Microsoft 365 Cloud-Backup: Warum Sie es selbst brauchen
Microsoft 365 Backup: Microsoft sichert die Verfügbarkeit, nicht Ihre Daten. Warum ein eigenes Backup für Exchange und SharePoint Pflicht ist.
„Microsoft kümmert sich doch um die Sicherheit unserer Daten.” Diesen Satz hören wir regelmäßig von Kunden — und er ist gefährlich falsch. Das Missverständnis um die Shared Responsibility in Microsoft 365 gehört zu den teuersten Irrtümern, die Unternehmen machen können.
Das Shared Responsibility Model — was Microsoft tatsächlich sichert
Microsoft garantiert im Rahmen seiner SLA die Verfügbarkeit der Dienste — also dass Exchange Online, SharePoint und Teams erreichbar sind. Was Microsoft nicht sichert:
| Was Microsoft schützt | Was Sie schützen müssen |
|---|---|
| Rechenzentrum-Infrastruktur | Ihre E-Mails und Anhänge |
| Dienstverfügbarkeit (99,9% SLA) | SharePoint-Dokumente und -Listen |
| Replikation zwischen Rechenzentren | Teams-Chats und -Dateien |
| Physische Sicherheit | OneDrive-Inhalte |
| Netzwerksicherheit | Gelöschte Elemente nach Ablauf der Aufbewahrung |
Microsoft selbst schreibt es in seinen Nutzungsbedingungen: “We recommend that you regularly backup Your Content and Data.”
Aufbewahrung ist kein Backup
Das ist der Punkt, an dem die meisten Gespräche hängen bleiben. Microsoft 365 bringt mehrere Funktionen mit, die nach Sicherung aussehen — es aber nicht sind:
Aufbewahrungsrichtlinien (Retention Policies) verhindern, dass Daten gelöscht werden. Sie stellen aber nichts wieder her, was in einer falschen Version vorliegt, und sie helfen nicht, wenn jemand eine Datei überschreibt statt sie zu löschen.
Beweissicherungsverfahren (Litigation Hold) friert Postfachinhalte für rechtliche Zwecke ein. Das ist ein juristisches Werkzeug, kein betriebliches. Die Wiederherstellung einzelner Elemente daraus ist umständlich und nicht für den Alltag gedacht.
Versionsverlauf in SharePoint und OneDrive hilft bei einzelnen Dateien — bis jemand die Bibliothek löscht. Dann ist der Versionsverlauf mit weg.
Der Papierkorb ist ein Zwischenspeicher mit Ablaufdatum, keine Sicherung.
Der entscheidende Unterschied: Ein Backup liegt außerhalb des Systems, das es sichert. Alles, was Microsoft mitliefert, liegt innerhalb. Wenn das Konto kompromittiert wird oder ein Administrator etwas endgültig entfernt, ist die vermeintliche Sicherung mit betroffen.
Die häufigsten Datenverlust-Szenarien in M365
1. Versehentliches Löschen — auch durch Admins
Der Klassiker: Ein Mitarbeiter löscht ein wichtiges SharePoint-Dokument oder eine gesamte Team-Site. Die 93-Tage-Aufbewahrung von Microsoft ist begrenzt — und gilt nicht für alle Szenarien.
Was viele nicht wissen: Administratoren können Daten permanent löschen, ohne dass es eine separate Sicherung gibt.
2. Ransomware und Datenverschlüsselung
Ransomware-Angriffe, die sich in der OneDrive- oder SharePoint-Synchronisation ausbreiten, sind keine Theorie. Wenn 10.000 Dateien verschlüsselt synchronisiert werden, hat Microsoft eine begrenzte Rollback-Funktion — aber nur für 30 Tage und nur für spezifische Szenarien.
3. Malicious Insider und kompromittierte Konten
Ein ehemaliger Mitarbeiter, dessen Konto noch aktiv ist, oder ein Angreifer, der Zugangsdaten ergattert hat: Beide können gezielt Daten löschen, ohne dass es als Cyberangriff erkannt wird.
4. Fehlerhafte Migration oder Automatisierung
Power-Automate-Flows, fehlerhafte Skripte oder Migrationsfehler können ganze Datenbereiche überschreiben oder löschen.
Microsofts eigene Aufbewahrungsfristen
| Dienst | Papierkorb / Aufbewahrung |
|---|---|
| Exchange Online | 14 Tage (einfach), 30 Tage (Administrator) |
| SharePoint Online | 93 Tage im Papierkorb |
| OneDrive | 93 Tage im Papierkorb |
| Teams Chats | Keine nativen Backups |
| Microsoft 365 Gruppen | 30 Tage nach Löschung wiederherstellbar |
Nach Ablauf dieser Fristen: Daten sind unwiderruflich verloren — ohne separate Backup-Lösung.
Beachten Sie die Größenordnung: 93 Tage klingen nach viel. Ein Datenverlust fällt aber oft erst auf, wenn jemand die Datei braucht — und das kann Monate später sein, etwa bei Jahresabschlüssen oder einer Betriebsprüfung.
Was die DSGVO dazu sagt
Das ist der Teil, den viele übersehen. Artikel 32 Absatz 1 Buchstabe c der DSGVO verlangt ausdrücklich
die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen.
Wenn in Ihren Postfächern und Dateiablagen personenbezogene Daten liegen — und das tun sie praktisch immer, spätestens bei Kunden- und Personaldaten —, dann ist die Wiederherstellbarkeit keine betriebliche Kür, sondern eine rechtliche Anforderung.
Absatz 1 Buchstabe d desselben Artikels verlangt zusätzlich ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit. Übersetzt: Ein Backup, das nie getestet wurde, erfüllt die Anforderung nicht.
Die Lösung: Backup für Microsoft 365
Es gibt ausgereifte, DSGVO-konforme Lösungen, die speziell für M365-Backups entwickelt wurden:
Veeam Backup for Microsoft 365
Die marktführende Lösung. Sichert Exchange, SharePoint, OneDrive und Teams. Speicherung in eigenen Azure-Containern oder On-Premises. Granulare Wiederherstellung einzelner E-Mails, Ordner oder Dokumente.
Vorteile:
- Backup alle 5 Minuten möglich
- Granulare Wiederherstellung bis auf Element-Ebene
- Unterstützt auch Hybrid-Exchange
- DSGVO-konform mit deutschen Speicherorten
Barracuda Cloud-to-Cloud Backup
Besonders einfach zu verwalten, ideal für KMUs. Automatisiert, mit Web-Oberfläche und unbegrenztem Speicher.
Microsoft 365 Backup (natives Tool)
Seit 2024 bietet Microsoft ein natives Backup-Tool an — aber zu eigenem Preis und mit eingeschränkter Granularität. Als ergänzende Maßnahme sinnvoll, aber kein vollständiger Ersatz für Drittanbieter-Lösungen.
Ein grundsätzlicher Einwand bleibt: Die Sicherung liegt weiterhin bei Microsoft. Gegen versehentliches Löschen hilft das. Gegen einen Ausfall oder eine Kontosperrung auf Anbieterseite nicht.
Woran Sie eine brauchbare Lösung erkennen
Unabhängig vom Hersteller — diese sechs Punkte entscheiden, ob eine Lösung im Ernstfall trägt:
Was wird gesichert? Exchange, SharePoint, OneDrive und Teams gehören dazu. Achten Sie besonders auf Teams: Chats und Kanaldaten liegen technisch verteilt, und nicht jede Lösung erfasst sie vollständig.
Wie oft? Ein tägliches Backup bedeutet im schlimmsten Fall einen Tag verlorene Arbeit. Für die meisten Betriebe reicht das; wenn nicht, brauchen Sie kürzere Abstände.
Wie fein lässt sich zurückholen? Eine einzelne E-Mail wiederherzustellen muss möglich sein, ohne ein ganzes Postfach zu überschreiben.
Wo liegen die Daten? Für deutsche Betriebe: Rechenzentrum in der EU, idealerweise in Deutschland. Fragen Sie nach dem konkreten Standort, nicht nach der Firmenzentrale des Anbieters.
Sind die Sicherungen unveränderlich? Moderne Erpressungstrojaner suchen gezielt nach Sicherungen. Unveränderliche Speicherung (oft als immutable oder Object Lock bezeichnet) verhindert, dass ein Angreifer sie mitverschlüsselt.
Kommen Sie beim Ausstieg wieder raus? Klären Sie vor dem Vertrag, in welchem Format Sie Ihre Daten mitnehmen können, wenn Sie den Anbieter wechseln.
Wie viel kostet ein M365-Backup?
Eine professionelle Backup-Lösung für Microsoft 365 kostet für ein Unternehmen mit 10 Nutzern:
- Veeam: ca. 2–4 € pro Nutzer/Monat
- Barracuda: ca. 3–5 € pro Nutzer/Monat
- Microsoft 365 Backup: ca. 0,15 USD pro GB/Monat
Stellen Sie diese Kosten den möglichen Schäden eines Datenverlusts gegenüber — Rekonstruktionskosten, Ausfallzeiten, rechtliche Konsequenzen bei Verlust personenbezogener Daten (DSGVO) — und die Entscheidung ist eindeutig.
Der Test, den fast niemand macht
Wir haben schon Umgebungen übernommen, in denen seit zwei Jahren jede Nacht ein Backup lief — und in denen noch nie jemand versucht hat, etwas daraus zurückzuholen. In einem Fall sicherte die Aufgabe seit Monaten ein leeres Verzeichnis. Gemerkt hat es niemand, weil das Protokoll „erfolgreich” meldete.
Ein Wiederherstellungstest dauert eine halbe Stunde und geht so:
- Ein Postfach, eine Dokumentbibliothek und einen Teams-Kanal auswählen — bewusst gemischt, nicht nur das Einfachste.
- Jeweils ein Element von einem Stichtag vor mehreren Wochen zurückholen, nicht von gestern.
- Die Zeit stoppen. Wie lange dauert es wirklich, bis die Datei wieder da ist?
- Den Inhalt prüfen. Ist die Datei vollständig? Stimmen Metadaten und Berechtigungen?
- Ergebnis mit Datum notieren — das ist gleichzeitig Ihr Nachweis nach Artikel 32.
Machen Sie das einmal im Halbjahr. Der Termin, an dem Sie es zum ersten Mal wirklich brauchen, ist der falsche Zeitpunkt, um es herauszufinden.
Unsere Empfehlung
- Prüfen Sie zuerst, was Sie heute haben — viele Betriebe wissen nicht, ob überhaupt etwas läuft
- Aktivieren Sie mindestens die nativen Aufbewahrungsfristen für kritische Dienste
- Ergänzen Sie eine Sicherung außerhalb von Microsoft 365 — das ist der Punkt, an dem native Funktionen prinzipiell nicht hinkommen
- Testen Sie die Wiederherstellung halbjährlich — ein ungetestetes Backup ist eine Annahme, keine Sicherung
- Dokumentieren Sie das Verfahren für die DSGVO-Nachweispflicht und für Ihre Versicherung
Wir helfen Ihnen, die richtige Backup-Strategie für Ihre Microsoft 365 Umgebung aufzubauen. Sprechen Sie uns an — kostenlose Erstberatung, keine Verpflichtungen.