Microsoft Entra Backup: Undgå at miste jeres login

Hvis en gruppe, en app-registrering eller en Conditional Access-politik bliver ændret forkert, kan hele virksomheden miste adgang på få minutter. Det er sjældent data, der stopper jer først – det er identiteten (Entra ID), der styrer login til Microsoft 365 og mange andre systemer. Microsoft Entra Backup (preview) kan hjælpe jer tilbage, men I har kun et kort vindue at reagere i. Her får I en praktisk måde at sikre Entra ID recovery, så I kan rulle fejl tilbage, før de bliver dyre.

• Skeln mellem papirkurv og rigtig gendannelse: Brug Microsoft Entra Backup til at rulle ændringer tilbage (fx ændret Conditional Access) – soft delete hjælper primært ved sletninger.
• Planlæg efter “5-dages vinduet”: Indfør overvågning og proces, så I opdager kritiske ændringer inden for 1–2 arbejdsdage.
• Prioritér de objekter der kan stoppe login: Kortlæg grupper, app-registreringer og CA-politikker, der er “gatekeepers” for drift.
• Test gendannelse som en del af DR: Kør en kvartalsvis tabletop-test: hvem starter recovery, hvem godkender, og hvad kommunikeres til forretningen.
• Brug roller og adskillelse: Tildel Entra Backup Reader/Administrator separat, så færre kan starte gendannelse – men de rigtige kan, når det brænder på.

Hvorfor Microsoft Entra Backup er relevant for danske SMB’er

De fleste har en plan for data: Exchange, OneDrive og SharePoint. Men når Entra ID rammes af en fejlkonfiguration eller et angreb, er konsekvensen ofte, at medarbejdere ikke kan logge ind – og så er data-backup ligegyldig, fordi adgangen er væk.

Gartner peger på, at mange virksomheder har backup af data, men mangler backup/resiliens for identiteter og politikker, der giver adgang til dataene (Gartner, “The State of IAM Resilience”). Det matcher det, vi ser i praksis: adgangslaget bliver sjældent behandlet som en kritisk del af jeres disaster recovery.

Hvad Microsoft Entra Backup (preview) faktisk gør

Ifølge Microsofts dokumentation tager Entra Backup and Recovery (Public Preview) automatisk én daglig backup af udvalgte objekter: brugere, grupper, app-registreringer og Conditional Access-politikker. Historikken gemmes i op til 5 dage som “non-editable snapshots” (Microsoft Learn, 2026: Entra Backup and Recovery overview (Preview)).

Det er et godt grundlag. Men det er ikke det samme som en klassisk backup-platform med længere retention og alarmering. Jeres beslutning bør derfor handle om recovery-tid og opdagelsestid: Kan I opdage en kritisk ændring inden for en arbejdsuge? Hvis ikke, er 5 dage en reel risiko.

Sådan adskiller Entra Backup sig fra “Soft Delete” i Entra ID

Soft delete (papirkurv) hjælper, hvis noget bliver slettet. Problemet er, at mange af de dyreste hændelser ikke er sletninger – de er ændringer:

• En Conditional Access-politik bliver ændret, så MFA ikke længere håndhæves.
• En app-registrering får tilføjet farlige tilladelser.
• En gruppe, der styrer adgang til et ERP-system, får forkerte medlemmer.

Microsoft fremhæver netop, at Entra Backup kan gendanne ændringer og ikke kun slettede objekter (Microsoft Tech Community, 2026: “Strengthen Identity Resilience”).

Før → Efter (1):
Før: I opdager en fejl i Conditional Access, men kan ikke dokumentere “hvad der ændrede sig” og ender med manuel fejlfinding i logs.
Efter: I bruger difference-rapportering til at udpege præcise ændringer og ruller tilbage til et kendt snapshot – typisk hurtigere beslutning om rollback og mindre nedetid.

Fejl der koster jer mest: “5-dages vinduet” og langsom opdagelse

Microsofts retention er maks 5 dage (Microsoft Learn, 2026). Det betyder, at en ændring fra sidste uge kan være uden for rækkevidde, hvis den først opdages efter en ferie, en travl sprint eller en weekend uden overvågning.

Der er også et rent praktisk forhold: Gendannelse kører som et baggrundsjob og kan tage op til 30 timer ved 500.000 ændringer (Microsoft Learn, 2026). Det gør det ekstra vigtigt at have en prioriteret recovery-plan, så I ikke starter den forkerte gendannelse først.

Tjekliste: Er jeres Entra ID backup-strategi god nok?

Brug tjeklisten som beslutningsgrundlag. Hvis I får flere “nej” end “ja”, bør I enten stramme driften op (overvågning + proces) eller supplere med tredjepart/ekstra retention.

Check	Hvad I kigger efter	Tommelfingerregel
Kritiske objekter er kortlagt	CA-politikker, break-glass, admin-roller, grupper der giver adgang til ERP/CRM/filshares, app-registreringer til SSO	Hvis I ikke kan nævne dem på 2 minutter, er de ikke kortlagt
Opdagelse inden for 48 timer	Alarm/rapport på ændringer i CA, grupper, app-registreringer og privilegerede brugere	5 dages retention kræver hurtig opdagelse – sigt efter 1–2 arbejdsdage
Rollemodel er på plads	Entra Backup Reader/Administrator er tildelt få personer, adskilt fra daglig admin	Mindst 2 personer kan udføre recovery, men ikke “alle admins”
Recovery-runbook findes	Trin-for-trin: triage → godkendelse → recovery-job → validering → kommunikation	Skal kunne bruges kl. 07:30 af en vagttelefon uden kreativitet
Testet gendannelse	Tabletop-øvelse + konkret test af rollback-scenarie på mindst ét objekt (fx CA-politik)	Kvartalsvis for kritiske miljøer, halvårligt for øvrige
Beslutning om retention	Accepterer I 5 dage, eller kræver I længere sporbarhed (fx 30/90 dage) af hensyn til drift/compliance?	Hvis I ofte opdager fejl “ugen efter”, er 5 dage ikke nok

Før → Efter (2):
Før: Ændringer i Entra ID opdages tilfældigt (brugere ringer), og I må “gætte” hvornår og hvad der skal rettes.
Efter: I har daglig ændringsrapport + ansvarlig ejer, så I kan reagere inden for retention-vinduet og dokumentere beslutningen.

Hvordan vælger I mellem Microsoft native og tredjepart?

Microsoft Entra Backup (preview) er et stærkt baseline-tiltag, fordi det er “always-on” og Microsoft-managed, og fordi snapshots ikke kan redigeres af en angriber på samme måde som jeres egne scripts (Microsoft Tech Community, 2026). Men 5-dages historik er en hård ramme.

Brug disse beslutningsregler

1. Hvis jeres opdagelsestid er > 5 dage: Overvej tredjepart eller supplerende strategi (længere retention/ekstern logik). Ellers kan I ende uden brugbar backup, når I får brug for den.
2. Hvis I har mange ændringer i Entra ID: Prioritér change governance og rapportering. Store change-mængder kan gøre recovery-job tungere (Microsoft Learn, 2026).
3. Hvis I er underlagt skærpede krav (fx NIS2-arbejde): Dokumentér, hvordan identitets-backup indgår i jeres business continuity og “backup management” (ENISA/NIS2-retningslinjer).
4. Hvis I ikke har bemanding til at reagere hurtigt: Aftal en driftsmodel, hvor nogen faktisk kigger på ændringer og kan starte Entra ID recovery i tide.

Sådan gør I Entra ID recovery til en driftsdisciplin

Teknologi hjælper kun, hvis processen er klar. En enkel driftsmodel for identitets-backup kan se sådan ud:

• Dagligt: Gennemgå ændringer i CA, privilegerede brugere, app-registreringer og udvalgte grupper. Flag alt “uden change ticket”.
• Ugentligt: Validér at break-glass-konti virker, og at mindst to personer har de rigtige recovery-roller.
• Ved incident: Triage (hvad er påvirket?), beslut rollback (hvilket snapshot?), start recovery-job, og lav en hurtig validering: login, MFA, SSO til 3–5 kernesystemer.

Microsoft har også Graph API’er til Entra Backup and Recovery, som kan bruges til at trække difference-rapporter ind i et overvågningssetup (Microsoft Learn, 2026: “Entra Backup and Recovery APIs”). Det er relevant, hvis I vil have ændringer ind i jeres driftsdashboard i stedet for at tjekke manuelt.

FAQ om Microsoft Entra Backup

Hvad er Microsoft Entra Backup, og hvad kan det gendanne?

Microsoft Entra Backup and Recovery (preview) tager daglige snapshots og kan gendanne ændringer i udvalgte Entra ID-objekter som brugere, grupper, app-registreringer og Conditional Access-politikker (Microsoft Learn, 2026).

Hvor længe gemmer Microsoft Entra Backup historik?

Op til 5 dage (Microsoft Learn, 2026). Hvis I typisk opdager fejl efter en uge, skal I ændre driften (hurtigere opdagelse) eller supplere med en løsning, der giver længere retention.

Er Entra ID soft delete det samme som Azure AD backup?

Nej. Soft delete hjælper primært ved sletning. Entra Backup er designet til at kunne rulle ændringer tilbage, fx en ændret Conditional Access-politik (Microsoft Tech Community, 2026). Tænk soft delete som “papirkurv” og Entra Backup som “versionering/rollback”.

Hvor hurtigt kan man gendanne Entra ID, hvis noget går galt?

Gendannelse kører som et baggrundsjob. Microsoft angiver, at den kan tage op til 30 timer ved 500.000 ændringer (Microsoft Learn, 2026). Beslutningsregel: Start med at gendanne det, der blokerer login (CA-politikker/grupper), og valider adgang til jeres kernesystemer først.

Hvilke rettigheder kræver Entra ID recovery?

Der er særlige roller, bl.a. Entra Backup Reader og Entra Backup Administrator, til at se difference-rapporter og starte gendannelse (Office365ITPros, 2026). Hold dem adskilt fra daglig admin, og dokumentér hvem der må trykke “restore”.

Er Microsoft Entra Backup and Recovery klar til produktion, når det er preview?

Preview betyder, at funktionalitet kan ændre sig, og at der typisk ikke er samme formelle garantier som ved generel tilgængelighed. Beslutningsregel: Brug det som baseline, men læn jer ikke kun op ad det, hvis jeres forretning ikke kan tåle længerevarende Entra ID nedetid.

Hvordan hænger identitets-backup sammen med NIS2 og business continuity?

NIS2’s fokus på risikostyring, business continuity og backup management handler også om adgangssystemer – ikke kun filer og mail (ENISA). Praktisk: dokumentér jeres recovery-runbook, test den, og vis at I kan genskabe kritiske adgangspolitikker inden for et defineret tidsmål.

Sådan kommer I i gang (konkrete skridt)

1. Kortlæg 10–20 identitets-objekter, der kan stoppe drift: CA-politikker, admin-roller, break-glass, SSO-apps, kritiske grupper.
2. Definér et “opdagelses-SLA”: hvem ser ændringer, hvor ofte, og hvad er eskalationsvejen.
3. Tildel Entra Backup-roller til 2–3 navngivne personer og dokumentér godkendelsesflow for gendannelse.
4. Lav en 1-sides recovery-runbook med beslutningsregler: hvornår rollback, hvilket snapshot, og hvordan I validerer adgang bagefter.
5. Test én gendannelse/tabletop inden for 30 dage, og planlæg faste tests fremadrettet.
6. Vurdér om 5 dages retention matcher jeres virkelighed; hvis ikke, planlæg supplerende retention/overvågning.
7. Forankr det i drift: få det ind i jeres MSP-/driftsaftale, så nogen faktisk reagerer, før vinduet lukker.

Relevante kilder: Microsoft Learn (Entra Backup and Recovery overview, Preview), Office365ITPros (2026), ENISA (NIS2).