Ergänzung zur Sicherung, kein Ersatz für Backup Windows Backup for Organizations beschleunigt die Wiederherstellung

„Windows Backup for Organizations“ beschleunigt die Wiederherstellung von Benutzerumgebungen, indem es Einstellungen und Store-Apps cloudbasiert sichert und die Auswahl bereits im OOBE anbietet. Die Funktion setzt Entra Join oder Hybrid Join auf aktuellen Builds voraus, ergänzt Intune- und Cloud-Mechanismen, ersetzt aber kein klassisches Backup.

Die Microsoft-Funktion „Windows Backup for Organizations“ erweitert die Gerätesicherung in Windows 10 und 11 um eine cloudbasierte Lösung für Einstellungen und Store-Apps. Die Funktion vereinfacht Migration und Wiederherstellung, ersetzt jedoch kein klassisches Backup und verlangt ergänzende Strategien für Dateien und Anwendungen.

„Windows Backup for Organizations“ markiert eine neue Stufe der Gerätesicherung in Windows-Umgebungen. Die Funktion soll IT-Abteilungen helfen, Benutzerumgebungen schneller und konsistenter wiederherzustellen, insbesondere im Zuge der Migration von Windows 10 auf Windows 11. Sie ersetzt kein klassisches Backup, sondern ergänzt vorhandene Cloud- und Verwaltungsstrukturen um eine gezielte Sicherung von Systemeinstellungen und Store-Apps.

Bildergalerie

Ziel und Funktionsrahmen

Die Entwicklung von „Windows Backup for Organizations“ folgt einem klaren Ziel: eine einfachere, kontrollierbare Wiederherstellung der Benutzerumgebung nach Gerätewechsel, Neuinstallation oder Reset. Das System greift dabei auf Microsoft Entra ID zurück und speichert individuelle Einstellungen im organisationsweiten Cloudspeicher. Nutzer erhalten nach der Anmeldung auf einem neuen Gerät dieselbe Konfiguration wie zuvor, ohne dass lokale Profile oder manuelle Anpassungen erforderlich sind.

Die Funktion erfordert Geräte mit Entra Join oder Hybrid Join, die auf Windows 10 Version 22H2 (Build 19045.6216 oder neuer) oder Windows 11 ab Version 22H2 (Build 22621.5768 oder neuer) basieren. Bei einem Entra Join ist das Gerät direkt mit Microsoft Entra ID (vormals Azure AD) verbunden und wird vollständig über Cloud-Richtlinien wie Intune verwaltet. Benutzer authentifizieren sich ausschließlich mit ihren Entra-Anmeldeinformationen. Ein Hybrid Join dagegen bindet das Gerät gleichzeitig an das lokale Active Directory und an Entra ID an. Dadurch kann es sowohl lokale Gruppenrichtlinien als auch Cloud-Richtlinien verarbeiten. Hybrid-Join wird häufig in Umgebungen eingesetzt, in denen lokale Infrastruktur, Datei- oder Druckdienste weiterhin aktiv genutzt werden, während Entra Join vor allem in reinen Cloud-Umgebungen Anwendung findet.

Die Wiederherstellung steht ausschließlich für Windows 11 ab Build 22621.3958 bereit. Unternehmen mit Autopilot-Implementierung müssen den nutzergetriebenen Modus verwenden, da der Anwender im Setup explizit die Sicherung auswählt, die wiederhergestellt werden soll. Eine zentrale Voraussetzung ist das August-Update 2025 oder neuer, das die Backup-App und den CloudRestore-Dienst bereitstellt. Fehlt dieses Update, müssen Administratoren in Intune die Richtlinie „Install Windows quality updates“ aktivieren, damit OOBE die benötigten Pakete nachlädt.

Unverzichtbare Datensicherungsstrategie

Die 3-2-1-Backup-Regel im Cloud-Kontext

Architektur und interner Ablauf

„Windows Backup for Organizations“ ist technisch als Cloud-gestützter Settings-Backup-Dienst aufgebaut. Auf jedem aktivierten Gerät wird ein geplanter Task im Pfad „Microsoft → Windows → CloudRestore → Backup“ angelegt. Dieser Task startet alle acht Tage automatisch eine Sicherung und nutzt dafür die Bibliothek cloudrestore.dll.

Die Bibliothek überprüft, ob die Richtlinie „EnableWindowsBackup“ aktiv ist, und erfasst anschließend alle konfigurierten Kategorien aus der Registry. Diese umfassen Systemparameter, Personalisierungsoptionen, Eingabe- und Geräteeinstellungen sowie eine Liste der installierten Microsoft-Store-Apps. Anschließend werden die Daten in verschlüsselter Form an den Cloudstore des Unternehmens übertragen, erreichbar unter enterprise.activity.windows.com. Das System legt im Registrierungspfad

Metadaten wie den Zeitstempel des letzten erfolgreichen Backups (LastFullBackupCompletedTime) ab.

Die gesamte Aktivität wird im Ereignisprotokoll Microsoft-Windows-CloudRestoreLauncher erfasst. Hier erscheinen Einträge wie BackupStarted, BackupCompleted oder PolicyDisabled. Diese Protokolle sind wichtig für Fehlersuche und Überwachung in administrierten Umgebungen. Die Benutzeroberfläche stellt die Store-App „Windows Backup“ bereit. Sie dient ausschließlich der manuellen Auslösung einer Sicherung und zeigt den aktuellen Status an. Die eigentliche Sicherung erfolgt jedoch im Hintergrund über den CloudRestore-Dienst.

Bildergalerie

Microsoft 365 Backup: Bordmittel zur Sicherung von Daten in der Cloud

Backup für Microsoft 365: integrierte Lösung nutzen

Wiederherstellung im OOBE-Prozess

Die Wiederherstellung wird im Out-of-Box-Erlebnis (OOBE) angeboten. Sobald ein Benutzer ein neues oder zurückgesetztes Gerät startet und sich mit seinem Entra-Konto anmeldet, fragt das System, ob ein vorhandenes Backup wiederhergestellt werden soll. Das Fenster zeigt die letzten Geräte und deren Sicherungen an. Der Benutzer kann das aktuelle Backup auswählen oder über "Weitere Optionen" ältere Stände einsehen.

Nach Auswahl des Profils startet der Wiederherstellungsprozess. Die Einstellungen werden synchron geladen, Store-Apps erneut im Startmenü registriert und persönliche Systemoptionen wie Sprache, Taskleistenverhalten oder Explorer-Ansicht übernommen. Die restliche OOBE-Prozedur läuft parallel weiter. Dieses Verhalten unterscheidet sich klar von Enterprise State Roaming. ESR synchronisierte die Einstellungen erst nach Abschluss von OOBE im Hintergrund. Windows Backup for Organizations integriert diesen Schritt früh in den Einrichtungsprozess und erzeugt so einen sichtbaren, interaktiven Wiederherstellungsdialog.

Konfiguration über Intune, CSP oder Gruppenrichtlinien

Administratoren aktivieren „Windows Backup for Organizations“ über verschiedene Wege. In Intune erfolgt die zentrale Steuerung unter „Devices > Enrollment > Windows Backup and Restore“. Dort wird die Option „Show restore page“ auf „On“ gesetzt, um die Wiederherstellungsseite im OOBE zu aktivieren.

Parallel muss über den Settings Catalog die Richtlinie „Enable Windows Backup“ gesetzt werden. Diese Einstellung befindet sich in „Administrative Templates > Windows Components > Sync your settings“ und basiert auf der ADMX-Datei „SettingsSync.admx“. Sie legt fest, ob die Backup-Funktion auf den Geräten aktiv ist. Weitere Richtlinien ermöglichen die Auswahl, welche Kategorien gesichert werden dürfen.

Unternehmen, die Gruppenrichtlinien verwenden, finden die Option im Pfad „Computer Configuration > Administrative Templates > Windows Components > Backup > Turn off Windows Backup“. Einzelgeräte können über den Registry-Key

mit dem DWORD-Wert DisableBackup = 1 konfiguriert werden.

Intune weist die Richtlinien standardmäßig Gerätegruppen zu. Für eine zuverlässige Zuweisung empfiehlt sich jedoch eine dynamische Autopilot-Gruppe, da die Backup-Aufgabe während der Enrollment-Phase initialisiert wird.

Wichtige Vorgabe bei DSGVO, NIS2, HIPAA, DORA und ISO 27001

Datensicherung – Definition, bewährte Verfahren und zukünftige Trends

Cloud-Zugriff und Berechtigungen

Die Speicherung erfolgt im Cloudstore des jeweiligen Tenants. Zugriff auf diese Daten erhält nur die Organisation selbst. Administratoren können per Microsoft Graph API Daten auslesen, exportieren oder löschen. Dafür sind die Berechtigungen UserWindowsSettings.Read.All und UserWindowsSettings.ReadWrite.All erforderlich. Damit die Wiederherstellung funktioniert, muss die App-ID d32c68ad-72d2-4acb-a0c7-46bb2cf93873 in Conditional-Access-Richtlinien erlaubt sein. Wird der Zugriff blockiert, erscheint bei der Anmeldung der Fehler „You don’t have access to this resource“.

Organisationen, die Phishing-Resistant MFA (PRMFA) einsetzen, stoßen in Hyper-V-Umgebungen auf Einschränkungen, da Multifaktor-Authentifizierung während OOBE schwer umzusetzen ist. Microsoft empfiehlt für diese Fälle einen Temporary Access Pass (TAP), um den Authentifizierungsvorgang abzuschließen.

Kombination mit OneDrive KFM und Cloud-Diensten

Da Windows Backup for Organizations nur Einstellungen und Store-Apps sichert, bleibt der Schutz von Benutzerdaten eine separate Aufgabe. Eine praxisgerechte Lösung entsteht in Kombination mit OneDrive Known Folder Move (KFM). Diese Funktion verschiebt die Standardordner „Dokumente“, „Bilder“ und „Desktop“ automatisch in den OneDrive-Speicher des Unternehmens.

KFM kann über Intune-Policies automatisch aktiviert werden. Administratoren können festlegen, dass der Umzug ohne Benutzerinteraktion erfolgt und dass nach erfolgreicher Migration keine Rückverschiebung auf den lokalen Speicher möglich ist. In Verbindung mit OneDrive Files On-Demand lassen sich lokale Speicheranforderungen gering halten. In aktuellen Umgebungen wird KFM oft durch SharePoint und Teams ergänzt. Microsoft empfiehlt, SharePoint-Bibliotheken nicht mehr zwingend über den Explorer zu synchronisieren, sondern über die Option „Add shortcut to OneDrive“ in die Benutzeroberfläche einzubinden. Damit entsteht ein Gesamtbild aus Windows Backup für Einstellungen, OneDrive KFM für Dateien und Intune-App-Deployment für Anwendungen.

Bildergalerie

Ransomware-sichere und kostenlose Backups erstellen

Backup mit Synology-NAS

Grenzen und bekannte Probleme

Trotz der erweiterten Architektur ist „Windows Backup for Organizations“ keine vollständige Sicherungslösung. Win32-Programme, Office-Installationen und Daten außerhalb der bekannten Pfade bleiben ungesichert. Bei deaktiviertem Microsoft Store kann das System zudem keine App-Listen wiederherstellen.

Ein weiteres Risiko besteht in fehlerhaften Feature-Rollouts. Ein im August 2025 veröffentlichtes Zero-Day-Patch, das die Wiederherstellungsfunktion aktivieren sollte, führte zu Autopilot-Fehlern und BitLocker-Problemen (Error 65000). Microsoft zog das Update zurück und bestätigte den Zusammenhang im Service Health Dashboard. Administratoren sollten außerdem prüfen, ob Policies für Conditional Access oder lokale Sicherheitsrichtlinien den Zugriff auf den Cloudstore blockieren. Andernfalls bleibt die Wiederherstellungsseite im OOBE leer.

Bewertung und praktische Bedeutung

„Windows Backup for Organizations“ ist ein bedeutender Schritt in der Vereinheitlichung von Gerätekonfigurationen in cloudbasierten Infrastrukturen. Es ermöglicht eine schnellere Wiederherstellung von Benutzerumgebungen, reduziert Supportaufwand und beschleunigt den Gerätezyklus. Gleichzeitig verdeutlicht es, dass Microsoft Backup- und Synchronisierungsfunktionen klar voneinander trennt.

Die Stärke liegt in der Integration in bestehende Cloud-Mechanismen und in der Entlastung der IT-Abteilungen bei Routineaufgaben. Die Schwäche liegt in der fehlenden Abdeckung von Anwendungen und lokalen Daten. Erst durch die Kombination mit OneDrive KFM, Intune-App-Verteilung und zentralen Update-Richtlinien entsteht eine robuste, betriebstaugliche Gesamtlösung.

„Windows Backup for Organizations“ ist damit weniger ein Ersatz für Backup-Systeme, sondern ein Baustein einer cloudzentrierten Managementstrategie. Es schließt die Lücke zwischen Profileinstellungen und vollständiger Datensicherung, ein Zwischenschritt auf dem Weg zu vollständig cloudverwalteten Windows-Geräten.

(ID:50664352)