Für eine lokale Sicherung von Microsoft 365 ist nicht das RAID, sondern eine Backup-Anwendung mit Zugriff auf die Microsoft-Cloud-Dienste zuständig. Eine akute Datengefahr entsteht vor allem dann, wenn gelöschte oder verschlüsselte Cloud-Inhalte mangels unabhängiger Sicherung nicht mehr aus Microsoft 365 wiederhergestellt werden können. Prüfe zuerst, welche Dienste und Konten gesichert werden müssen und ob dein NAS eine passende Anwendung unterstützt. Installiere noch nichts produktiv und erteile keine mandantenweiten Berechtigungen, bevor Speicherbedarf, Wiederherstellungsweg und zweite Sicherung des Backup-Bestands geklärt sind.
Als integrierte Lösungen kommen vor allem Synology Active Backup for Microsoft 365 und QNAP Boxafe infrage. NAKIVO Backup & Replication ist eine herstellerübergreifendere Alternative, die auf geeigneten NAS-Systemen oder einem separaten System betrieben werden kann. Veeam Backup for Microsoft 365 eignet sich eher für eine eigenständige Backup-Infrastruktur, bei der das NAS nur eine unterstützte Speicherrolle übernimmt. Ein universeller Sieger wäre irreführend: Modellkompatibilität, geschützte Microsoft-365-Dienste, Lizenzierung und gewünschte Wiederherstellungsarten bestimmen die Auswahl.
Was eine NAS-Sicherung aus Microsoft 365 tatsächlich leistet
Die Backup-Software verbindet sich mit dem Microsoft-365-Mandanten, liest Daten über die von Microsoft bereitgestellten Schnittstellen und schreibt sie in ein Repository. Dieses Repository kann direkt auf dem NAS liegen oder über einen Backup-Server auf NAS-Speicher zugreifen. Die Sicherung läuft damit in der Richtung Cloud zu lokalem Speicher – nicht vom NAS in die Cloud.
Die Anwendung benötigt eine registrierte Identität und passende Rechte im Microsoft-Mandanten. Welche API- beziehungsweise Microsoft-Graph-Berechtigungen verlangt werden, hängt von der Softwareversion und den ausgewählten Arbeitslasten ab. Diese Rechte solltest du in der offiziellen Einrichtungsdokumentation des Backup-Produkts abgleichen und im Microsoft Entra Admin Center kontrollieren. Veraltete Anleitungen sind hierfür ungeeignet, weil Microsoft Anmeldeverfahren und API-Berechtigungen verändern kann.
Vier Lösungswege im selben Entscheidungsraster
| Lösung | Betriebsmodell | NAS-Bindung | Typischer Einsatz | Wichtige Grenze |
|---|---|---|---|---|
| Synology Active Backup for Microsoft 365 | Backup-Anwendung auf einem kompatiblen Synology NAS | Eng an DSM und unterstützte Synology-Modelle gebunden | Organisationen, die Microsoft-365-Daten ohne separaten Backup-Server auf einem Synology-System sichern möchten | Modell, DSM-Version, Paketversion, Dateisystem und geschützte Arbeitslasten müssen zusammenpassen |
| QNAP Boxafe | Backup-Anwendung auf einem kompatiblen QNAP NAS | Eng an QTS beziehungsweise QuTS hero und unterstützte QNAP-Modelle gebunden | QNAP-Umgebungen, in denen Cloud-Konten zentral auf dem NAS gesichert und durchsucht werden sollen | Funktionsumfang, Modellfreigabe, Arbeitsspeicherbedarf und Lizenzbedingungen sind versionsabhängig |
| NAKIVO Backup & Replication | Eigenständige Backup-Plattform auf unterstütztem NAS oder anderer Infrastruktur | Geringere Herstellerbindung, aber nur freigegebene Plattformen sind sinnvoll | Umgebungen, die Microsoft 365 zusammen mit virtuellen Maschinen, Servern oder weiteren Quellen verwalten möchten | Kommerzielles Lizenzmodell und mehr Planungsaufwand als bei einem reinen NAS-Paket |
| Veeam Backup for Microsoft 365 | Separate Backup-Anwendung mit eigener Repository-Architektur | Das NAS ist eher Speicherkomponente als vollständige Ausführungsplattform | Größere oder bereits mit Veeam arbeitende Umgebungen mit getrennten Backup-Rollen | Die gewählte Produktversion muss die vorgesehene NAS-Anbindung als Repository oder Speicherebene ausdrücklich unterstützen |
Synology Active Backup for Microsoft 365
Diese Lösung ist besonders naheliegend, wenn bereits ein leistungsfähiges Synology NAS vorhanden ist und die Sicherung vollständig in DSM verwaltet werden soll. Die Anwendung verbindet Microsoft-365-Konten mit lokalen Sicherungsaufgaben und stellt eine Oberfläche für die Suche und Wiederherstellung bereit. Der wesentliche Vorteil liegt in der engen Integration: Für die eigentliche Sicherungsinstanz wird kein zusätzlicher allgemeiner Backup-Server benötigt.
Nicht jedes Synology-Modell erfüllt automatisch die Voraussetzungen. Vor der Auswahl sind die Paketfreigabe für das Modell, die unterstützte DSM-Version, das verwendete Dateisystem, der verfügbare Arbeitsspeicher und die Anforderungen der gewünschten Paketversion zu prüfen. Maßgeblich sind die Paketbeschreibung im DSM-Paket-Zentrum sowie die Kompatibilitäts- und Administratorhinweise für Active Backup for Microsoft 365. Auch mögliche Aktivierungs- oder Lizenzbedingungen gehören vor dem Produktivbetrieb in diese Prüfung.
QNAP Boxafe
Boxafe verfolgt auf geeigneten QNAP-Systemen einen ähnlichen integrierten Ansatz. Microsoft-365-Organisationen, Benutzer und Sicherungsaufgaben werden innerhalb der QNAP-Anwendung verwaltet; gesicherte Inhalte liegen auf dem NAS. Das passt vor allem dann, wenn QTS oder QuTS hero bereits die zentrale Speicherplattform bildet und keine weitere Backup-Umgebung aufgebaut werden soll.
Entscheidend ist die Freigabe für das vorhandene QNAP-Modell und Betriebssystem. Ein Eintrag im App Center allein beantwortet noch nicht, ob Arbeitsspeicher, Prozessor und Speicherkapazität für die Zahl der Benutzer und Daten ausreichen. Prüfe in der offiziellen Boxafe-Dokumentation zusätzlich, welche Microsoft-365-Arbeitslasten die installierbare Version schützt und welche Wiederherstellungsobjekte sie unterstützt. QTS- und QuTS-hero-Menübezeichnungen sollten nicht miteinander vermischt werden.
NAKIVO als plattformübergreifende Backup-Lösung
NAKIVO Backup & Replication ist interessant, wenn neben Microsoft 365 noch weitere Systeme in derselben Backup-Verwaltung liegen sollen. Die Software kann in unterstützten Konstellationen auf NAS-Plattformen bereitgestellt werden, ist aber keine beliebig installierbare Anwendung für jedes Modell. Freigegebene Pakete, Prozessorarchitektur, Arbeitsspeicher und Produktversion müssen vorab zusammenpassen.
Die größere Funktionsbreite bringt zusätzlichen Verwaltungsaufwand und eine kommerzielle Lizenzierung mit sich. Dafür kann eine solche Plattform sinnvoller sein als ein herstellereigenes Einzelpaket, wenn virtuelle Maschinen, physische Systeme und Microsoft-365-Daten nach gemeinsamen Richtlinien gesichert werden sollen. Vor der Entscheidung sind die Microsoft-365-Feature-Matrix, die Liste unterstützter NAS-Plattformen und die verfügbaren Wiederherstellungsziele der vorgesehenen NAKIVO-Version zu prüfen.
Veeam mit dem NAS als Speicherbaustein
Veeam Backup for Microsoft 365 richtet sich eher an Umgebungen, in denen Backup-Server, Proxy- beziehungsweise Verarbeitungsrollen und Repository bewusst getrennt geplant werden. Das NAS ersetzt dabei nicht automatisch die Veeam-Anwendung. Es stellt lediglich Speicher bereit, sofern die Produktversion und die gewählte Repository-Art diese Anbindung unterstützen.
Dieser Aufbau bietet mehr Freiheit bei Skalierung und Betriebsrollen, ist für ein einzelnes kleines NAS aber oft aufwendiger als ein natives Paket. Ein gewöhnlich eingebundenes Netzlaufwerk sollte nicht ohne Prüfung als unterstütztes Repository betrachtet werden. Die passende Veeam-Version, der Repository-Typ, das Speichersystem und die Vorgaben zur Leistung und Absicherung müssen in der Veeam-Dokumentation gemeinsam geprüft werden.
Welche Lösung passt zu welcher Umgebung?
- Synology NAS ohne separate Backup-Infrastruktur: Active Backup for Microsoft 365 ist meist der kürzeste Weg, sofern Modell, DSM, Paket und gewünschte Cloud-Dienste unterstützt werden.
- QNAP NAS als zentrale Plattform: Boxafe ist die passende erste Prüfoption, wenn das Modell freigegeben ist und der Funktionsumfang die benötigten Microsoft-365-Daten abdeckt.
- Mehrere Backup-Quellen und Wunsch nach weniger Herstellerbindung: NAKIVO kann besser passen, wenn die zusätzliche Lizenzierung und Verwaltung gerechtfertigt sind.
- Bestehende Veeam-Umgebung oder getrennte Backup-Rollen: Veeam Backup for Microsoft 365 ist sinnvoll, wenn das NAS gemäß der jeweiligen Repository-Architektur eingebunden wird.
Die Marke des NAS allein sollte die Entscheidung nicht bestimmen. Eine Anwendung ist nur geeignet, wenn sie alle benötigten Arbeitslasten schützt und die geforderte Wiederherstellung ermöglicht. Wer beispielsweise nur Postfächer und OneDrive sichern muss, stellt andere Anforderungen als eine Organisation, die einzelne SharePoint-Objekte, Teams-bezogene Inhalte und viele Benutzer getrennt wiederherstellen möchte.
Vor der Installation den Schutzumfang festlegen
Eine brauchbare Planung beginnt mit den Objekten, nicht mit dem Speicherpool. Erstelle eine Liste der Benutzer, gemeinsam genutzten Postfächer, OneDrive-Konten, SharePoint-Sites und Teams-Arbeitsbereiche. Ordne jedem Objekt eine Aufbewahrungsanforderung und einen gewünschten Wiederherstellungsweg zu. Damit lässt sich erkennen, ob die Software nur komplette Konten oder auch einzelne Nachrichten, Dateien, Ordner und Sites passend zurückspielen kann.
- Lege fest, welche Microsoft-365-Dienste gesichert werden müssen.
- Prüfe in der Feature-Matrix der vorgesehenen Produktversion, ob diese Dienste und die benötigte Wiederherstellungsgranularität enthalten sind.
- Kontrolliere NAS-Modell, Betriebssystemversion, Paketfreigabe, Arbeitsspeicher und unterstütztes Dateisystem.
- Schätze das Datenvolumen anhand der tatsächlich belegten Cloud-Speicher und der erwarteten Änderungshäufigkeit ab.
- Plane die Aufbewahrung und eine zusätzliche Sicherung des lokalen Repositorys.
- Definiere ein Testkonto und führe damit die erste Sicherung sowie eine Wiederherstellung durch.
Für die Kapazitätsplanung genügt es nicht, die einmalig belegte Cloud-Datenmenge auf das NAS zu übertragen. Versionen, gelöschte Objekte, Aufbewahrungsdauer, Datenbank- beziehungsweise Metadatenbedarf und künftiges Wachstum vergrößern den Platzbedarf. Komprimierung oder Deduplizierung können ihn senken, dürfen aber ohne produktspezifische Messung nicht als feste Einsparung eingeplant werden.
Sicher einrichten, ohne dem Backup unnötige Rechte zu geben
Die Verbindung zu Microsoft 365 erfolgt üblicherweise über eine in Microsoft Entra registrierte Anwendung oder einen vom Backup-Produkt geführten Autorisierungsvorgang. Verwende die für die gewählten Arbeitslasten vorgesehenen Berechtigungen und dokumentiere, welche Anwendung Zugriff erhalten hat. Globale Administratorkonten sollten nicht als dauerhaft hinterlegte Alltagszugänge dienen.
Nach der Autorisierung wird zuerst eine kleine Auswahl gesichert. Ein geeignetes Testset besteht etwa aus einem Testpostfach, einem OneDrive-Konto und einer kleinen SharePoint-Site. Der erste Lauf muss ohne ungeklärte Fehler enden. Warnungen wegen fehlender Berechtigungen, nicht erreichbarer Objekte oder API-Begrenzungen sind vor der Ausweitung auf alle Benutzer zu untersuchen.
Microsoft kann den Abruf großer Datenmengen über Dienstbegrenzungen drosseln. Ein langsamer Erstlauf beweist daher nicht automatisch, dass NAS oder Netzwerk zu schwach sind. Zeigt das Protokoll Drosselungs- oder API-Fehler, ist zunächst die Aufgabenplanung beziehungsweise Parallelisierung nach den Vorgaben der Backup-Anwendung anzupassen. Zeigt es dagegen dauerhaft niedrigen lokalen Schreibdurchsatz ohne Cloud-Fehler, sind Volume-Auslastung, Datenträgerzustand und NAS-Ressourcen zu prüfen.
Die Wiederherstellung entscheidet über den Nutzen
Eine erfolgreiche Aufgabe ist noch kein belastbarer Wiederherstellungsnachweis. Nach dem Testlauf solltest du ein einzelnes Objekt suchen, in einen getrennten Zielbereich wiederherstellen und Inhalt sowie Metadaten kontrollieren. Geeignet sind beispielsweise eine Nachricht mit Anhang, ein OneDrive-Ordner oder ein Dokument aus einer Test-Site. Produktive Daten sollten für den ersten Test nicht überschrieben werden.
Prüfe außerdem, wer Wiederherstellungen ausführen darf. Selbstbedienungsportale sind bequem, benötigen aber eine saubere Trennung zwischen Benutzern, Administratoren und Mandantenbereichen. Ein Backup-Administrator sollte nicht automatisch mehr Zugriff auf produktive Inhalte erhalten, als für Sicherung und Wiederherstellung erforderlich ist.
Der Rückweg muss ebenfalls dokumentiert sein: Wie wird auf das Repository zugegriffen, wenn der ursprüngliche NAS-Administrator ausfällt? Welche Schlüssel, Anwendungseinträge und Zugangsdaten werden benötigt? Kann die Sicherungssoftware nach einem NAS-Ausfall auf einem Ersatzsystem wieder in Betrieb genommen werden? Diese Punkte gehören zum Wiederherstellungskonzept und nicht erst zur Störungsbearbeitung.
Ein lokales Repository braucht selbst eine zweite Schutzebene
Die Microsoft-365-Sicherung auf dem NAS trennt die Daten von der produktiven Cloud, ist aber noch keine vollständige Ausfallsicherung. Ein Defekt des NAS, Diebstahl, Feuer, eine kompromittierte Administration oder Ransomware kann Cloud-Original und lokales Repository unterschiedlich oder gemeinsam treffen. RAID schützt nur gegen bestimmte Laufwerksausfälle; es erzeugt keine unabhängige Kopie.
Sinnvoll ist eine zusätzliche Kopie des Backup-Bestands auf einem getrennten Ziel, sofern die Sicherungsanwendung und ihre Repository-Struktur dies unterstützen. Das kann ein zweites NAS an einem anderen Standort, ein zeitweise getrenntes Speichermedium oder ein geeigneter Objektspeicher sein. Ein bloßes Kopieren geöffneter Backup-Datenbanken ist riskant, weil dabei inkonsistente Bestände entstehen können. Nutze dafür die vom Produkt vorgesehene Replikations-, Export- oder Repository-Sicherungsfunktion.
Snapshots auf dem NAS können eine weitere Hürde gegen versehentliche Änderungen und bestimmte Angriffe bilden. Sie ersetzen die getrennte Kopie nicht, da sie meist im selben System und auf demselben Speicherpool liegen. Administrationszugänge für NAS und Microsoft 365 sollten voneinander getrennt, mit Mehrfaktor-Authentifizierung geschützt und regelmäßig überprüft werden. Das Backup-Repository gehört nicht als allgemein beschreibbare Netzwerkfreigabe in das Benutzernetz.
Entscheidung vor dem Produktivbetrieb
Für ein vorhandenes Synology- oder QNAP-System sind die jeweiligen Herstellerpakete meist die erste sinnvolle Kompatibilitätsprüfung. NAKIVO bietet sich an, wenn mehrere Arten von Sicherungsquellen in einer Plattform zusammenlaufen sollen. Veeam passt besser zu einer eigenständigen Backup-Architektur, in der das NAS eine geprüfte Speicherrolle übernimmt.
Die Auswahl ist erst abgeschlossen, wenn vier Nachweise vorliegen: Das NAS-Modell unterstützt die Anwendung, alle benötigten Microsoft-365-Arbeitslasten sind abgedeckt, ein einzelnes Objekt lässt sich erfolgreich wiederherstellen und das lokale Repository besitzt eine unabhängige zweite Sicherung. Fehlt einer dieser Punkte, ist die Installation zwar möglicherweise funktionsfähig, aber noch kein verlässlicher Schutz für die Cloud-Daten.