Die wichtige Unterscheidung zwischen Datenverarbeiter und Datenbesitzer
Microsoft 365 bietet Unternehmen den Zugriff auf Daten von überall, ohne dass eine eigene Infrastruktur für E-Mails und Dateien bereitgestellt werden muss. Die Bereitstellung der Infrastruktur durch Microsoft bedeutet jedoch nicht, dass Unternehmen und Organisationen Ihre Verantwortung als Datenbesitzer nicht mehr wahrnehmen müssen und kein Backup Ihrer unternehmenskritischen Microsoft 365-Daten benötigen.
Die primäre Rolle
Die genaue Betrachtung der Rollen von Microsoft und dem Microsoft 365 Kunden gibt hier entscheidenden Aufschluss. Microsoft tritt als Datenverarbeiter auf, wobei der Microsoft 365 Kunde in jedem Fall Datenbesitzer bleibt. Dies schafft unterschiedliche Verantwortungen. Schon bei grundlegenden Themen, lassen sich verschiedene Verantwortungsbereiche definieren. Der Datenverarbeiter gewährleistet durch seine Infrastruktur die Verfügbarkeit der Dienste, wobei der Datenbesitzer verantwortlich für die den Zugriff auf seine Daten ist und dies entsprechend kontrollieren muss.
Unterstützende Funktionen und Sicherheitsaspekte
Als Datenverarbeiter und sozusagen Vermieter der eigenen Infrastruktur bietet man dem Kunden Vorteile wie eine Geo-Redundanz und unterstützende Funktionen wie beispielsweise eine kurzfristige Recovery-Option für seine Daten. Als Datenbesitzer ist man in der Verantwortung ein unabhängiges Backup der Daten an einem anderen Speicherort als der Microsoft 365 Infrastruktur vorzuhalten und die Daten entsprechend gesetzlich vorgegebener Aufbewahrungsrichtlinien zu behandeln. Die kurzfristige Recovery-Option von Microsoft sollte ebenso mit einer Point-in-time Recovery-Option ergänzt werden, für belastbare Restore-Szenarien. Denn der Datenverarbeiter ist zwar verantwortlich für die Infrastrukturebene und der damit verbundenen physischen Sicherheit von Standorten und Systemen, allerdings liegt die Verantwortung auf Datenebene beim Datenbesitzer. Hierzu gehört es entsprechende Maßnahmen zu etablieren, die Daten vor versehentlicher Löschung schützen, Datenmissbrauch durch Mitarbeiter zu verhindern sowie die Manipulation von Daten auszuschließen.
Regulatorische Anforderungen
Insbesondere bei regulatorischen Aspekten wird deutlich, dass der Datenverarbeiter zwar für Datensicherheit in Form von Kontrollen und Zertifizierungen, wie z.B. der ISO 27001 Norm und Compliance-Vorschriften zuständig ist. Die Einhaltung gesetzlicher Vorgaben und Industriestandards allerdings dem Datenbesitzer obliegt. Hierzu gehören unter anderem für Unternehmen und Organisationen relevante Aspekte wie die Anforderungen an Aufbewahrung nach GoBD, die Auskunftsfähigkeit und das Recht auf Vergessen nach DSGVO und die individuelle Behandlung privater E-Mail-Kommunikation nach Telekommunikationsgesetz.
Netmail und Microsoft 365, die perfekte Ergänzung
Netmail hilft Ihnen dabei die Einhaltung von gesetzlichen Bestimmungen und Compliance-Vorgaben mit effizienten E-Discovery-Tools und KI-gestützter Klassifizierung von Daten zu erreichen. Ihre Daten sind im gesetzeskonformen Archiv vor versehentlicher Löschung, Sicherheitsbedrohungen und Lücken in Aufbewahrungsrichtlinien geschützt. Eine schnelle Wiederherstellung einzelner E-Mails und Dateien ist ebenso möglich und ergänzt Microsoft 365 um die wichtige point-in-time Recovery Option. Unsere vielseitige Lösung NetGovern bietet auch Schutz und Kontrolle für unstrukturierte Daten, wie sie z.B. in OneDrive, Sharepoint oder Teams zu finden sind. Die Anbindung an eine Vielzahl gängiger Speicherorte ermöglicht transparente Suchen und Audits. Zudem ist NetGovern einsetzbar für Systeme, die noch On-premise betrieben werden. Auch Hybridumgebungen aus Cloud- und On-premise Lösungen können somit perfekt verwaltet werden. Auch die Verwaltung, Analyse und das Monitoring von immer beliebter werdenden Microsoft Teams Umgebungen in Unternehmen kann mit Netmail umgesetzt werden, durch das optionale Teams Governance & Compliance Modul.
Compliance in Microsoft 365
Sie möchten mehr über Compliance Anforderungen und Microsoft 365 erfahren und warum eine vollständige Abdeckung, der in Deutschland gängigen Anforderungen an Compliance mit den Standard Möglichkeiten in Microsoft 365 im Rahmen des E3 Plans oder Exchange Online 2 Plans, nahezu unmöglich und in der Praxis nicht nutzbar ist?
Wir haben für Sie einen ausführlichen Bericht aufbereitet, der Ihnen aufzeigt, wo es nötig ist komplementäre Lösungen zu Microsoft 365 einzusetzen um auf der viel zitierten „sicheren Seite“ zu sein. Laden Sie jetzt unser ausführliches Whitepaper herunter.