Wenn Sie im IT-Betrieb oder im Datenschutz tätig sind, kam Ihnen die vergangene Woche wohl wie ein Stresstest unter realen Bedingungen vor – auch wenn Ihre eigenen Server einwandfrei liefen.
Innerhalb von 48 Stunden legten zwei massive, voneinander unabhängige Ausfälle den modernen Handel und den Reiseverkehr lahm. Zunächst sperrte eine weltweite Störung bei Microsoft 365 Millionen Wissensarbeiter aus Outlook, Teams und Copilot aus. Fast unmittelbar danach legte ein Kommunikationsausfall den Flugverkehr in den gesamten Vereinigten Staaten lahm, als die Federal Aviation Administration (FAA) ein landesweites Flugverbot verhängte.
Auf dem Papier könnten diese beiden Umgebungen unterschiedlicher nicht sein. Die eine ist eine weltweit agierende, cloudnative SaaS-Plattform, die auf modernen Microservices basiert; die andere stützt sich stark auf veraltete Legacy-Hardware und eine jahrzehntealte Telekommunikationsinfrastruktur. Betrachtet man beide Vorfälle jedoch aus der Perspektive eines erfahrenen Backup-Administrators, so sind die grundlegenden Lehren auffallend identisch.
Keiner der Ausfälle wurde von einer hochentwickelten, staatlich unterstützten Ransomware-Bande verursacht. Der eine war auf die Komplexität moderner Cloud-Infrastrukturen und -Konfigurationen zurückzuführen; der andere war auf Datenüberlastung und Dateninkonsistenzen bei Routern auf veralteten Leitungen zurückzuführen. Zusammen offenbaren sie die gefährlichsten blinden Flecken in der heutigen Ausfallsicherheit von Unternehmen.
Die Lehre aus M365: SaaS-Verfügbarkeit ist nicht gleichbedeutend mit der Wiederherstellbarkeit von Daten
Seit Jahren führen Backup-Administratoren einen mühsamen Kampf gegen einen hartnäckigen Mythos in der Führungsetage: „Wir sind auf Microsoft 365 umgestiegen, also kümmert sich Microsoft jetzt um unsere Backups.“
Microsoft betreibt eine der robustesten Cloud-Architekturen der Welt, die über globale Regionen hinweg über native Georedundanz verfügt. Die Verfügbarkeit der Plattform ist jedoch nicht gleichbedeutend mit Geschäftskontinuität oder unabhängiger Wiederherstellbarkeit.
Wenn ein großer SaaS-Mandant ausfällt, stellen Unternehmen ohne unabhängige SaaS-Backups von Drittanbietern fest, dass sie keinerlei Out-of-Band-Zugriff auf ihre eigene betriebliche Lebensader haben. Wenn Exchange oder SharePoint stundenlang nicht erreichbar sind – können Ihre Rechts-, Finanz- oder Incident-Response-Teams dann immer noch wichtige historische E-Mails und Verträge durchsuchen, exportieren und darauf zugreifen? Wenn sich Ihre Daten ausschließlich im Ökosystem des Anbieters befinden, lautet die Antwort „nein“.
Genau diese Lücke schließt Commvaults SaaSRecover für M365 – unabhängiger Schutz durch einen Drittanbieter für Exchange Online, OneDrive, SharePoint und Teams mit flexiblen Wiederherstellungsoptionen, darunter Point-in-Time-, In-Place- und Out-of-Place-Wiederherstellung sowie PST-/CAB-Export. Backups werden alle 8 Stunden im Rahmen einer dauerhaft inkrementellen Planung durchgeführt, und eine Compliance-Sperre gewährleistet die Unveränderlichkeit, sodass Daten nicht gelöscht oder die Aufbewahrungsfrist verkürzt werden können.
Schlimmer noch: Diese Woche wurde eine klassische betriebliche Falle deutlich: die Speicherung Ihrer Incident-Response-Pläne (IR-Pläne) auf genau der Plattform, die gerade ausgefallen ist. Wenn sich Ihre Runbooks für die Recovery, die Eskalationsnummern der Anbieter und die Notfallkommunikationsstrukturen in SharePoint oder Teams befinden, können Sie das Playbook nicht lesen, das Ihnen sagt, was zu tun ist, wenn M365 offline ist.
Die Lehre der FAA: Technische Schulden und die Falle des Änderungsmanagements
Während der M365-Ausfall die Grenzen der Hyperscale-Cloud-Abstraktion aufzeigte, verdeutlichte der Flugstopp der FAA das gegenteilige Extrem: das zunehmende Risiko einer aufgeschobenen Modernisierung.
Jeder erfahrene Infrastrukturadministrator kennt den Budgetzyklus „Keep the Lights On“. Wenn das Kapital knapp wird, flicken Unternehmen veraltete Systeme eher notdürftig zusammen, anstatt sie neu zu gestalten. In der Welt der Datensicherung sieht das so aus, dass nicht mehr unterstützte Festplatten-Arrays, nicht gepatchte Medienserver oder instabile Netzwerkrouten „noch ein weiteres Geschäftsjahr“ am Laufen gehalten werden. Irgendwann wird die technische Verschuldung fällig – meist im ungünstigsten Moment.
Darüber hinaus unterstreichen beide Ereignisse eine unangenehme Wahrheit, die jeder erfahrene Administrator kennt: Routinemäßiges Änderungsmanagement stellt statistisch gesehen eine größere Bedrohung für die Verfügbarkeit dar als Cyberangriffe. Ob es sich nun um ein unscheinbares Router-Update, eine fehlerhafte DNS-Konfiguration oder einen nicht isolierten Traffic-Anstieg handelt, der sich über redundante Pfade ausbreitet – interne Änderungen umgehen regelmäßig genau jene Hochverfügbarkeitsmaßnahmen, die eigentlich dazu gedacht sind, sie zu verhindern. Wenn ein einziger Netzwerkengpass oder Konfigurationsfehler sowohl Ihren primären als auch Ihren sekundären Pfad lahmlegen kann, verfügen Sie nicht über echte Isolation – Sie haben lediglich zwei Möglichkeiten, gleichzeitig auszufallen.
Deshalb ist Commvault AirGap so wichtig. Es sorgt für echte Isolation: einseitige ausgehende Kommunikation ausschließlich vom AirGap-Cluster, pull-basierte Replikation, minimale Port-Exposition und sofortige Isolation nach Abschluss der Replikation. Die Steuerungslogik befindet sich im AirGap-Cluster, nicht im CommServe – sodass ein Ausfall auf der Produktionsseite nicht auf Ihre Recovery-Ebene übergreifen kann.
Keiner der Ausfälle dieser Woche hatte etwas mit KI zu tun, und das sollte klar gesagt werden. Aber schauen Sie sich an, was sie tatsächlich verursacht hat: eine Änderung, die jemand absichtlich vorgenommen hat, in einem System, das zu komplex ist, als dass eine einzelne Person den Überblick behalten könnte. Denken Sie nun darüber nach, wer im nächsten Jahr Änderungen in Ihrer Umgebung vornehmen wird. Agenten ändern bereits Konfigurationen, gewähren Zugriff und verschieben Daten – und das schneller, als es ein Change Advisory Board prüfen kann. Der Ausfallmodus dieser Woche ist der, den wir wieder erleben werden, nur dass die Änderung innerhalb von Sekunden erfolgt und niemand dafür ein Ticket erstellt haben wird. Deshalb müssen Erkennung und Rollback kontinuierlich statt nach Zeitplan erfolgen.
So sieht kontinuierliche Recovery am Montagmorgen aus.
Sie benötigen keine umfassende Umstellung Ihres Budgets, um die Lehren aus den beiden Ausfällen dieser Woche umzusetzen. Nutzen Sie diese Ereignisse als Anstoß, um vier kritische Bereiche Ihrer Ausfallsicherheit zu überprüfen. Das sind keine Vorsichtsmaßnahmen, sondern so sieht kontinuierliche Recovery an der Konsole aus:
- Verlagern Sie Ihre Runbooks aus dem System– Rufen Sie Ihre Notfallwiederherstellungspläne, Netzwerkdiagramme, Support-Kontakte von Anbietern und Notfall-Zugangsdaten aus M365 und SharePoint ab. Verwalten Sie eine unveränderliche Offline-Kopie – oder speichern Sie diese in einem völlig unabhängigen Repository, das nicht von Ihrem primären Cloud-Tenant abhängig ist. Commvault Compliance Lock und AirGap bieten diese unveränderliche, isolierte Speicherebene.
- Trennen Sie die Backup-Authentifizierung vom Produktions-SSO– Ein unabhängiges Backup von M365 durch einen Drittanbieter ist hervorragend, es sei denn, das Backup-Portal stützt sich ausschließlich auf Entra ID (Azure AD) Single Sign-On für die Anmeldung. Stellen Sie sicher, dass Ihre Backup-Administratoren über dedizierte, MFA-geschützte lokale Notfall-Zugangsdaten verfügen, damit Sie auch bei einem Ausfall des Identitätsanbieters weiterhin auf Daten zugreifen und diese exportieren können.
- Überprüfen Sie die Isolierung Ihres Explosionsradius– Sehen Sie sich die Netzwerk- und Verwaltungsebenen, die Ihre Produktionsumgebung mit Ihrem Backup-Speicher verbinden, genau an. Stellen Sie sicher, dass ein kaskadierender Routing-Fehler, ein DNS-Ausfall oder ein Broadcast-Storm in der Produktionsumgebung den Zugriff auf Ihre Recovery-Ebene nicht überlasten oder unterbrechen kann. Hier bietet Commvault Cleanroom einen Mehrwert – es stellt eine isolierte Recovery-Umgebung bereit, entweder cloudbasiert in AWS/Azure oder vor Ort mit einem „air-gapped“ Commvault Grid-Vault (ehemals HyperScale X), in der Sie Daten wiederherstellen und validieren können, ohne eine erneute Infizierung der Produktionsumgebung zu riskieren.
- Beseitigen Sie Ihre „FAA-Ära“-Backup-Rückstände– Identifizieren Sie die älteste und anfälligste Hardware oder Legacy-Software in Ihrem Datensicherungs-Stack. Nutzen Sie die Schlagzeilen dieser Woche, um der Unternehmensleitung einen klaren Business Case zu präsentieren: Technische Schulden jetzt abzubauen ist weitaus kostengünstiger, als später einen längeren Ausfall erklären zu müssen. Die Konsolidierung auf einer einheitlichen, integrierten Plattform reduziert technische Schulden und senkt das Risiko menschlicher Fehler.
Abschließender Gedanke
Selbst Technologiegiganten und Bundesbehörden mit erstklassigen Ingenieuren stoßen auf architektonische Sonderfälle. Es geht nicht darum, Schuld zuzuweisen. Es geht darum, dass die schwierigsten Stunden nach dem Alarm kommen, wenn Sie herausfinden müssen, was sich geändert hat und worauf Sie sich noch verlassen können. Resilienz bedeutet, diese Frage jedes Mal schnell beantworten zu können, weil Sie bereits aufmerksam waren.
