Sophos Backup & Recovery M365 einrichten und einen Restore prüfen

Sophos Backup and Recovery M365 ist ein cloudbasiertes, auf Rubrik beruhendes Backup- und Wiederherstellungsangebot für Exchange, OneDrive, SharePoint und Teams. Der Einstieg erfolgt in Sophos Fusion (ehemals Sophos Central) unter My Products > Backup and Recovery M365; die eigentliche Einrichtung und Wiederherstellung finden im Rubrik Security Cloud-Portal statt. Eine aktivierte Lizenz oder erfolgreiche Weiterleitung bedeutet noch nicht, dass die vorgesehenen Daten gesichert werden.

Der sichere Ablauf lautet: Anspruch und Tenant prüfen, Microsoft 365 mit Rubrik verbinden, Sicherungsrichtlinien über eine SLA Domain zuweisen, erfolgreiche Sicherungen kontrollieren und einen eng begrenzten Restore abnehmen. Die folgende Klickfolge folgt der Sophos-Adminhilfe mit Stand 27. Mai 2026, am 27. Oktober 2026 erneut gelesen. Sie beschreibt das Rubrik-hosted-Modell und einen Exchange-Beispielrestore, keinen universellen Wiederherstellungsweg für alle M365-Workloads.

Vor der Einrichtung Auftrag, Tenant und Rechte klären

Vor dem Start hält man fest, welche Microsoft-365-Organisation, Benutzer und Workloads geschützt werden sollen. Die zuständigen Personen bestätigen den Sophos-Fusion-Tenant, die bestellte Subscription und den Bereitstellungsstatus. Sophos M365 Backup and Recovery unterstützt Enterprise Master Licensing nicht. Seine Lizenzen können nicht zwischen Sub-Estates geteilt werden; bei mehreren Kundentenants sind jeweils separate Lizenzen erforderlich. Die Lizenzierung und Zuordnung der vorgesehenen Microsoft-365-Organisationen/Subscriptions wird vor Bestellung separat bestätigt. Details stehen unter Enterprise Master Licensing.

Zusätzlich braucht man ein Microsoft-365-Administrationskonto mit den für die Verbindung erforderlichen Berechtigungen. Die allgemeine Sophos-Anleitung nennt dafür keine universelle Mindestrolle. Vor dem Consent müssen deshalb die tatsächlich angeforderten Rechte, die betroffenen Anwendungen und die zuständige freigebende Person feststehen. Ein Sophos-Adminrecht ersetzt keine Microsoft-Berechtigung.

Für die Planung gehören ausserdem Datenregion, Aufbewahrungsbedarf, zulässiger Datenverlust und Wiederherstellungszeit ins Change-Ticket. Die beiden letzten Werte werden oft als RPO und RTO bezeichnet: Wie alt darf die wiederhergestellte Kopie sein und wie lange darf der Dienst ausfallen? Backup ersetzt keine gesondert erforderliche Archivierung, eDiscovery oder Legal-Hold-Lösung.

Kommerzielle Bedingungen vor Bestellung bestätigen: Mindestmenge, enthaltenen Speicher, Laufzeit, Erweiterungsmöglichkeiten sowie Trial- und MSP-Verfügbarkeit aus dem aktuellen Angebot prüfen. Ältere Launch-Angaben sind keine Garantie für heutige Konditionen. Die ausführliche Einordnung zu Sophos Backup & Recovery mit Rubrik erklärt Kauf- und Architekturfragen; die folgende Anleitung konzentriert sich auf Einrichtung und Nachweise.

1. Microsoft-365-Subscription mit Rubrik verbinden

1. In Sophos Fusion My Products > Backup and Recovery M365 öffnen. Nach der Weiterleitung die richtige Rubrik-Organisation prüfen und Inventory > SaaS > Microsoft 365 > Add Subscription wählen.
2. Im Dialog Microsoft 365 Setup mit Next fortfahren. Unter Grant Rubrik Access to Azure im Feld Microsoft Entra Domain die Domain des vorgesehenen Entra-Tenants eintragen. Sie ist in dessen Entra-Übersicht zu finden. Sign in to Azure öffnet die Anmeldung; danach Add Subscription wählen. Bei unerwartetem Tenant oder ungeklärtem Consent abbrechen.
3. Unter Azure Configuration die Datenablage festlegen. Sophos empfiehlt Store data in its original geographic regions; zusätzlich wird die zentrale Datenlocation ausgewählt. Diese Einstellung anhand des eigenen Residenzkonzepts prüfen, nicht ungeprüft als Bestätigung jeder Datenschutzanforderung behandeln.
4. Rubrik erzeugt standardmässig einen Azure-Schlüssel. Use your own Azure key ist eine gesonderte Option mit Azure Tenant ID, Azure Key Vault ID und Azure Key Name. Einen eigenen Schlüssel nur mit geklärtem Betrieb, Zugriffsmodell und Wiederherstellungsprozess verwenden. Die Anleitung begründet keinen Bedarf, vorhandene Schlüssel auf Verdacht zu ersetzen. Den Konfigurationsschritt mit Add Subscription fortsetzen.
5. Unter Authorize Access to Microsoft 365 die vorgesehenen Anmeldungen für Exchange, OneDrive, SharePoint und Teams durchführen. Unter Grant Access to Microsoft Management App folgt die Freigabe über Sign in to Microsoft 365 Management app. Die angezeigten Rechte und den Tenant jeweils prüfen und danach Add Subscription abschliessen.

Die Anzeige einer verbundenen Subscription ist zunächst ein Integrationsnachweis. Ob bestimmte Daten geschützt werden, hängt zusätzlich von Scope, SLA-Zuweisung und erfolgreichen Sicherungen ab. Ein Fehler in einem Workload wird nicht durch erneuten Consent für alle Anwendungen behoben; zuerst den betroffenen Schritt und seine Meldung eingrenzen.

2. Eine passende SLA Domain zuweisen

Eine SLA Domain beschreibt die Sicherungsrichtlinie, insbesondere Sicherungshäufigkeit und Aufbewahrung. Sie ist nicht einfach die Domain des E-Mail-Systems und keine garantierte Wiederherstellungszeit.

Unter Inventory > SaaS > Microsoft 365 auf Assign SLA Domain klicken. Im Dialog Manage Protection die vorgesehenen Microsoft-365-Anwendungen auswählen und mit Next fortfahren. Unter Assign an SLA Domain die passende vorhandene Richtlinie wählen. Sophos dokumentiert diese Defaults:

Das allgemeine Produktangebot nennt bis zu zehn Jahre Aufbewahrung und unveränderbare Backups. Daraus folgt nicht, dass ein Default bereits zehn Jahre oder die gewünschte Unveränderbarkeit konfiguriert. Benötigt man abweichende Werte, wird eine passende Custom SLA Domain nach der aktuellen Rubrik-Hilfe geplant und ihre tatsächliche Berechtigung und Konfiguration geprüft. Die Default-Namen sind keine Empfehlung für jeden Kunden.

Nach Next unter Confirmation den gesamten Scope und die Richtlinie kontrollieren und erst dann Assign wählen. Für einen ersten Pilot die vorgesehenen Testobjekte und deren Schutzstatus im Portal prüfen; eine Auswahl von Anwendungen im Assistenten ist kein Nachweis einer beliebig feinen Pilotbegrenzung.

3. Sicherungen nachweisen, bevor ein Restore gebraucht wird

Man wählt eine freigegebene Testmailbox und erzeugt darin eine harmlose, eindeutig benannte Testnachricht, beispielsweise Backup-Pilot-2026-10-27. Sie enthält weder Zugangsdaten noch Unternehmens- oder Kundendaten. Vorher wird festgehalten, welches Sicherungsfenster und welcher Wiederherstellungspunkt erwartet werden.

Anschliessend kontrolliert man im Rubrik-Portal die erwartete Subscription, den Schutzumfang, die zugewiesene SLA Domain und den erfolgreichen Sicherungslauf. Erst ein vorhandener Snapshot mit dem erwarteten Objekt ermöglicht den folgenden Restore-Nachweis. Ein grüner Integrationsstatus, eine konfigurierte SLA Domain oder eine vorhandene ältere Sicherung beweist nicht, dass die neue Testnachricht erfasst wurde.

4. Einen Exchange-Restore begrenzt durchführen

Ein Restore schreibt Daten oder erstellt einen Export. Ziel, Datenumfang und Freigabe müssen deshalb vor dem letzten Recover feststehen. Für den Pilot eignet sich eine Testmailbox; ein Produktionspostfach wird nicht vorsorglich in-place wiederhergestellt.

1. Inventory > SaaS > Microsoft 365 öffnen. Unter Selected Subscription die bestätigte Subscription wählen und Enter Subscription anklicken.
2. Unter Data Source Exchange auswählen. Unter Username die freigegebene Testperson und unter Snapshots einen passenden Zeitpunkt im Kalender wählen.
3. Den Snapshot mit Recover öffnen. Im Dialog Exchange Recovery Mailbox wählen und mit Next zu den Ordnern beziehungsweise Nachrichten wechseln. Nur die vereinbarte Testnachricht auswählen; bei Bedarf die Suche verwenden.
4. Den Wiederherstellungsweg bewusst bestimmen. Restore to original user verwendet die ursprüngliche Person, Restore to another user eine andere. Download from Cloud erzeugt einen ZIP-Export mit einer oder mehreren PST-Dateien; Recover to a different subscription hat einen anderen Tenant-/Subscription-Bezug. Diese Varianten benötigen unterschiedliche Freigaben und sind keine austauschbaren Testoptionen.
5. Im dokumentierten weiteren Ablauf zwischen In-place recovery und Recover to a new folder wählen. Für den begrenzten Test wird, sofern im gewählten Ablauf angeboten, ein neuer Ordner im bestätigten Ziel verwendet. Recover to a new folder verbleibt laut Hilfe in der ursprünglichen Region. Ziel, Region und Umfang vor Next nochmals vergleichen.
6. Die Zusammenfassung kontrollieren und erst danach Recover bestätigen. Jobabschluss und Meldungen im Portal prüfen. Anschliessend mit der zuständigen Testperson kontrollieren, ob die erwartete Nachricht am richtigen Ziel lesbar ist. Betreff, Inhalt und gegebenenfalls Anhang mit dem ursprünglichen Testobjekt vergleichen.

Der Prüfbericht enthält Snapshot-Zeit, Job-ID beziehungsweise nachvollziehbare Jobzuordnung, Quell- und Zielobjekt, Umfang, Ergebnis und gemessene Dauer. Ein erfolgreicher Einzelmail-Restore bestätigt nicht den vollständigen Restore einer Mailbox, SharePoint-Site oder Teams-Struktur. Für diese Aufgaben werden gesonderte repräsentative Tests geplant.

Für OneDrive-Dateien, SharePoint-Inhalte und Teams-Daten führt M365-Restore für weitere Workloads vorbereiten und abnehmen durch die Abgrenzung von Quelle, Ziel und Konfliktverhalten sowie drei getrennte Testszenarien. Vor der Wiederherstellung sind Berechtigungen und geeignete Snapshots für den jeweiligen Workload nachzuweisen.

Ein bereits ausgeführter Restore hat keinen allgemeinen Rückgängig-Schalter. Zusätzliche Testordner, wiederhergestellte Objekte oder PST-Exporte werden nach der dokumentierten Prüfung ausschliesslich im vereinbarten Testumfang und nach der Aufbewahrungsrichtlinie bereinigt. Keine produktiven Nachrichten oder Snapshots als vermeintlichen Rollback löschen.

Wenn Anmeldung, Sicherung oder Wiederherstellung scheitert

Rubrik öffnet nach einem Session-Timeout wieder die Fusion-Anmeldung: Sophos führt dies im am 27. Oktober 2026 gelesenen Known-Issues-Verzeichnis als PHISH-11524 auf. Es betrifft eine abgelaufene Rubrik-SSO-Sitzung bei weiterhin gültiger Fusion-Sitzung. Der dokumentierte temporäre Workaround ist, sich erneut in Sophos Fusion anzumelden und danach den Rubrik-SSO-Einstieg nochmals zu öffnen. Das ist kein dauerhafter Fix und kein Grund, die Subscription zu entfernen oder Berechtigungen auszuweiten.

Die Subscription ist verbunden, aber erwartete Snapshots fehlen: Tenant, Workload, tatsächlichen Schutzumfang, SLA-Zuweisung, Sicherungszeit und die konkrete Fehlermeldung getrennt prüfen. Keine erfolgreichen Sicherungen aus einer anderen Subscription als Ersatznachweis verwenden.

Ein Restore zeigt kein verwertbares Ergebnis: Quellperson, Snapshot-Zeit, ausgewählte Nachricht, Ziel und Jobmeldung gegen das Ticket vergleichen. Nicht wiederholt denselben Schreibvorgang auslösen, solange dessen Ausgang unklar ist. Zuerst klären, ob Daten bereits wiederhergestellt wurden.

Für Detailhilfe kann man im Rubrik-Portal das Help-Symbol öffnen und den genauen Hilfetitel suchen, beispielsweise Setting up a Microsoft 365 subscription for Rubrik hosting oder Recovering email messages to the original location. Sophos weist darauf hin, dass direkte Rubrik-Hilfelinks zunächst eine Anmeldung verlangen können. Dafür bleibt man im vorgesehenen, autorisierten Portalablauf; der vorliegende Artikel setzt keine zusätzliche Anmeldung oder Berechtigungserweiterung voraus.

Bei einer Eskalation Subscription, Workload, Zeitpunkt mit Zeitzone, betroffenen Schritt, bereinigte Fehlermeldung und bekannte Jobzuordnung angeben. Tokens, Schlüssel, PST-Inhalte und vertrauliche Nachrichten gehören nicht in eine öffentliche Beschreibung. Den bestätigten Supportfall und Übermittlungsweg verwendet man nach Supportticket vorbereiten und eröffnen.