Microsoft 365 Backup: Warum Microsoft Ihre Daten nicht sichert
Viele Unternehmen glauben, mit Microsoft 365 sei die Datensicherung erledigt. Das ist ein Irrtum mit Ansage: Microsoft sichert die Plattform – für Ihre Daten sind Sie selbst verantwortlich. Was das konkret bedeutet und wie ein belastbares M365-Backup aussieht.
- ✓Microsoft sichert die Plattform, nicht Ihre Daten – so steht es im Shared-Responsibility-Modell.
- ✓Papierkorb und Aufbewahrungsfristen sind kein Backup: nach 14 bis 93 Tagen ist der Zugriff unwiderruflich weg.
- ✓Die häufigste Verlustursache ist nicht der Systemausfall, sondern Fehlbedienung, Offboarding und Ransomware.
- ✓Handels- und steuerrechtliche Aufbewahrungspflichten von 6 bis 10 Jahren erfüllt Microsoft 365 nicht von selbst.
- ✓Ein echtes M365-Backup sichert Exchange, SharePoint, OneDrive und Teams unabhängig vom Mandanten – mit unveränderlichem Speicher.
Der Denkfehler: „Die Cloud sichert doch"
Der Satz fällt in fast jedem Erstgespräch: „Wir sind in der Cloud, das Backup macht Microsoft." Er ist verständlich – und falsch. Microsoft betreibt eine hochverfügbare Infrastruktur mit Georedundanz und garantiert die Verfügbarkeit des Dienstes. Was Microsoft nicht garantiert, ist die Wiederherstellbarkeit Ihrer Inhalte nach einem Fehler auf Ihrer Seite.
Der Unterschied ist keine Spitzfindigkeit, sondern der Kern des Modells: Redundanz schützt gegen Rechenzentrumsausfälle. Sie schützt nicht davor, dass jemand einen SharePoint-Ordner löscht, ein Postfach falsch migriert wird, ein Ransomware-Trojaner OneDrive verschlüsselt oder ein ausgeschiedener Mitarbeiter Daten mitnimmt. In all diesen Fällen repliziert Microsoft den Schaden zuverlässig in alle Rechenzentren.
Shared Responsibility: Wer verantwortet was?
Microsoft dokumentiert die Aufgabenteilung offen. Sie sieht in der Praxis so aus:
| Verantwortung | Microsoft | Ihr Unternehmen |
|---|---|---|
| Rechenzentren, Hardware, Netzwerk | Ja | – |
| Verfügbarkeit der Dienste (SLA) | Ja | – |
| Georedundanz der Plattform | Ja | – |
| Ihre Daten in Exchange, SharePoint, OneDrive, Teams | – | Ja |
| Schutz vor versehentlichem und böswilligem Löschen | – | Ja |
| Langfristige Aufbewahrung nach GoBD/HGB/AO | – | Ja |
| Wiederherstellung eines Standes von vor sechs Monaten | – | Ja |
| Benutzer- und Berechtigungsverwaltung | – | Ja |
Alles in der rechten Spalte ist Ihre Aufgabe – auch dann, wenn niemand im Unternehmen sie bewusst übernommen hat.
Die tatsächlichen Aufbewahrungsfristen in Microsoft 365
Viele Unternehmen halten die eingebauten Papierkorb-Mechanismen für ein Backup. Sie sind ein Komfortmerkmal mit kurzer Halbwertszeit:
| Dienst / Objekt | Standardfrist | Danach |
|---|---|---|
| Exchange Online – gelöschte Elemente | 14 Tage (auf 30 erweiterbar) | Nicht mehr durch den Nutzer wiederherstellbar |
| Exchange Online – wiederherstellbare Elemente | 14–30 Tage | Endgültig entfernt |
| Exchange Online – gelöschtes Postfach | 30 Tage nach Lizenzentzug | Postfach und Inhalt gelöscht |
| OneDrive / SharePoint – Papierkorb | 93 Tage (zweistufig) | Unwiderruflich gelöscht |
| SharePoint – Versionsverlauf | Begrenzte Versionsanzahl | Ältere Versionen überschrieben |
| Microsoft Teams – Chats & Dateien | Folgt Exchange- und SharePoint-Fristen | Wie oben |
| Gelöschter Mandant | 30 Tage | Vollständiger Verlust |
Sechs Szenarien, in denen Microsoft Ihnen nicht hilft
- Versehentliches Löschen mit Verzögerung. Ein Projektordner fehlt – bemerkt wird es vier Monate später beim Audit. Die 93 Tage sind abgelaufen.
- Offboarding. Die Lizenz eines ausgeschiedenen Mitarbeiters wird zum Sparen entzogen. 30 Tage später sind Postfach und Korrespondenz weg – inklusive der Angebote, die noch offen waren.
- Ransomware. Verschlüsselte Dateien werden über den OneDrive-Client zuverlässig in die Cloud synchronisiert. Ohne unveränderlichen Backup-Stand gibt es keinen sauberen Punkt vor dem Angriff.
- Böswilliges Handeln von innen. Ein Konto mit Administratorrechten kann Daten und die zugehörigen Aufbewahrungsrichtlinien gleichzeitig entfernen.
- Fehlerhafte Migration oder Skripte. Ein falsch gesetzter PowerShell-Parameter räumt in Minuten auf, wofür Menschen Jahre gebraucht haben.
- Rechtsstreit oder Betriebsprüfung. Sie müssen den E-Mail-Stand eines bestimmten Tages vor drei Jahren belegen. Microsoft 365 kennt diesen Stand nicht mehr.
Ein Blick in unseren Ratgeber Ransomware-Schutz zeigt, wie eng Backup und Angriffserkennung zusammenhängen: Das Backup ist die letzte Verteidigungslinie – und die einzige, die nach einem erfolgreichen Angriff noch wirkt.
Retention Policy ist kein Backup
Aufbewahrungsrichtlinien in Microsoft Purview sind ein sinnvolles Werkzeug für Compliance – aber sie ersetzen kein Backup. Der Grund ist strukturell:
- Sie liegen im selben Mandanten und unter derselben Administration wie die Produktivdaten.
- Sie erzeugen keine unabhängige Kopie, sondern verhindern lediglich das Löschen.
- Sie bieten keine granulare Wiederherstellung ganzer Postfach- oder Website-Strukturen mit Berechtigungen.
- Sie kennen keinen definierten Wiederherstellungspunkt („Stand vom 14. März, 08:00 Uhr").
Die Faustregel lautet: Ein Backup ist erst dann ein Backup, wenn es den Verlust des gesamten Mandanten übersteht.
Was ein belastbares Microsoft-365-Backup leisten muss
- Vollständige Abdeckung: Exchange Online inklusive Kalender und Kontakte, SharePoint Online mit Berechtigungen und Metadaten, OneDrive for Business, Microsoft Teams mit Kanälen, Chats und Dateien.
- Speicherung außerhalb des Mandanten – in einem separaten, EU-basierten Rechenzentrum mit eigener Zugangsverwaltung.
- Unveränderlicher Speicher (Immutability), damit weder Angreifer noch ein kompromittiertes Administratorkonto den Backup-Bestand löschen können.
- Frei definierbare Aufbewahrung – von einem Jahr bis unbegrenzt, passend zu Ihren gesetzlichen Pflichten.
- Granulare Wiederherstellung: einzelne E-Mail, ganzer Ordner, komplettes Postfach, ganze Website – ohne Datenbank-Restore.
- Überwachung und Protokoll: jemand muss täglich sehen, ob der Job gelaufen ist. Ein unbemerkt seit acht Wochen fehlgeschlagenes Backup ist kein Backup.
- Regelmäßige Wiederherstellungstests mit dokumentiertem Ergebnis – die einzige Methode, die Funktion tatsächlich zu belegen.
Die 3-2-1-Regel gilt auch in der Cloud
Drei Kopien der Daten, auf zwei verschiedenen Medien beziehungsweise Plattformen, eine davon außerhalb des Produktivsystems: Microsoft 365 allein liefert genau eine dieser drei Kopien. Wie das Gesamtkonzept mit lokalen Servern zusammenspielt, beschreibt unser Ratgeber Cloud vs. On-Premise.
Recht: DSGVO, GoBD und Aufbewahrungspflichten
Die Verantwortung für personenbezogene Daten bleibt nach DSGVO beim Verantwortlichen – also bei Ihrem Unternehmen, nicht bei Microsoft als Auftragsverarbeiter. Artikel 32 verlangt ausdrücklich die Fähigkeit, „die Verfügbarkeit der personenbezogenen Daten bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen". Ohne Backup ist diese Fähigkeit nicht gegeben.
Hinzu kommen GoBD, HGB und Abgabenordnung: Geschäftsbriefe – und dazu zählen E-Mails – sind je nach Art 6 oder 10 Jahre unveränderbar aufzubewahren. Für E-Mails ist die revisionssichere E-Mail-Archivierung der passende Baustein; das Backup deckt die Wiederherstellbarkeit ab, das Archiv die Nachweispflicht. Beides zusammen ist erst vollständig.
Microsoft 365 Backup für Unternehmen in Solingen und Umgebung
Wir betreuen Microsoft-365-Umgebungen für Unternehmen in Solingen, Wuppertal, Remscheid, Düsseldorf und Köln – von der Einrichtung über den laufenden Betrieb bis zum überwachten Backup mit getesteter Rücksicherung.
Wenn Sie eine Zahl mitnehmen: Die Frage ist nicht, ob Sie einmal etwas wiederherstellen müssen, sondern wann. Und ob der Stand, den Sie dann brauchen, älter ist als 93 Tage.
Microsoft 365 Backup – Fragen & Antworten
Macht Microsoft nicht selbst ein Backup von Microsoft 365?+
Wie lange bleiben gelöschte Daten in Microsoft 365 wiederherstellbar?+
Ist eine Aufbewahrungsrichtlinie (Retention Policy) ein Backup?+
Was passiert mit den Daten ausgeschiedener Mitarbeitender?+
Schützt ein Microsoft-365-Backup vor Ransomware?+
Was kostet ein Microsoft-365-Backup?+
Die Umsetzung übernimmt unser Managed M365-Backup – täglich gesichert, überwacht und regelmäßig getestet. Für lokale Server und Clients ergänzt Managed Backup das Konzept, die geprüfte Wiederherstellung liefert die Managed Backup Rücksicherung. Rechtssichere E-Mail-Aufbewahrung deckt die Managed E-Mail-Archivierung ab, den sauberen Betrieb der Umgebung der M365 Modern Workplace.