbaren Backups, granularem Restore und definierbarer Retention ist bei Microsoft 365 wichtiger als viele denken.

Warum Microsoft 365 trotzdem ein Backup braucht

Ein häufiger Irrtum ist: “Microsoft betreibt doch Microsoft 365, also ist mein Backup dort schon erledigt.” So einfach ist es nicht. Microsoft sorgt für die Verfügbarkeit der Plattform, für Infrastruktur, Redundanz und viele Schutzmechanismen. Das ersetzt aber kein kundenseitig geplantes Backup- und Recovery-Konzept.

Retention Policies, Papierkorb, Versionierung, Litigation Hold und eDiscovery sind wertvolle Funktionen, aber sie lösen andere Probleme. Diese Funktionen helfen bei Governance, Aufbewahrung, Compliance oder kurzfristiger Wiederherstellung. Ein Backup muss aber andere Fragen beantworten:

• Kann man Daten nach einem kompromittierten Admin-Konto wiederherstellen?
• Gibt es einen sauberen Restore-Punkt vor einer Manipulation?
• Sind Backups gegen Löschung und Änderung geschützt?
• Wie schnell kann eine grössere Menge Daten zurückgeholt werden?
• Wer darf wiederherstellen, und wird das protokolliert?
• Sind Teams-, SharePoint-, OneDrive- und Exchange-Daten wirklich vollständig abgedeckt?

Gerade bei Ransomware oder Account Takeover reicht ein Papierkorb nicht. Wenn ein Angreifer mit hohen Rechten Retention-Einstellungen verändert, Daten löscht oder Inhalte verschlüsselt, braucht man einen unabhängigen und getesteten Wiederherstellungsweg.

Was an der Sophos-Integration interessant ist

Der naheliegende Vorteil ist die zentrale Bedienung. Viele Sophos-Kunden arbeiten ohnehin täglich mit Sophos Central: Endpoint, Server, MDR, XDR, Email, Firewall-Management, NDR, Identity-Signale und Reporting laufen dort zusammen. Wenn Backup und Recovery dort sichtbar werden, kann das im Incident-Fall Zeit sparen.

Das ist besonders relevant, wenn Sophos MDR oder XDR im Einsatz ist. Bei einem Angriff zählt nicht nur, ob man den Angreifer erkennt, sondern auch, wie schnell man den betroffenen Datenbestand eingrenzen und wiederherstellen kann. Wenn Security- und Recovery-Informationen näher zusammenrücken, entsteht operativ ein echter Mehrwert.

Aber diese Integration darf man nicht mit einer vollständigen Ein-Konsolen-Magie verwechseln. Laut Sophos startet man im Rubrik-Portal trotzdem frisch: Microsoft-365-Tenant authentifizieren, Berechtigungen erteilen, SLA Domain konfigurieren und Backup-Policies sauber definieren. Bestehende Sophos-Central-Konfigurationen werden nicht einfach automatisch zu einer fertigen Backup-Strategie.

Das ist auch richtig so. Backup ist kein Schalter, den man irgendwo aktiviert und dann vergisst. Es braucht Design, Zuständigkeit und Tests.

Wo ich vor dem Kauf genau hinschauen würde

Bei Backup-Produkten zählt am Ende nicht die Positionierung, sondern der Betrieb. Entscheidend ist, ob die Lösung zur eigenen Umgebung passt, ob sie im Ernstfall schnell genug wiederherstellt und ob die Kosten nach zwei Jahren noch so aussehen wie im ersten Angebot. Genau dort muss man bei Sophos Backup and Recovery genauer hinschauen.

Für mich wären vor einer Empfehlung vor allem diese Punkte relevant:

• Passt das Lizenzmodell zur tatsächlichen Unternehmensgrösse?
• Reicht der inkludierte Storage realistisch für Exchange, OneDrive, SharePoint und Teams?
• Ist klar, wer Backups administriert und wer wiederherstellen darf?
• Wurde ein Restore-Test mit echten Daten gemacht?
• Gibt es eine Exit-Strategie, falls Sophos oder Rubrik das Modell später ändern?
• Ist wirklich Backup gesucht, oder eigentlich Archivierung, eDiscovery oder Legal Hold?

Erst wenn diese Fragen beantwortet sind, kann man seriös beurteilen, ob die Integration in Sophos Central auch fachlich und wirtschaftlich zur eigenen Backup-Strategie passt.

Mindestabnahme von 200 Seats

Die Mindestbestellung liegt bei 200 Seats. Kleinere Organisationen können das Produkt zwar ebenfalls nutzen, müssen aber trotzdem 200 Seats kaufen. Für viele KMU ist das ein ziemlich harter Einstiegspunkt. Genau dort muss man ehrlich vergleichen, ob eine andere Microsoft-365-Backup-Lösung wirtschaftlich besser passt.

5 GB Storage pro Seat

Pro Seat sind 5 GB Storage enthalten, als gemeinsamer Pool. Das klingt zunächst sauber, kann bei realen Microsoft-365-Tenants aber schnell knapp werden. Exchange, OneDrive und SharePoint wachsen oft deutlich schneller als geplant. Zusätzlicher Storage wird laut Sophos nicht separat gekauft, sondern über zusätzliche Seats erweitert.

Gerade bei längeren Aufbewahrungszeiten wird das relevant. Ein Jahr Backup-Historie ist etwas völlig anderes als sieben oder zehn Jahre. Je länger die Retention, desto stärker wirken sich Mailbox-Wachstum, OneDrive-Nutzung, SharePoint-Versionen und Teams-Dateien auf den Storage aus. Mit 5 GB pro Seat kommt man in vielen produktiven Umgebungen nicht besonders weit, wenn Microsoft 365 intensiv genutzt wird.

Das ist ein Punkt, den man vor dem Angebot unbedingt mit echten Zahlen prüfen sollte:

• aktuelle Exchange-Online-Datenmenge
• OneDrive-Nutzung pro Benutzer
• SharePoint-Sites und Teams-Dateien
• erwartetes Wachstum
• gewünschte Retention
• Restore-Punkte und Backup-Frequenz

Sonst wirkt die Lizenz im ersten Moment passend, wird aber nach ein paar Monaten unattraktiv.

Manuelles Provisioning

Nach der Bestellung gibt es einen manuellen Provisioning-Schritt durch Rubrik. Sophos nennt typischerweise zwei Tage, im Einzelfall bis zu neun Tage. Das ist für ein neues Projekt kein Drama, aber für “wir brauchen morgen ein Backup” natürlich nicht ideal. Gerade wenn ein Kunde nach einem Incident plötzlich merkt, dass Microsoft 365 nicht sauber gesichert ist, kommt diese Erkenntnis zu spät.

Kein dediziertes Archiv

Backup and Recovery ist keine vollwertige Archivierungslösung. Sophos weist selbst darauf hin, dass Funktionen wie eDiscovery oder Legal Hold nicht im Sinne einer dedizierten Archivplattform enthalten sind. Wer rechtliche Archivierung, Journaling, Discovery-Prozesse oder lange revisionssichere Aufbewahrung braucht, muss das separat prüfen.

Meine Einordnung

Ich finde die Richtung richtig. Sophos hat erkannt, dass Security ohne Recovery unvollständig ist. Prevention, Detection und Response sind wichtig, aber irgendwann kommt die einfache Frage: “Können wir die Daten zurückholen?” Wenn die Antwort unklar ist, ist die Security-Architektur nicht fertig.

Trotzdem würde ich Sophos Backup and Recovery nicht automatisch als Standardempfehlung setzen. Der Grund ist nicht Rubrik, im Gegenteil. Rubrik ist eher der Teil, der Vertrauen schafft. Die zentrale Frage ist eher strategisch: Passt Sophos Central als kommerzieller und operativer Einstiegspunkt für Microsoft-365-Backup zur eigenen Umgebung, oder ist ein direkter Backup-Anbieter mit M365-Backup als Kernprodukt besser geeignet?

Diese Frage ist bei Backup besonders wichtig, weil man ein Backup-Produkt nicht für ein Quartal kauft. Man baut Prozesse, Retention, Audit-Anforderungen, Restore-Tests und Betriebsverantwortung darum herum. Wenn sich Plattform, Lizenzierung oder Produktstrategie später ändern, ist ein Wechsel deutlich aufwendiger als bei vielen anderen Security-Services.

Meine Empfehlung ist deshalb pragmatisch:

• Wer stark auf Sophos Central, Sophos MDR oder Sophos XDR setzt, sollte die Rubrik-Integration prüfen.
• Wer Rubrik bereits kennt oder nutzt, hat einen zusätzlichen Grund, genauer hinzuschauen.
• Wer ein kleineres Unternehmen mit deutlich unter 200 Benutzern betreibt, sollte die Wirtschaftlichkeit sehr genau rechnen.
• Wer Microsoft 365 Backup bereits über Microsoft, Veeam, AvePoint, Acronis, Hornetsecurity, Dropsuite oder eine MSP-Plattform sauber gelöst hat, braucht keinen reflexartigen Wechsel.
• Wer noch gar kein M365-Backup hat, sollte jetzt handeln, aber mehrere Lösungen vergleichen.

Worauf ich bei einem Vergleich achten würde

Bei Microsoft-365-Backups geht es nicht nur um “hat Backup” oder “hat kein Backup”. Entscheidend sind die Details im Betrieb: Was wird gesichert, wie lange bleiben die Daten verfügbar, wie granular kann man wiederherstellen, wie schnell läuft ein Restore und wer darf überhaupt auf Backup-Daten zugreifen?

Genau deshalb würde ich Sophos Backup and Recovery nicht nur mit einem Preis pro Benutzer vergleichen. Man muss das gesamte Betriebsmodell anschauen. Eine Lösung kann auf den ersten Blick günstig wirken und später trotzdem teuer werden, wenn Storage, Retention, Restore-Zeit oder Compliance-Anforderungen nicht sauber kalkuliert wurden.

Für mich gehören deshalb mindestens fünf Bereiche in den Vergleich: Workload-Abdeckung, Restore-Qualität, Rollenmodell, Retention/Compliance und der Beschaffungsweg.

Abdeckung der Workloads

Teams ist ein gutes Beispiel. Manche Lösungen sichern nur Dateien, die in SharePoint liegen. Chat-Inhalte, private Chats, Planner, Forms, Loop-Komponenten oder andere M365-Daten können je nach Produkt unterschiedlich oder gar nicht abgedeckt sein. Deshalb muss man pro Lösung konkret prüfen, was unter “Teams Backup” wirklich verstanden wird.

Retention, Storage und gesetzliche Aufbewahrung

Eine der wichtigsten Fragen lautet: Wie lange müssen die Daten wirklich aufbewahrt werden? Sophos nennt Retention-Optionen von einem Jahr, sieben Jahren, zehn Jahren oder länger. Das klingt flexibel, aber die richtige Antwort kommt nicht aus dem Datenblatt, sondern aus Buchhaltung, Compliance, Datenschutz, HR und der jeweiligen Branche.

In der Schweiz sind Geschäftsbücher und Buchungsbelege typischerweise zehn Jahre aufzubewahren. Bei gewissen mehrwertsteuerrelevanten Unterlagen im Zusammenhang mit unbeweglichen Gegenständen können auch zwanzig Jahre relevant sein. Dazu kommen branchenspezifische Vorgaben, interne Weisungen, vertragliche Anforderungen und Datenschutzpflichten. Ein Microsoft-365-Backup muss deshalb nicht nur technisch funktionieren, sondern zum Aufbewahrungskonzept des Unternehmens passen.

Wichtig ist aber die Abgrenzung: Backup-Retention ist nicht automatisch rechtskonforme Archivierung. Ein Backup ist primär für Wiederherstellung gedacht. Archivierung, eDiscovery, Legal Hold, Journaling, unveränderbare Beweisführung und gezielte Löschkonzepte sind andere Anforderungen. Wer M365-Daten aus rechtlichen Gründen lange halten muss, sollte nicht einfach “10 Jahre Backup” einstellen und das Thema abhaken.

Genau hier wird das Storage-Modell wichtig. Lange Retention frisst Speicher, und 5 GB pro Seat sind schnell aufgebraucht, wenn Exchange, OneDrive, SharePoint und Teams über Jahre wachsen. Vor einer Entscheidung sollte man daher mit echten Tenant-Daten rechnen und nicht mit Durchschnittswerten aus einer Präsentation.

Sophos powered by Rubrik oder Rubrik direkt?

Eine naheliegende Kundenfrage ist: Wenn die Technologie von Rubrik kommt, warum sollte man dann über Sophos kaufen und nicht direkt bei Rubrik oder über einen Rubrik-Partner?

Die ehrliche Antwort: Der Vorteil des Sophos-Wegs liegt nicht primär in einer anderen Backup-Technologie, sondern im Betriebs- und Beschaffungsmodell. Sophos Central kann dann attraktiv sein, wenn Endpoint, Firewall, Email, MDR oder XDR bereits über Sophos betrieben werden und Recovery näher an diese Security-Prozesse rücken soll. Auch Rollenmodell, delegierte Administration, gewohnte Partnerwege und ein einheitlicher Lizenzprozess können im Alltag einen Unterschied machen.

Wenn Sophos Central im Unternehmen aber kaum eine Rolle spielt, muss dieser Mehrwert sehr genau gegen den Preis gestellt werden. Dann sollte man Sophos Backup and Recovery Powered by Rubrik direkt mit Rubrik selbst und mit anderen Microsoft-365-Backup-Anbietern vergleichen. Bezahlt man über Sophos mehr, muss der Aufpreis durch weniger Betriebsaufwand, einfachere Verwaltung, bessere Incident-Abläufe oder einen klareren Supportweg gerechtfertigt sein.

Ich würde deshalb immer beide Varianten anbieten oder zumindest prüfen:

• Sophos Backup and Recovery Powered by Rubrik über Sophos Central
• Rubrik direkt oder über einen Rubrik-Partner
• je nach Umgebung zusätzlich Veeam, AvePoint, Acronis, Hornetsecurity, Dropsuite oder Microsoft 365 Backup

Erst dann sieht man, ob Sophos Central in der konkreten Umgebung ein echter Vorteil ist oder nur ein zusätzlicher Vertriebsweg für dieselbe Grundtechnologie.

Restore-Qualität

Ein Backup ist nur so gut wie der Restore. Ich würde immer testen:

• einzelne E-Mail wiederherstellen
• ganze Mailbox wiederherstellen
• OneDrive eines deaktivierten Benutzers wiederherstellen
• SharePoint-Dateien auf einen Zeitpunkt vor einer Manipulation zurückholen
• grosse Wiederherstellung mit mehreren Benutzern simulieren
• Restore in alternativen Zielbenutzer oder Zielort prüfen

Solche Tests sind nicht optional. Viele Backup-Projekte sehen auf dem Papier gut aus und scheitern im Ernstfall an Berechtigungen, Performance, fehlender Dokumentation oder unklaren Zuständigkeiten.

Mandanten- und Rollenmodell

Backup-Zugriff ist hochsensibel. Wer Backup-Daten lesen und wiederherstellen darf, hat Zugriff auf sehr viele Unternehmensdaten. Deshalb braucht es klare Rollen, MFA, Protokollierung, Approval-Prozesse und regelmässige Reviews.

Besonders wichtig: Backup-Administratoren sollten nicht dieselben Konten und Rollen verwenden, die im normalen Microsoft-365-Betrieb überall aktiv sind. Wenn ein Global Admin kompromittiert wird, darf das Backup nicht gleich mitfallen.

Datenresidenz und Exit-Strategie

Datenresidenz ist nicht nur ein Compliance-Häkchen. Man sollte verstehen, in welcher Region die Backups liegen, wer Zugriff hat, welche Verschlüsselungsoptionen bestehen und wie ein Anbieterwechsel funktionieren würde.

Bei Backup-Systemen gehört die Exit-Frage immer dazu:

• Wie lange bleiben Daten nach Kündigung verfügbar?
• Können Backups exportiert werden?
• Wie sieht ein Tenant-Wechsel aus?
• Was passiert bei einer falschen Lizenzzuordnung?
• Wie werden gelöschte Benutzer, Shared Mailboxes und ehemalige Mitarbeitende behandelt?

Das sind langweilige Fragen. Genau deshalb sind sie wichtig.

Fazit

Sophos Backup and Recovery für Microsoft 365 ist eine spannende Ergänzung, weil Sophos damit Recovery näher an Security Operations bringt. Für Sophos-MDR- und XDR-Kunden kann das im Incident-Fall praktisch sein. Dass die Technologie von Rubrik kommt, ist dabei ein wichtiger Pluspunkt, weil Rubrik im Backup- und Cyber-Recovery-Markt bereits etabliert ist.

Aber: Es bleibt ein Backup-Projekt und sollte auch so geplant werden.

Ich würde die Lösung anschauen, aber sorgfältig vergleichen. Vor allem Mindestabnahme, Storage-Modell, Provisioning, Archivanforderungen, Restore-Tests und langfristige Produktstrategie gehören vor eine Kaufentscheidung. Sophos Central ist ein Vorteil, wenn man dort ohnehin arbeitet. Es ist aber kein ausreichender Grund, bewährte M365-Backup-Anbieter nicht mehr anzuschauen.

Meine Empfehlung: Wer noch kein Microsoft-365-Backup hat, sollte das Thema jetzt priorisieren. Ob Sophos Backup and Recovery Powered by Rubrik die beste Wahl ist, hängt von Grösse, bestehender Sophos-Nutzung, Compliance-Anforderungen, Retention, Storage-Wachstum und Betriebsmodell ab. Genau diese Punkte sollte man vor dem Kauf sauber prüfen.

FAQ

Quellen

• Sophos Partner News: Sophos Backup and Recovery for M365 powered by Rubrik is now available
• Sophos Community: Backup and Recovery M365 Powered by Rubrik
• Sophos Press: Rubrik and Sophos to Deliver Microsoft 365 Cyber Resilience with New Partnership
• Microsoft: Microsoft 365 Backup
• Microsoft Learn: Privacy, security, and compliance in Microsoft 365 Backup
• ESTV: Fragen und Antworten zur MWST