SharePoint Online

Seit 0.4.0 sichert Restow die SharePoint-Online-Websites eines Microsoft-365-Tenants, über Microsoft Graph, neben dessen Postfächern und OneDrives. Jede Website ist ein eigenes geschütztes Objekt, sie läuft in denselben Backup-Jobs, und Sie durchsuchen und stellen sie im selben Restore-Explorer wieder her. SharePoint Server (on-premises) wird nicht unterstützt.

Was gesichert wird

Die Websites finden. Jeder Verzeichnisabgleich listet die Websites des Tenants (Microsoft Graph /sites/getAllSites). Websites von Microsoft-365-Gruppen und von Teams sind dabei; die Dateien eines Teams liegen in der Dokumentbibliothek seiner Website und werden mit ihr gesichert. Persönliche Websites bleiben außen vor: Das sind die OneDrives, die über ihre Besitzerin oder ihren Besitzer geschützt werden. Jede gefundene Website wird ein geschütztes Objekt vom Typ SharePoint-Website (Mandanten-Einstellungen → Schutz → Objekte, Filter Typ) und läuft in den Mail-Jobs (Mail & SaaS → Jobs) wie ein Postfach oder ein OneDrive: Ein Job mit dem Umfang „jedes Objekt, das in keinem anderen Job ist“ erfasst damit auch jede Website. Wollen Sie Websites aus einem solchen Job heraushalten, stellen Sie vor dem nächsten Verzeichnisabgleich den Websites-Modus auf „nur die ausgewählten“.

Eine neu geschützte Website bekommt ihre erste Sicherung sofort, wie jedes andere neu geschützte Objekt. Eine Website, die die Liste nicht mehr liefert, wird als Verwaist markiert (im Restore-Explorer In der Quelle entfernt); ihre Sicherungsstände bleiben. Seit 0.4.7 wartet eine solche Website darauf, dass eine Administration bestätigt, dass das beabsichtigt ist, wie jedes Objekt, das nicht mehr gesichert wird (Objekte, die nicht mehr gesichert werden), und eine Website, die Microsoft gesperrt hat, wird genauso behandelt (siehe Fehler und Warnungen).

Was eine Sicherung enthält. Jeder Lauf einer Website erzeugt einen Sicherungsstand:

Teil der Website	Was gesichert wird
Dokumentbibliotheken	Jede Dokumentbibliothek, auch die Bibliothek mit den Seiten der Website und die für ihre Objekte. Dateien mit ihren Ordnern, gesichert mit derselben Engine wie bei OneDrive: Microsofts Delta-Abfrage je Bibliothek (spätere Läufe lesen nur Änderungen), optional ältere Versionen und Prüfpunkte, sodass ein langer Lauf dort weitermacht, wo er stehen blieb.
Listen	Jede sichtbare Liste mit ihren Spalten. Versteckte Systemlisten und Bibliotheken, die als Listen erscheinen, werden übergangen.
Listenelemente	Die Feldwerte jedes Elements als JSON, mit Inhaltstyp, Autor und Daten.
Die Website selbst	Titel, Adresse und Beschreibung.

Listen haben keine Delta-Abfrage: Jeder Lauf liest eine Liste vollständig, und ein unverändertes Element übernimmt seine gespeicherten Bytes, sodass der Speicher dadurch nicht wächst. Freigabeinformationen (die Freigaben des obersten Ordners einer Bibliothek und einzelner Elemente) werden als Information gesichert und nie wiederhergestellt.

Eine Bibliothek oder Liste, die Microsoft Graph verweigert (403, 404 oder 423), wird als fehlgeschlagenes Element gemeldet und behält ihre letzte Kopie; der Rest der Website wird gesichert, und der Lauf endet mit Warnungen (wie Warnungen erscheinen, steht unter Backup-Jobs). Seit 0.4.7 gilt das auch für eine Bibliothek oder Liste, die Graph aus anderen Gründen nicht liefert (400, 501 oder ein andauerndes 500 bei einer Listenvorlage oder den Berechtigungen einer Bibliothek), und antworten alle Bibliotheken einer Website mit 423 (die Website ist gesperrt), endet der Lauf ohne Sicherungsstand, statt alte Kopien weiterzutragen (Fehler und Warnungen). Microsoft drosselt SharePoint wie OneDrive, mit denselben Wartezeiten, derselben Backup-Warteschlange und derselben Parallelität je Tenant; die erste Sicherung einer großen Website kann lange dauern.

Eine Website, die in Microsoft 365 gelöscht wurde, scheitert mit graph.site_unavailable („Diese SharePoint-Website gibt es nicht mehr“). Ihre vorhandenen Sicherungsstände bleiben wiederherstellbar.

SharePoint braucht eine Anwendungsberechtigung, die Mail und OneDrive nicht brauchen: Sites.ReadWrite.All (Microsoft Graph, Anwendungsberechtigung). Sites.Read.All genügt, um Websites zu finden und zu sichern, aber nicht für den Restore in sie.

Erteilte Berechtigung	Websites gefunden und gesichert	Restore in eine Website
`Sites.ReadWrite.All`	Ja	Ja
Nur `Sites.Read.All`	Ja	Nein: Die Wiederherstellung von Dateien oder Listenelementen in eine Website scheitert. Der Download als ZIP funktioniert weiter.
Keine von beiden	Nein	Nein

Die Berechtigung ist optional: Ein Tenant, der vor 0.4.0 zugestimmt hat, gilt weiter als vollständig, und Mail und OneDrive sind nicht betroffen. So schalten Sie SharePoint ein:

Fügen Sie die Berechtigung der App-Registrierung der Sicherung hinzu (einmalig, als Betreiber): Microsoft Graph, Anwendungsberechtigungen, Sites.ReadWrite.All. Die Entra-Anleitung steht unter Erste Schritte; im Produkt-Repository gibt es eine ausführlichere Einrichtungsanleitung, ENTRA-SETUP.md. Auch Installation → Microsoft-Multi-Tenant-App listet die Berechtigung. In Ihrem eigenen Tenant wählen Sie auf der Seite API-Berechtigungen die Administratorzustimmung.
Die Administration jedes Kunden stimmt erneut zu. Eine nachträglich hinzugefügte Berechtigung gilt in einem Kunden-Tenant erst nach einem neuen Admin-Consent. Wählen Sie an der Microsoft-365-Quelle (Mandanten-Einstellungen → Verbindungen → Microsoft 365) Neuen Link zur Administratorzustimmung erzeugen (eine Stunde gültig) und schicken Sie ihn an einen Global Administrator oder Administrator für privilegierte Rollen dieses Tenants. Diese Person stimmt für die Organisation zu und meldet sich ein zweites Mal an, genau wie bei der ersten Verbindung. Der Link funktioniert nur im Tenant, der bereits verbunden ist.
Berechtigungen prüfen. Die Checkliste zeigt Sites.ReadWrite.All jetzt als Erteilt (gekennzeichnet Optional). Der nächste Verzeichnisabgleich findet die Websites; das Speichern der Schutzregeln reiht sofort einen ein.

Was Sie sehen, solange die Berechtigung fehlt:

An der Quelle unter Anwendungsberechtigungen ein Hinweis SharePoint-Websites werden nicht gesichert (nichts erteilt) oder SharePoint-Websites werden gesichert, aber nicht wiederhergestellt (nur Sites.Read.All).
Im Verzeichnisabgleich eine Warnung mit dem Code sites_unavailable: „SharePoint-Websites werden weder gefunden noch gesichert: Der Tenant hat der App der Sicherung Sites.Read.All oder Sites.ReadWrite.All nicht erteilt“. Websites, die schon bekannt sind, bleiben unverändert.

Eine Quelle, die über eine eigene App verbunden ist (eine Graph-App, die der Kunde im eigenen Tenant registriert hat, seit 0.2.2), hat keinen Consent-Link. Fügen Sie Sites.ReadWrite.All dieser App-Registrierung im Entra Admin Center des Kunden hinzu, erteilen Sie dort die Administratorzustimmung und führen Sie dann an der Quelle Berechtigungen prüfen aus.

Schutzregeln: der Websites-Modus

Die Schutzregeln einer Quelle (Mandanten-Einstellungen → Schutz → Quellen und Regeln → Regeln bearbeiten) haben für Websites einen eigenen Schalter, Alle SharePoint-Websites schützen:

An (Standard): Jede Website des Tenants wird gesichert, auch die Websites von Microsoft-365-Gruppen und Teams. Einzelne Websites schließen Sie in der Liste der geschützten Objekte aus.
Aus („nur die ausgewählten“): Keine Website wird gesichert, es sei denn, Sie schließen sie in der Liste der geschützten Objekte ein.

Eine Einzelentscheidung für eine Website (Immer einschließen oder Von der Sicherung ausschließen, auch als Sammelaktion) schlägt den Modus. Der Gruppenumfang, die Ausschlussliste und der Schalter für geteilte Postfächer gelten nicht für Websites. Ein Wechsel des Modus löscht nie eine Sicherung: Eine Website, die den Schutzumfang verlässt, wird nicht mehr gesichert und behält ihre Sicherungsstände. Das Speichern der Regeln reiht einen Verzeichnisabgleich ein, der die Änderung anwendet.

Durchsuchen und wiederherstellen

Öffnen Sie Mail & SaaS → Restore-Explorer und wählen Sie eine Website im Abschnitt SharePoint und Teams der Liste (vor 0.4.5 hieß er SharePoint- und Teams-Websites), der seit 0.4.2 einen eigenen Abschnitt neben den Personen hat (vorher wählten Sie den Kontotyp SharePoint-Websites, den der Typfilter weiterhin anbietet). Websites von Microsoft-365-Gruppen und Teams stehen dort ebenfalls, und eine Website, die aus der Quelle entfernt wurde, ist als verwaist markiert. Wählen Sie eine Website und einen Sicherungsstand. Die Website hat zwei Bereiche: Bibliotheken (Ordner und Dateien, mit den älteren Versionen, soweit Restow sie erfasst hat) und Listen (Listenelemente). Der Explorer zeigt außerdem das Zeichen Verdächtig an einem Sicherungsstand, in dem Restow Anzeichen von Ransomware gefunden hat, und Unveränderbar bis mit einem Datum, wo ein Repository gesperrt ist; siehe Ransomware-Erkennung und Unveränderbare Backups.

Als ZIP herunterladen geht für jede Auswahl: Dateien, Ordner und Listenelemente als JSON-Dateien, zusammen mit site.json (die Beschreibung der Website mit ihren Bibliotheken und Listen).

Wiederherstellen … fragt, wohin wiederhergestellt wird:

Ziel	Was geschieht
Ursprünglicher Ort	Dateien und Ordner gehen zurück in ihre ursprüngliche Bibliothek, an den Pfad, den sie hatten. Listenelemente gehen zurück in ihre ursprüngliche Liste, als neue Elemente.
Anderes Konto	Für eine Website heißt das eine andere Bibliothek: Wählen Sie eine Bibliothek einer gesicherten Website derselben Microsoft-365-Quelle; mit `:/Ordner` stellen Sie in einen Unterordner wieder her. Stellen Sie mehrere Bibliotheken in eine andere Bibliothek wieder her, bekommt jede einen Ordner mit ihrem eigenen Namen. Angeboten für Restore-Operatoren und Administrationen.
Als ZIP herunterladen	Wie oben.

Wenn ein Element bereits existiert:

Beide behalten (Standard): Vorhandenes bleibt unberührt. Eine vorhandene Datei wird unter einem neuen Namen wiederhergestellt, Listenelemente werden als neue Elemente hinzugefügt.
Überschreiben: nur für SharePoint-Websites angeboten, weil SharePoint die ersetzte Datei als frühere Version behält. Eine vorhandene Datei wird überschrieben, und ein noch vorhandenes Listenelement erhält seine gesicherten Werte zurück. Postfächer und OneDrives werden weiterhin nie überschrieben.
Vorhandene überspringen: Elemente, die noch da sind, bleiben unverändert; nur Fehlendes wird wiederhergestellt.

Wie bei einem OneDrive-Restore lädt Restow große Dateien in Sitzungen hoch und vergleicht Größe und Hash des Geschriebenen mit der Sicherung; ein Element, dessen Bestätigung nicht passt, wird als Nicht bestätigt angezeigt.

Listenelemente werden nur mit ihren beschreibbaren Feldern wiederhergestellt: System-, schreibgeschützte, versteckte und berechnete Spalten bleiben weg. Erstellungs- und Änderungsdatum sowie die Autoren eines neuen Elements setzt SharePoint selbst. Eine wiederholte Wiederherstellung im Modus Beide behalten legt die Elemente erneut an.

Eine Website gehört keiner Person. Ihre Wiederherstellung ist deshalb keine Admin-Wiederherstellung im Auftrag einer anderen Person und braucht keine Begründung, wird aber wie jeder Restore ins Audit-Log geschrieben.

Wer Websites sieht. Nur Restore-Operatoren und Administrationen sehen SharePoint-Websites im Restore-Explorer. Endnutzer nie. Im Status erscheinen Websites neben Postfächern und OneDrives, zählen aber nicht als geschütztes Postfach.

Prüfung, Ransomware-Signale und Benachrichtigungen

Restore-Prüfung. Die Prüfung liest eine Stichprobe von bis zu 20 Dateien aus den Bibliotheken eines Sicherungsstands zurück und vergleicht sie mit dem Manifest, wie bei einem OneDrive. Listenelemente gehören nicht zur Stichprobe. Siehe Wie Restow prüft, ob eine Sicherung wiederherstellbar ist.
Ransomware-Signale. Jeder neue Sicherungsstand einer Website wird aus Daten beurteilt, die die Sicherung ohnehin hat: der Änderungsmenge (geschriebene Elemente, hinzugefügte Bytes) und der Kompression und Deduplizierung der neuen Daten. Löschungen, umbenannte Endungen, Dateinamen und Entropie gibt es nur für Rechner, Freigaben und OneDrives; für eine Website steht dort „nicht verfügbar“, nie „unauffällig“. Ein Befund setzt das Zeichen Verdächtig an den Sicherungsstand und hält die Aufbewahrung der Website an, bis eine Administration ihn klärt. Siehe Ransomware-Erkennung.
Unveränderbare Backups. Die Daten einer Website liegen im Chunk-Speicher des Mandanten, daher deckt die Unveränderbarkeit eines Repositorys sie wie Mail und OneDrive ab. Siehe Unveränderbare Backups.
Benachrichtigungen. Es gibt keine neuen Ereignisse: Die Benachrichtigungen für fehlgeschlagene und erfolgreiche sowie für überfällige Sicherungen gelten für Websites wie für Postfächer, mit der Website als Objekt.

Was nicht gesichert wird

Microsoft-Teams-Chats und Kanalnachrichten. Teams insgesamt ist nicht abgedeckt. Die Dateien eines Kanals liegen in der Bibliothek der Teams-Website und werden mit ihr gesichert. Seit 0.4.5 werden Kalender und Unterhaltungen der Microsoft-365-Gruppe hinter einem Team als Gruppenpostfach gesichert (Microsoft-365-Gruppen); Kanalnachrichten und Chats nicht.
Anhänge von Listenelementen. Microsoft Graph v1.0 bietet dafür keine Schnittstelle.
Websitedesign und Designs, Navigation, Webparts außerhalb der Bibliothek mit den Seiten der Website, Websitevorlage und Inhaltstypen-Hub. Nicht gesichert oder nur als Information.
Workflows (SharePoint 2010 und 2013), Power Automate und Power Apps.
Berechtigungen. Die Freigaben von Bibliotheken und Elementen werden als Information gesichert und nie wiederhergestellt; Websitegruppen und Mitgliedschaften werden gar nicht gesichert.
SharePoint Server on-premises.

Der Restore hat diese Grenzen: Eine gelöschte Website oder Bibliothek wird nicht neu angelegt (Sie stellen in eine vorhandene Bibliothek wieder her), und Listenelemente gehen nur in ihre ursprüngliche Liste zurück.

Fehler und Warnungen

Code	Wo	Text in der Oberfläche	Was tun
`graph.site_unavailable`	Lauf einer Website	Diese SharePoint-Website gibt es nicht mehr	Die Website wurde gelöscht oder ihre Adresse hat sich geändert. Vorhandene Sicherungsstände bleiben wiederherstellbar; der nächste Verzeichnisabgleich kennzeichnet die Website als verwaist.
`graph.object_locked`	Lauf einer Website (seit 0.4.7)	Nicht gesichert: Microsoft hat das OneDrive oder die Website gesperrt	Microsoft beantwortet jeden Zugriff auf die Website mit HTTP 423 („Access to this site has been blocked“): Eine Administration hat sie gesperrt, oder sie gehört zu einem Konto ohne Lizenz. Es ist keine fehlgeschlagene Sicherung: Ein Lesezugriff auf die Website bestätigt die Sperre, die Website wird als Nicht gesichert: gesperrt markiert (gelb, bis eine Administration es bestätigt), der Lauf endet neutral ohne Wiederholungen, und für sie wird nichts geplant. Eine Website, deren Bibliotheken alle mit 423 antworten, endet ohne Sicherungsstand, statt alte Kopien weiterzutragen. Heben Sie die Sperre im SharePoint Admin Center auf; der Verzeichnisabgleich nimmt die Sicherung nur wieder auf, wenn ein Zugriff auf die Website gelingt, sonst behält er die Sperre und meldet, dass die Prüfung fehlschlug. Ein 423, den der Zugriff nicht bestätigt, bleibt ein gezählter Fehler, und ein 423 bei einer einzelnen Datei bleibt ein Elementproblem.
Element-Fehler einer Bibliothek oder Liste	Lauf einer Website (seit 0.4.7)	Das Element nennt die Bibliothek oder Liste	Eine Bibliothek oder Liste, die Graph nicht liefert (400, 501 oder ein andauerndes 500 bei einer Listenvorlage oder den Berechtigungen einer Bibliothek), ist ein Element-Fehler und behält ihre letzte Kopie (eine Liste wird als veraltet markiert); der Rest der Website bekommt seinen Sicherungsstand. Ein 500 oder 502 für den Inhalt einer Bibliothek lässt den Job weiterhin scheitern, der an seinem Checkpoint fortsetzt, und eine fortgesetzte Website zählt die Element-Fehler der Bibliotheken, die ein früherer Versuch beendet hat.
`sites_unavailable`	Warnung des Verzeichnisabgleichs	SharePoint-Websites werden weder gefunden noch gesichert: Der Tenant hat der App der Sicherung Sites.Read.All oder Sites.ReadWrite.All nicht erteilt	Fügen Sie die Berechtigung der App-Registrierung hinzu und führen Sie den Admin-Consent erneut aus (oben).
`graph.permission_missing`	Lauf oder Restore einer Website	Der App von Restow fehlt eine Microsoft-365-Berechtigung	Die Meldung nennt die Berechtigung (`Sites.Read.All`, oder `Sites.ReadWrite.All` für eine Wiederherstellung in eine Website). Fügen Sie sie hinzu und stimmen Sie erneut zu (oben).
`sites_unavailable` (anderer Status als 401 oder 403)	Warnung des Verzeichnisabgleichs	SharePoint-Websites konnten nicht aufgelistet werden; die bisher bekannten Websites bleiben unverändert	Meist Microsoft oder der Tenant; der nächste Abgleich versucht es erneut.

Wie Fehler angezeigt werden, steht unter Fehlererklärungen, die Microsoft-365-Verbindung unter Quellen verbinden.